La sécurité est aujourd’hui principalement un exercice de gestion des risques. En tant qu'entreprise, vous devez déterminer quels risques IT vous voulez et pouvez accepter et ce que cela peut coûter à votre entreprise pour maintenir ce niveau de risque. La digitalisation accélérée (notamment par la COVID-19) menace la cybersécurité des entreprises. Les nouvelles technologies auxquelles les hackers ont accès vous exposent plus que jamais aux cyberattaques.
Et ce risque accru peut être chiffré.
Les bureaux d’études de marchés internationaux analysent régulièrement le paysage de la cybersécurité. Ceci dit, leurs données ne sont pas toujours représentatives de la situation des entreprises en Belgique et aux Pays-Bas. C’est pourquoi Proximus a décidé de réaliser sa propre étude de marché auprès de ses clients, en collaboration avec Proximus SpearIT, Davinsi Labs et Telindus Pays-Bas.
Comment les
entreprises
gèrent-elles
la cybersécurité ?
Proud member of proximusaccelerators.eu
Méthodologie
Rapport d’enquête
Protégez votre entreprise en 4 étapes
Glossaire de la cybersécurité
des répondants en Belgique et au Pays-Bas ont connu un cyberincident en 2020.
Par cyberincident, on entend tout événement ou toute action à visée malveillante qui menace la confidentialité, l’intégrité et la disponibilité des systèmes d’information d’une entreprise (réception d’e-mails d’hameçonnage, violation des données, accès non autorisé, etc., qu’elle ait ou non entraîné des conséquences ou des dommages).
50 %
Les sept conclusions de l’étude
Chaque entreprise – petite ou grande – est une cible potentielle
L’hameçonnage est l’attaque la plus fréquente
Un incident ne se détecte pas toujours
L’impact d’un incident est souvent considérable
50 % des organisations n’ont pas de stratégie de cybersécurité active
Manque de support IT
Les trois priorités en matière de cybersécurité pour 2021
Chaque entreprise – petite ou grande – est une cible potentielle
Les petites entreprises ont souvent tort de penser que leurs données ou leurs activités ne sont pas susceptibles d’intéresser les cybercriminels. Les PME disposent au contraire de données intéressantes et sensibles, telles que les données de clients, qu’il s’agisse de particuliers ou d’entreprises, ou des droits de propriété intellectuelle, etc. Ces données ont une importance capitale pour ces entreprises. Une fuite de données ou une cyberattaque peut en effet nuire à la relation de confiance qu’elles ont construite avec leurs clients, partenaires ou fournisseurs.
1 répondant sur 2
a connu un cyberincident en 2020.*
Par cyberincident, on entend tout événement ou toute action à visée malveillante qui menace la confidentialité, l’intégrité et la disponibilité des systèmes d’information d’une entreprise (réception d’e-mails d’hameçonnage, violation des données, accès non autorisé, etc., qu’elle ait ou non entraîné des conséquences ou des dommages).
54 %
34 %
12 %
54 % des entreprises ont eu un incident
34 % n'ont pas connu d’incident
12 % ne le savent pas
> 2.000
collaborateurs
100 – 250 collaborateurs
250 – 2.000
collaborateurs
< 100
collaborateurs
Incidents de cybersécurité dans les entreprises
selon leur taille
ne savent pas
n’ont pas eu d’incident
ont eu un incident
Conclusion
57 %
des entreprises de moins de 100 collaborateurs ont affirmé n’avoir connu aucun incident.
Notre étude de 2019 révélait que 19 % des PME avaient déjà été victimes d’un incident de cybersécurité.
Ce chiffre a augmenté de 23 % en 2020, passant à 42 %.
* Une PME compte moins de 250 collaborateurs. Les entreprises de <100 et de 100 à 250 collaborateurs font partie de cette catégorie.
86 %
des entreprises de plus de 2.000 collaborateurs ont connu un ou plusieurs incidents.
12 %
des entreprises interrogées ignorent si elles ont été victimes d’un incident.
19 %
42 %
01. Les cibles
02. L’hameçonnage
03. Incidents non détectés
04. L’impact
05. Stratégie
06. Manque de support IT
07. Priorités 2021
L’hameçonnage est l’attaque la plus fréquente
Pendant le confinement, les hackers ont lancé 19 % d’attaques d’hameçonnage en plus que d’habitude. Ils ont tenté de profiter de la vulnérabilité des postes de télétravail afin de voler des données ou de répandre des maliciels.
75 % des incidents proviennent de l’extérieur
3 répondants sur 4 ont connu un incident provenant de l’extérieur de l’entreprise, alors qu’un cinquième d’entre eux ont été victimes d’une menace interne.
75 %
20 %
5 %
75 % Attaque externe
20 % Menace interne
5 % Inconnu
Top 3 des cyberincidents en 2020
1. Hameçonnage : 35 %
2. Logiciels malveillants : 16 %, dont 52 % de virus et 33 % de rançongiciels
3. Harponnage : 16 %
01. Les cibles
02. L’hameçonnage
03. Incidents non détectés
04. L’impact
05. Stratégie
06. Manque de support IT
07. Priorités 2021
Un incident ne se détecte pas toujours
Pour 7 répondants sur 10, l’incident a été détecté en interne.
Pour 15 % d’entre eux, la détection a été faite par un tiers.
Un incident n’est pas toujours détectable.
16 %
69 %
13 %
2 %
Découverte en interne : 69 %
Signalement par un tiers : 16 %
Je ne sais pas : 2 %
Autre : 13 %
01. Les cibles
02. L’hameçonnage
03. Incidents non détectés
04. L’impact
05. Stratégie
06. Manque de support IT
07. Priorités 2021
L’impact d’un incident est souvent considérable
Fait marquant : 92 % des entreprises qui ont connu un incident sont inquiètes, voire très inquiètes, à l’idée d’être à nouveau prises pour cibles. Parmi les entreprises qui n’ont encore jamais été attaquées, 18 % affirment ne pas être inquiètes.
Dans 9 % des cas, l’incident était de nature à empêcher les collaborateurs de poursuivre leur travail.
de chômage
technique
Dans 85 % des cas, l’incident n’a heureusement pas occasionné de perte de données. Dans 4 % des cas, c’est malheureusement l’inverse qui s’est produit. Mais le plus marquant, et préoccupant, c’est que 11 % des entreprises impactées ignorent si elles ont perdu des données.
de pertes de données d’entreprise
de frais réels
Selon l’assureur Hiscox, les entreprises belges estiment mal le coût d’un incident de cybersécurité. Un piratage coûterait selon elles 9.000 euros alors qu’en réalité, le préjudice s’élève en moyenne à 136.000 euros. Une cyberattaque peut faire perdre jusqu’à 133.000 euros à une petite entreprise belge qui fait 500.000 euros de chiffre d’affaires. C’est surtout l’arrêt des systèmes informatiques, et donc de la planification et de la production, qui coûte des sommes faramineuses à l’entreprise.
Bon nombre de répondants ont trouvé difficile d’exprimer les pertes liées à un incident en pourcentage du chiffre d’affaires annuel. Les incidents ont été détectés à temps, certains sans conséquences financières. D’autres ont engendré des coûts pour le colmatage des vulnérabilités et la sensibilisation accrue du personnel aux cybermenaces.
94 % des entreprises touchées par un incident ont réussi à reprendre le contrôle dans les 4 semaines.
Une entreprise sur 20 a mis six mois pour le faire, avec de graves conséquences pour son organisation. Une enquête menée par l’assureur Van Breda a montré que 38 % des cyberattaques entraînent un arrêt des activités de l’entreprise.
d’arrêt des activités
Moins d’une semaine : 77 %
De 1 à 4 semaines : 15 %
De 3 à 6 mois : 2 %
Plus de 6 mois : 2 %
Le problème n’est pas encore résolu : 2 %
Je ne sais pas : 2 %
2 %
2 %
77 %
15 %
2 %
2 %
Temps nécessaire pour reprendre le contrôle
01. Les cibles
02. L’hameçonnage
03. Incidents non détectés
04. L’impact
05. Stratégie
06. Manque de support IT
07. Priorités 2021
50 % des organisations n’ont pas de stratégie active en matière de cybersécurité
En Belgique et aux Pays-Bas, 1 entreprise sur 2 n’a pas de stratégie active en matière de cybersécurité ou ignore qu’elle en a une.
Qu’est-ce que la sécurité Zero Trust ?
La sécurité des systèmes d’information s’est longtemps limitée à interdire l’accès aux indésirables. Le modèle Zero Trust change les mentalités. Le point de départ de cette approche est qu’il ne faut faire confiance à personne. Au lieu d’interdire ce que l’on ne veut pas, le modèle Zero Trust se concentre sur ce qui est autorisé.
1. Protection des informations
2. Prévention des menaces
3. Respect des réglementations
3 raisons majeures pour la mise en œuvre de mesures de cybersécurité
3 obstacles majeurs à la mise en œuvre de mesures de cybersécurité
La cybersécurité représente un coût assez élevé pour les entreprises, ce qui explique que peu ou pas de budget lui soit alloué. De nombreuses entreprises associent encore la cybersécurité à des coûts élevés et peu ou pas de ROI.
1. Financier
2. Culture d’entreprise
À défaut de stratégie portée par l’équipe de direction, les équipes ne perçoivent pas l’importance de la cybersécurité.
L’environnement IT – c’est souvent le cas des petites entreprises – est peu ou pas surveillé. Un manque de connaissances, de capacités et/ou de personnel en est souvent la cause.
3. Ressources
Des données d’entreprise sur des appareils mobiles
Les entreprises qui ont adopté un mode de travail hybride utilisent régulièrement des appareils mobiles et stockent leurs données d’entreprise dans le cloud. Ces technologies les exposent davantage au risque de cybermenaces.
Votre stratégie prévoit-elle de protéger les données d’entreprise stockées sur les appareils mobiles ?
01. Les cibles
02. L’hameçonnage
03. Incidents non détectés
04. L’impact
05. Stratégie
06. Manque de support IT
07. Priorités 2021
Manque de
support IT
Près de 4 répondants sur 10 ont fait état d’un manque de personnel spécialisé au sein du département IT. Cette pénurie touche 43 % des entreprises de plus de 2.000 collaborateurs.
22 % des répondants ont même déclaré n’avoir aucun collaborateur affecté à la cybersécurité. 40 % des entreprises de moins de 100 collaborateurs n’ont pas d’équipe s’occupant de cybersécurité.
Nombre de spécialistes en cybersécurité au sein du département IT
Qui gère et surveille l’infrastructure de sécurité ?
01. Les cibles
02. L’hameçonnage
03. Incidents non détectés
04. L’impact
05. Stratégie
06. Manque de support IT
07. Priorités 2021
30 %
31 %
6 %
7 %
26 %
Priorités en matière de cybersécurité pour 2021
L’étude a montré que de nombreuses entreprises manquent de support IT. Par ailleurs, certaines entreprises n’ont pas encore de stratégie, ou sont seulement en train de l’élaborer. Une entreprise sur 4 n’organise aucune formation de sensibilisation des collaborateurs à la cybersécurité.
Nos répondants ont le sentiment qu’ils peuvent mieux faire. Les trois principales priorités en matière de cybersécurité pour 2021 sont:
1. la sensibilisation et la formation des équipes
2. les investissements technologiques
3. l’élaboration d’une stratégie de cybersécurité
L’organisation de petites actions plusieurs fois par an (p. ex. campagne d’affichage, comptoir d’information dans un lieu de passage) est bien plus efficace. La cybercriminalité connaît une évolution vertigineuse. Il est donc essentiel d’y rester attentif et de former ses collaborateurs. Grâce à des mini-formations (en ligne), vous vous assurez que vos équipes sont en permanence au courant de l’approche de l’entreprise en matière de sécurité.
01. Les cibles
02. L’hameçonnage
03. Incidents non détectés
04. L’impact
05. Stratégie
06. Manque de support IT
07. Priorités 2021
Le paysage de la cybersécurité est en constante évolution. Il est préférable de préparer votre organisation à la protection des nouvelles technologies et aux éventuels incidents de cybersécurité.
Les 13 tendances et dangers majeurs de cybersécurité en 2021
Découvrez l’approche 360° de Proximus pour la protection de votre organisation. Choisissez entre une solution totale ou des services spécifiques en fonction de vos besoins.
Protégez votre entreprise en 4 étapes
Nederland
La sécurité est aujourd’hui principalement un exercice de gestion des risques. En tant qu'entreprise, vous devez déterminer quels risques IT vous voulez et pouvez accepter et ce que cela peut coûter à votre entreprise pour maintenir ce niveau de risque. La digitalisation accélérée (notamment par la COVID-19) menace la cybersécurité des entreprises. Les nouvelles technologies auxquelles les hackers ont accès vous exposent plus que jamais aux cyberattaques.
Et ce risque accru peut être chiffré.
Les bureaux d’études de marchés internationaux analysent régulièrement le paysage de la cybersécurité. Ceci dit, leurs données ne sont pas toujours représentatives de la situation des entreprises en Belgique et aux Pays-Bas. C’est pourquoi Proximus a décidé de réaliser sa propre étude de marché auprès de ses clients, en collaboration avec Proximus SpearIT, Davinsi Labs et Telindus Pays-Bas.
Proud member of proximusaccelerators.eu
Comment les
gèrent-elles
entreprises
50 %
Par cyberincident, on entend tout événement ou toute action à visée malveillante qui menace la confidentialité, l’intégrité et la disponibilité des systèmes d’information d’une entreprise (réception d’e-mails d’hameçonnage, violation des données, accès non autorisé, etc., qu’elle ait ou non entraîné des conséquences ou des dommages).
des répondants en Belgique et au Pays-Bas ont connu un cyberincident en 2020.
Chaque entreprise – petite ou grande – est une cible potentielle
L’hameçonnage est l’attaque la plus fréquente
Un incident ne se détecte pas toujours
L’impact d’un incident est souvent considérable
50 % des organisations n’ont pas de stratégie de cybersécurité active
Manque de support IT
Les trois priorités en matière de cybersécurité pour 2021
Les sept conclusions de l’étude
Les petites entreprises ont souvent tort de penser que leurs données ou leurs activités ne sont pas susceptibles d’intéresser les cybercriminels. Les PME disposent au contraire de données intéressantes et sensibles, telles que les données de clients, qu’il s’agisse de particuliers ou d’entreprises, ou des droits de propriété intellectuelle, etc. Ces données ont une importance capitale pour ces entreprises. Une fuite de données ou une cyberattaque peut en effet nuire à la relation de confiance qu’elles ont construite avec leurs clients, partenaires ou fournisseurs.
Notre étude de 2019 révélait que 19 % des PME avaient déjà été victimes d’un incident de cybersécurité.
Ce chiffre a augmenté de 23 % en 2020, passant à 42 %.
* Une PME compte moins de 250 collaborateurs. Les entreprises de <100 et de 100 à 250 collaborateurs font partie de cette catégorie.
Chaque entreprise – petite ou grande – est une cible potentielle
12 %
des entreprises interrogées ignorent si elles ont été victimes d’un incident.
86 %
des entreprises de plus de 2.000 collaborateurs ont connu un ou plusieurs incidents.
Conclusion
57 %
des entreprises de moins de 100 collaborateurs ont affirmé n’avoir connu aucun incident.
54 %
34 %
12 %
54 % des entreprises ont eu un incident
34 % n'ont pas connu d’incident
12 % ne le savent pas
Par cyberincident, on entend tout événement ou toute action à visée malveillante qui menace la confidentialité, l’intégrité et la disponibilité des systèmes d’information d’une entreprise (réception d’e-mails d’hameçonnage, violation des données, accès non autorisé, etc., qu’elle ait ou non entraîné des conséquences ou des dommages).
1 répondant sur 2
a connu un cyberincident en 2020.*
Incidents de cybersécurité dans les entreprises
selon leur taille
ne savent pas
n’ont pas eu d’incident
ont eu un incident
< 100
collaborateurs
250 – 2.000
collaborateurs
> 2.000
collaborateurs
100 – 250 collaborateurs
19 %
42 %
L’hameçonnage est l’attaque la plus fréquente
2 op 3 bedrijven zijn elk jaar slachtoffer van minstens 1 intern incident. Hoeveel gezichten heeft een insider threat en hoe beschermt u zich ertegen?
Menace interne
Pendant le confinement, les hackers ont lancé 19 % d’attaques d’hameçonnage en plus que d’habitude. Ils ont tenté de profiter de la vulnérabilité des postes de télétravail afin de voler des données ou de répandre des maliciels.
Top 3 des cyberincidents en 2020
1. Hameçonnage : 35 %
2. Malware: 16%, waarvan 52% een virus en 33% ransomware
3. Harponnage : 16 %
75 %
20 %
5 %
75 % Attaque externe
20 % Menace interne
5 % Inconnu
75 % des incidents proviennent de l’extérieur
3 répondants sur 4 ont connu un incident provenant de l’extérieur de l’entreprise, alors qu’un cinquième d’entre eux ont été victimes d’une menace interne.
Un incident
n’est pas toujours visible
Pour 7 répondants sur 10, l’incident a été détecté en interne.
Pour 15 % d’entre eux, la détection a été faite par un tiers.
Un incident n’est pas toujours détectable.
Découverte en interne : 69 %
Signalement par un tiers : 16 %
Je ne sais pas : 2 %
Autre : 13 %
16 %
69 %
13 %
2 %
Fait marquant : 92 % des entreprises qui ont connu un incident sont inquiètes, voire très inquiètes, à l’idée d’être à nouveau prises pour cibles. Parmi les entreprises qui n’ont encore jamais été attaquées, 18 % affirment ne pas être inquiètes.
L’impact d’un incident est souvent considérable
Dans 85 % des cas, l’incident n’a heureusement pas occasionné de perte de données. Dans 4 % des cas, c’est malheureusement l’inverse qui s’est produit. Mais le plus marquant, et préoccupant, c’est que 11 % des entreprises impactées ignorent si elles ont perdu des données.
de pertes de données d’entreprise
Dans 9 % des cas, l’incident était de nature à empêcher les collaborateurs de poursuivre leur travail.
de chômage technique
94 % des entreprises touchées par un incident ont réussi à reprendre le contrôle dans les 4 semaines.
Une entreprise sur 20 a mis six mois pour le faire, avec de graves conséquences pour son organisation. Une enquête menée par l’assureur Van Breda a montré que 38 % des cyberattaques entraînent un arrêt des activités de l’entreprise.
d’arrêt des activités
2 %
2 %
77 %
15 %
2 %
2 %
de frais réels
Selon l’assureur Hiscox, les entreprises belges estiment mal le coût d’un incident de cybersécurité. Un piratage coûterait selon elles 9.000 euros alors qu’en réalité, le préjudice s’élève en moyenne à 136.000 euros. Une cyberattaque peut faire perdre jusqu’à 133.000 euros à une petite entreprise belge qui fait 500.000 euros de chiffre d’affaires. C’est surtout l’arrêt des systèmes informatiques, et donc de la planification et de la production, qui coûte des sommes faramineuses à l’entreprise.
Bon nombre de répondants ont trouvé difficile d’exprimer les pertes liées à un incident en pourcentage du chiffre d’affaires annuel. Les incidents ont été détectés à temps, certains sans conséquences financières. D’autres ont engendré des coûts pour le colmatage des vulnérabilités et la sensibilisation accrue du personnel aux cybermenaces.
Temps nécessaire pour reprendre le contrôle
Moins d’une semaine : 77 %
De 1 à 4 semaines : 15 %
De 3 à 6 mois : 2 %
Plus de 6 mois : 2 %
Le problème n’est pas encore résolu : 2 %
Je ne sais pas : 2 %
50 % des organisations n’ont pas de stratégie active en matière de cybersécurité
En Belgique et aux Pays-Bas, 1 entreprise sur 2 n’a pas de stratégie active en matière de cybersécurité ou ignore qu’elle en a une.
Qu’est-ce que la sécurité Zero Trust ?
La sécurité des systèmes d’information s’est longtemps limitée à interdire l’accès aux indésirables. Le modèle Zero Trust change les mentalités. Le point de départ de cette approche est qu’il ne faut faire confiance à personne. Au lieu d’interdire ce que l’on ne veut pas, le modèle Zero Trust se concentre sur ce qui est autorisé.
Des données d’entreprise sur des appareils mobiles
Les entreprises qui ont adopté un mode de travail hybride utilisent régulièrement des appareils mobiles et stockent leurs données d’entreprise dans le cloud. Ces technologies les exposent davantage au risque de cybermenaces.
Votre stratégie prévoit-elle de protéger les données d’entreprise stockées sur les appareils mobiles ?
1. Protection des informations
2. Prévention des menaces
3. Respect des réglementations
3 raisons majeures pour la mise en œuvre de mesures de cybersécurité
3 obstacles majeurs à la mise en œuvre de mesures de cybersécurité
La cybersécurité représente un coût assez élevé pour les entreprises, ce qui explique que peu ou pas de budget lui soit alloué. De nombreuses entreprises associent encore la cybersécurité à des coûts élevés et peu ou pas de ROI.
1. Financier
2. Culture d’entreprise
À défaut de stratégie portée par l’équipe de direction, les équipes ne perçoivent pas l’importance de la cybersécurité.
L’environnement IT – c’est souvent le cas des petites entreprises – est peu ou pas surveillé. Un manque de connaissances, de capacités et/ou de personnel en est souvent la cause.
3. Ressources
Près de 4 répondants sur 10 ont fait état d’un manque de personnel spécialisé au sein du département IT. Cette pénurie touche 43 % des entreprises de plus de 2.000 collaborateurs.
22 % des répondants ont même déclaré n’avoir aucun collaborateur affecté à la cybersécurité. 40 % des entreprises de moins de 100 collaborateurs n’ont pas d’équipe s’occupant de cybersécurité.
3 %
54 %
39 %
4 %
Nombre de spécialistes en cybersécurité au sein du département IT
Qui gère et surveille l’infrastructure de sécurité ?
Manque de
support IT
Priorités en matière de cybersécurité pour 2021
Uit het onderzoek is gebleken dat er bij vele bedrijven nog een tekort aan IT-support is. Daarnaast zijn er ook bedrijven die geen strategie hebben of deze nog aan het ontwikkelen zijn.
1 op de 4 bedrijven geven geen cybersecurity awareness trainingen aan hun medewerkers.
Onze respondenten voelen aan dat het beter kan. De drie grootste cybersecurityprioriteiten voor 2021 zijn dan ook:
bewustmaking en opleiding bij medewerkers
investeren in technologie
het uitwerken van een cybersecuritystrategie
1.
2.
3.
30 %
31 %
6 %
7 %
26 %
L’organisation de petites actions plusieurs fois par an (p. ex. campagne d’affichage, comptoir d’information dans un lieu de passage) est bien plus efficace. La cybercriminalité connaît une évolution vertigineuse. Il est donc essentiel d’y rester attentif et de former ses collaborateurs. Grâce à des mini-formations (en ligne), vous vous assurez que vos équipes sont en permanence au courant de l’approche de l’entreprise en matière de sécurité.
Protégez votre entreprise en 4 étapes
Découvrez l’approche 360° de Proximus pour la protection de votre organisation. Choisissez entre une solution totale ou des services spécifiques en fonction de vos besoins.
Les 13 tendances et dangers majeurs de cybersécurité en 2021
Le paysage de la cybersécurité est en constante évolution. Il est préférable de préparer votre organisation à la protection des nouvelles technologies et aux éventuels incidents de cybersécurité.