Etendre la sécurité à l’écosystème
74 % des entreprises ne surveillent toujours pas les accès d’appareils non-autorisés, a chiffré CyberVadis. La notion d’écosystème reste floue.
Du périmètre à l’écosystème. Lorsque les ordinateurs quittent le périmètre du bureau et que les employés accèdent aux informations à distance, le risque de vulnérabilité pour ces données augmente. La crise sanitaire le montre chaque jour.
Or, seulement 42 % des entreprises ont mis en place des méthodes d’authentification forte pour gérer les accès à distance de leurs employés et tiers. Et à peine une organisation sur quatre autorise l’accès au réseau interne uniquement aux appareils professionnels. Autrement dit, près de trois quarts des entreprises ne possèderaient donc toujours pas de systèmes permettant de vérifier que des appareils non autorisés n’accèdent pas à leurs réseaux et actifs.
Les appareils non gérés par l’entreprise ne sont pas pris en compte
Les recherches de CyberVadis révèlent que 28 % des entreprises ont une autorisation de processus d’attribution d’appareils personnels avec accès aux systèmes d’information. Seuls 15 % des répondants déclarent avoir effectué des contrôles de sécurité sur les appareils non gérés par l’entreprise avant de laisser ces derniers se connecter au réseau interne. Et ce, malgré un risque lié à l’utilisation de cet appareil par des membres du foyer.
«Il est indispensable d’évaluer le niveau de vulnérabilité non seulement de ses propres systèmes, mais de l’ensemble de l’écosystème de l’entreprise, explique Estelle Joly, VP Strategy & Operations, CyberVadis. Si une organisation est mature dans la gestion de sa cybersécurité mais que ses partenaires, fournisseurs ou employés en télétravail ne le sont pas, ils constituent une porte d’entrée pour les potentiels attaquants.»
Seulement un tiers (34 %) des entreprises évalue l’engagement contractuel de leurs fournisseurs et partenaires tiers périodiquement. Et 25 % gèrent les risques de leurs fournisseurs de cloud.
Une hygiène de sécurité standard toujours en souffrance
Dans le cas d’appareils gérés par l’entreprise, les mesures pourtant considérées comme standard, ne semblent pas largement mises en œuvre. Par exemple, 36 % des entreprises interrogées chiffrent leurs postes de travail. 24 % bloquent l’utilisation de ports USB. Et seulement 12 % évaluent, testent et valident les correctifs en amont de leur application. Ce qui reste bien trop peu dans un contexte de surface d’attaque étendue. En outre, 43 % des entreprises indiquent ne conduire des campagnes de sensibilisation à la sécurité que de manière périodique, laissant les employés seuls face aux attaques de phishing la majeure partie du temps.
Un grand nombre de pratiques en matière de sécurité, considérées comme essentielles pour la nouvelle normalité, ne sont pas encore en place. Alors que les cybermenaces sont omniprésentes, les organisations doivent disposer d’une vision du risque cybersécurité précise et argumentée sur l’ensemble de leurs infrastructures, mais aussi sur leurs fournisseurs, partenaires ou encore consultants externes. C’est la seule façon d’être en mesure de maintenir leur activité et de lutter contre les cyberattaques.
