Le 28 janvier, c'était la Journée de la confidentialité des données, connue sous le nom de Journée de la protection des données en Europe. La confidentialité des données consiste à décider qui peut avoir accès à quelles informations, tandis que la protection des données consiste à protéger ces informations. En cas de violation de données, ce sont les deux concepts qui sont remis en question.
N'importe quelle entreprise peut être victime d'une violation de données. Notre dernière étude, menée avec le Ponemon Institute, montre qu'un peu moins de la moitié des entreprises interrogées dans cinq pays (48 %) ont été victimes d'une violation de données l'année dernière, une violation impliquant la perte ou le vol d'informations sensibles concernant des clients, des prospects ou des employés. Ce chiffre atteint 54 % dans les organisations de services financiers.
Nous examinerons les principales causes des violations de données ultérieurement. Parlons d'abord des risques.
Pour que la cybersécurité soit pleinement efficace, elle a besoin du soutien des cadres dirigeants. Et le risque, c'est le langage que parlent tous les chefs d'entreprise. Lorsqu'il s'agit de garantir une approche solide et conforme de la confidentialité et de la protection des données, les chefs d'entreprise doivent savoir « ce qui se passerait en cas de... » perte de données précieuses.
L'étude révèle que toutes les pertes de données ne représentent pas le même niveau de risque pour une entreprise. C'est important, car cela permet aux organisations de concentrer leurs ressources allouées à la sécurité en conséquence.
Sans surprise, les données financières figurent en tête des informations qui, en cas de perte ou de vol, auraient l'impact financier ou opérationnel le plus important sur l'organisation. Sur le total, 43 % des entreprises interrogées ont indiqué qu'il s'agissait de l'une des deux situations qui auraient le plus d'impact.
Voici d'autres informations intéressantes :
Les entreprises sondées ont été interrogées sur les causes profondes des violations de données. Les résultats montrent à quel point les surfaces d’attaque numérique se sont élargies, et à quel point les vulnérabilités pouvant exposer les réseaux et les données se sont multipliées.
Les causes profondes semblent appartenir à quatre catégories : les personnes, les cybermenaces, la chaîne logistique ou les défaillances/erreurs de configuration du système.
En voici quelques exemples :
Dans une autre partie de l'étude, les résultats ont montré qu'une attaque par hameçonnage réussie sur six (17 %) avait entraîné la perte d'informations sensibles et confidentielles, un chiffre passant à plus d'une attaque sur cinq pour les entreprises du secteur manufacturier (22 %), du secteur public (21 %) et pour les entreprises interrogées au Royaume-Uni (23 %) et en France (21 %).
Bon nombre de ces points de rupture potentiels peuvent être résolus grâce à des technologies et des politiques de sécurité efficaces.
Si près d'une entreprise sur deux a subi une violation de données au cours de l'année écoulée, nous pouvons supposer sans nous tromper qu'avec le temps, toutes les organisations en subiront une. En tous les cas, chaque entreprise devrait aborder la sécurité et la conformité de ses données comme si cette hypothèse était une certitude.
Quelle que soit la taille de votre organisation, vous marquerez forcément des points en maîtrisant les bases. Il s'agit notamment d'adopter une approche solide en matière d'authentification et d'accès, avec une authentification multifacteur standard, qui dans l'idéal pourrait évoluer vers une approche Zero Trust.
Votre infrastructure informatique devrait inclure des technologies de sécurité alimentées par l'IA, et axées sur la défense en profondeur, couvrant l'ensemble de votre surface d'attaque et chaque point d'entrée et vous offrant une visibilité complète sur votre environnement, des appareils aux API, en passant par les actifs cloud, etc.
Dans l'idéal, cette démarche devrait être soutenue par des opérations de sécurité et une surveillance 24/7 : vous devriez être prêt à réagir, à atténuer et à neutraliser toute menace avant qu'elle ne se propage dans la chaîne de destruction cybernétique.
Parallèlement, vous devez garder une sauvegarde de vos données en permanence. Assurez-vous que toutes les données de backup sont chiffrées, tant au repos qu'en mouvement. Appliquez la fameuse règle du 3:2:1 : trois copies de backup, sur deux supports différents, dont l'un est conservé hors ligne.
L'engagement et la formation des employés sont essentiels. Tous les employés devraient comprendre pourquoi la cybersécurité est importante, ils devraient connaître les dernières menaces et les derniers scams à surveiller et ils devraient savoir quoi faire s'ils repéraient quelque chose de suspect.
Enfin, et c'est important, assurez-vous de connaître et de respecter les réglementations en matière de confidentialité et de protection des données applicables à tous les marchés sur lesquels vous exercez vos activités.
Des informations sur la confidentialité des données sont disponibles aux États-Unis auprès de la Cybersecurity & Infrastructure Security Agency (CISA), du National Institute of Standards and Technology (NIST), de la Federal Trade Commission (FTC) et de nombreuses autres institutions publiques, privées et éducatives.
Il en va de même pour la zone EMEA et l'Asie-Pacifique. Tout comme les principaux sites régionaux, par exemple la liste de contrôle de conformité au RGPD et d'autres, le guide sur les données pour l'Europe et le guide sur les données pour l'Asie-Pacifique de Deloitte incluent des informations à jour sur les lois en vigueur et les développements à venir en matière de protection et de confidentialité des données dans ces régions.
Barracuda a commandé une étude internationale au Ponemon Institute sur les défis en matière de sécurité et les conséquences financières des compromissions subies par les entreprises comptant entre 100 et 5 000 employés. Ponemon a interrogé 1 917 professionnels de la sécurité informatique aux États-Unis (522), au Royaume-Uni (372), en France (329), en Allemagne (425) et en Australie (269) en septembre 2023. Un rapport sur les résultats, Cybernomics 101, est disponible.
Par Siroui Mushegian
Cet article a été initialement publié sur Journey Notes, le blog de Barracuda.
Retour