S’il faut pondérer l’aspect parfois alarmiste des vendeurs de solutions de cybersécurité sur les risques, reste qu’il se dégage des tendances fortes à prendre en compte. L’enquête internationale de Cohesity porte sur 3.100 décideurs DSI, dans 8 pays différents dont la France. Elle montre que face aux impacts d’une cyberattaque, beaucoup d’entreprises ouvriraient les cordons de la bourse pour en limiter les conséquences directes et indirectes. Un quart d’entre elles iraient jusqu’à verser plus de 3 millions de dollars aux pirates. Sans garantie que le paiement leur évite la divulgation des données sensibles sur le darkweb.
L’étude de Cohesity indique que 89 % des entreprises françaises ont été victimes d’attaques basées sur l'IA au cours de l'année écoulée, contre 79 % au niveau mondial. Encore faudrait-il préciser sur quel type d’IA reposent ces offensives et comment elles sont utilisées, ce qui ne figure pas dans l’enquête. Indicateur préoccupant, seulement 2 % des personnes interrogées ont indiqué qu'elles pourraient récupérer leurs données et rétablir leurs processus opérationnels dans les 24 heures en cas de cyberattaque.
En France, l’IA serait adoptée massivement par 83 % des entreprises dans les outils de défense et le stockage des données (89 % des réponses). Soit plus que la moyenne mondiale (75 % pour la défense et 80 % pour le stockage). L’IA est un « pharmakon », à la fois poison et remède de la cybersécurité, sans que l’on dispose de données pour définir sa part réelle dans les attaques et les défenses. Pour Cohesity, point de salut sans l’IA, parmi les entreprises qui ne disposent pas de logiciels de cyberdéfense basés sur l'IA, 55 % d’entre elles auraient été incapables de se défendre contre les attaques par IA.
Le MFA et la gestion fine du contrôle d’accès sont indispensables
Malgré les avis de l’Anssi et autres organismes équivalents à l’international,près de 7 personnes interrogées sur 10 (69 %) disent que leur entreprise avait payé une rançon au cours de l'année écoulée. Pour autant, 77 % des répondants déclarent que leur entreprise avait pour engagement, le fait de ne pas payer de rançon. Plus alarmant,
2 personnes interrogées sur 5 (42 %) affirment ne pas être en mesure d'identifier les données sensibles et de rester en conformité avec les réglementations.
Le Zero Trust semble plus un concept qu’une réalité. En effet, près de la moitié des personnes interrogées (48 %) n'ont pas déployé l'authentification multifactorielle (MFA), qui est une protection basique pour renforcer l'accès aux données. Quant au contrôle d’accès basé sur les rôles (qui a accès et à quoi ?), il n’est le fait que de 46 % des DSI interrogés. Les règles d’approbations multiples des accès au SI ne représentent que la moitié des réponses.
Les solutions de cyberdéfense ne font pas tout, la sensibilisation du personnel, clients et fournisseurs est et restera une hygiène de base indispensable.
