Cyber Benchmark 2023 : quel niveau de maturité du marché ?

Le score attribué par le Cyber Benchmark est relatif aux exigences des normes internationales NIST Cybersecurity Framework et ISO 27001/2. Les résultats liés aux piliers NIST (identifier les risques, protéger, détecter, réagir) sont relativement homogènes : . En revanche, avec 43% de maturité seulement, la reconstruction à la suite d’une attaque reste le parent pauvre des stratégies de cybersécurité des grands groupes et entreprises.

Alors que les cyberattaques se multiplient (criminalité, hacktivisme, Etats) dans un contexte géopolitique bouleversé, les entreprises se retrouvent confrontées à une accélération de leur transformation numérique. Mais sont-elles vraiment équipées face aux menaces ? Quels sont les secteurs les plus matures en terme de cybersécurité ? Quels atouts les grandes organisations ont-elles à leur disposition, et de quels pièges doivent-elles se méfier ?

Les stratégies de réaction sont renforcées par des outils de détection : 29% (+11 points) des organisations améliorent continuellement le traitement et l’utilisation opérationnelle des IOC, 58% (+15 points) disposent de sondes de détection connectées au SIEM, et 22% (+3 points) ont commencé à déployer des sondes d’analyse comportementale.

Les priorités d’investissements des dernières années montrent une volonté de mieux gérer les attaques et de réduire leur impact opérationnel.

En matière de résilience, une ligne claire sépare le secteur financier du reste des organisations. Pourtant, les risques sont bien présents et toutes les entreprises sont concernées.

• Alors que 70% des acteurs financiers revoient régulièrement leurs risques résiduels au niveau de leur Plan de Traitement des Risques (PTR), seulement 28% des entreprises des autres secteurs font de même.
• 60% des entreprises de la Finance améliorent continuellement leurs processus pour la gestion des incidents de sécurité, et possèdent différents plans de cyber-réponse en fonction des scénarios. C’est seulement 40% dans le reste des secteurs.
• En matière de sécurité des tiers, 60% des entreprises en Finance ont mis en place un processus pour auditer régulièrement leurs fournisseurs, en fonction de leur criticité – contre seulement 32% pour le reste des secteurs.
• Le plus marquant : 55% des entreprises financières testent tous les scénarios du Plan de Continuité d’Activité (PCA) au moins tous les deux ans (la réglementation DORA demande de le faire tous les ans). Seulement 9% des autres organisations effectuent ces tests.

Le Zero Trust est l’un des enjeux majeurs de ces prochaines années en cybersécurité. Quelques chiffres illustrent son implémentation actuelle.

• 24% des entreprises ont mis en place une micro-segmentation automatique en fonction de l’exposition, de la sensibilité, de l’environnement, etc. – déployée à hauteur de 32% en moyenne.
• 14% ont intégré du Zero Trust Network Access basé sur l’identité à leurs environnements Cloud – déployé à hauteur de 46% en moyenne.
• 28% prennent en compte la sensibilité des ressources et le contexte de connexion et appliquent une authentification multifacteurs (MFA) avec accès conditionnel – déployée à hauteur de 73% en moyenne.
• 13% ont commencé à déployer un Security Orchestration, Automation and Response ( permettant d’isoler les ressources lors de la détection d’une alerte – déployé à hauteur de 48% en moyenne.

Les prochaines réglementations, en particulier la déclinaison de la directive NIS2 (prévue fin 2023 et qui va toucher très largement le tissu économique national), seront clés pour faire progresser globalement la maturité du marché. Le défi : être attentif aux niveaux d’exigence pour permettre une progression, sans pour autant définir des objectifs irréalistes.