Rapport d’impact sur les entreprises de l’ITRC : une bonne nouvelle pour les petites entreprises

Le Centre de ressources sur le vol d'identité (ITRC), un organisme à but non lucratif américain, a récemment publié son rapport 2022 sur l'impact sur les entreprises, qui détaille les impacts de la cybercriminalité sur les petites entreprises et les « solopreneurs ». C'est la deuxième année de publication par l'ITRC d'un rapport axé sur les entreprises, d'après une enquête menée auprès de 447 dirigeants ou professionnels informatiques dans des petites entreprises.

Le principal point à retenir est que seules 45 % des personnes interrogées déclarent avoir subi une faille de sécurité, une violation de données ou les deux au cours des 12 mois étudiés dans l'enquête, alors que ce chiffre était de 58 % dans l'enquête de 2021.

C'est une très bonne nouvelle, tout comme le deuxième constat selon lequel le coût moyen d'une violation a considérablement diminué par rapport à l'année dernière. Mais ce constat s'accompagne de quelques mises en garde importantes que nous détaillons plus bas.

L'autre grand titre de l'enquête n'est pas aussi positif : 50 % des personnes interrogées ont déclaré avoir perdu le contrôle sur un ou plusieurs de leurs comptes de réseaux sociaux pendant 30 jours en moyenne. Et, parmi elles, 87 % ont subi une perte de chiffre d'affaires, directement reliée à ce piratage de compte.

Tendance durable ou mauvais moment à passer ?

Après avoir vu le nombre total d'attaques augmenter de 61 % en 2020 et en 2021, cette année, la baisse du nombre de violations de données et de sécurité est indubitablement un pas dans la bonne direction. La grande question, cependant, est de savoir si c'est le début d'une tendance durable ou simplement le résultat de conditions spécifiques observées au cours de l'année écoulée.

Les signaux à ce sujet sont mitigés. D'une part, les violations de données signalées dans tous les secteurs ont baissé cette année aux États-Unis. De plus, le ralentissement des crypto-monnaies et la guerre en Ukraine ont tous deux entraîné une réduction de l'activité des gangs cybercriminels basés en Russie. Aucun de ces facteurs n'est susceptible de contribuer à une tendance qui s'installerait pour de bon.

Cependant, un autre facteur est l'augmentation significative des investissements des TPE dans le personnel, la technologie et les formations en cybersécurité. Si ces investissements se maintiennent au fil du temps, il est probable qu'ils contribuent à une tendance à la baisse des incidents de sécurité. Ces investissements ont peut-être également joué un rôle dans un autre chiffre positif : 35 % des personnes interrogées ayant subi une violation de données ont déclaré avoir retrouvé les niveaux de performance d'avant la violation en moins d'un an, contre seulement 22 % d'après l'enquête de l'année dernière.

Des possibilités d'amélioration

Le rapport attire l'attention sur un constat qui pourrait être inquiétant. Bien que les investissements dans de nouveaux outils de sécurité, de nouvelles formations pour le personnel informatique, le budget supplémentaire dédié à la sécurité et l'augmentation de la due diligence des fournisseurs soient tous en hausse - en particulier les nouveaux outils et les nouvelles formations pour le personnel informatique - une baisse notable est à signaler. Celle des répondants qui déclarent proposer de nouvelles formations dédiées au personnel non informatique, de 35 % des personnes interrogées l'année passée, à seulement 28 % dans le rapport de cette année.

Comme le souligne le rapport, l'augmentation du phishing de plus en plus sophistiqué et d'autres attaques basées sur la tromperie, qui visent les employés dotés d'un accès privilégié aux données financières et critiques, devrait encourager davantage la mise en place de formations de sensibilisation à la sécurité pour tous les employés, pas seulement le personnel informatique.

En effet, ces attaques peuvent contribuer à la grande vulnérabilité aux attaques sur les comptes de réseaux sociaux, révélée par cette enquête.

Malgré cela, les répondants restent très confiants : 70 % d'entre eux déclarent être prêts à protéger leur entreprise contre une cyberattaque et/ou à se remettre d'une violation de données. Bien que cette question n'ait pas fait partie de l'enquête précédente et ne puisse pas faire l'objet d'une comparaison, la réponse de cette année est cohérente avec l'augmentation globale des investissements en cybersécurité.

Quelques mesures à prendre

Si vous êtes responsable de la cybersécurité dans une petite entreprise, je vous recommande vivement de télécharger l'intégralité du rapport, car il contient beaucoup plus de détails que ce que nous avons abordé ici. En particulier, il contient un bon nombre de données très précises sur les piratages de compte de réseaux sociaux, très coûteux, qui ont affecté la moitié des répondants.

Et si les données que nous avons abordées ici vous incitent à vous demander comment renforcer votre propre investissement dans des formations de sensibilisation à la sécurité pour l'ensemble de votre personnel, n'hésitez pas à programmer une démo ou un essai gratuit de la formation de sensibilisation à la sécurité Barracuda.

Combattez les menaces qui pèsent sur la sécurité grâce à une formation de sensibilisation à la sécurité.