Une stratégie de sécurité réactive représente un défi majeur pour les RSSI

Une nouvelle étude de F5 révèle que seules 51 % des entreprises disposent d’une stratégie de sécurité informatique bien établie

SINGAPOUR – Aujourd’hui, à l’occasion de la Singapore International Cyber Week, F5 Networks (NASDAQ : FFIV) a publié un rapport complet sur l’évolution du rôle des RSSI et sur les approches adoptées par les organisations du monde entier en matière de sécurité informatique face à un paysage des menaces en constante mutation. Le rapport révèle qu’à mesure que la sécurité informatique devient une priorité, l’influence des RSSI au sein des entreprises s’accroît. Toutefois, dans de nombreuses organisations, la stratégie de sécurité reste largement réactive et n’est pas encore alignée sur les fonctions métier.

Menée par le Ponemon Institute, cette étude s’appuie sur des entretiens réalisés auprès de cadres supérieurs de la sécurité informatique dans 184 entreprises réparties dans sept pays : les États-Unis, le Royaume-Uni, l’Allemagne, le Brésil, le Mexique, l’Inde et la Chine.

« Cette étude offre un éclairage unique sur la manière dont les RSSI exercent leurs fonctions dans l’environnement complexe d’aujourd’hui », a déclaré Mike Convertino, directeur de la sécurité des systèmes d’information chez F5. « Il est clair que les RSSI progressent dans leur façon de piloter la fonction de sécurité et dans le rôle de leadership qu’ils assument au sein des entreprises. Toutefois, dans de nombreuses organisations, la sécurité informatique ne joue pas encore le rôle stratégique et proactif nécessaire pour protéger pleinement les actifs et se défendre contre des attaques toujours plus sophistiquées et fréquentes. »

Principales conclusions

• Responsabilités croissantes pour les RSSI – Bien que les RSSI exercent des degrés d’influence variables auprès de la direction de leur organisation, la plupart jouent un rôle important dans la gestion des risques de cybersécurité de leur entreprise, et leur influence ne cesse de croître. Soixante-huit pour cent des personnes interrogées déclarent que les RSSI ont le dernier mot sur toutes les dépenses liées à la sécurité informatique, tandis qu’une proportion légèrement inférieure (64 %) affirme qu’ils exercent une influence directe et disposent d’un pouvoir décisionnel sur l’ensemble des dépenses de sécurité de leur organisation. Quatre-vingt-sept pour cent des personnes interrogées indiquent que le budget consacré à la sécurité informatique a fortement augmenté (18 %), légèrement augmenté (29 %) ou est resté inchangé (40 %).
  
• Manque d’alignement avec les activités de l’entreprise – Une stratégie de sécurité informatique couvrant l’ensemble de l’entreprise reste très rare. Cinquante-huit pour cent des personnes interrogées indiquent que la sécurité informatique constitue une fonction autonome et seulement 22 % déclarent qu’elle est intégrée aux autres équipes de l’entreprise, tandis que 45 % affirment que les responsabilités de leur fonction de sécurité ne sont pas clairement définies. Soixante-quinze pour cent des personnes interrogées déclarent qu’en raison du manque d’intégration avec les fonctions de l’entreprise, les conflits de territoire et le cloisonnement exercent une influence importante (36 %) ou modérée (39 %) sur les tactiques et les stratégies de sécurité informatique.
  
• La reconnaissance de la sécurité comme priorité de l’entreprise se fait de manière réactive – Soixante pour cent des personnes interrogées estiment que leur organisation considère la sécurité comme une priorité de l’entreprise. Pourtant, seules 51 % déclarent que leur organisation dispose d’une stratégie de sécurité informatique et, parmi elles, seules 43 % indiquent que cette stratégie est examinée, approuvée et soutenue par d’autres membres de la direction. Les résultats montrent que l’évolution des programmes de sécurité est en grande partie réactive, les violations de données importantes (45 %) et les cyberattaques (43 %) étant les deux principaux événements qui retiennent l’attention des autres cadres dirigeants.
  
• Les crises renforcent l’influence auprès de la direction – Soixante-cinq pour cent des personnes interrogées déclarent que les RSSI communiquent directement avec les cadres dirigeants, mais que ces échanges portent rarement sur une analyse stratégique de l’ensemble des menaces pesant sur l’organisation. Elles font également état d’une communication limitée avec la direction au sujet des incidents de sécurité : 46 % indiquent que seules les violations de données majeures et les cyberattaques sont signalées au PDG et au conseil d’administration, tandis que seulement 19 % leur signalent toutes les violations de données.
  
• L’IA constitue une solution potentielle aux besoins en personnel – La pénurie de talents dans le domaine de la sécurité informatique reste une préoccupation majeure pour les RSSI. Au cours des deux prochaines années, l’effectif moyen du personnel chargé de la sécurité informatique passera de 19 à 32 équivalents temps plein, tandis que près de la moitié des répondants (42 %) estiment que leurs effectifs actuels sont insuffisants. Cinquante-huit pour cent déclarent avoir des difficultés à recruter des professionnels qualifiés en sécurité, les principaux obstacles étant l’identification et le recrutement de candidats qualifiés (56 %), ainsi que l’impossibilité de proposer un salaire conforme au marché (48 %). Ces difficultés poussent les entreprises à chercher d’autres solutions : la moitié des répondants (50 %) pensent que l’apprentissage automatique et l’intelligence artificielle peuvent remédier aux pénuries de personnel, et 70 % estiment que ces technologies joueront un rôle important dans leurs fonctions de sécurité informatique d’ici deux ans.

À propos de F5

F5 (NASDAQ : FFIV) rend les applications plus rapides, plus intelligentes et plus sûres pour les plus grandes entreprises, les fournisseurs de services, les gouvernements et les marques grand public du monde entier. F5 propose des solutions cloud et de sécurité qui permettent aux organisations d’adopter l’infrastructure applicative de leur choix sans sacrifier la rapidité ni le contrôle. Pour en savoir plus, rendez-vous sur f5.com. Vous pouvez également suivre @f5networks sur Twitter ou nous retrouver sur LinkedIn et Facebook pour en savoir plus sur F5, ses partenaires et ses technologies.

F5 est une marque commerciale ou une marque de service de F5 Networks, Inc., aux États-Unis et dans d’autres pays. Tous les autres noms de produits et de sociétés mentionnés dans le présent document peuvent être des marques commerciales appartenant à leurs propriétaires respectifs.

###

Le présent communiqué de presse peut contenir des déclarations prospectives relatives à des événements futurs ou à des performances financières futures, qui comportent des risques et des incertitudes. Ces déclarations peuvent être identifiées par l’emploi de termes tels que « peut », « pourra », « devrait », « prévoit », « planifie », « anticipe », « estime », « évalue », « prédit », « potentiel » ou « continuer », ainsi que par leur forme négative ou par des termes comparables. Ces déclarations ne constituent que des prévisions et les résultats réels pourraient différer sensiblement de ceux qui y sont anticipés en raison de plusieurs facteurs, notamment ceux mentionnés dans les documents déposés par la société auprès de la SEC.