Un tiers des grandes sociétés a vécu un incident de sécurité informatique en 2018

16 % des sociétés de 10 personnes ou plus déclarent avoir vécu en 2018 un des incidents de sécurité informatique suivants : indisponibilité des services informatiques, destruction ou altération de données, divulgation de données confidentielles. C’est à peine plus qu’en 2014. C’est le cas de 13 % des petites sociétés (10-19 personnes) et de 30 % des grandes sociétés (250 personnes ou plus). Cette part va de 9 % dans l’hébergement-restauration à 21 % dans les activités spécialisées, scientifiques et techniques (figure 1). Un incident, une défaillance ou une attaque peuvent avoir de lourdes conséquences, pour la société ou pour ses clients.

Quatre sociétés de 10 personnes ou plus sur dix sont assurées contre les incidents de sécurité informatique : une sur trois pour les petites sociétés, six sur dix pour les grandes. Dans l’ensemble, plus les sociétés sont exposées à ces incidents, plus elles sont dotées d’assurances contre ces risques. Il y a cependant quelques exceptions : les sociétés de l’information et de la communication sont fortement assurées et sont, en proportion, moins atteintes par des incidents. Elles sont davantage conscientes des risques et elles les prennent mieux en charge. À l’inverse, les sociétés de la construction sont les moins assurées contre ces risques alors qu’elles sont de plus en plus victimes d’incidents de sécurité informatique au cours des dix dernières années.

Les sociétés assurées déclarent un peu plus souvent avoir connu des incidents de sécurité informatique.

En 2018, 12 % des sociétés de 10 personnes ou plus ont vécu une indisponibilité de leurs services informatiques due, par exemple, à une attaque extérieure par déni de service ou rançongiciel ou à une panne de logiciel ou de matériel informatique (à l’exclusion des pannes mécaniques et du vol). Les incidents aboutissant à la destruction ou à l’altération de données concernent moitié moins de sociétés (6 %). Ils peuvent être dus à l’attaque d’un programme malveillant (virus), à un accès non autorisé ou à une panne de logiciel ou de matériel informatique. Enfin, les incidents aboutissant à la divulgation de données confidentielles sont marginaux (2 %), mais leurs conséquences peuvent être très coûteuses pour les entreprises. Cette divulgation peut être engendrée par une intrusion, un dévoiement (pharming) , une attaque par hameçonnage (phishing) ou des actions des propres employés de la société.

Ces résultats reflètent la déclaration des sociétés, parfois réticentes à communiquer sur ces événements, et excluent les incidents que la société ne connaît pas ou ne reconnaît pas comme étant des incidents de sécurité informatique. Ainsi, la plus grande part de grandes sociétés ou de sociétés des activités spécialisées, scientifiques et techniques concernées par un incident peut signifier qu’elles sont plus aptes à les repérer.

En 2019, 87 % de sociétés de 10 personnes ou plus réalisent des activités en lien avec la sécurité de leur système d’information (SI) : tests de sécurité, formations à la sécurité des technologies de l’information et de la communication (TIC), résolution des incidents, etc. La sécurité des SI recouvre les mesures, les contrôles et les procédures appliquées aux SI afin de garantir l’intégrité, l’authenticité, la disponibilité et la confidentialité des données et des systèmes.

À l’inverse, 13 % des sociétés de 10 personnes ou plus ne réalisent pas d’activités en lien avec la sécurité de leur SI. Il s’agit essentiellement de petites sociétés : 20 % d’entre elles ne réalisent pas d’activités en lien avec la sécurité de leur SI contre 1 % parmi les grandes sociétés. Il s’agit aussi de sociétés dont le cœur de métier n’est pas numérique (24 % des sociétés de l’hébergement-restauration, 18 % des sociétés de la construction).

Par ailleurs, 67 % des sociétés ont recours à des prestataires pour réaliser des activités de sécurité informatique, parfois en plus des employés de l’entreprise, et 20 % les font réaliser uniquement par leurs propres employés (figure 2). La présence au sein de l’entreprise d’employés conduisant certaines activités de sécurité informatique est très fréquente dans les grandes sociétés et dans le secteur de l’information et de la communication. Ce sont aussi ces deux catégories de sociétés qui réalisent le plus des activités en lien avec la sécurité de leur SI.

Dans plus de la moitié des sociétés, le personnel est informé de ses obligations en matière de sécurité des SI. Pour 35 % des sociétés, cette information se fait notamment via le contrat de l’employé. Elle peut faire aussi l’objet de formations volontaires (36 %) ou obligatoires (19 %).

En 2019, 86 % des sociétés de 10 personnes ou plus mettent à jour régulièrement leurs logiciels et systèmes d’exploitation. C’est la mesure de sécurité la plus répandue (figure 3). La mise à jour des logiciels permet notamment d’installer les derniers correctifs de sécurité émis par les éditeurs. Suivent l’authentification par mot de passe fort (70 %), le contrôle d’accès au réseau informatique (69 %) et la sauvegarde de données à l’extérieur, c’est-à-dire dans un bâtiment différent ou sur un serveur distant (68 %). Ces mesures, les plus courantes, sont utilisées dans une majorité de sociétés, quelle que soit leur taille, mais pas toujours simultanément.

D’autres mesures de sécurité, demandant une expertise plus forte, sont davantage utilisées dans les grandes sociétés : 94 % des sociétés de 250 personnes ou plus utilisent un VPN pour sécuriser leurs échanges de données, contre 45 % de l’ensemble des sociétés de 10 personnes ou plus. De même, 88 % des grandes sociétés conservent les logs (fichiers journaux) pour analyser les incidents de sécurité, soit deux fois plus que dans l’ensemble des sociétés.

Parmi les sociétés de 250 personnes ou plus, trois quarts évaluent les risques liés aux SI, c’est-à-dire la probabilité et les conséquences des incidents de sécurité informatique. De même, trois quarts d’entre elles mènent des tests de sécurité : tests d’intrusion, tests du système d’alerte de sécurité ou des systèmes de sauvegarde, etc. À l’opposé, seul un quart des sociétés de 10 à 19 personnes mène de telles opérations. De plus, une grande société sur deux utilise des techniques de chiffrement des données, documents ou courriels, contre une petite société sur six. L’authentification par des mesures biométriques (empreintes digitales, reconnaissance faciale, vocale) est peu adoptée (6 % de l’ensemble des sociétés), avec de légères différences selon la taille.

De manière générale, les grandes sociétés sont beaucoup plus nombreuses à cumuler les mesures de sécurité informatique : 40 % d’entre elles cumulent au moins neuf mesures (sur les dix proposées dans l’enquête), contre seulement 6 % des petites sociétés (figure 4). À l’opposé, 60 % des petites sociétés ont recours à moins de cinq mesures de sécurité différentes, contre seulement 7 % des grandes sociétés.

En 2019, comme en 2015, 26 % des sociétés de 10 personnes ou plus disposent d’une documentation sur les mesures, pratiques ou procédures en matière de sécurité des SI. C’est deux fois moins qu’au Danemark, en Irlande ou en Suède et en dessous de la moyenne de l’Union européenne à 28 (34 %). La France est au 23ᵉ rang, la Grèce détenant le niveau le moins élevé avec seulement 15 % des sociétés dotées d’une documentation de sécurité des SI.

Les grandes sociétés sont nettement plus concernées que les petites : c’est le cas de 71 % des sociétés de 250 personnes ou plus, contre 32 % des sociétés de 20 à 249 personnes et 18 % des sociétés de 10 à 19 personnes (figure 5).

Par rapport à 2015, les sociétés qui ont une documentation sur la sécurité des SI en 2019 l’ont définie ou actualisée plus récemment : quelle que soit leur taille, sept sociétés sur dix l’ont fait pour la dernière fois au cours de l’année écoulée, contre cinq sur dix pour les sociétés dotées d’une telle documentation en 2015. À l’opposé, moins d’une société sur dix dotées d’une telle documentation en 2019 ne l’a pas mise à jour depuis plus de deux ans, contre un quart de celles qui avaient une telle documentation en 2015.

Comme en 2015, la moitié des sociétés de l’information et de la communication sont dotées d’une telle documentation, contre moins d’un cinquième dans la construction ou l’hébergement-restauration.

En 2019, 51 % des sociétés de 10 personnes ou plus ont une politique d’accès, de rectification et d’effacement des données personnelles, contre 26 % en 2015. La mise en conformité des sociétés avec le règlement général sur la protection des données (RGPD), entré en vigueur en 2018, peut être une explication. Ainsi, 86 % des sociétés de 250 personnes ou plus ont une telle politique, contre 59 % des sociétés de 20 à 249 personnes et 42 % de celles de 10 à 19 personnes. Les secteurs les plus numérisés sont aussi ceux qui adoptent le plus souvent une telle politique (figure 6).

Certains usages numériques impliquent le traitement de données personnelles permettant d’identifier une personne physique, directement ou indirectement. C’est le cas de la vente web, de l’utilisation des médias sociaux ou de la gestion des relations avec la clientèle. Quels que soient leur taille ou leur secteur, les sociétés concernées par l’un ou l’autre de ces usages déclarent plus souvent que les autres avoir une politique d’accès, de rectification ou d’effacement des données personnelles.