Face à l’intensification des attaques malveillantes, la cybersécurité soulève des questions de plus en plus pressantes pour les DSI, directeurs métiers et autres membres du Comex. Découvrez comment ils appréhendent ces questions avec la 19e édition de l'étude EY sur la sécurité de l'information. Plus d'informations : http://www.ey.com/fr/fr/services/advisory/ey-etude-mondiale-sur-la-securite-de-l-information-cap-su-la-cyberresilience-anticiper-resister-reagir

1. Page 1
19e édition de l’étude EY sur la sécurité de
l’information (2016)
Cap sur la cyberrésilience :
anticiper, résister, réagir

2. Page 2
Avant-propos
1735professionnels
pays
72
22
secteurs
d’activité
Face à l’intensification des attaques malveillantes, la
cybersécurité soulève des questions de plus en plus pressantes
pour les DSI, directeurs métiers et autres membres du Comex.
► Aiguisez vos sens : êtes-vous en mesure d’identifier les
cybercriminels avant qu’ils n’attaquent ? Votre système de
protection vous informe-t-il lorsque l’un d’entre eux
commence à affaiblir ou attaquer votre organisation ?
Pouvez-vous repérer un attaquant qui se dissimule dans
votre réseau ?
► Renforcez vos défenses : et si la prochaine attaque était
beaucoup plus sophistiquée que celles que vous aviez
connues jusqu’à présent ? Vos défenses pourraient-elles en
supporter d’un genre nouveau, beaucoup plus puissantes ?
► Réagissez plus efficacement : en cas de cyberattaque,
quelle stratégie choisirez-vous d’adopter en premier ?
Réparer le plus vite possible les dégâts occasionnés ?
Collecter les preuves pour entamer une procédure
judiciaire ?
Composition du panel

3. Page 3
Quelle dynamique : cyberrésilience ou
cyberagilité ?

4. Page 4
Face à la digitalisation : évolution des systèmes
de protection

5. Page 5
Cyberrésilience : trois phases clefs d’action

6. Page 6
Une dynamique lancée, mais de nouveaux
efforts à faire
Anticiper
(voir les menaces
arriver)
Résister
(le bouclier de
l’organisation)
Réagir
(se remettre de
l’attaque)
Dans quels domaines les
organisations placent-
elles leurs priorités ?
Moyen Fort Faible
Dans quels domaines
investissent-elles ? Moyen Fort Faible
Engagement du comité
exécutif et des C-Suites Faible Fort Faible
Qualité du reporting à la
direction ou au comité
exécutif
Faible Moyen Faible

7. Page 7
Anticiper

8. Page 8
Une confiance qui augmente mais des principes
élémentaires encore trop méconnus
des répondants n’ont pas de SOC44%
n’ont pas de stratégie de veille
des cybermenaces, ou seulement
de manière informelle
64%
n’ont pas de programme
d’identification des vulnérabilités,
ou seulement de manière
informelle
55%
50%
des organisations
déclarent être en
mesure de détecter
des attaques
sophistiquées, le
niveau de confiance
le plus haut depuis
2013

9. Page 9
Quatre domaines où investir
Les incidents sans
dégâts apparents
L’écosystème Les objets
connectés
La collaboration
62%
n’augmenteraient pas
leurs dépenses de
cybersécurité suite à un
incident sans dégâts
apparents. Or chaque
attaque cause des
dégâts, ils n’ont sans
doute pas encore été
décelés
68%
n’augmenteraient pas
leur budget de
cybersécurité si l’un de
leurs fournisseurs était
attaqué, pourtant il
constitue pour
l’attaquant un accès
direct à l’organisation
49%
s’interrogent sur leur
capacité à traquer les
trafics suspects au-delà
de leurs réseaux
49%
des SOC collaborent et
partagent leurs
données avec d’autres

10. Page 10
Résister

11. Page 11
Activer ses défenses
déclarent que leur programme
de cybersécurité ne répond
pas pleinement aux besoins de
leur organisation
ont récemment subi un
incident important de
cybersécurité
jugent mature la sécurité
de leurs applications
jugent mature leur gestion
des identités et des accès

12. Page 12
Les principales menaces et vulnérabilités
55%
salariés non
sensibilisés
54%
accès sans
autorisation
52%
logiciels
malveillants
51%
phishing
VULNERABILITES
MENACES

13. Page 13
Les obstacles majeurs dans la gestion de la
sécurité des SI
56%
manque de
personnel
compétent
54%
manque de
sensibilisation ou
de soutien des
cadres
61%
contraintes
budgétaires

14. Page 14
Réagir

15. Page 15
Priorités vs. investissements
57%
continuité
d’activité / reprise
après un sinistre
57%
prévention des
fuites / perte de
données
49%
sensibilisation des
salariés et
formation
46%
gestion des
incidents de
sécurité et SOC
PRIORITES
INVESTISSEMENTS

16. Page 16
Gestion de crise : des organisations trop peu
préparées
des répondants ne
disposent pas d’une
stratégie ou d’un plan de
communication établi en
cas d’attaque significative
42%
affirment qu’ils feraient une
déclaration publique dans
les médias dans les 7 jours
qui suivent une attaque
39%
ne tiendraient pas informés
leurs consommateurs,
même si les données
compromises les
concernaient
46%
ne tiendraient pas informés
leurs fournisseurs, même si
les données compromises
les concernaient
56%

17. Page 17
Sécurité des SI : une gestion très souvent faite
en interne
des répondants pratiquent
l’auto-hameçonnage (self-
phishing)
déploient leurs propres
tests d’intrusion
effectuent leurs propres
recherches d’incidents
analysent eux-mêmes les
menaces et vulnérabilités

18. Page 18
Les caractéristiques d’une organisation
cyberrésiliente

19. Page 19
Les sept points clefs
Acquérir une fine
connaissance de
l’organisation pour
mieux la mobiliser
en cas d’attaque
01
02
03
04
05
06
07
Cartographie
l’écosystème
Identifier les
informations
prioritaires et actifs
stratégiques
Collaborer pour
réduire les facteurs
de risque
Faire preuve d’un
leadership
exceptionnel dans
l’encadrement de
ses équipes
Instaurer une
culture du
changement
Mener des
investigations
formelles et préparer
d’éventuelles
poursuites judiciaires

20. Page 20
Pour aller plus loin
Créer les conditions de
la confiance dans le
monde digital
Renforcer la sécurité
de vos opérations par
une défense active
La data science au
service de la
cybersécurité : pour
une troisième
génération de SOC
La vie privée peut-elle
encore être protégée ?
Focus sur la stratégie
de veille des
cybermenaces
Répondre aux
cyberattaques
Gérer un SOC (centre
des opérations de
sécurité)
Gestion des services de
sécurité des logiciels :
construire un centre de
service d’excellence

21. Page 21
EY | Audit | Conseil | Fiscalité et Droit | Transactions
EY est un des leaders mondiaux de l’audit, du conseil, de la fiscalité
et du droit, des transactions. Partout dans le monde, notre expertise
et la qualité de nos services contribuent à créer les conditions de la
confiance dans l’économie et les marchés financiers. Nous faisons
grandir les talents afin qu’ensemble, ils accompagnent les
organisations vers une croissance pérenne. C’est ainsi que nous
jouons un rôle actif dans la construction d’un monde plus juste et
plus équilibré pour nos équipes, nos clients et la société dans son
ensemble.
EY désigne l’organisation mondiale et peut faire référence à l’un ou
plusieurs des membres d’Ernst & Young Global Limited, dont chacun
est une entité juridique distincte. Ernst & Young Global Limited,
société britannique à responsabilité limitée par garantie, ne fournit
pas de prestations aux clients. Retrouvez plus d’informations sur
notre organisation sur www.ey.com.
© 2017 Ernst & Young Advisory
Tous droits réservés.
ED none
Document imprimé conformément à l’engagement d’EY de réduire son
empreinte sur l’environnement.
Cette publication a valeur d’information générale et ne saurait se substituer à un
conseil professionnel en matière comptable, fiscale ou autre. Pour toute
question spécifique, vous devez vous adresser à vos conseillers.
ey.com/fr
Contact
Marc Ayadi
Associé, Ernst & Young Advisory
Tél. : +33 1 46 93 73 92
Email : marc.ayadi@fr.ey.com