Pour réaliser le rapport « Building Confidence : Facing the Cybersecurity
Conundrum », Accenture a interrogé 2 000 professionnels de la sécurité (dont 124 en France) travaillant dans des
entreprises réalisant un chiffre d’affaires annuel d’au moins un milliard de dollars
dans 15 pays, afin de connaître leurs points de vue sur les cyber-risques,
l’efficacité des initiatives de sécurité en cours et les investissements associés.
Il ressort de l’enquête que le délai nécessaire pour détecter les failles de
sécurité aggrave bien souvent le problème : plus de la moitié des cadres interrogés
(59%) rapportent en effet qu’il faut plusieurs mois pour détecter une intrusion de
sécurité sophistiquée. Ils nous indiquent également qu’un tiers des attaques
réussies ne sont tout simplement pas découvertes par les équipes sécurité.

« Les cyber-attaques sont aujourd’hui une réalité opérationnelle permanente dans
tous les secteurs et notre enquête révèle que, pour détecter et contrer ces
comportements malveillants, il faut aller bien au-delà des pratiques actuelles. Une
approche fondamentalement différente est requise en matière de protection, à
commencer par l’identification et la priorisation selon les actifs clés de
l’entreprise à travers l’ensemble de la chaîne de valeur », explique Stéphane
Geyres, directeur d’Accenture Security en France. « La nécessité pour les
entreprises d’adopter une approche résiliente de leur sécurité numérique, intégrant
la cyberdéfense au cœur de leur organisation, n’a jamais été aussi forte. »

Les anciennes méthodes ne fonctionnent plus

Il est souvent difficile pour les entreprises de faire table rase du passé, en
particulier lorsqu’il s’agit d’adopter de nouvelles technologies ou de nouveaux
outils de cyberdéfense.

– Par exemple on constate que pour les participants à l’enquête, les failles
de sécurité internes sont celles qui ont le plus grave impact. Pourtant 62 % d’entre
eux continuent à privilégier le renforcement des contrôles périmétriques, au lieu de
changer leur optique pour chercher à accompagner l’ouverture et lutter plus
efficacement contre les menaces internes à fort impact.

– Il ressort en outre de l’enquête que la plupart des entreprises ne
disposent pas de solutions pleinement efficaces de veille en matière de
cyber-attaques, restant trop focalisées sur des types de risque et de situations qui
ne reflètent plus la nature réelle des nouvelles menaces.

– Seulement près d’un tiers (27%) des répondants se disent confiants dans
leur capacité à exercer leur activité centrale, à savoir la surveillance des
intrusions, et une proportion similaire (32%) estime pouvoir faire de même
concernant la minimisation des perturbations.

Une approche plus intelligente des dépenses de sécurité

De récentes affaires de cyber-attaques, très médiatisées, ont contribué à une forte
sensibilisation et à une hausse significative des dépenses en cybersécurité. Pour
autant, l’enquête suggère que les entreprises entendent continuer à appliquer les
mêmes mesures de protection, au lieu d’investir dans de nouvelles pratiques pour
contrer efficacement les nouvelles menaces.

– Ainsi par exemple, s’ils disposaient d’un budget plus conséquent, environ
un répondant sur deux « doublerait » ses dépenses en matière de cybersécurité, alors
même que les investissements actuels n’ont pas permis de réduire significativement
le nombre d’intrusions.

– Ces derniers investiraient dans la protection de la réputation de
l’entreprise (48%), la sécurité des informations de l’entreprise (59%), et la
protection des données clients (38%).

– Une proportion bien moindre d’entreprises investirait ces moyens
supplémentaires dans des initiatives qui auraient une incidence directe sur les
bénéfices, telles que l’atténuation des risques de pertes financières (21%) ou les
efforts de formation en matière de cybersécurité (6%).

Le rapport met par ailleurs en avant un certain nombre de faits spécifiques à
certains pays :

– De manière générale, la détection des intrusions semble prendre plus de
temps aux Etats-Unis et au Royaume-Uni, où plus d’un quart des entreprises mettent
plus d’un an pour identifier une attaque réussie. (30 % aux Etats-Unis ; 26 % au
Royaume-Uni).

– Les entreprises basées en France, en Australie et aux Etats-Unis sont les
plus pessimistes quant à leur capacité à assurer une surveillance efficace des
intrusions de sécurité, par rapport à la moyenne mondiale.

– Les entreprises françaises sont celles qui investissent le plus dans la
cybersécurité, en y consacrant 9,4 % de leurs dépenses informatiques, par rapport à
une moyenne mondiale de 8,2 %.

– Les entreprises allemandes (52 %) et britanniques (50 %) sont les plus
confiantes quant à leurs capacités de suivi des incidents, par rapport à la moyenne
mondiale (38 %).

– Les entreprises basées en Australie et aux Etats-Unis sont celles qui
consacrent les plus faibles dépenses aux enjeux de cybersécurité, en pourcentage du
total de leurs budgets informatiques. (8 % aux États-Unis ; 7,6 % au Royaume-Uni).

Pour plus d’informations sur les mesures que peuvent prendre les entreprises pour
lutter efficacement contre les cyber-menaces, rendez-vous sur :
www.accenture.com/cybersecurityreport