Globalement, un meilleur niveau de maturité. Les programmes de sensibilisation à la cybersécurité gagnent du terrain, observe le SANS Security Awareness. Qui relève encore des carences.

Hier, les services des communications étaient le principal obstacle à la réussite des programmes de sensibilisation à la cybersécurité. Aujourd’hui, indique le SANS Security Awareness dans son rapport 2018, ce sont les finances et les opérations qui sont les principaux facteurs de blocage. L’organisation suggère plus de communication entre les départements.

«À la lumière des récentes violations importantes telles que celles subies par Equifax, Yahoo ! et l’attaque de ransomware de WannaCry et compte tenu des nouvelles réglementations comme le GDPR qui met l’accent sur la protection des données, un nouveau sentiment d’urgence en matière de cybersécurité est en train d’émerger qui suscite à la fois soutien et changement, déclare Lance Spitzner, Director, SANS Security Awarness. La sensibilisation à la sécurité peut s’avérer difficile, mais c’est nécessaire et cela en vaut la peine.»

Le rapport fait aussi clairement apparaître les domaines dans lesquels peu de progrès ont été réalisés. De nombreux professionnels responsables de la mise en œuvre de leur programme de sensibilisation continuent d’être confrontés à un manque de temps, de budget et de ressources. De plus, la majorité des professionnels de la sensibilisation sont toujours issus d’une formation technique, avec moins de 20 % provenant de domaines non techniques tels que les communications, le marketing, le juridique ou les ressources humaines.

«Le rapport révèle qu’une nette majorité (80 %) des professionnels de la sensibilisation à la sécurité considèrent que leur programme de sensibilisation ne représente qu’une partie de leurs responsabilités professionnelles, déclare Dan DeBeaubien, Product Director, SANS Security Awareness. Beaucoup prétendent ne pas avoir de budget pour un programme de sensibilisation ou ne pas savoir quel est leur budget, et la plupart n’ont pas les compétences et/ou l’expérience nécessaires pour communiquer efficacement le programme aux employés et pour les impliquer activement.».

Bien que le domaine de la sensibilisation à la cybersécurité soit encore très immature, plusieurs indices donnent à penser que les programmes de sensibilisation commencent à gagner du terrain parmi les entreprises. Par exemple, 85 % des personnes interrogées déclarent que leur travail a un impact positif sur la sécurité de leur organisation. De plus, 71 % s’identifient à l’étape «comportementale» ou plus dans le Security Awareness Maturity Model, en hausse par rapport aux 65 % rapportés en 2017.