Le 'Travailler d'où vous voudrez' de mauvaise augure pour la sécurité informatique !!

Dans le domaine de la cybersécurité, le fossé entre les grandes et les petites entreprises semble s'être creusé en raison de la pandémie de COVID-19. Alors que davantage d'employés ont repris le chemin du bureau, on constate également une augmentation substantielle du nombre de télétravailleurs réguliers. Or, la plupart d'entre eux opèrent pour de petites entreprises qui, bien souvent, n'ont pas fait grand-chose pour renforcer leur cybersécurité pendant la crise.

Une enquête menée auprès de 5 800 travailleurs américains par le fournisseur de logiciels antivirus PC Matic révèle qu'un peu plus d'un tiers (36 %) continuent de travailler à distance. Seuls 39 % de ces travailleurs déclarent que leur employeur leur a fourni des équipements pour travailler à domicile, et 91 % affirment que leur employeur ne leur a pas fourni la moindre forme de logiciel antivirus pour les appareils qu'ils utilisent chez eux.

Aujourd'hui, de nombreux employeurs partent du principe que leurs collaborateurs sont suffisamment avertis pour acquérir et installer eux-mêmes leurs propres logiciels antivirus. Cependant, l'enquête souligne également que 38 % des employés déclarent ne pas utiliser de réseau privé virtuel (VPN). La plupart d'entre eux indiquent également ne bénéficier d'aucun type d'assistance informatique lorsqu'ils travaillent à domicile.

Ces insuffisances en matière de technologie de cybersécurité sont essentiellement dues au fait que, aux États-Unis, la majeure partie de la main-d'œuvre provient de petites entreprises qui manquent de connaissances en la matière ou ne disposent pas d'un budget suffisant. Les grandes entreprises, quant à elles, commencent à adopter les bonnes pratiques en matière de zero trust, qui reposent principalement sur les outils et les plateformes de gestion des identités et des accès (IAM). Or, à l'heure actuelle, l'IAM est loin d'être un jeu d'enfant. Une enquête menée auprès de 300 responsables informatiques par Forrester Consulting pour le compte de Google Cloud et de ForgeRock, un fournisseur d'outils IAM, révèle qu'un éventail de problèmes, allant des difficultés de déploiement au manque d'expertise, freinent l'adoption de l'IAM.

En effet, 66 % des personnes interrogées imputent cela à des problèmes de processus, notamment la flexibilité et l'agilité des systèmes IAM et la capacité de ces systèmes à prendre en charge les environnements de cloud hybride. En outre, 88 % des personnes interrogées mettent en cause les problèmes liés à la technologie, à savoir les fonctionnalités limitées de l'IAM, le manque d'évolutivité des produits et l'incapacité à gérer les identités et les accès dans les applications actuelles, tandis que près de la moitié (48 %) incriminent le manque de connaissances en matière d'IAM cloud.

La probabilité que les petites entreprises parviennent à mieux maîtriser l'IAM que celles disposant de ressources bien plus importantes est quasiment nulle. Le manque de sécurité des environnements informatiques des petites entreprises par rapport à ceux des structures de plus grande taille n'est pas nécessairement nouveau, mais il est clair que ce fossé est en train de se creuser. La difficulté réside dans le fait que la plupart des grandes entreprises reposent sur une chaîne logistique composée d'une multitude de petites entreprises que les cybercriminels ont appris à identifier et à cibler. Un employé d'une petite entreprise travaillant depuis son domicile et utilisant un réseau sans fil dépourvu de VPN constitue aujourd'hui, du point de vue de la cybersécurité, le maillon le plus faible de la chaîne logistique étendue.

Face à la tendance au télétravail, il est évident qu'un débat approfondi sur la cybersécurité s'impose. Une enquête menée par Lenovo à l'échelle mondiale révèle que 83 % des décideurs informatiques des entreprises interrogées s'attendent à ce que le télétravail soit pratiqué au moins la moitié du temps après la pandémie. Et qui dit multiplication des personnes se connectant aux applications de l'entreprise en différents lieux dit augmentation du nombre d'incidents de cybersécurité. Le problème auquel sont confrontées les équipes de cybersécurité des grandes entreprises est qu'elles n'ont aucun pouvoir réel sur le comportement des employés des plus petites structures. Or, nombre de ces employés ont souvent accès à toutes sortes de données sensibles émanant des grandes entreprises, leurs clients. Il faudra peut-être quelques incidents majeurs avant que la question du télétravail ne soit abordée correctement concernant la cybersécurité. Entre-temps, les équipes de cybersécurité avisées peuvent commencer à réfléchir à ce que signifie réellement mettre en œuvre les bonnes pratiques zero trust au sein d'une entreprise étendue comprenant toutes sortes d'entités qui, à l'heure actuelle, ne disposent pas des moyens appropriés pour garantir leur propre sécurité informatique.