Paris, le 7 juin 2022 - Une nouvelle étude de PAC révèle que 41 % des entreprises françaises sont moins matures en termes de cybersécurité qu’elles ne le pensent. Bien que 53 % des entreprises françaises interrogées considèrent leur niveau de maturité en cybersécurité comme élevé, cette perception ne reflète pas la réalité du terrain car elles sont nombreuses à ne pas avoir mis en place les mesures et les dispositifs indispensables pour l’atteindre.
Il est par exemple surprenant de constater que 14% des entreprises ayant déclaré́ avoir une maturité́ en cybersécurité́ très enlevée n’ont pas mis en place de stratégie de cybersécurité́.
En outre, l’engagement du Comex dans la prise de décisions concernant la cybersécurité reste faible : seulement 41% des entreprises ayant mis en place une stratégie de cybersécurité́ la décident au
niveau de la direction générale et du COMEX. Le manque est encore plus apparent en matière de suivi régulier car seulement un RSSI (Responsable de la Sécurité des Systèmes d’Informations) sur cinq reporte au Comex ou à la direction générale.
L’implication du Comex est pourtant une condition sine quoi non pour aligner la stratégie de l’entreprise en matière de cybersécurité aux enjeux « business » et métiers.
Le budget dédié à la cybersécurité reste aussi assez restreint. Ainsi, 62% des entreprises consacrent moins de 5% de leur budget IT à la cybersécurité. Toutefois, la prise de conscience
est aussi au rendez-vous. Une grande majorité des entreprises interrogées a prévu de rattraper ce retard en investissement et souhaitent augmenter leur budget dédié́ à la cybersécurité́ dans les deux
prochaines années dont 52% avec une augmentation de plus de 10%.
La sensibilisation et la formation des collaborateurs est une mesure clé de prévention, mise en place par 65% des entreprises interrogées. Cela montre que les entreprises sont conscientes de l’importance du
facteur humain en termes de cybersécurité́. L’efficacité de ces formations dépend toutefois de la volonté des collaborateurs d’adhérer aux bonnes pratiques et la résistance au changement des collaborateurs figure dans les principaux défis auxquels sont confrontées les entreprises interrogées,
juste derrière la complexité du paysage informatique et la pénurie des talents.
Source © PAC, 2022 – Infographie Cybersécurité
L’enquête a aussi mis en exergue des lacunes au niveau de la mise en place des technologies essentielles. Par exemple, les dispositifs de gouvernance, risque, et conformité́ (GRC – Gestion de la Relation Client), indispensables
à la fois pour la conformité réglementaire et pour la bonne image des entreprises, ont été mis en place par environ une entreprise sur deux. Il en va de même pour les dispositifs de sécurité du cloud mis en place par seulement 44% des entreprises interrogées.
La situation est encore moins réjouissante avec les dispositifs de pointe de cybersécurité tels que les SOC (Security Operations Center) de nouvelle génération, zero trust (SASE – Secure Access Service Edge, microsegmentation)
et une démarche « paswordless » généralisé, multi-factor (MFA) et contextuelle. Moins d’un tiers des entreprises interrogées en ont mis en place. Il est assez étonnant de constater que les
entreprises qui n’ont pas prévu de mettre en place ces solutions l’expliquent par l’absence de valeur ajoutée de ces dispositifs, tandis que les entreprises qui les ont mis en place soulignent les nombreux bénéfices
qu’elles ont pu constater. Ceci explique l’importance du travail de sensibilisation que les éditeurs et les prestataires de services doivent faire sur le caractère indispensable de ces solutions auprès de leurs clients.
Malgré cela, on constate une évolution globale des approches envers la cybersécurité. Conscientes que la cybersécurité parfaite n’existe pas, de plus en plus d’entreprises pensent en termes de cyberrésilience.
Comme le montrent les résultats de notre enquête, environ une entreprise sur deux a mis en œuvre les dispositifs de gestion de crise et de cyberrésilience. Les prestataires de services ont un rôle clé
à jouer pour aider les entreprises à mieux comprendre leur maturité en cybersécurité et les accompagner envers le niveau souhaité.
« Cybermenaces et cyberattaques engendrent une inquiétude, légitime, sur la capacité d’une organisation à pouvoir maintenir ses activités, protéger ses secrets et préserver ses collaborateurs
comme ses clients. En réponse, la cybersécurité est devenue un enjeu crucial permettant d’assurer la pérennité des activités, la souveraineté et l’indépendance de l’organisation.
Cette étude met l’accent sur les grands défis et enjeux de cybersécurité auxquels les organisations sont confrontées et éclaire sur leur manque de maturité dans la mise en place d’un dispositif
permettant d’atteindre un niveau de risque acceptable au regard de son exposition. Tant que ce sujet ne sera pas pris suffisamment en considération par les COMEX avec des moyens et une attention dédiée, les menaces qui planent
sur les organisations peuvent s’avérer dévastatrices. »
Fabien Lecoq
Directeur Cybersécurité Sopra Steria
Découvrir l'étude
A propos de l'étude
Cette étude PAC sur la cybersécurité en France a été rendue possible grâce au soutien de deux sponsors : Sopra Steria et Inetum / Illex International. Le partenariat avec le CRiP et l’engagement actif
de ses membres dans l’enquête menée nous a permis d’élargir notre échantillon et assurer la fiabilité des résultats.
L’échantillon est composé des 350 entreprises françaises, grandes entreprises (43%) et ETI (54%), de différents secteurs. Tous les participants sont impliqués dans la prise de décision sur les initiatives
de leur entreprise concernant la cybersécurité́ (DSI, RSSI, Directeur...).