Bonne nouvelle, année après année, le niveau de maturité cyber des entreprises françaises augmente. Selon la dernière édition du benchmark du cabinet de conseil Wavestone, ce taux de maturité atteint 49 %, soit une progression de trois points en un an. 

*Ce taux de maturité est mesuré par rapport aux référentiels internationaux NIST CSF et ISO 27001/2. Les données sont issues d’évaluations individuelles d’une centaine d’organisations de plus de 10 000 employés. 

Le NIST Cybersecurity Framework (NIST CSF) est un framework de cybersécurité publié par le National Institute of Standards and Technology pour faciliter la gestion des risques cyber dans les organisations. L’ISO 27001/2 est une norme internationale de sécurité des systèmes d’information.

Ce chiffre masque cependant une grande hétérogénéité en fonction des secteurs d’activité. Sans surprise, le monde de la finance, particulièrement réglementé, atteint le score le plus élevé (59,2 %, +4,8 points). A l’autre bout du spectre, on trouve le secteur public (36,1 %, -0,9 point).

Disposant de peu de ressources financières et humaines et maniant des données sensibles, les établissements de santé et les collectivités locales et territoriales sont particulièrement exposés. Parmi les cas de cyberattaques les plus récents, on peut citer les centres hospitaliers de Versailles et de Corbeil-Essonnes, les mairies de Brunoy et de Chaville ou les conseils départementaux de Seine-et-Marne et des Alpes-Maritimes. Tous ces acteurs publics ont été hackés par des gangs de ransomware et ont vus leur activité partiellement ou totalement paralysée

Entre ces deux extrêmes, l’industrie (49,4 %, +4,6 points) fait d’importants efforts pour rattraper son retard. La cybersécurité a longtemps été le parent pauvre de ce secteur alors que la convergence entre les infrastructures IT et les réseaux opérationnels (OT) augmente sa surface d’expositions aux risques. 

Les entreprises soumises aux réglementations sur la sécurité des infrastructures critiques (directive NIS, loi de programmation militaire), comme les OSE (Opérateurs de services essentiels), et les OIV (Opérateurs d’importance vitale), se montrent logiquement plus matures (56,1% versus 46,4%).

Selon le benchmark de Wavestone, 23% des grandes organisations évaluées restent très fragiles aux risques d’attaque par ransomware, contre 30% l’an dernier. L’effet de taille joue. Les grands comptes du CAC40 ou FTSE100 sont des cibles moins faciles, avec un niveau de maturité proche des 60%.

Les ressources dégagées pèsent aussi sur la balance. On compte environ une personne dédiée à la cybersécurité pour 1300 employés. Un chiffre déjà très bas, mais qui, là encore, cache des disparités sectorielles. Le ratio n’est que de 1 sur 358 dans la finance, mais de 1 sur 2 996 dans les services publics.

L’étude montre, par ailleurs, de nombreux trous dans la raquette. Hors du secteur de la finance, seules 40 % des entreprises améliorent continuellement leurs cyber réponses en matière gestion des incidents, 11 % auditent régulièrement leurs fournisseurs et 9 % testent les scénarios de leur plan de continuité d’activité (PCA) au moins tous les deux ans.

La stratégie zero trust est encore faiblement déployée avec seulement 24% des organisations ayant mis en place une micro-segmentation automatique de leur SI. 

Dans le domaine du cloud, on parle encore de 38 % des entreprises qui se reposent uniquement sur les alertes de leur provider (contre 42 % en 2022) et 14% des organisations ont mis en place une authentification multi-facteurs ou un bastion (rebond intermédiaire) pour l’accès à la console d’administration.

Avec cet accroissement de la menace, la souveraineté dans le monde cyber est devenu un enjeu clé. Selon le dernier baromètre annuel du Club des experts de la sécurité de l’information et du numérique (Cesin), six entreprises sur dix se disent préoccupées par les sujets de souveraineté et de cloud de confiance. L’attente est forte autour d’un rééquilibrage des forces et le développement de solutions dites de confiance en France et en Europe.

De fait, les fournisseurs spécialisés dans la cybersécurité sont majoritairement anglo-saxons et israéliens. Du côté du cloud, les trois hyperscalers américains – AWS, Microsoft Azure, Google Cloud – accaparent les trois-quarts du marché français.

Pour le Cesin, la culture cyber n’est toujours pas suffisamment ancrée dans les organisations. Seuls deux tiers des utilisateurs respectent les recommandations émises en interne alors que la négligence et les erreurs de manipulation constituent la principale cause d’incidents (38 %).

De nouvelles approches plus engageantes pour sensibiliser les collaborateurs sont apparues ces dernières années. Des éditeurs comme Conscio Technologies ou Mailinblack proposent de simuler des cyberattaques ultra réalistes. Ils procèdent à l’envoi régulier de campagnes de faux e-mails permettant d’identifier les employés « à risque ».

Dans le jeu du chat et de la souris que se livrent en permanence les cybercriminels et les experts en cybersécurité, ces derniers ne doivent pas oublier une dernière arme à leur disposition : le chiffrement.

A la différence de la protection active, efficace, mais complexe à mettre en place, la protection passive repose sur des choix du design de l’architecture du SI, en mode natif. A cet égard, le chiffrement des données peut s’appliquer dès la création d’un fichier, de manière transparente pour l’utilisateur, sans délai ni perte de temps.

”By design”, la cybersécurité doit être systématiquement prise en compte dès le début d’un projet.