Cyberattaques : la dissimulation reste la norme

Des organismes tels que l’Information Commissioner’s Office (ICO) et le National Cyber Security Centre (NCSC), outre-Manche, ont largement laissé entendre que l’ouverture et la transparence étaient le meilleur choix à la suite d’une cyberattaque. En France, les entreprises souhaitant faire jouer une assurance cyber ont même désormais l’obligation de porter plainte. Pour autant, les victimes restent largement paralysées par la peur, et notamment pour leur réputation, lorsque vient le moment de se manifester. 

Dans son rapport intitulé Incident reporting & disclosure, Keeper Security indique que 48 % des organisations qui subissent des incidents de cybersécurité critiques et des catastrophes telles que des attaques avec ransomware ne les signalent pas aux autorités compétentes, et que 41 % ne divulguent même pas les cyberattaques à leur conseil d’administration – 75 % d’entre elles ont déclaré se sentir coupables d’avoir gardé le silence.

D’une manière générale, les conclusions du rapport mettent en évidence d’importantes lacunes dans la manière dont les organisations réagissent et signalent les attaques et les violations, dont beaucoup semblent en fin de compte pointer vers des problèmes culturels profondément enracinés au sein des entreprises.

Pour Keeper, la peur, l’oubli, l’incompréhension et une mauvaise cyberculture d’entreprise contribuent à ces défaillances. Entre autres, 43 % des professionnels de l’informatique et de la sécurité craignent des répercussions en cas de signalement d’incidents, 36 % estiment que le signalement n’est pas nécessaire et 32 % ont tout simplement… oublié. L’absence de signalement externe est également imputable à la crainte d’une atteinte à court terme à la réputation de l’organisation et à la possibilité de sanctions financières. 

« Les chiffres montrent que les organisations doivent procéder à des changements culturels importants en matière de cybersécurité, qui est une responsabilité partagée », estime Darren Guccione, PDG et cofondateur de Keeper Security.

Pour lui, « la responsabilité commence au sommet et les dirigeants doivent créer une culture d’entreprise qui donne la priorité au signalement des incidents de cybersécurité, faute de quoi ils s’exposeront à des responsabilités juridiques et à des sanctions financières coûteuses, et mettront en danger les employés, les clients, les parties prenantes et les partenaires ».