Rechercher
Contactez-nous Suivez-nous sur Twitter En francais English Language
 











Abonnez-vous gratuitement à notre NEWSLETTER

Newsletter FR

Newsletter EN

Vulnérabilités

Se désabonner

Etude CyberArk : 54 % des entreprises françaises se déclarent aptes à contrer des cyberattaques

juillet 2019 par CyberArk

Selon la dernière étude menée au niveau mondial par CyberArk, près de la moitié des entreprises françaises reconnaissent que leur réseau peut être infiltré à tout moment par des cyber-attaquants. Mais à l’heure où les entreprises augmentent leurs investissements en faveur de l’automatisation et de l’agilité, la méconnaissance généralisée de l’existence d’identifiants privilégiés dans les pipelines DevOps, l’automatisation des processus robotisés (RPA) et le cloud accroissent les risques qu’elles encourent.

Le rapport CyberArk présentant le paysage mondial des menaces avancées en 2019 (Global Advanced Threat Landscape 2019), révèle que moins de la moitié des entreprises ont mis en œuvre une stratégie de sécurité des accès à privilèges pour le DevOps, l’Internet des objets (IoT), la RPA et autres technologies qui forment le socle des initiatives numériques. Cette situation offre aux pirates informatiques un environnement idéal qui leur permet d’exploiter les accès à privilèges légitimes en se déplaçant latéralement dans un réseau pour y mener des opérations de reconnaissance et progresser dans leur mission.

La prévention de ces déplacements latéraux est l’une des principales raisons qui poussent les entreprises à planifier leurs investissements dans la sécurité aux principaux points d’atténuation de la chaîne cybercriminelle. Ainsi, 27 % des dépenses de sécurité prévues au cours des deux prochaines années seront consacrés à la lutte contre l’obtention de hauts privilèges et les mouvements latéraux.

Des investissements proactifs visant à minimiser les risques sont essentiels, si l’on en croit les réponses fournies cette année par les responsables interrogés en France, à propos des principales menaces encourues :

• 80 % des personnes interrogées rangent les pirates informatiques parmi les trois principales menaces pour leurs actifs critiques, devant les « hacktivistes » (63 %), leurs concurrents (45 %) et les acteurs internes sans accès à privilèges (38 %).

• Pour 65 % des responsables français, les attaques par malwares et ransomwares comptent parmi les risques de sécurité majeurs auxquels leur entreprise est actuellement confrontée, suivis par les attaques externes telles que le phishing (62 %), et la gestion du cloud (53 %).

« Ces résultats sont une lecture sérieuse pour les entreprises et les spécialistes de la sécurité. Malgré d’importantes sommes consacrées à la cybersécurité, il est clair que les organisations ont très peu confiance en leur capacité à se défendre contre les cyberattaques, à protéger leurs actifs les plus critiques ou à créer de la valeur, confie Ketty Cassamajor, PreSales Manager, France, chez CyberArk. Les entreprises françaises doivent être à l’avant-garde en matière de sécurité, savoir ce qui est le plus précieux pour elles, comment elles peuvent être attaquées et comment le protéger, tout en veillant à ce que leur cyber-stratégie soutienne la collaboration et l’innovation. Elles doivent examiner leurs investissements, actuels et futurs, de manière pragmatique, en veillant à ne pas surinvestir dans un domaine pour être exposées dans un autre. »

Sécurité, transformation numérique et priorité des accès à privilèges
L’étude révèle par ailleurs que si elles considèrent la sécurité des accès à privilèges comme un élément essentiel pour l’efficacité de leur programme de cybersécurité, les entreprises peinent à prendre des mesures concrètes pour protéger les technologies de transformation numérique fondamentales.

• 70 % des personnes interrogées ont déclaré que leur infrastructure informatique et leurs données critiques ne sont pas entièrement protégées, sauf si les secrets, les comptes et les identifiants privilégiés sont sécurisés ;

• Toutefois, 44 % des responsables interrogés ont indiqué que leur entreprise a mis en place une stratégie de sécurité des accès à privilèges afin de protéger les applications critiques et l’infrastructure cloud ; en outre, seulement 33 % des entreprises disposent d’une stratégie de ce type pour le DevOps ou l’IoT ;

• De plus, à peine 16 % savent que des comptes, des identifiants et des secrets à privilèges existent dans des conteneurs, 20 % qu’ils existent dans des référentiels de code source et 28 % qu’ils sont présents dans des applications et processus à privilèges tels que la RPA.

« Les entreprises montrent qu’elles mesurent de mieux en mieux l’importance de l’atténuation des menaces tout au long de la chaîne cybercriminelle, mais également qu’il est essentiel pour leur sécurité d’empêcher les mouvements latéraux et d’accéder de façon abusive à de plus hauts privilèges, explique Adam Bosnian, vice-président exécutif du développement des activités globales, CyberArk. Mais cette prise de conscience doit s’étendre à la mise en œuvre systématique de stratégies de cybersécurité proactives dans l’ensemble des infrastructures et des applications modernes, notamment en réduisant les risques liés aux privilèges afin d’extraire une valeur tangible des initiatives de transformation numérique. »

Conformité aux réglementations internationales

Cette étude indique de manière surprenante que 41 % des organisations se déclarent prêtes à payer une amende en cas de non-conformité aux principales réglementations en vigueur, sans toutefois envisager de modifier leurs règles de sécurité, même à la suite d’une cyberattaque. Alors que plus de 300 millions de dollars ont été demandés sous forme d’amendes à des entreprises internationales en raison de failles de données liées au non-respect du Règlement général sur la protection des données (RGPD), cette attitude n’est pas viable.

L’étude a également porté sur l’impact des principales réglementations en vigueur à travers le monde :

• RGPD : Moins de la moitié (46 %) des entreprises sont tout à fait prêtes à notifier une violation de données et à faire l’objet d’une enquête dans le délai prescrit de 72 heures.

• Loi australienne sur la notification des violations de données : 62 % des personnes interrogées en Australie se déclarent tout à fait prêtes à se conformer à l’ensemble de la directive entrée en vigueur en février 2019.

• California Consumer Privacy Act (CCPA) : Seulement 37 % des personnes interrogées sont prêtes à respecter cette loi qui entrera en vigueur en 2020 ; 39 % travaillent activement pour assurer leur conformité.

« Il est temps que les entreprises utilisent la cybersécurité comme un catalyseur, conclut Ketty Cassamajor. Alors que la réglementation devient plus stricte et que des pénalités sont infligées pour absence de conformité, la volonté de payer des amendes pour compenser des problèmes ne peut être maintenue à long terme. Les mentalités doivent changer, et les stratégies de cybersécurité proactives doivent être mises en œuvre chaque fois que des données et des actifs critiques sont en jeu, en particulier pour gérer et sécuriser les identifiants privilégiés essentiels à leur fonctionnement. C’est la mesure principale que les équipes de sécurité peuvent prendre pour soutenir des initiatives commerciales plus vastes dans l’économie numérique d’aujourd’hui. »


À propos de l’étude CyberArk Advanced Threat Landscape 2019
L’étude annuelle CyberArk Global Advanced Threat Landscape 2019 est la douzième publiée par CyberArk. Elle a été réalisée par le cabinet Vanson Bourne auprès de 1 000 décideurs en sécurité informatique et membres de la « C-Suite » dans sept pays : États-Unis, Royaume-Uni, France, Allemagne, Israël, Singapour et Australie. Pour télécharger un exemplaire du rapport, cliquez ici.


Voir les articles précédents

    

Voir les articles suivants