C'est une nouvelle statistique inquiétante pour les entreprises. Plus d'une attaque ciblée sur quatre a abouti à une violation effective des dispositifs de sécurité au cours des douze derniers mois en France, selon une étude du cabinet de conseil Accenture. L'enquête a été menée auprès de 2.000 dirigeants, en charge de la sécurité dans les entreprises réalisant un chiffre d'affaire d'au moins un milliard de dollars et basées dans 15 pays, dont la France (124 répondants). Douze secteurs sont concernés par cette enquête : assurance, banque, marchés de capitaux, communication, énergie, santé, hautes technologies, sciences de la vie, produits de consommation, équipement industriel, distribution, utilities.
Cette statistique équivaut en moyenne, à deux ou trois attaques effectives par mois et par entreprise en France. Ainsi, sur 114 tentatives d'intrusion identifiées dans l'Hexagone sur un an, 32 ont réussi, assure-t-on à La Tribune. Plus d'un quart (28%) des tentatives d'intrusion réussies sont le fruit de hackers en France alors que la moyenne mondiale est à 19%.
En dépit de la fréquence des attaques, l'étude d'Accenture souligne un excès de confiance. Ainsi, la majorité des responsables interrogés (73%) se disent confiants dans leur capacité à protéger leur entreprise contre les cyberattaques. Ce qui reste loin, très loin de la réalité d'aujourd'hui. Ce n'est pas totalement le cas en France où les entreprises sont conscientes du danger en raison de la sensibilisation des pouvoirs publics (ANSSI, notamment) à travers la loi de programmation militaire. Ainsi, elles consacrent la plus grande partie de leurs dépenses informatiques (9,4 %) à la cybersécurité, par rapport à une moyenne mondiale de 8,2 %.
En revanche, les entreprises basées au Royaume-Uni (7,6%) et aux États-Unis (8%) sont celles qui dépensent le moins en pourcentage dans le domaine informatique pour répondre aux enjeux de cybersécurité. Résultat, la détection des intrusions semble prendre plus de temps aux États-Unis et au Royaume-Uni, où plus d'un quart des entreprises mettent plus d'un an pour identifier une attaque réussie : 30 % aux États-Unis et 26 % au Royaume-Uni.
Par ailleurs, les entreprises allemandes (52 %) et britanniques (50 %) sont les plus confiantes sur leurs capacités de suivi des incidents, par rapport à la moyenne mondiale (38 %). Ce qui ne les met pas à l'abri des attaques. Loin s'en faut. Ainsi Deutsche Telekom a très certainement dû faire face à une attaque informatique lundi : jusqu'à 900.000 foyers en Allemagne, clients de l'opérateur allemand rencontraient d'importants problèmes d'accès à internet, selon le groupe allemand.
Chaque jour à 13h, l’essentiel de l’actualité industrielle.
Enfin, les entreprises basées en France, en Australie et aux États-Unis sont les plus pessimistes sur leur capacité à assurer une surveillance efficace des intrusions de sécurité, par rapport à la moyenne mondiale. "Plus on sait, plus on doute", confirme Stéphane Geyres.
De récentes affaires de cyber-attaques ont contribué à une forte sensibilisation et à une hausse significative des dépenses en cybersécurité. Pour autant, estime Accenture, l'étude suggère que les entreprises "entendent continuer à appliquer les mêmes mesures de protection, au lieu d'investir dans de nouvelles pratiques pour contrer efficacement les nouvelles menaces". Ainsi par exemple, s'ils disposaient d'un budget plus conséquent, environ un répondant sur deux doublerait ses dépenses en matière de cybersécurité, alors même que les investissements actuels n'ont pas permis de réduire significativement le nombre d'intrusions.
La plupart des entreprises ne disposent pas de solutions pleinement efficaces de veille en matière de cyber-attaques, restant trop focalisées sur des types de risque et de situations qui ne reflètent plus la nature réelle des nouvelles menaces. D'où, selon Accenture, le succès des attaques. Ainsi en France, plus d'une cyberattaque sur quatre profite d'une faille dans le dispositif de sécurité des entreprises. Sur l'ensemble des pays, plus de la moitié des cadres interrogés (59%) rapportent en effet qu'il faut plusieurs mois pour détecter une intrusion de sécurité sophistiquée. Ils indiquent également qu'un tiers des attaques réussies ne sont tout simplement pas découvertes par les équipes sécurité.
Le directeur d'Accenture Security en France Stéphane Geyres regrette que les entreprises (62 %), y compris des opérateur d'importance vitale (OIV) en France, continuent "à privilégier le renforcement des contrôles périmétriques, au lieu de changer leur optique pour chercher à accompagner l'ouverture et lutter plus efficacement contre les menaces internes à fort impact". D'autant qu'avec la numérisation croissante de l'économie (industrie, banques, grande distribution...), il n'est plus possible d'ériger des murs qui ne sont plus si infranchissables qu'auparavant. "Les entreprises doivent choisir un peu mieux leur combat", estime-t-il. Très clairement, les anciennes méthodes ne fonctionnent plus, selon Accenture.
À lire également
Pour le directeur d'Accenture Security en France, les entreprises doivent absolument coller la lutte contre les menaces informatiques à leur stratégie d'ensemble. "Cette lutte doit s'intégrer dans la stratégie de l'entreprise pour qu'elle soit efficace et réactive", estime-t-il. C'est un dossier qui ressort des directions générales, précise-t-il. Elles doivent se poser les bonnes questions pour se projeter dans une sécurité proactives de leurs réseaux informatiques et de communications.
