Advertisement
Autopilot engagé, la Tesla S de Joshua Brown a heurté un semi-remorque, avant de valser dans le décor et tuer son conducteur.

L'Image du jour

Autopilot engagé, la Tesla S de Joshua Brown a heurté un semi-remorque, avant de valser dans le décor et tuer son conducteur.

Silicon Valley 2016 : Cap sur l'innovation technologique (1e partie)

Dernier Dossier

Silicon Valley 2016 : Cap sur l'innovation technologique (1e partie)

En mars et juin dernier, nous avons passé un peu de temps à San Francisco et dans la Silicon Valley avec une dizaine de journalistes européens pour le...

Restez proche de l'actualité IT

NEWSLETTERS THEMATIQUES

Découvrez nos différentes newsletters adaptées à vos besoins d'actualités IT Pro : Mobilité, Réseaux, Stockages, ...

Abonnez-vous 
FERMER

LMI MARKET

Votre comparateur de prestataires IT : Comparez les devis, Evaluez les prestataires, Trouvez le juste prix!...

Accéder à ce service 

BLOG

Découvrez les contenus exclusifs publiés par les lecteurs du Monde Informatique avec la plateforme LMI Blog...

Accéder à ce service 

COMPARATEUR DE SALAIRE

Partagez votre situation salariale anonymement, consultez les statistiques depuis 2009 et faites vos propres analyses...

Accéder à ce service 

IT TOUR

LMI vous invite à sa Matinée-Débats dans votre région.
Inscrivez-vous

Accéder au site 
FERMER
0
Réagissez Imprimer Envoyer

Le crime organisé, première menace pour les entreprises

Pour savoir comment affronter une cyber-attaque, il faut comprendre ce que les attaquants sont susceptibles de cibler, pointe le cabinet de conseil EY dans l'étude GISS 2015. (cliquer sur l'image)

Pour savoir comment affronter une cyber-attaque, il faut comprendre ce que les attaquants sont susceptibles de cibler, pointe le cabinet de conseil EY dans l'étude GISS 2015. (cliquer sur l'image)

Portant sur les enjeux de cybersécurité, l'étude GISS 2015 du cabinet Ernst&Young montre que la majorité des entreprises (88%) estiment que leurs systèmes d'information ne répondent pas à leurs besoins de sécurité. Concernant les sources de menaces, elles sont 59% à citer les organisations criminelles devant les hacktivistes (54%), mais désignent aussi de plus en plus des groupes commandités par des Etats (35%).

Le cabinet d'audit et de conseil EY (Ernst&Young) vient de publier sa 18étude annuelle sur la sécurité informatique. Consacrée aux menaces de cybersécurité auxquelles les entreprises doivent faire face, l'édition 2015 de GISS (Global Information Security Survey) a été conduite auprès de 1 755 organisations dans 67 pays. Premier constat, 88% des répondants ne croient pas que leurs systèmes d'information répondent à leurs besoins de sécurité qui doivent couvrir toutes les dimensions de l'entreprise (finance, supply chain, CRM, RH...), qui plus est en pleine transformation numérique. Néanmoins, ils ne sont plus que 36% à penser qu'ils ne seraient pas capables de détecter une attaque sophistiquée, alors qu'ils étaient 56% l'an dernier. Cela constitue une amélioration significative estime EY tout en rappelant aux entreprises de bien avoir en tête que le niveau de sophistication des attaques augmente continuellement.

L'IoT va complexifier les questions de sécurité

En préambule de son étude GISS 2015, EY souligne l'importance de bien comprendre les défis que pose la cybersécurité. Les entreprises considèrent les opportunités apportées par la transformation numérique et accélèrent leurs projets en ce sens. Mais dans leur précipitation, elles ont négligé certaines précautions et sous-estimé certains risques, note le cabinet. La prise de conscience que le monde digital offrait aussi un énorme potentiel d'exploitation pour la criminalité s'est faite avec retard. De même que commencent seulement à émerger la complexité de l'interconnectivité entre les utilisateurs, les entreprises et les « objets » de l'IoT, ainsi que les conséquences fortuites qui en résultent. Pour bien comprendre et appréhender les défis qu'elles doivent affronter, les organisations doivent se poser quatre séries de questions, conseille le cabinet d'audit. Premièrement, quelles sont les menaces que vous pensez devoir affronter et comment pouvez-vous les combattre ? Deuxièmement, quels sont les pires scénarios pour vous, comment détecter les signaux les plus ténus et maintenir constamment le plus haut niveau d'alerte ? Troisièmement, pourquoi êtes-vous toujours si vulnérable, est-ce par un défaut de mesures dans votre environnement actuel, parce que vous ne disposez pas de mécanismes pour vous adapter aux changements ou parce que vous n'avez pas d'approche proactive pour neutraliser les cyberattaques sophistiquées ? Enfin, quatrièmement, qu'est-ce qu'une défense active et comment la construire, que faut-il améliorer ?

En 2020, 85% des relations business seront gérées sans interactions humaines, selon un rapport de Gartner (qui date déjà de 2011), rappelle EY. Or, les résultats de l'étude GISS 2015 montrent par exemple que, pour 68% des répondants, la surveillance de leur écosystème n'apparaît pas comme un challenge dans le contexte de l'Internet des objets. Ou, encore, toujours dans le contexte de l'IoT, que 67% ne voient pas non plus comme un problème de sécurité la gestion du développement des points d'accès vers leur organisation.

La négligence des employés mieux prise en compte ?

Interrogés sur les vulnérabilités qui ont pris le plus d'ampleur au cours des 12 derniers mois, les répondants ont cité en premier la négligence ou l'ignorance de leurs collaborateurs (18%) et juste derrière les architectures et les informations de sécurité obsolètes (15%). Or, fait remarquer EY, ces deux préoccupations, citées cette année par, respectivement, 44% et 34% des personnes interrogées, arrivaient déjà en tête l'an dernier et, de surcroît, à un niveau plus élevé correspondant à 57% et 52% des répondants. Pour le cabinet, cela signifie que les entreprises pensent couvrir ces vulnérabilités de façon plus efficace.

Du côté des menaces identifiées, le phishing vient cette fois en premier (19%), suivi des malwares (virus, vers, chevaux de Troie...) et attaques zero-day (16%), des cyberattaques visant à voler des informations financières (15%), destinées à perturber l'activité de l'entreprise (15%) ou à s'emparer de ses données ou de sa propriété intellectuelle (13%). Viennent ensuite la fraude (12%), l'espionnage et les catastrophes naturelles (9%). En moyenne, 44% des répondants ont indiqué cette année qu'ils voyaient le phishing comme la principale menace, contre 39% l'an dernier. Même tendance du côté des malwares, vus à 43% comme la première menace contre 34% en 2014. L'évolution est nette mais, cette fois, EY s'interroge si elle est exacte ou s'il s'agit d'une mauvaise perception.

Le crime organisé cité comme principale source d'attaques

Qu'est-ce qui permettrait de lutter contre les cybermenaces ? Pour 42% des répondants, bien connaître ses actifs est une connaissance clé sur le terrain de la sécurité. Sondés sur leur capacité à estimer les dommages résultant de cyber-incidents subis sur les 12 derniers mois, ils ne sont que 20% à pouvoir le faire. Quand il s'agit de désigner les sources d'attaques les plus probables, le crime organisé est cité dans 59% des cas (contre 53% en 2014). Mais les collaborateurs de l'entreprise n'arrivent pas très loin derrière, mentionnés dans 56% des cas, suivis des groupes activistes (54% contre 46% en 2014) et des hackers solitaires (43%). EY fait remarquer la progression enregistrées sur les attaques possiblement commanditées par des Etats : 35% des répondants les citent contre seulement 27% l'an dernier.

Sur les investissements prévus l'an prochain dans ces domaines, 69% des répondants estiment qu'ils devraient augmenter leur budget consacré à la cybersécurité pour mieux protéger leurs données, néanmoins, 84% des répondants estiment qu'ils engageront les mêmes dépenses, ou moins, sur la protection de leur propriété intellectuelle, 70% dépenseront la même chose sur la sécurité opérationnelle (antivirus, correctifs de sécurité, chiffrement, etc.) et, enfin, 62% conserveront le même niveau de dépenses concernant leurs capacités à répondre aux incidents. Pourtant, note EY, « une grande partie des entreprises interrogées ne semblent pas armées pour faire face aux cyberattaques ». Ainsi, 54% des répondants avouent manquer d'un service consacré à l'impact des nouvelles technologies et 47% n'ont pas de centre de supervision de la sécurité, tandis que 36% n'ont tout simplement pas de programme de détection des menaces. Enfin, 18% n'ont carrément pas de programme de gestion des identités et des accès.

Article de

Commenter cet article

commenter cet article en tant que membre LMI

CONNEXION

Commenter cet article en tant que visiteur






* Les liens HTML sont interdits dans les commentaires

Publicité
35 ans
24 Novembre 1986 n°257
Publicité
Publicité