Non seulement conscient, mais aussi résilient : un élément fondamental d’une stratégie de cybersécurité est la sensibilisation des employés, c’est-à-dire la prise de conscience des menaces cybernétiques existantes. Associé à la connaissance de l’emplacement des dangers, de leur apparence, de la manière de se comporter en cas d’urgence et de la meilleure façon de se protéger, la cyberrésilience, la résistance des entreprises aux menaces cybernétiques, peut être considérablement augmentée.

La cyberrésilience est plus que la cybersécurité. Ce dernier n’est qu’un élément d’une stratégie globale visant à renforcer la résilience de l’informatique face aux cyberattaques. La cyber-résilience va bien au-delà de la cybersécurité et adopte une approche globale pour protéger l’informatique et assurer et reprendre les opérations après les attaques.

Objectif : Robustesse permanente des systèmes informatiques

L’objectif est de créer un haut niveau de robustesse de l’infrastructure informatique d’une entreprise ou d’une organisation face aux diverses menaces et de minimiser le risque de défaillances opérationnelles. Un prérequis important pour le succès d’un programme de résilience est la promotion active de toutes les activités par la direction. La cyberrésilience doit également être une priorité absolue. À tous les niveaux, la direction doit clairement indiquer qu’une situation de menace potentielle constante doit être supposée.

Bien que la cybersécurité soit adaptée à la protection des données, des réseaux et des systèmes informatiques contre les cyberattaques et ainsi à la réduction du risque de devenir victime d’une attaque, la résilience ne se limite pas à la minimisation des risques : elle fournit également des mesures, des processus et des méthodes pour assurer les opérations pendant une attaque ou pour reprendre rapidement les opérations après celle-ci. Il garantit donc un haut niveau de résilience et de robustesse de l’ensemble de l’organisation et de l’infrastructure informatique. Les programmes de résilience nécessitent donc une pensée holistique et une action rapide et agile en cas d’attaque.

Seulement 36 % des entreprises sont très résilientes

Cependant, selon une étude menée par Greenbone Networks en coopération avec l’institut d’études de marché Frost & Sullivan, seulement 36 % des entreprises des cinq plus grandes économies mondiales (Allemagne, Chine, Grande-Bretagne, États-Unis, Japon) ont atteint un haut niveau de cyberrésilience. Les États-Unis obtiennent les meilleurs résultats : ici, 50 % des entreprises interrogées sont déjà très résilientes. L’Europe accuse toujours un retard à 36 %. Le Japon est en retrait avec 22 %.

Dans une comparaison sectorielle à travers tous les pays, les entreprises financières et de télécommunications (46 %) sont les mieux équipées contre les cyberattaques, suivies par les secteurs de l’eau (36 %), de la santé (34 %) et de l’énergie (32 %). Les entreprises de transport se voient dans la pire position. Seuls 22 % d’entre eux ont atteint un haut niveau de résilience.

Qu’est-ce qui distingue les entreprises très résilientes et que peuvent faire les organisations pour devenir elles-mêmes plus résilientes face aux cyberattaques ?

Formation de sensibilisation : Grâce à la formation, les entreprises résilientes se préparent de manière ciblée. En cas d’incident cybernétique, ils sont capables de mettre rapidement en place de nouveaux processus ou d’adapter ceux existants pour combler les failles de sécurité et se remettre rapidement après les attaques.

Identifier les vulnérabilités : 93 % des organisations très résilientes sont capables de le faire, mais seulement 41 % de celles ayant une faible résilience. Dans cette discipline, l’étude a identifié la plus grande différence entre une résilience cybernétique élevée et basse. Ce n’est que si une organisation est consciente de ses faiblesses – qu’elles soient techniques ou organisationnelles – qu’elle peut les éliminer et réduire sa surface d’attaque. 94 % des entreprises très résilientes affirment être très compétentes dans ce domaine, contre seulement 43 % de celles qui ont une faible résilience.

Agilité d’une organisation pour répondre rapidement aux menaces et attaques émergentes : 96 % des organisations très résilientes sont également capables d’atténuer l’impact d’une cyberattaque sur les processus métier critiques. Ce qui les distingue également des organisations à faible résilience, c’est qu’elles ont aligné leur architecture de cybersécurité avec leurs processus métier.

Responsabilités et processus clairs : Ils permettent de mobiliser rapidement les bonnes personnes en cas d’urgence et de repousser les attaques avant que des dégâts majeurs ne surviennent. Par exemple, comme bonne pratique, il est apparu que le propriétaire d’un actif numérique devrait également être responsable de sa sécurité. C’est le cas dans 95 % des entreprises très résilientes. Le propriétaire peut être une seule personne ainsi qu’un service.

Soutien de prestataires de services externes : 97 % des répondants cherchent de l’aide externe pour choisir la bonne technologie.

Sensibilisation à la résilience

On pourrait aussi dire que la cyber-résilience est l’avenir de la sécurité informatique. Il ne s’agit pas seulement de prendre des mesures techniques et organisationnelles pour prévenir les cyberincidents. Parce que cela ne pourra jamais être totalement réussi de toute façon. L’objectif est plutôt de rester opérationnel et de minimiser les dégâts même en cas d’attaque réussie. La cyberrésilience adopte l’approche de créer une sécurité à partir des processus métier plutôt que de construire un mur protecteur autour de ceux-ci.