Cyber-Résilience : les entreprises sont-elles réellement prêtes ?

Les marchés dans lesquels la cyber-résilience est une priorité majeure sont le Royaume d’Arabie saoudite – 48%,  l’Espagne – 44 %, le Brésil – 43 % et la France – 42 %. Mais la préparation aux nouveaux risques se heurte à des obstacles. 

• 38 % des RSSI ont atteint la maturité suffisante en matière de cyber-résilience – zone EMEA
• 28 % testent régulièrement les plans de rétablissement – zone EMEA et Amérique latine
• 40 % sont confiants à l’idée de se remettre d’une cyberattaque sans perturbation majeures
• 21 % seulement des RSSI du secteur banque, finance, assurance, testent régulièrement les plans de rétablissement.

Pénurie des talents & Manque de compétences

Voici les principaux obstacles à l’atteinte de la cyber-résilience – 70%. Vient ensuite l’absence de corrélation entre les produits unitaires – 52 %. De plus, on note la fragmentation des solutions.

« Malgré des niveaux de maturité modérés dans la zone EMEA et l’Amérique latine, le nombre de RSSI équipés de façon à tester régulièrement leurs plans de rétablissement est étonnamment bas. Mais les RSSI évoluent dans un contexte difficile. D’une part, les événements géopolitiques et les perturbations des chaînes d’approvisionnement s’ajoutent aux menaces. D’autre part, la pénurie de talents et d’expertise adéquate complique encore la mise en œuvre de solutions et la préparation à faire face aux prochaines futures. » Haider Pasha, responsable de la sécurité pour la zone EMEA et l’Amérique Latine chez Palo Alto Networks.

Enjeux technologiques

L’utilisation des mesures de cybersécurité matures comme contribution à la cyber-résilience atteint 11 %. La plupart des pays ont majoritairement recours à divers plans :

• plans de continuité d’activité – 74 %
• plans de rétablissement d’activité – 72 %
• plans de rétablissement après rançongiciel – 54 %
• stratégies de gestion de crise.

« De nombreuses organisations ne possèdent pas encore les ressources et la confiance nécessaires pour mettre en œuvre une solution technologique complète de cyber-résilience capable d’empêcher les attaques. Elles doivent à la place recourir majoritairement à des tactiques telles que la réponse après incident, qui est conçue pour répondre aux incidents et non pour les planifier. La visibilité insuffisante sur l’impact des menaces et la priorité donnée à une tactique de résolution des problèmes exposent les organisations à un nombre grandissant de menaces et les empêchent de planifier les risques de demain. »

Changer la culture

L’influence des équipes dirigeantes est en train de gagner du terrain. 72 % ont désigné le conseil d’administration comme le principal instigateur des initiatives de cyber-résilience.

Mais on remarque un manque de consensus de leadership et de responsabilité en matière de cyber-résilience. La responsabilité globale de diriger les actions pour un niveau élevé de cyber-résilience incombe en partie aux DSI – 29 %, aux CTO – 22 %, aux chefs d’unité commerciale, aux RSSI – 17%.

L’équipe de direction doit agir. « Elle doit aussi donner les moyens aux responsables intermédiaires de prendre des décisions plus rapidement. Faute de quoi, toute la responsabilité des mesures de réaction aux incidents retombe sur les équipes de cybersécurité, alors que l’on pourrait orienter l’entreprise vers des stratégies mieux adaptées. »

Source enquête Palo Alto Networks IDC Research – Octobre 2023

Reevaluating Cyber Resilience: Beyond the Illusion of Maturity