Édition suisse de l’étude « 24th Annual CEO Survey »

Cybersecurité: Protéger, c’est bien. Renforcer, c’est mieux.

111 chefs d'entreprise suisses ont répondu sur la façon dont ils gèrent les effets de la pandémie. Mais aussi sur les opportunités et les risques liés à l'accélération de la transformation numérique. La cybersécurité se démarque clairement et les managers s'arment contre d'éventuelles cyberattaques.

Parmi les menaces potentielles pour les perspectives de croissance de leurs entreprises, 43 % des CEO suisses classent les cyber-risques en deuxième position. Ce chiffre contraste avec les 26 % (3e position) du sondage de l’année dernière. La montée en flèche de cette préoccupation a plusieurs causes : d’une part, les entreprises suisses ont tout simplement sous-estimé jusqu’à présent les cybermenaces. En 2020, de nombreux incidents ont été rapportés dans les médias – certains ayant même occasionné des coûts réels à la suite d’une cyberattaque. Ce thème est donc de plus en plus présent sur le radar des organes de direction. D’autre part, la pandémie a remis ce sujet à l’ordre du jour. En effet, avec l’apparition du COVID-19 et la mise en place du télétravail généralisé, les entreprises ont dû définir de nouveaux modèles de travail et de nouvelles formes de collaboration liés aux technologies de l’information. Elles ont dû déployer de nouvelles plateformes et applications, réorchestrer les composants du matériel informatique, passer au cloud ou construire de nouvelles interfaces. En raison du travail à domicile, les processus sont devenus plus vulnérables, alors que dans le même temps, les dispositifs de contrôle et de surveillance sont devenus plus complexes. En conséquence, des lacunes et des failles supplémentaires sont apparues, offrant de nouvelles opportunités aux pirates informatiques et aux cybercriminels. Enfin, le professionnalisme des cybercriminels n’a cessé de croître au cours des derniers mois. De ce fait, des entreprises qui ne s’étaient jamais crues en danger auparavant se sont retrouvées dans la ligne de mire de cyberattaques.

Les CEO sont en état d’alerte

93 % des CEO suisses interrogés expriment leur préoccupation générale concernant les cybermenaces (cf. illustration 6). Dans le reste du monde, les dirigeants sont un peu moins inquiets (85 %). Premièrement, les entreprises suisses se caractérisent traditionnellement par une forte sensibilisation à la sécurité. Deuxièmement, la protection des données et des droits de la personne sont une priorité en Suisse. Dès lors qu’on considère ces deux aspects comme relevant de la cybersécurité, on ne peut qu’être inquiet lorsqu’ils sont remis en cause. Et pourtant, les entreprises suisses ont jusqu’à présent sous-estimé le risque lié aux cybermenaces. Troisièmement, dans un petit pays comme la Suisse, les cadres dirigeants échangent régulièrement des informations les uns avec les autres. Ceux qui entendent parler d’un incident par les personnes directement concernées deviennent automatiquement inquiets. Quatrièmement, même avant le COVID-19, la Suisse présentait des déficits importants en matière de numérisation par rapport aux pays voisins, notamment en ce qui concerne l’adoption des services du cloud. La pandémie a donné une impulsion sans précédent à la numérisation, tout en créant également une hypersensibilité sur ce thème.

Illustration 1 : L’inquiétude générale des CEO suisses face aux cybermenaces est extrêmement forte.

Objectif stratégique : la cyber-résilience

La résilience est un terme courant chez les virologues, mais aussi chez les cyber-experts. Il désigne la capacité d’une entreprise à résister aux cyberattaques. La cyber-résilience résulte d’un circuit fermé de détection des menaces (identification), de mesures de protection appropriées (protection), de contrôles de surveillance (détection), de capacité de crise et de capacité à gérer un incident informatique (réaction) de manière à en sortir renforcé (rétablissement). Les entreprises peuvent également améliorer en permanence leur cyber-résilience par des formations et des simulations régulières. Les entreprises suisses ont encore beaucoup de mal avec le processus de détection. Elles ont traditionnellement beaucoup investi dans la protection. Or, le préjudice d’une cyberattaque ne se produit généralement pas de façon immédiate, mais différée. Si l’on peut identifier les signes pertinents à un stade précoce grâce à la détection, on augmente la dynamique préventive de sa cyber-résilience. Celle-ci est indispensable pour pouvoir répondre à une cyberattaque, même en période de pandémie. Jusqu’à présent, les entreprises n’ont guère intégré à leurs systèmes de sécurité des sinistres de grande ampleur spécifiques au cyberespace, tels que la panne totale des outils informatiques à la suite d’une cyberattaque, comme cela se produit de plus en plus souvent ces derniers temps. Elles ont planifié et simulé une panne de courant régionale ou un incendie dans la salle des serveurs, voire même la panne totale d’un centre de données, mais elles n’ont pas envisagé de scénario où toute l’infrastructure informatique se retrouve verrouillée, avec impossibilité d’accéder non seulement aux données, mais aussi aux informations de sauvegarde.

«Les entreprises devraient associer plus étroitement la transformation de leur organisation de sécurité à celle de leur activité.»

Urs KüderliPartner Cybersecurity and Privacy, PwC Suisse

Il est temps de passer à la vitesse supérieure

46 % des CEO suisses estiment que leur organisation devrait prendre davantage de mesures dans le domaine de la cybersécurité et de la protection des données. Au niveau mondial, ce pourcentage est de 36 %. Néanmoins, 77 % des participants suisses à l’étude déclarent vouloir augmenter leurs investissements à long terme dans la cybersécurité et la protection des données à la suite de la crise du COVID-19. Ce pourcentage est légèrement supérieur à l’évaluation mondiale. Toutefois, compte tenu de la maturité actuelle des entreprises en matière de sécurité, il devrait être plus proche de 100 %. On observe de fortes disparités dans la planification des crises, en particulier en Suisse. Il existe une multitude d’éléments de programme individuels, mais rarement une stratégie globale. La pandémie et la numérisation qui vont de pair ont accéléré la transformation des entreprises et de leurs processus ; l’approche de la sécurité, en revanche, n’a pas évolué du tout ou pas au même rythme. Il convient à cet égard d’associer plus étroitement l’organisation de la sécurité et l’activité de l’entreprise.

Intégrer le facteur humain

Le télétravail et les vidéoconférences font partie de la nouvelle norme. Cependant, les nouvelles technologies et applications compliquent les échanges personnels, ce qui permet aux cyberpirates de contourner plus facilement les gens scrupuleux. Les entreprises continuent de ne pas investir suffisamment dans la formation de leur personnel en matière de sécurité. Or, la vigilance des collaborateurs fait partie intégrante d’une détection précoce efficace. Les personnes et les technologies doivent être en mesure de réagir rapidement. Actuellement, les entreprises n’exploitent pas suffisamment ce double potentiel. Elles doivent également continuer à développer une culture de tolérance aux erreurs. Il est toujours préférable d’encourager les employés à signaler les courriels de phishing auxquels ils ont répondu par inadvertance. De cette manière, les dommages potentiels peuvent être détectés à temps et des mesures préventives peuvent être prises.

La réglementation influence la gestion des risques

84 % des CEO suisses couvrent les cybermenaces dans le cadre de leur gestion des risques. Au niveau mondial, ce pourcentage n’est que de 59 %. Cela reflète le fait que certains secteurs en Suisse sont très réglementés, comme les prestataires de services financiers. Pour ces derniers, les cybermenaces font, aux termes de la loi, partie de la gestion quotidienne des risques. Lorsqu’on leur demande si leur entreprise devrait faire davantage de rapports sur la cybersécurité et la protection des données, 25 % des CEO suisses répondent par l’affirmative, soit 2 points de pourcentage de plus que leurs homologues au niveau mondial. En termes de publication de données, les décideurs ne voient apparemment pas la nécessité d’agir.

Garantir la sécurité de l’information

59 % des CEO suisses se disent préoccupés par la désinformation, ce qui indique que le nombre de cas non signalés et leur gravité sont encore élevés. Ce résultat peut également exprimer la crainte que les cybercriminels ne détournent et déforment des informations susceptibles de nuire au développement des affaires ou d’induire de mauvaises décisions. Dans les entreprises sensibilisées aux cyber-risques, les Chief Information Security Officer (CISO) informent régulièrement les membres de la direction au sujet des menaces, des risques, des acteurs et des types d’attaques qui sont critiques pour l’entreprise ainsi que des mesures permettant d’améliorer sa maturité en matière de sécurité.

Souhaitez-vous en savoir plus sur cette enquête?

Contactez-nous pour discuter des résultats lors d'une réunion et découvrir ce que les résultats signifient pour votre entreprise.

Nous contacter

En bref

93 % des CEO suisses interrogés expriment leur préoccupation générale concernant les cybermenaces
77 % des CEOs suisses déclarent vouloir augmenter leurs investissements à long terme dans la cybersécurité
84 % des CEO suisses couvrent les cybermenaces dans le cadre de leur gestion des risques

Édition suisse de l’étude «24th Annual CEO Survey»

111 chefs d'entreprise suisses ont répondu sur la façon dont ils gèrent les effets de la pandémie. Lisez notre rapport suisse, qui se concentre sur les thèmes de la croissance, de l’Upskilling, de la durabilité et de la cybersécurité.

Télécharger l'edition suisse

#social#