Cybersécurité : les défis à relever pour les entreprises françaises en 2022

Le benchmark publié par le cabinet de conseil Wavestone s’appuie sur l’évaluation de plus de 180 mesures de sécurité. Les résultats obtenus sont basés sur les données collectées et analysées auprès de 75 organisations, représentant plus de 3 millions de comptes utilisateurs sur les 3 dernières années.

Un niveau de maturité cyber faible pour les grandes organisations françaises

Selon le cabinet Wavestone, le niveau de maturité cyber des grandes organisations françaises atteint seulement 46 %, et arrive donc en dessous de la moyenne. Cependant, cette proportion varie en fonction des secteurs. Ainsi, la finance affiche une maturité cyber au-dessus de la moyenne (54,4 %), suivi du secteur de l’énergie qui atteint un niveau de 51,8 %. Les secteurs de l’industrie (44,8 %), des services (42,5 %) et du public (36,9 %), sont quant à eux inférieurs à la moyenne.

Pour contrebalancer ce constat, le cabinet souligne que les secteurs les moins matures sont ceux qui investissent le plus dans la cybersécurité. Le classement montre ainsi que l’industrie consacre 7 % de son budget IT à la sécurité, tandis que le secteur public y accorde 6,6 % de son budget. Ces deux secteurs sont d’ailleurs au-dessus de la moyenne générale du budget IT que les organisations françaises peuvent dédier à la cybersécurité, celui-ci s’élevant à 6,1 %.

30 % des organisations françaises en situation critique face aux ransomwares

En s’appuyant sur les données des dernières cyberattaques traitées par le CERT-Wavestone, le cabinet a sélectionné 31 mesures anti-ransomwares, qui permettent d’attribuer un niveau de maturité moyen aux organisations face à ce type d’attaque. L’étude révèle notamment que :

• La moyenne des grandes entreprises (type CAC 40) est de 54,5 %,
• Le niveau moyen des clients gérés par Wavestone est de 46,2 %,
• 30 % des organisations sont considérées en situation critique.

Les 4 défis cyber qui attendent les entreprises françaises en 2022

Wavestone identifie plusieurs éléments que les organisations françaises devraient améliorer pour assurer la sécurité de leurs données.

Améliorer la reconstruction après une cyberattaque

Selon l’étude, les piliers de cybersécurité du NIST (National Institute of Standards and Technology) sont aujourd’hui homogènes. En effet, le niveau de maturité pour chacune des étapes, qui composent le processus de défense contre les cyberattaques des entreprises, est majoritairement équivalent. Le cabinet Wavestone note les progrès réalisés en termes de détection et de réaction aux attaques, qui atteignent respectivement un niveau de maturité de l’ordre de 46 % et 45 % aujourd’hui. Ils sont ainsi proches des phases d’identification (46 %) et de protection (47 %). Ces niveaux témoignent de l’investissement important réalisé ces dernières années.

Cependant, les entreprises doivent porter une attention toute particulière à la phase de reconstruction d’un système après une cyberattaque, qui apparaît la moins mature avec un niveau estimé à 40 %.

Redoubler d’efforts pour sécuriser l’Active Directory et la résilience aux attaques

Le cabinet souligne que de nombreuses entreprises ont adopté des technologies efficaces de protection, telles que les EDR (Endpoint Detection and Response, une solution de détection des menaces de sécurité pour les équipements numériques) et l’authentification multi-facteurs. Ainsi, 51 % des entreprises ont déployé un outil EDR et 61 % ont opté pour l’authentification multi-facteurs.

Cependant, des efforts restent à fournir pour sécuriser l’Active Directory (centre névralgique de la sécurité des systèmes d’information Microsoft), pour lequel seulement 24 % des organisations analysent les incidents au niveau de leur centre de cybersurveillance. De même, les entreprises présentent des failles en matière de résilience aux attaques, avec seulement 17 % d’entre elles qui ont testé leur plan de reprise informatique.

Optimiser la sécurité des systèmes d’information industriels

Il s’agit de la grande problématique du secteur de l’industrie. En effet, la sécurité des systèmes industriels affiche une maturité globale de 34,1 %. L’étude souligne ainsi que des efforts sont fournis pour le déploiement d’une organisation dédiée à la cybersécurité (adoptée par 50 % des entreprises) et pour l’utilisation de pare-feux visant à séparer les réseaux d’entreprise des réseaux industriels. Cependant, 50 % des organisations ne contrôlent pas les exigences relatives à la sécurité des tiers.

Lutter contre les mauvaises pratiques en matière de sécurité cloud

Selon le cabinet Wavestone, plusieurs défis liés à la sécurité des applications et des données attendent les entreprises. L’étude souligne ainsi les failles de sécurité propres au cloud. Parmi les mauvaises pratiques en place, on peut noter l’accès d’administration à un système cloud par le biais d’un simple login et mot de passe, pour 42 % des entreprises.

De manière instinctive, on pense que le cloud est sécurisé. C’est vrai pour ce qui est de la responsabilité des fournisseurs, mais beaucoup d’actions relèvent de celle des organisations utilisatrices… et sont malheureusement souvent oubliées ! C’est un point majeur pour la sécurité des nouvelles applications, affirme Gérôme Billois, Partner Cybersecutity & Digital Trust chez Wavestone.

Source : Wavestone