Maturité en cybersécurité : encore de fortes disparités

Selon le dernier Benchmark Cyber de Wavestone, le niveau de maturité des entreprises en matière de cybersécurité est en très légère hausse, atteignant 53 % (soit 1 point de plus que l’année précédente). L’étude, qui a porté sur plus de 150 organisations (dont 100 dépassent le milliard de chiffres d’affaires), révèle cependant une hétérogénéité des niveaux de maturité en fonction des secteurs : celui de la finance tire son épingle du jeu avec un score de 60 %, laissant toutefois apparaître de vraies différences entre, d’un côté, les mastodontes que sont les grandes banques et, de l’autre, les assureurs qui sont en moyenne moins avancés. 

Les acteurs du luxe et de la grande distribution suivent, largement portés par les premiers et les importants moyens qu’ils déploientqu’il déploient, avec une moyenne à 52,7 %. Vient ensuite le secteur de l’industrie avec une maturité à 51,3 %, montrant les efforts effectués pour rattraper le retard accumulé en menant une démarche de transformation numérique. Avec un score de 50,9 %, le secteur de l’énergie reste légèrement au-dessus de la moyenne. Celui des services (50 %) ferme la marche.

Si l’on se penche sur le budget informatique global des entreprises, 6,6 % sont dédiés à la sécurité. Un chiffre qui peut paraître faible à première vue, mais qui augmente significativement en cas de cyberattaque pour avoisiner les 15 %. D’un point de vue sectoriel, ceux qui investissent le plus sont, assez logiquement, les acteurs de la finance (7,8 %), dans un contexte de mise en conformité avec la réglementation DORA. 

 « Nous observons de nombreuses directions générales demander plus avec des moyens constants, forçant les équipes cybersécurité à rationaliser leurs activités (par exemple avec du near/off-shoring) ou à arbitrer avec leurs risques », déclare Gérôme BILLOIS, Associé en charge de l’activité cybersécurité de Wavestone.

La sécurité du Cloud et des données 

La sécurité du Cloud a enregistré une des plus fortes croissances de maturité parmi les grands groupes interrogés, avec une augmentation de plus de 5 %, même si la maturité globale reste parmi les moins matures du Benchmark réalisé par Wavestone. Cette croissance est principalement attribuée à l’essor de solutions spécifiques comme les CNAPP (Cloud-Native Application Protection Platform), qui centralisent les outils nécessaires pour sécuriser les applications natives du cloud, ou encore l’adoption croissante des solutions CSPM (Cloud Security Posture Management) permettant de détecter et corriger les erreurs de configuration et les vulnérabilités. Cependant, 6 % des grands groupes peuvent toujours accéder à leur console avec de simples identifiants et mots de passe, soulignant l’urgence de passer à l’authentification multifacteur ou à l’utilisation d’un bastion, une pratique déjà adoptée par 65 % des grandes entreprises.

La protection des données a quant à elle connu un important progrès en 2024, dans un contexte où l’intelligence artificielle agite le milieu de la cybersécurité. 39 % des grands groupes sont ainsi capables d’entraîner leurs modèles d’IA de manière sécurisée, grâce à leur classification et désensibilisation des données. Et 49 % des grandes entreprises sont prêtes à utiliser l’IA pour faciliter l’accès aux données tout en conservant leur confidentialité grâce à l’utilisation d’outils leur permettant d’identifier, inventorier et classifier les données. Enfin, près de 50 % des entreprises sont en train de lancer ou ont déjà lancé des projets pour sécuriser leurs solutions d’IA générative.

Que peuvent faire les entreprises pour être plus résilientes face aux cyberattaques ? 

Selon une autre étude, celle de Commvault, intitulée « 2024 Cyber Recovery Readiness Report », seuls 13 % des entreprises sont aujourd’hui considérés comme « matures » du point de vue de la cybersécurité. La différence vient de la méthodologie employée. L’enquête mondiale menée par Commvault auprès de 1 000 personnes répond à la question suivante : « Que peuvent faire les entreprises pour être plus résilientes face aux cyberattaques ? ».

Par le biais de cette enquête, Commvault (associé au cabinet d’études GigaOm) a pu identifier cinq mesures clés, également appelées marqueurs de résilience, qui, lorsqu’elles sont déployées ensemble, aident les entreprises à se remettre plus rapidement des cyberattaques et à subir moins de violations par rapport à celles qui n’ont pas suivi la même voie. Selon le rapport, les entreprises les mieux protégées et les plus résilientes :

1. Disposent d’outils de sécurité permettant une alerte précoce en cas de risque, y compris le risque d’initié.
2. Mettent en place un système secondaire de relai protégé.
3. Possèdent un environnement isolé pour stocker une copie immuable des données.
4. Développent des runbooks, définissent des rôles et des processus pour la réponse aux incidents.
5. Communiquent les mesures spécifiques pour démontrer l’état de préparation et le risque de cyber-reprise.

Lors de l’évaluation des résultats, les répondants ont été divisés en deux groupes : les organisations ayant atteint la maturité cyber, ayant déployé au moins quatre des cinq marqueurs de résilience et les organisations dites « amateurs cyber », qui n’ont déployé qu’un seul marqueur ou aucun. Seuls 13 % des répondants sont aujourd’hui dans la catégorie « matures ».

Une collectivité sur dix victime d’une ou plusieurs cyberattaques

Du côté des collectivités, l’étude de 2024 conduite par OpinionWay pour le site Cybermalveillance.gouv.fr auprès d’un échantillon de 1 710 élus ou agents communaux révèle qu’une collectivité sur dix déclare avoir été victime d’une ou de plusieurs cyberattaques au cours des 12 derniers mois. L’hameçonnage reste la cause principale dans 30 % des cas. Arrivent en deuxième place le téléchargement d’un virus ainsi que la consultation d’un site infecté, tous deux à 12 %. Les failles de sécurité non corrigées prennent la troisième place (10 %, soit +5 points vs 2023). Mais 45 % des collectivités attaquées n’en connaissent pas la cause. Quant aux conséquences, des cyberattaques, elles sont les suivantes :

• Une interruption d’activité et de service (37 %)
• Une destruction ou un vol de données (24 %)
• Une perte financière (10 %)
• Une atteinte réputationnelle (10 %)

Parmi les principaux freins leurleurs permettant d’atteindre un bon niveau en cybersécurité, les collectivités pointent du doigt le manque de connaissances (47 %), de compétences (36 %) et de budget (36 %). Mais également, elles ne se sentent pas enpas en en capacité de juger les solutions de cybersécurité proposées aujourd’hui. 70 % d’entre elles ne sont pas en mesure d’évaluer si les offres sont adaptées à leurs besoins.

62 % des collectivités appellent par ailleurs à une sensibilisation accrue des élus et agents. La mise en place d’outils de sécurisation (54 %) et un accompagnement financier (45 %) sont également au cœur des attentes, afin d’aider les territoires à mieux se préparer pour faire face aux menaces numériques en les aidant à se sécuriser en amont.

Enfin, pour s’informer ou se faire aider sur le sujet de la sécurité informatique, les petites et moyennes collectivités se tournent principalement vers leur prestataire informatique (66 %) et les services territoriaux (29 %). Cybermalveillance.gouv.fr reste un acteur bien identifié en particulier dans les collectivités de plus de 1 000 habitants (seuls 9 % des collectivités de – de 1000 habitants se tournent vers Cybermalveillance.gouv.fr contre 46 % des collectivités de plus de 10 000 habitants)

« Dans cette 3e édition du baromètre sur la maturité cyber des collectivités, nous constatons que l’écart se creuse entre les plus petites collectivités qui pensent toujours qu’elles ne peuvent pas être des victimes potentielles et celles de plus de 1 000 habitants qui intensifient leurs efforts. Plus que jamais, il est nécessaire que le sujet de la cybersécurité devienne l’affaire de tous, que les collectivités de toutes tailles continuent d’être sensibilisées afin qu’elles prennent les mesures nécessaires pour se sécuriser en amont et se préparer à affronter une attaque », note Jérôme Notin, Directeur Général de Cybermalveillance.gouv.fr.

Plus d’infos sur le risque cyber encourues en collectivité locale.