Pourquoi les coûts des violations de données atteignent-ils un niveau record ? ESET explique.
Publié le 30/08/2021 Dans Press Releases
Le texte suivant est issu d'un communiqué de presse et ne reflète en rien l'opinion de la rédaction.
En 2020, tout récit sur la cyber-sécurité se concentre naturellement sur la pandémie. Cette crise unique et la transformation numérique qu'elle a accélérée ont élargi les surfaces d'attaque des entreprises et détourné ressources et attention des projets sécuritaires vitaux. Lorsqu’on examine l'étude IBM «Cost of a Data Breach Report 2021», qui révèle que les coûts de violation de données étaient à un niveau record, c’est facile de blâmer COVID-19. Mais ce n'est pas tout.
Depuis plusieurs années, les coûts de violation sont en augmentation. Bien que l’augmentation de l'année dernière soit exceptionnelle, il est clair que malgré des dépenses sécuritaires plus importantes que jamais, de nombreuses organisations n'obtiennent toujours pas les résultats souhaités.
Violations des données en 2020
Dans sa 17e année, le rapport fournit des informations utiles sur la façon dont les organisations réussissent à trouver, contenir et corriger les incidents - car plus une violation reste longtemps non détectée, plus elle risque de coûter cher. Ces coûts proviennent de quatre domaines clés :
Détection et escalade – comprenant la criminalistique, l'audit, la gestion de crise et la communication.
Affaires perdues – comprenant le temps d'arrêt système, les interruptions d'activité, la perte de clients et les atteintes à la réputation. C’est la plus grande partie (38%) des coûts de violation en 2020.
Notification – aux personnes concernées, aux régulateurs et aux experts externes.
Réponse post-violation –comprenant les problèmes d'assistance, la surveillance du crédit pour les clients, la création de nouveaux comptes/cartes de crédit, les frais juridiques, les remises sur les produits et les amendes réglementaires.
Au total, les coûts de violation de données, de 3,86 millions de dollars US l’anné dernière (in last year’s report), s’élèvent aujourd’hui à 4,24 millions de dollars US, soit une augmentation de 10 %. Pour les « méga-violations » comportant entre 50 et 65 millions d'enregistrements, le coût moyen était de 401 millions de dollars US, soit 2 % d’augmentation contre 392 millions de dollars US en 2020.
Dans le rapport, le vol d’identifiants d'utilisateurs étaient la cause la plus fréquente de violations alors que les données personnelles des clients (y compris mots de passe et noms) étaient les données les plus courantes exposées dans ces incidents, présentes dans 44% des violations. Il est facile de voir la corrélation : alors que toujours plus d'utilisateurs partagent et réutilisent des mots de passe sur plusieurs comptes, un cercle vicieux se crée où les données piratées sont utilisées à leur tour pour générer davantage d'intrusions et de vols de données.
Le rôle de la pandémie
Il n’y a pas de doute que la pandémie a joué un rôle majeur dans la forte augmentation des coûts de violation en 2020-2021. Des terminaux de télétravail non sécurisés, des télétravailleurs distraits, un personnel informatique préoccupé et une infrastructure de télétravail non corrigée ou mal configurée ont fait augmenter les violations et fait grimper les coûts de ces incidents. Près de 20 % des organisations reprises dans le rapport ont affirmé que le télétravail était un facteur de violation. Ces incidents ont coûté 4,96 millions de dollars US, ou près de 15 % de plus qu’en moyenne.
Il est vrai que les soins de santé étaient le secteur avec les coûts de violation les plus élevés. Ceux-ci ont augmenté plus rapidement que la moyenne de l'année dernière. En 2020, ces coûts sont passés de 7,13 millions de dollars US en moyenne à 9,23 millions de dollars en 2021, en hausse de 29,5%. Ce n'est pas un hasard si les établissements de soins ont été parmi les plus durement touchés (most acutely affected)par les cyberattaques pendant la pandémie.
L’image complète
Il est vrai que les coûts des violations sont en augmentation depuis 2017, avec une légère baisse en 2020. Les coûts des ‘méga violations’ ont également augmenté régulièrement au cours des trois dernières années et n'ont pas eu de pic majeur en 2020-2021. Pourquoi? La raison première est que les organisations ne s'améliorent pas en détection et réponse. En 2021, il fallait en moyenne 287 jours pour identifier et contenir une violation de données, donc une semaine de plus que dans le rapport précédent. Ce chiffre connaît une constante augmentation depuis 2017, et ne s'explique donc pas uniquement par la pandémie, bien qu’à cause des terminaux de télétravail les menaces aient été plus difficiles à découvrir.
En d’autres termes, plus un acteur malveillant peut opérer sans contrôle à l'intérieur d'un réseau de victimes, plus il causera de dommages et plus il faudra du temps et de l'argent pour l'expulser et y remédier.
Les rançongiciels (Ransomware) sont un autre élément dans l'augmentation des coûts de violation, et ici aussi, la tendance au cours des dernières années était à l'augmentation des menaces, donc pas seulement l'année dernière. Des techniques secrètes de mouvements latéraux utilisant des outils légitimes génèrent des taux de réussite plus élevés pour les criminels. Les attaques de rançongiciels ont coûté en moyenne 4,62 millions de dollars cette année, soit plus que la violation de données moyenne.
Tournons-nous maintenant vers le Business Email Compromise (BEC), qui, selon le FBI, a représenté plus de pertes en 2020 que toute autre menace. Le coût moyen d'une attaque BEC est de 5,01 millions US$, selon l'étude du Ponemon Institute. Si les organisations ne trouvent pas un meilleur moyen de prévenir le phishing et le repérage lorsqu'elles sont trompées, les coûts de violation liés au BEC continueront d'augmenter.
Réduire les coûts de violation
Le rapport contient de nombreux éléments que les organisations et leurs responsables de la sécurité peuvent utiliser pro-activement pour réduire les violations et les coûts associés. Cela ne surprendra pas, mais les coûts étaient beaucoup plus bas pour ceux qui avaient une attitude sécuritaire plus mature. Mais comment y arriver ? Voici quelques idées ;
• Adopter une approche Zero Trust basée sur le principe « ne jamais faire confiance, toujours vérifier ». Le coût moyen des violations pour ceux sans Zero Trust était de 5,04 millions de dollars contre 3,28 millions de dollars pour ceux à un stade avancé du déploiement de Zero Trust
• Implémenter le chiffrement des données les plus sensibles. Le coût moyen d'une violation sans chiffrement était de 4,87 millions de dollars contre 3,62 millions de dollars
• Déployer des outils pour surveiller et sécuriser à distance tous les terminaux, y compris ceux des télétravailleurs
• Améliorer la formation et la sensibilisation de tous les employés afin de mieux détecter les attaques de phishing
• Optimiser la détection et la réponse avec des outils comme EDR
• Développer et tester régulièrement des plans complets de réponse aux incidents pour réagir rapidement aux violations.
La pandémie a changé à jamais la manière de fonctionner des entreprises et a remodelé le paysage des menaces. Afin que les volumes et les coûts des violations ne continuent pas à augmenter au cours des prochaines années, les organisations doivent s'adapter à la nouvelle réalité en mettant à jour leur attitude sécuritaire.
A propos d’ESET
Depuis plus de 30 ans, ESET®développe des logiciels et des services de sécurité informatique de pointe pour
protéger les entreprises, les infrastructures critiques et les consommateurs du monde entier contre les
menaces numériques toujours plus sophistiquées. De la sécurité des terminaux et des mobiles à l'EDR en passant par le chiffrement, l'authentification à double facteur, les solutions légères et performantes d'ESET protègent et surveillent 24/7, mettant à jour, en temps réel, les défenses afin d’assurer sans interruption la sécurité des utilisateurs et des entreprises. L'évolution constante des menaces nécessite un fournisseur de sécurité informatique évolutif qui permet d’utiliser la technologie de façon sûre. Ceci est supporté par les centres de R&D d'ESET dans le monde entier, travaillant à soutenir notre avenir commun. Pour plus d’information visitez www.eset.com ou suivez nous sur LinkedIn, Facebook, et Twitter.

Poster un commentaire
Vous devez être identifié pour accéder à cette fonctionnalité

Utilisateur
Mot de passe
 
Informaticien.be - © 2002-2021 AkretioSPRL  - Generated via Kelare
The Akretio Network: Akretio - Freedelity - KelCommerce - Votre publicité sur informaticien.be ?