Vilvorde, 7 juin 2013 – Symantec (Nasdaq : SYMC) et le Ponemon Institute publient aujourd’hui l'édition 2013 de l'étude Cost of Data Breach: Global Analysis, qui révèle que la plupart des violations de données constatées en 2012 ont été causées par des erreurs humaines et des problèmes système. Ces erreurs incluent une mauvaise manipulation des données confidentielles par les employés, un manque de contrôle, et un non-respect des réglementations publiques et sectorielles. Dans les secteurs fortement réglementés, comme la santé, la finance et la pharmacie, les coûts inhérents aux intrusions ont été 70 % plus élevés qu'ailleurs.

Le coût global par enregistrement a augmenté par rapport à l'année précédente, le coût total par incident aux États-Unis ayant légèrement baissé pour atteindre 5,4 millions de dollars. Cette baisse s'explique par la nomination de responsables de la sécurité des systèmes d'information (RSSI ou CISO) qui, dotés de responsabilités transversales, ont mis en place des plans complets de lutte contre les incidents et des programmes de sécurité globaux plus efficaces.

« Alors que les attaques extérieures, dont les méthodes ne cessent d'évoluer, représentent une grave menace pour les sociétés, les dangers en interne peuvent s'avérer tout aussi insidieux et destructeurs », explique Larry Ponemon, président du Ponemon Institute. « Au terme de huit années d'études sur les coûts des violations de données, nous avons la preuve que le comportement des employés est l'un des problèmes les plus urgents auxquels les entreprises doivent s'attaquer, accusant une hausse de 22 % depuis la première édition. »

« Les coûts liés aux intrusions sont moins élevés dans les entreprises dotées de plans de sécurité et de réponse après incident que les autres (à hauteur de 20 %). L'importance d'une approche globale bien coordonnée de la sécurité n'est donc plus à démontrer », affirme Tim Van Honsté, expert en sécurité des informations de Symantec pour la Belgique et le Luxembourg,. « Les sociétés doivent protéger les données confidentielles de leurs clients, peu importe l’endroit où elles se trouvent : sur un PC, un terminal mobile, un réseau d’entreprise ou un datacenter. »

Le huitième rapport annuel global s'appuie sur les expériences de violation de données vécues par 277 sociétés dans neuf pays (États-Unis, Royaume-Uni, France, Allemagne, Italie, Inde, Japon, Australie et Brésil). Tous les incidents étudiés dans les rapports se sont produits dans le courant de l'année 2012. Pour pouvoir opérer un suivi correct des tendances, le Ponemon Institute ne tient pas compte des « méga violations de données » (plus de 100 000 enregistrements compromis).

Les sociétés peuvent analyser leurs propres risques à l'aide du calculateur des risques de perte de données de Symantec, qui prend en compte la taille de l'entreprise, son secteur d'activité, sa situation géographique et ses méthodes de sécurité pour estimer les coûts globalement et par enregistrement touché.

Autres points clés de l'étude :

· Le coût moyen d'une violation de données varie énormément selon les pays. Bien souvent, les écarts sont dus aux types de menace auxquels les entreprises sont confrontées, ainsi qu'aux législations sur la protection des données dans les différents pays. Certains pays comme l'Allemagne, l'Australie, le Royaume-Uni et les États-Unis appliquent des lois et réglementations plus strictes pour renforcer la cybersécurité et la confidentialité des données. Les États-Unis et l'Allemagne sont pourtant les deux pays qui continuent de subir les intrusions les plus coûteuses (respectivement 188 dollars et 199 dollars par enregistrement). Ces deux pays ont également enregistré le coût total par violation de données le plus élevé (5,4 millions de dollars pour les États-Unis et 4,8 millions de dollars pour l'Allemagne).

· Les erreurs humaines et les problèmes système sont les principales causes de violation de données. Les erreurs humaines et les problèmes système représentent 64 % des violations de données, selon le rapport global, alors qu'une étude antérieure montre que 62 % des employés estiment naturel de faire circuler des informations hors de l'entreprise et que la plupart d'entre eux ne suppriment jamais les données, les exposant aux fuites. Cela montre à quel point les personnes en interne ont une part de responsabilité dans la violation de données et combien une telle perte peut se révéler coûteuse pour l'entreprise. Les sociétés brésiliennes sont celles qui ont été le plus exposées aux intrusions causées par des erreurs humaines. Les sociétés indiennes sont celles qui ont été le plus exposées aux intrusions causées par un problème système ou le dysfonctionnement d'un processus métier. Sont considérés comme des problèmes système les pannes applicatives, les effacements de données par inadvertance, les erreurs de logique dans les transferts de données, les échecs d'authentification (accès frauduleux), les échecs de restauration de données, etc.

· Ce sont les attaques malveillantes et criminelles qui sont le plus coûteuses, tous pays confondus. 37 % des violations de données sont dues aux attaques malveillantes ou criminelles qui sont les incidents les plus coûteux dans les neuf pays. C'est dans les sociétés allemandes et américaines que ce type d'attaques est le plus coûteux (respectivement 277 et 214 dollars par enregistrement compromis), et dans les sociétés brésiliennes et indiennes qu'il l'est le moins (respectivement 71 et 46 dollars par enregistrement). Les sociétés allemandes sont celles qui ont été le plus exposées à une attaque malveillante ou criminelle, suivies des sociétés australiennes et japonaises.

· Certains facteurs contribuent à réduire le coût des violations de données. Ce sont les sociétés américaines et britanniques qui ont enregistré la plus forte baisse des coûts de violation de données en renforçant leur politique de sécurité, en nommant un RSSI et en mettant en place un programme de lutte contre les incidents. Les sociétés françaises et américaines ont, elles aussi, vu ces coûts diminuer après l’embauche de consultants dédiés aux problèmes de violation de données.

· D'autres facteurs contribuent à augmenter le coût des violations de données. Les erreurs imputables à un tiers, la notification rapide des violations de données aux victimes, les régulateurs et autres intervenants sont les principales sources de hausse des coûts de violation de données dans les sociétés américaines. Dans les sociétés britanniques, ce sont les incidents relatifs à la perte ou au vol d'un terminal qui se sont révélés les plus coûteux.

Symantec recommande d'appliquer les meilleures pratiques pour prévenir les violations de données et réduire leur coût. Elles sont les suivantes :

1. Sensibiliser les employés et les former à la manipulation des données confidentielles

Déployer des technologies de prévention de pertes de données pour identifier les données sensibles et empêcher leur fuite hors de l'entreprise
Déployer des solutions de chiffrement et d'authentification forte
Élaborer un plan de lutte contre les incidents avec, entre autres, des mesures de notification aux clients