Plus de deux ans après le début de la pandémie de COVID-19, les organisations se sont adaptées à leur nouvel environnement. Mais pour les RSSI, 2021 a été une autre année difficile, car de nombreuses cyberattaques d’envergure
les ont maintenus en état d'alerte. Et juste au moment où le chaos de la pandémie se dissipe, de nouveaux événements - dont la Grande Démission et les tensions géopolitiques en Europe - ajoutent un niveau de stress supplémentaire.
Comment les responsables de la sécurité font-ils face à l'escalade des menaces qui pèsent sur la chaîne d'approvisionnement et les infrastructures critiques, à la pénurie de talents qui s'aggrave et à l’implication renforcée de leur conseil d'administration ? Pour comprendre leur état d'esprit, nous avons interrogé 1 400 RSSI du monde entier et recueilli leurs points de vue pour la deuxième édition de notre rapport annuel Voice of the CISO. Bien que certaines conclusions soient inattendues, il est encourageant de voir que les RSSI sont plus confiants quant à la sécurité de leur organisation.
Le plus surprenant est que malgré l'escalade continue des menaces et la pression croissante pour répondre efficacement avec encore moins de ressources, seuls 48 % des RSSI estiment que leur organisation risque de subir une attaque importante au cours des 12 prochains mois. Il s'agit d'une baisse significative par rapport aux 64 % de l'année dernière.
D'après mes propres échanges avec les RSSI, je pense que cette diminution de leur inquiétude montre que les responsables de la sécurité se sont eux aussi adaptés à une nouvelle normalité. Ils ont accepté le fait qu'ils travaillent désormais dans un monde différent et que leur nouvelle réalité est de fonctionner à des niveaux plus élevés et avec une capacité maximale. Après avoir passé l'année 2020 à réagir à la pandémie et à renforcer les défenses, les responsables de la sécurité ont retrouvé un semblant de sérénité, même si l'intensité des menaces n'a pas diminué.
Les menaces internes sont devenues le plus grand risque cyber pour les RSSI (ils étaient en troisième place du podium l’an passé). Que l’acte soit accidentel, négligent ou criminel, les RSSI les considèrent comme égaux en termes de probabilité d'une violation des données ou d'une exposition au sein de leur organisation. À cela s'ajoute l'erreur humaine, que 56 % des RSSI mondiaux considèrent comme la plus grande vulnérabilité cyber de leur organisation.
Les attaques par ransomware ayant fait la une de l'actualité, la sensibilisation de la direction au risque cyber s'est accrue et a placé les ransomwares en tête des priorités des entreprises. Cinquante-huit pour cent des RSSI ont souscrit une cyber assurance et trois sur cinq privilégient la prévention par rapport aux stratégies de détection et de réponse. Cependant, malgré l'augmentation des risques, 42 % des RSSI admettent qu'ils n'ont pas mis en place de politique de paiement des rançons.
L'évolution du rôle du RSSI
La bonne nouvelle, c'est que les RSSI ont enfin une place de choix à la table des discussions stratégiques de leur organisation. Avant la pandémie, c'était un exploit presque impossible, mais les conseils d'administration comprennent désormais que les RSSI sont bien plus que des spécialistes des technologies. L'importance de leur travail étant désormais plus grande, ils s'adaptent aux attentes renforcées. Cette année, seule la moitié des RSSI interrogés ont estimé que les nouvelles exigences de leur rôle étaient excessives, soit une baisse de sept points par rapport à 2021.
Notre enquête a révélé que l'amélioration de la protection des informations et de la sensibilisation à la cybersécurité reste en tête des priorités des RSSI. À mesure que leur rôle stratégique se développe, les RSSI savent ce qu'ils doivent améliorer - et sont bien placés pour jouer un rôle plus important dans la gestion des risques de leur organisation. Le rapport montre que les RSSI se sont engagés dans une nouvelle ère de menaces et de responsabilités, et qu'ils restent passionnés par leur travail.
Visitez https://www.proofpoint.com/fr/resources/white-papers/voice-of-the-ciso-report pour lire les résultats complets du rapport 2022 Voice of the CISO.
Pour en savoir plus sur les conclusions du rapport spécifiques à la France, inscrivez-vous au prochain webinaire régional Voice of the CISO, qui aura lieu le vendredi 27 mai à 14 heures CEST, ici.