Jean-Noel De Galzain Président du directoire de Wallix
En 2015, des incidents plus nombreux et plus graves !
En 2015, le nombre d’incidents en Cybersécurité dans le monde a augmenté de 38%, +51% en France selon l’étude « The Global State of Information Security® Survey 2016 » réalisée par PWC. Cette année des exemples éloquents ont émaillé l’actualité, symptomes d’une escalade de l’ampleur des risques auxquels sont exposés des pans entiers de notre activité au quotidien. En 2015, le piratage du réseau bancaire SWIFT victime d’une attaque persistante, le piratage des dossiers fiscaux de plus de 100 000 contribuables américains, le détournement d’un avion en plein vol par un expert et la prise de contrôle de plusieurs voitures de marques connues, enfin le piratage d’un haut fourneau en Allemagne. Elles atteignent les plus grandes entreprises industrielles et les opérateurs de services dans tous les domaines, qu’elles soient publiques ou privées, pour alimenter un marché parallèle où l’on achète et l’on vend des données personnelles et confidentielles.
Il y a quelques jours encore, LinkedIn mettait en garde ses membres après avoir retrouvé 167Millions de comptes utilisateurs piratés en vente sur le web. A l’époque en 2012, était évoqué le chiffre de 6,5 millions d’enregistrements volés « selon la Police » !
Combien de temps encore utilisateurs et clients, citoyens et contribuables, allons-nous accepter en contrepartie des usages numériques, une sous estimation flagrante des risques de CyberSécurité ?
Une dynamique inarrêtable ?
Selon cette même étude, les incidents ont augmenté de 44% dans les plus grandes entreprises, de 64% dans les ETI. Que penser donc des PME ou des TPE qui sont bien souvent entièrement dépendantes de leurs prestataires et qui utilisent de plus en plus d’applications en ligne où les données sont stockées ?
A l’époque de la massification des objets connectés et du Big Data, on assiste à l’émergence de services en ligne hébergés dans des centres de données automatisés reliés entre eux par l’Internet pour constituer le cloud computing qui symbolise la transition vers le tout numérique externalisé. En témoignent les taux de croissance des industriels du Cloud Public, Amazon en tête, au delà de 80% en 2015.
Dès lors, doit-on s’étonner que les principales sources d’incidents restent la menace interne, les employés accédant à des données & systèmes sensibles, mais aussi les fournisseurs et prestataires de services internes et externes? Ils incarnent autant de défis à l’intelligence économique pour les entreprises et les Etats dans un monde où le numérique impacte durablement les organisations et le business des entreprises dans toutes les filières.
Un indicateur de mesure circule sur l’Internet parallèle, le DarWeb, où certaines données confidentielles (données de santé ou informations concurrentielles par exemple) peuvent se revendre jusqu’à 250$ voire 300$ le dossier utilisateur.
L’explosion des fuites de données n’est donc pas un hasard puisqu’il existe un marché, des acteurs ainsi qu’un voire plusieurs leviers à la prolifération des attaques informatiques. Pour permettre la transition vers l’Internet des Objets et l’industrie 4.0, la Cybersécurité est plus que jamais au coeur des enjeux du numérique, un enjeu vital partagé par les utilisateurs, les entreprises et les Etats.
Evolution réglementaire
En plein règne des GAFA, l’Europe a remis la protection des données personnelles au centre des enjeux de notre société et du jeu économique. De nouvelles réglementations sur la protection des risques informatiques vont impacter les investissements des entreprises en moyens de Cybersécurité dans le déploiement des services en ligne, l’interconnexion des réseaux industriels, le déploiement des objets connectés et plus largement l’hébergement de données sensibles à caractère personnel. En ce sens, le vote du Parlement Européen le 14 avril 2016 en faveur du Règlement européen sur la protection des données ouvre la voie à des sanctions pouvant aller jusqu’à 100 Millions € et 5% du chiffre d’affaires mondial des sociétés en cas de fuite de données, le montant le plus important étant retenu.
Il introduit la notion de responsabilité des acteurs économiques au plus haut niveau de l’entreprise et son organisation, dans la gouvernance des risques informatiques et la prévention de fuites de données massives.
Au delà des sanctions économiques, pointent d’autres risques en perte de crédibilité ou de confiance, les pertes financières ou l’arrêt de l’outil industriel aux conséquences vitales.
Jusqu’à présent la Cybersécurité restait une composante secondaire du budget informatique de l’entreprise en évolution de 24% dans le monde, 29% en France, à comparer avec l’évolution nettement plus importante du rythme des incidents. Elle constitue désormais une priorité en matière de compétitivité des entreprises et de crédibilité pour son management.