• Près d’une PME sur deux ne sait pas (avec certitude) si un incident s’est produit au cours des 12 derniers mois.
• Plus de la moitié des grandes entreprises ont détecté au moins un incident au cours des 12 derniers mois, alors qu’un quart des PME seulement ont connaissance d’un incident.
• Notre étude de 2020 révélait que 42 % des PME* avaient déjà été victimes d’un incident de cybersécurité. Ce chiffre a chuté à 26 % en 2021, mais reste toujours plus élevé qu’en 2019 (19 %).

Votre entreprise a-t-elle été confrontée à un ou plusieurs incidents de cybersécurité au cours des 12 derniers mois ?

Chaque entreprise – petite ou grande – est une cible potentielle

34 % des répondants ont connaissance d’un cyberincident* qui s’est produit dans leur organisation en 2021. Sur les 62 % qui affirment qu’aucun incident n’a eu lieu, seuls 38 % en sont absolument certains.

Près de neuf répondants sur dix sont inquiets à l’idée d’être (à nouveau) victimes d’un cyberincident, y compris ceux qui ont été épargnés en 2021.

70 % des incidents chez les répondants étaient intentionnels

• Ingénierie sociale (13 %)
• Spam (13 %)
• Appareils volés ou perdus (9 %)

  
  

On notera que 5 % des répondants indiquent avoir été victimes d’une grave attaque ciblée, aussi connue sous le nom d’Advanced Persistent Threat (APT).

Top 3 des incidents de cybersécurité en 2021

En 2021, l’ingénierie sociale a été l’incident de cybersécurité le plus fréquent. Cette technique consiste pour les cybercriminels à utiliser l’homme pour pénétrer dans un système informatique ou subtiliser des informations confidentielles. L’hameçonnage et le harponnage, entre autres, sont des formes d’ingénierie sociale. Ce sont des phénomènes que nous pouvons lier à la hausse du télétravail durant la crise du coronavirus.

Tous les répondants touchés soutiennent que chaque incident entraîne des coûts ou a un impact négatif. L’atteinte à la réputation, la notification des incidents et la perte de temps sont à l’origine de la majorité des coûts indirects.

Parmi les répondants qui ont connaissance d’un incident, la majorité dispose d’une stratégie de cybersécurité pour la gestion des incidents. Chez les répondants qui ne savent pas (avec certitude) s’ils ont été confrontés à un incident, le pourcentage à disposer d’une stratégie est deux fois moins élevé.

Répartition des répondants en fonction des incidents

Les entreprises de plus de 250 travailleurs sont les plus avancées en ce qui concerne leur stratégie de cybersécurité. C’est surtout dans les moyennes entreprises de 50 à 250 travailleurs qu’une telle stratégie est le moins souvent déployée, même si elle est généralement en développement.

Votre entreprise dispose-t-elle d’une stratégie de gestion des incidents de cybersécurité ?

Les grandes entreprises prennent l’initiative

Votre entreprise dispose-t-elle d’une stratégie de gestion des cyberincidents ?

Une stratégie de gestion des cyberincidents forme la base d’une politique intelligente en matière de risques et d’une approche de la sécurité à l’échelle de l’entreprise. Une telle stratégie est présente dans 58 % des entreprises, soit une hausse de 9 % par rapport à l’étude de l’année dernière – une évolution positive. Elle est en développement chez un quart des sondés. En revanche, 13 % indiquent n’avoir encore rien entrepris en la matière.

Les collaborateurs de votre entreprise sont-ils sensibilisés à la cybersécurité ?

Un bon programme de sensibilisation à la cybersécurité réduit le risque d’erreurs humaines. Les collaborateurs apprennent par exemple à reconnaître l’hameçonnage lors d’une formation. Votre entreprise lutte ainsi contre le cyberincident numéro un : l’ingénierie sociale. Un tiers des entreprises interrogées ne prévoient toutefois aucune formation, tandis que 6 % en dispensent ponctuellement et que 3 % indiquent qu’une telle formation est en cours de développement. Un tiers des organisations prévoient au contraire une formation plusieurs fois par an.

• 59 % des entreprises demandent l’aide de partenaires externes pour surveiller et gérer l’infrastructure de cybersécurité.
  
  
• 38 % des entreprises interrogées comptent à la fois sur leur service informatique interne et sur un partenaire IT. Un aussi grand groupe indique gérer entièrement en interne sa sécurité IT, tandis que 21 % privilégient une externalisation totale.

  
  

Qui surveille et gère votre infrastructure de cybersécurité ?

Vous êtes confronté(e) à un manque d’experts en cybersécurité ?

Six entreprises sur dix font appel à un partenaire externe

Plus de quatre répondants sur dix sont confrontés à un manque d’experts en cybersécurité au sein du département IT. Parmi les entreprises de plus de 50 travailleurs, plus de la moitié indiquent faire face à une pénurie de ces profils.

Pourcentage par rapport au total de priorités citées

Quelles sont les trois principales priorités de votre organisation en matière de cybersécurité ?

Les trois principales priorités des répondants en matière de cybersécurité sont très souvent liées à des choix stratégiques, comme la sensibilisation des employés, les assurances cybersécurité et les règlements tels que le RGPD. Ces questions relèvent du domaine de la gouvernance, de la gestion des risques et de la conformité (GRC).

La protection du réseau reste aussi une priorité importante pour de nombreuses entreprises. Ce domaine est souvent suivi de près par la protection du lieu de travail. L’importance de la protection du lieu de travail augmente depuis quelques années déjà, entre autres en raison de l’émergence des rançongiciels et du grand nombre de collaborateurs qui font du télétravail.