Cybersécurité - Innovations digitales et numériques

En Europe, les entreprises françaises sont en retard sur le Byod. Par exemple, plus de la moitié d'entre elles ne considère pas les smartphones comme faisant partie de cette problématique. Pour ce qui est de la connaissance des technologies de sécurisation, les entreprises françaises pointent à la cinquième place derrière celle du Benelux, de la zone Allemagne/Suisse et des pays nordiques. En outre, la majorité des sociétés de l'Hexagone considère que les problématiques de sécurité sont très difficiles à résoudre. D'après les conclusions de l'étude de Quorcica pour Oracle, les entreprises françaises sont de fait en phase d'apprentissage du Byod mais il reste beaucoup à faire pour leur expliquer comment adopter cette approche de manière sécurisée.

En novembre, les DSI estimaient qu'il faudrait en moyenne 11 M$ pour mettre à jour leurs applications mainframe obsolètes, soit 29% de plus qu'en mai 2012. À l'époque, ils avaient estimé le coût de cette opération à 8,5 M$. Plus de la moitié des 600 DSI interrogés à la demande de Micro Focus ont également assuré que leur entreprise continuerait de se baser sur ces applications, au moins pendant les dix prochaines années. En outre, 32% des répondants estiment que cette durée sera supérieure. En conséquence, 51% des DSI ont admis que leur entreprise était exposée à des problèmes de conformité et de sécurité.

« La sécurité informatique n’est pas une science exacte et aucune organisation n’est à l’abri d’un incident de sécurité, parce que la protection absolue est devenue totalement inaccessible. En tant qu’assureur spécialiste, notre rôle est de permettre à l’entreprise de travailler sur un transfert de ces risques spécifiques face à des conséquences stratégiques pour la survie de l’entreprise », conclut François Brisson.

Juliet Lodge, professeur à l’université de Leeds et membre du Privacy Expert Group au Biometrics Institute, commentant le rapport sur le rôle des machines, a expliqué que les deux scénarios envisagés impliquent une dépersonnalisation de l’individu, avec une identité, telle que nous la connaissons, qui semble être remplacée par le concept d’un code reconnaissable par la machine. « L’identité est devenue un petit bout d’algorithme qui peut être associé à un autre code », a expliqué le Pr. Lodge, soulignant les plus larges implications sur la personne qui a accès aux données personnelles, mais aussi en termes d’imposition et de tenue d’archives, d’emploi, d’accès aux services et d’intégration sociale. Les deux scénarios « soulèvent des questions éthiques stratégiques sur le modèle de société ainsi créé. »

Dernière petite note inattendue de l’étude, même s’ils ne sont pas inquiets, les Français sont en demande de nouvelles mesures de sécurité. Ils se sont majoritairement déclarés favorable, et quel que soit leur âge, à de nouvelles solutions de surveillance. 83% sont favorables à la vidéo surveillance, 82% sont pour les documents biométriques (carte d’identité ou permis de conduire).

Des efforts qui semblent vains puisque 27% des DSI seulement estiment que leur projet à été géré correctement. 31% des projets d'externalisation laisseraient en effet à désirer en termes de qualité et ne seraient pas effectués dans les temps alors que 23% d'entre eux ne correspondraient finalement pas aux besoins des entreprises. Le résultat est sans appel : 31% des DSI seraient ainsi menacés de perdre leur poste.

Dans les entreprises françaises, conserver les documents numériques est avant tout un projet technique à finalité juridique. C'est le premier enseignement de la récente étude « Archivage et conservation de contenus numériques, France 2014-2016 » menée par le cabinet Markess à l'occasion du salon Documation.

L’étude, intitulée « Cyberincident response : Are business leaders ready ? », révèle que, bien que 77 % des entreprises aient été victimes d’un cyberincident ces deux dernières années, plus d’un tiers (38 %) n’ont toujours pas mis en place de plan de réponse dans une telle éventualité. Seules 17 % des entreprises dans le monde se disent prêtes à affronter un cyberincident de sécurité.

Les entreprises mieux préparées qui disposent d’un plan de réponse aux incidents en confient généralement la conduite à leur service informatique, cependant la plupart d’entre elles font également appel à des ressources extérieures, principalement des experts de l’investigation informatique, des spécialistes du conseil juridique et des représentants des forces de l’ordre.

Essilor a misé sur le Corporate Owned Personnally Enabled (COPE) et le Bring Your Own Application (BYOA) qui embrasse la consumérisation de l’informatique de manière contrôlée. L’utilisateur peut utiliser le terminal et installer des applications à des fins personnelles. AirWatch permet de gérer et sécuriser les terminaux avec des codes de verrouillage et l’effacement des données à distance en cas de perte ou vol. Les terminaux accèdent à la messagerie, au calendrier, aux contacts professionnels et à des applications de bureautique pour la consultation et l’édition de documents. Des profils différents sont poussés sur le terminal de l’utilisateur selon son rôle dans l’entreprise et donnent accès à l’information et aux applications appropriées.

5 modèles de collaboration entre métiers et DSI

Forrester Research identifie 5 modèles pour le cycle de vie de choix et de mise en œuvre d’une solution technique informatique. Dans le premier, le métier ne fait jamais appel à la DSI. Il identifie le besoin, choisit les vendeurs et gère le vendeur et la solution, ainsi que son renouvellement.

Dans le deuxième modèle, le métier démarre le projet. Il identifie et choisit les vendeurs. C’est lors de la mise en œuvre de la solution que le métier débute l’implémentation et la passe à la DSI. La gestion du vendeur et de la solution est réalisée ensuite par la DSI.

Dans le troisième scénario, le métier identifie le besoin, finance et priorise le projet en dialoguant avec la DSI. Le choix de la solution et son implémentation sont réalisés en accord entre le métier et la DSI. La gestion de la solution est assurée par la DSI.

L’approche informatique classique

Dans une quatrième approche, celle des projets informatiques classiques destinés aux métiers, c’est la DSI qui identifie le besoin. Elle se rapproche du métier afin de le prioriser et de le financer. Les autres étapes de choix des solutions et de l’implémentation sont réalisées avec le métier. La gestion de la solution est assurée par la DSI. Enfin, dans le dernier scénario, la DSI gère toutes les étapes.

Selon l’étude (dont on retrouvera les données imagées sur cette page), 97% des applications testées ont accès à au moins une information privée (contacts, réseaux sociaux, connexion Wifi ou Bluetooth…) depuis un mobile et 86% de ces applications ne dispose d’aucune mesure de protection contre les risques d’attaques les plus communes (débordement de mémoire tampon notamment).

83% des entreprises n'ont pas d'équipe dédiée au traitement des cyber-attaques et 58% n'ont pas de procédure de notification en tel cas. Pourtant 52% savent qu'elles ont déjà été attaquées et 33% pensent que cela n'a pas été le cas. Les attaques sont à la fois ciblées et opportunistes pour 37% des répondants, opportunistes pour 26% et ciblées pour 25%. Ces chiffres sont issues d'une étude qui vient d'être publiée par le cabinet Provadys en collaboration avec le Cesin (Club des Experts de la Sécurité de l'Information et du Numérique).

Un réel besoin exprimé par les collaborateurs
L'étude montre que les solutions actuelles proposées par les PME sont loin de répondre aux besoins des collaborateurs de la Génération Cloud. Le PME qui n'adoptent pas ces nouvelles méthodes de travail flexible et collaboratif risque de perdre le contrôle de leurs réseaux et de les rendent potentiellement vulnérables.
·41% des salariés déclarent que les outils de travail collaboratif sont interdits sur leur lieu de travail (9% les utilisent quand même).
· 83% pensent qu'ils n'utilisent pas une solution Cloud officiellement approuvée par leur structure
· 43% n'ont pas les outils de partage d'informations avec les personnes extérieures à l'entreprise.
· 39% déclarent que leur entreprise n'a pas de politique officielle dans le partage d'informations professionnelles en dehors du réseau interne et 19% des salariés ne savent pas s'il en existe une.
·  67% des employés partagent encore les informations en support papier.
·  13% des salariés téléchargent des solutions de travail collaboratif si leur entreprise ne leur en fournit pas.