LUmière sur la CYberassurance / © Amrae - 17 - L’étude Lucy fait apparaître une chute de la sinistralité particulièrement marquée pour les grandes entreprises et les entreprises de taille intermédiaire. La menace cyber aurait-elle baissé ? La 8e édition du baromètre Cesin 1 fait apparaître une baisse régulière du nombre d’entreprises ayant subi au moins une attaque significative : de 71 % en 2020, il est passé à 54 % en 2021 et 45 % en 2022. Mais cela ne signifie pas que la menace diminue. C’est en réalité la défense qui progresse : de nombreuses attaques sont bloquées ou contenues avant d’avoir produit des dégâts significatifs et c’est bien ce que l’on cherche à mesurer dans le baromètre. Les entreprises ont investi pour renforcer leurs capacités : elles disposent en moyenne de 14,9 solutions de sécurité au centre desquelles se trouve très souvent (dans 81 % des cas) le couple EDR (Endpoint Detection Response) et MFA (authentification multifacteur). Les PME sont-elles logées à la même enseigne ? Non. Malheureusement, ces entreprises sont toujours en difficulté. Les investissements nécessaires à la sécurité d’un système d’information ne peuvent pas être strictement proportionnels à la taille d’une entreprise. Il y a un seuil minimum de moyens de défense en deçà duquel il est risqué de descendre. Il faut, par exemple, avoir un minimum de ressources cyber avec un professionnel en charge du sujet. Quels éléments vous semblent les plus menaçants à court et moyen terme ? Nous devons être attentifs aux cyberattaques dites de la « supply chain », telles que les ont connues Solarwinds en 2020 ou 3CX dernièrement. Cette solution de téléphonie par voix sur IP est installée sur quelques centaines de milliers de postes de travail dans le monde. Début 2023, 3CX s’est rendu compte que sa dernière version avait été compromise par un malware qui, par effet rebond, a infecté un grand nombre de clients. Le risque est que ce logiciel soit jugé légitime par les entreprises clientes : si un EDR alerte sur un comportement suspect, celui-ci risque de passer sous les radars car l’entreprise pensera qu’il s’agit d’un faux-positif, ne mettant pas en doute l’intégrité d’un logiciel de grande diffusion. Du côté des entreprises, il est difficile de détecter et de parer à ces attaques. Celles-ci, de par leur effet multiplicateur sur tous les clients d’un produit, peuvent causer des dégâts importants. Il faut souhaiter qu’elles n’augmentent pas de façon significative. Plus que la guerre d’Ukraine ? Cette guerre a produit de nombreux faits cyber, mais plutôt régionaux, sans réelle escalade internationale. Mais une reprise des attaques ne peut être exclue. Le conflit est toujours là et les deux parties ont développé des compétences cyber très pointues. « Le nombre d’attaques ne semble pas avoir diminué, mais il est probable que les défenseurs aient fait des progrès ! » MYLÈNE JAROSSAY CISO de LVMH Group et présidente du Cesin (Club des experts de la sécurité de l’information et du numérique) INTERVIEW 1. https://www.cesin.fr/articles-slug/?slug=8ème édition du baromètre annuel du CESIN
RkJQdWJsaXNoZXIy MTkzNjg=