Nombre d'employés

Parmi les répondants qui ont été informés d’une cyberattaque, plus de 80 % ont enregistré moins de six incidents. Près de deux entreprises touchées sur dix ont enregistré plus de cinq attaques. À noter, parmi celles qui n’ont détecté aucun incident, 22 % ne savaient pas si leur organisation avait déjà ou non neutralisé des attaques.

Les organisations de taille plus importante (comptant 250 collaborateurs ou plus) sont plus souvent la proie d’incidents de cybersécurité que les petites et moyennes entreprises (de 10 à 249 collaborateurs). Parmi les très grandes entreprises (+ 2.000 collaborateurs), 45 % ont indiqué avoir subi un incident au cours des 12 derniers mois. Ceci pourrait être dû au fait que ces très grandes entreprises sont plus en mesure de détecter les attaques ou qu’elles sont davantage prises pour cibles en raison de leur surface d’attaque plus étendue.

30 % des entreprises interrogées ont indiqué avoir été confrontées à des incidents de cybersécurité* en 2023, et ce pourcentage s’inscrit dans la lignée des résultats de l’an dernier. Le fait que plus d’un tiers des participants épargnés par les incidents admettent être peu confiants quant à leur capacité à les détecter indique probablement une sous-estimation.

La transformation digitale, le télétravail et l’essor de nouvelles technologies élargit, année après année, le champ d’attaque des cybercriminels. Dans le même temps, les hackers sont de mieux en mieux organisés et appliquent des modes d’attaque plus sophistiqués. D’après le Fonds Monétaire International, le nombre d’incidents a plus que doublé depuis la pandémie de Covid. Il est évident que les entreprises du Belux sont aussi concernées que les autres.

Près de la moitié des personnes interrogées mentionnent une baisse de productivité parmi les conséquences des incidents de cybersécurité. Une part égale rapporte des coûts liés à l’attaque, entre autres pour prévenir les autorités, les clients et les parties concernées. Les atteintes à la réputation, incluant une publicité négative, une perte de confiance et une atteinte à l’image de marque, sont également fréquentes. Étonnamment, environ 30 % des entreprises interrogées ont indiqué n’avoir subi aucun dommage ou conséquence financière directe, probablement grâce à des mesures de sécurité efficaces ou à des incidents n’ayant pas eu d’influence directe sur les résultats de l’entreprise.

Chez une cible touchée sur quatre, les cyberincidents ont empêché les collaborateurs d’effectuer leurs tâches. C’est moins que ce qu’indiquait le rapport de cybersécurité de 2023 (30%). Dans la plupart des cas, l’indisponibilité s’est limitée à un petit nombre de collaborateurs et à une semaine maximum.

Un quart des incidents sont la conséquence de négligences ou d’erreurs non intentionnelles de collaborateurs. De mauvaises configurations ou des clics accidentels peuvent par exemple entraîner une violation de la sécurité. Près de 30 % des incidents ont été commis intentionnellement par des parties internes ou externes ayant mené des attaques délibérées. Dans 44 % des cas, il s’agit d’une combinaison des deux facteurs. Les résultats du Data Breach Investigation Report 2024 de Verizon confirment ces chiffres. L’entreprise a constaté qu’une erreur inconsciente était en partie à la base de 68 % des incidents examinés.

Selon le rapport 2024 Data Breach Investigations de Verizon, 62 % des incidents à motivation financière impliquent un ransomware ou une extorsion. La perte moyenne s’élève à 46.000 dollars par incident. Mais ce préjudice financier provient aussi entre autres de l’endommagement ou de la destruction de données, d’une perte de productivité et du vol de propriété intellectuelle ou de données personnelles.

Les responsables IT font peu confiance à leur communication interne et externe et leurs relations publiques en matière d’incidents. Ils considèrent comme modérée leur capacité à endiguer et éliminer les menaces.

Identify, Protect, Detect, Respond & Recover est un modèle classique utilisé par le NIST (National Institute of Standards and Technology) pour inventorier l’approche des entreprises en matière de cybersécurité. Il apparaît que l’aspect le moins intégré par les répondants est la prévision et l’identification (Identify) des risques potentiels. Si la situation s’avère plus positive en matière de prévention et de détection, elle peut encore être améliorée. On note une maturité moyenne en ce qui concerne la mise en œuvre des actions nécessaires (Respond) et du processus de relance (Recover).

Les grandes entreprises disposent plus souvent d’une maturité supérieure pour les cinq fonctions clés. Pour les PME, en revanche, les choses peuvent encore être améliorées, en particulier pour les aspects Identify et Respond.

Les cyberattaques peuvent se manifester dans chaque service d’une entreprise. Une stratégie sophistiquée, qui englobe l’ensemble de l’organisation, est donc indispensable.

Plus de la moitié des répondants souffrent d’un manque de personnel spécialisé dans leur département sécurité. C’est significativement plus que l’an dernier: 36 % étaient alors confrontés à un manque de compétences en cybersécurité. Ce pourcentage plus élevé entre quelque peu en conflit avec le constat qu’un nombre considérable d’entreprises comptent uniquement sur leur propre département IT. Une part significative des décisionnaires ont néanmoins l’intention de combler ce manque de compétences grâce à l’externalisation (outsourcing). Il est plutôt surprenant de constater qu’un quart des répondants n’appliquent aucune stratégie concrète en la matière.

La guerre des talents fait rage au sein du secteur IT et de la cybersécurité. Pour de nombreuses entreprises, il est difficile de recruter et de conserver les bons profils. Une étude d’Agoria a montré que le secteur de la cybersécurité comptait plus de 1.200 postes vacants, soit un taux de 16 %, supérieur à celui du secteur IT. Compte tenu de l’intensité croissante des attaques, le fossé entre les compétences souhaitées et disponibles dans ce domaine ne fait donc que se creuser.

Dans le monde de la cybersécurité en rapide évolution, l’immobilisme n’est pas une option. Une approche proactive incluant les processus réactifs nécessaires devrait constituer une priorité au sein de chaque organisation.