En dépit des budgets additionnels consacrés à la sécurisation des informations, les problèmes de sécurité continuent de se multiplier. « Il est temps de changer d’approche », conclut la quatrième édition belge de « l’Information Security Breaches Survey », une initiative d’Infosecurity.be et PwC Belgium. L’étude vise à déterminer comment les sociétés belges – tant les PME que les grandes entreprises – gèrent les cyberrisques, quelles sont les menaces cybernétiques les plus fréquentes et quels enseignements on peut en tirer.

Des budgets accrus pour la sécurisation des données à caractère personnel

Cette année encore, la tendance se poursuit et les budgets consacrés à la sécurisation des informations sont en hausse (pour près de la moitié des organisations interrogées). Une meilleure sécurisation des données à caractère personnel, sous l’effet de l’impulsion donnée par le Règlement général sur la protection des données (RGPD) , est dans ce contexte la principale motivation. Cependant, la protection de la réputation de l’entreprise pèse également dans la décision d’augmenter les budgets.

« En dépit de ces efforts, les obligations additionnelles imposées par le RGPD sont rarement suffisamment respectées (notamment celle qui requiert la mise en place d’une procédure de notification des incidents) », déclare Marc Sel, Directeur chez PwC Belgique. « En outre, un tiers des organisations interrogées n’évaluent pas de manière formelle les efforts consentis en faveur de la sécurité ».

Il est donc temps de changer d’approche, en optant pour des solutions de sécurité larges et intégrées, reposant sur des produits et services classiques et innovants, en exploitant davantage et plus judicieusement la « threat intelligence » et en instaurant une collaboration active entre toutes les parties prenantes – pouvoirs publics, entreprises, monde académique et utilisateurs. Par ailleurs, des programmes de formation sont créés pour apprendre aux utilisateurs à se défendre. Marc Sel : « Ces efforts doivent également faire l’objet d’une évaluation objective pour permettre une affectation optimale des ressources, afin que l’augmentation des budgets se traduise effectivement par une amélioration de la sécurité ».

Fuites onéreuses

Les notifications d’incidents graves ont été aussi fréquentes que l’année dernière (15 % des organisations interrogées), mais presque autant d’entreprises ignoraient si des fuites s’étaient produites (soit une augmentation d’un tiers). Souvent, les organisations touchées ne savaient pas depuis combien de temps les fuites se produisaient. « L’erreur humaine reste une des principales causes de fuites, avec le « social engineering » ou le « phishing » (55 %) comme pratiques les plus courantes, et ce,en dépit de programmes de formation permanente (57 %) », explique Ivo Meertens, d’Infosecurity Belgique. La direction des entreprises (« C-level ») est donc désormais bien consciente de l’importance de la sécurisation des informations, mais il reste du chemin à parcourir, notamment sur le plan de la désignation d’un « propriétaire » des données et des processus (« ownership »).

Davantage d’organisations interrogées font état d’une perte financière due à des fuites de données, parmi lesquelles 5% ont subi un préjudice de plus d’un million d’euros. Dans le même temps, les frais de réparation augmentent. Ivo Meertens souligne qu’un tiers des organisations interrogées n’avaient aucune idée du montant de la perte financière ni des frais de réparation ! « Ces réponses nous confortent dans la conviction que le coût des fuites de données est toujours sous-estimé », ajoute Meertens.
« Incident response » : de préférence en interne

Indépendamment de la taille de l’organisation ou du secteur, les répondants (64 %) préfèrent garder les activités d’« incident response » en interne. Un quart des organisations interrogées font appel à un fournisseur de services de sécurité en gestion, et une sur dix recourt à un « security operations center » externe (SOC). Lors d’un incident, un peu moins de la moitié des organisations interrogées font intervenir des tiers pour renforcer temporairement l’équipe interne, avec une préférence pour des entreprises actives dans le domaine de la recherche. Ce détail laisse à penser que les équipes internes en charge de la sécurité disposent rarement d’une expertise plus avancée.

Créer une forte culture en matière de sécurité de l’information est tout aussi important que de disposer de l'expertise nécessaire. La sensibilisation et la formation sont des aspects fondamentaux, qui ont plus de chance d’être garantis s’ils sont adaptés à une culture d’entreprise solide en matière de sécurité. Le comportement de l'utilisateur est encore souvent au cœur d'une cyber-attaque ; le comportement instinctif de la part des employés, même quand personne ne regarde, est donc crucial. « Les bonnes évaluations et les décisions contribuent de manière significative, lors des moment critiques de sécurité, au « pare-feu humain » de l’organisation », explique Filip De Wolf, Associé chez PwC Belgique. « Nous n’hésitons pas à recourir, à juste titre, à de l'aide extérieure pour les aspects techniques de la sécurité de l'information. De plus, ces mêmes experts peuvent aussi offrir un soutien dans les domaines de la gestion du changement et guider l'organisation sur le changement de culture en créant un état d'esprit optimal. »
Malgré les systèmes de détection et l’analyse des fichiers de journalisation, près des trois quarts des organisations interrogées se fient majoritairement aux notifications et plaintes des utilisateurs pour identifier les appareils compromis. Il s’avère que les appareils (ordinateurs portables, appareils mobiles) et l’infrastructure réseau qui appartiennent à l’entreprise sont plus souvent la cible d’attaques que les appareils « BYOD » (qui représentaient tout de même 27 % des supports examinés).

À peine la moitié des organisations évaluent les procédures d’« incident response », et ce uniquement après un incident, autrement dit pas de manière proactive. Parmi les obstacles empêchant la mise en place de procédures plus efficaces, les organisations invoquent le caractère lacunaire des relevés des incidents au niveau de différents systèmes et domaines, des problèmes inhérents aux procédures et le manque de budget et de personnel.

« Tous ces éléments sont révélateurs du manque de définition et de coordination des procédures au sein de l’entreprise, et d’un manque général de flexibilité dans le cadre de la préparation et de la réaction aux incidents », explique Marc Sel. Il est donc temps de changer d’approche !

Les salons Infosecurity Belgique, Storage Expo et the Tooling Event constituent le canal idéal pour recueillir davantage d’informations à ce sujet.

L’étude sera présentée et commentée dans son intégralité par Marc Sel, Directeur, Technology Consulting, PwC Belgique, à l’occasion d’un séminaire organisé au salon Infosecurity.be le jeudi 23 mars, de 11h à 11h45 dans la salle 3.

Méthodologie

Chaque année, Infosecurity.be et PwC Belgique interrogent des organisations de toute taille du secteur privé et du secteur public au sujet des efforts qu’elles consentent en termes de sécurisation des informations et des éventuelles fuites de données (causes, impact, approche, prévention). L’édition 2017 impliquait tant des « C-level officers » que des directeurs IT et des responsables de la sécurité. L’enquête a été menée entre décembre 2016 et février 2017.

À propos des salons Infosecurity.be, Storage Expo BE et Tooling Event BE

Ces salons apportent aux responsables et spécialistes IT des réponses et des solutions pour aborder la transformation numérique efficacement et en toute sécurité. En marge de l’offre de produits et de services présentée au salon, les séminaires animés par des experts, collègues IT et fournisseurs sont une source inépuisable d’informations et de conseils.

Plus d’informations sur les salons

www.infosecurity.be
www.storage-expo.be
www.thetoolingevent.be

EMarqit (www.marqit.be) soutient les salons en mettant MyExpo à disposition. MyExpo permet aux visiteurs de préparer au mieux leur salon grâce à un catalogue en ligne des exposants, une abondante collection de whitepapers et un outil qui associe exposants et visiteurs sur la base de leurs centres d’intérêt.


Détails pratiques

Infosecurity.be, Storage Expo BE, The Tooling Event BE
Brussels Expo, Palais 3
Mercredi 22 mars 2017 : de 9h30 à 17h
Jeudi 23 mars 2017 : de 9h30 à 17h