Cybersécurité : ce que la posture des membres du Cesin suggère du tissu économique

Des zones d’ombre

Moins de 15 % des sondés (14 % pour être précis) indiquent avoir été confrontés au chiffrement de données par ransomware l’an dernier, contre 18 % pour l’édition précédente du sondage.

Plus d’un tiers (35 %) des sondés ayant constaté une cyberattaque indiquent avoir subi un vol de données « personnelles et/ou stratégiques ou techniques ». 12 % font état d’une exfiltration de données « par ransomware » (même s’il serait plus judicieux de parler d’exfiltration de données dans le cadre d’une cyberattaque ayant conduit au déclenchement d’un rançongiciel).

Point intriguant, sur les sondés ayant constaté une cyberattaque l’an dernier, seuls 22 % font état de chiffrement de données avec ransomware – soit 9,9 % de l’échantillon complet. À quoi correspond l’écart de 4,1 points par rapport aux 14 % de tous les sondés disant avoir été victimes d’une « attaque de type ransomware », ou encore celui de 2,1 % avec les 12 % de tous les sondés ayant constaté un « chiffrement de tout ou partie des données » ? Des attaques sans véritable rançongiciel, avec BitLocker par exemple ? Ce n’est pas impossible : le CERT Santé a fait état d’un cas en novembre.

Un silence assourdissant

Qui sont les 46 membres du Cesin ayant subi une cyberattaque de type rançongiciel l’an passé (contre 65 en 2021) ? Nous avons recensé 166 victimes françaises de ransomware en 2022, dont 8 sont membres du Cesin, autant qu’en 2021.

Entre les deux éditions, nous sommes donc revenus à moins d’un quart des membres du Cesin, victimes connues de ransomware, comme pour 2020. De quoi suggérer que, hélas, une cyberattaque de rançongiciel semble encore largement perçue comme une maladie honteuse.

Et cela continue à porter préjudice à la prise de conscience de la réalité de la menace, et à l’adoption des pratiques qui permettent de se renforcer face à elle – que ce soit en prévention, en protection, ou en résilience.

Des portes encore laissées ouvertes

Ce sondage a été réalisé auprès des membres d’un « club d’experts ». On pourrait très légitimement estimer que les organisations représentées disposent d’une bonne maturité et de moyens appropriés face à la menace, mais ce n’est manifestement pas le cas. Et la situation ne semble pas s’être véritablement améliorée en un an.

Les causes des incidents de sécurité rencontrés en témoignent : 38 % des sondés évoquent (33 % il y a un an) une « négligence ou erreur de manipulation ou de configuration » ; 37 % (40 %) mentionnent des « vulnérabilités résiduelles permanentes ».

Mais il y a du positif. Ainsi, certains messages semblent avoir été entendus, notamment pour l’authentification à facteurs multiples (MFA) : 81 % s’en disent équipés. Ils sont tout autant pour la détection et la réponse sur les hôtes (EDR), contre 64 % pour l’édition précédente du sondage.

Surprise : seuls 69 % des sondés se disent équipés d’un système de protection des hôtes (EPP). En outre, l’adoption des systèmes de gestion des accès à privilèges (PAM) reste limitée, à 59 %, malgré des apports bien identifiés pour se protéger des attaques par rebond.

Des priorités en ligne avec les menaces

La gestion des vulnérabilités progresse également, entre scanner de vulnérabilités (80 %), gestion des vulnérabilités (75 %), et gestion des correctifs (73 %). La sécurité de la messagerie électronique apparaît aussi de plus en plus prise au sérieux, avec 76 % des sondés se disant dotés d’une passerelle de sécurité mail, contre 55 % il y a un an.

Autre bonne nouvelle : les approches adoptées face à la menace, et en particulier celle des ransomwares, semblent bien appropriées. La sensibilisation des utilisateurs arrive en tête (82 %), devançant l’EDR (71 %), la gestion des correctifs (68 %), les capacités de détection (61 %), ou encore le durcissement des environnements Active Directory (56 %), le filtrage des emails (55 %) et la sécurisation des sauvegardes (52 %).

L’intégration du renseignement sur les menaces reste toutefois limitée (35 %), de même que la segmentation réseau (29 %), ou le déploiement de solutions de détection et de réponse sur le réseau (NDR) à seulement 8 %.

Une lucidité toujours préoccupante

Au global, les membres du Cesin apparaissent lucides sur leurs capacités, et ce n’est pas nécessairement rassurant. Seuls 6 % des sondés se disent tout à fait confiants en leurs capacités à se reconstruire après une cyberattaque. Seuls 8 % en leurs capacités de réponse à une attaque. Seuls 11 % en celles pour la détection. Et seuls 10 % en leurs moyens de prévention et de détection.

Pour mémoire, il s’agit là des membres d’un club « d’experts » représentant des entités publiques et privées qui sont, pour 50 % des répondants, des grandes entreprises, et seulement 11 % des TPE/PME. Ce que ces experts disent d’eux-mêmes, et des organisations qu’ils représentent, est susceptible d’en dire long sur le reste du tissu économique de l’Hexagone.