Une enquête révèle que les dérogations en matière de sécurité augmentent les risques liés à la cybersécurité

De nouvelles données d’enquête révèlent comment les dérogations formelles et informelles en matière de sécurité augmentent les risques commerciaux et de cybersécurité au sein des organisations

Ce qu’il faut retenir :

• Toutes les organisations interrogées ont accordé au moins une exception en matière de sécurité ou de conformité au cours des 12 derniers mois, ce qui suggère que la gestion des exceptions est désormais une pratique courante et non plus un cas particulier.
• La plupart des exceptions étaient formelles, mais une part importante a tout de même été traitée par des solutions de contournement informelles, augmentant la probabilité d'une surveillance incohérente et de risques cachés.
• Les dérogations en matière de sécurité ne constituent pas seulement un problème de gouvernance ; elles peuvent avoir une incidence directe sur les résultats de l’entreprise en retardant les lancements de produits, l’expansion sur les marchés, les opérations de fusion et d’acquisition, ainsi que les déploiements d’IA.
• La tendance générale révèle un environnement dans lequel la rapidité et la productivité priment souvent sur les politiques de sécurité, laissant aux équipes de cybersécurité le soin de gérer les conséquences.

Pourquoi les dérogations en matière de sécurité deviennent la norme

Une méthode éprouvée pour déterminer si un processus ne fonctionne pas consiste à vérifier s’il y a plus d’exceptions que de règles. Une enquête menée auprès de 200 responsables de la cybersécurité aux États-Unis suggère que les directives en matière de cybersécurité comportent tellement d’exceptions qu’il n’existe, à toutes fins pratiques, aucune règle significative.

Menée par Opinion Matters pour le compte de Replica Cyber, un fournisseur de plateformes sécurisées pour le déploiement d’applications, cette enquête révèle que tous les participants (100 %) travaillaient pour une organisation ayant accordé des dérogations en matière de sécurité ou de conformité au cours des 12 derniers mois. Près des deux tiers (63 %) ont qualifié ces dérogations de formelles, tandis que 36 % ont indiqué qu’elles avaient été accordées de manière informelle.

Pourquoi les dérogations temporaires à la sécurité deviennent souvent permanentes

Il y aura toujours des exceptions à toute règle, mais en général, elles devraient être temporaires. L’enquête montre toutefois clairement que, en matière de politiques de sécurité, beaucoup trop d’exceptions accordées sont permanentes. Par exemple, cette politique mise en place pour empêcher les utilisateurs finaux d’utiliser un outil open source d’intelligence artificielle (IA) qui, s’il venait à être compromis, pourrait donner accès à de grandes quantités de données sensibles, prévoit une exception pour les membres de l’équipe marketing qui en dépendent pour accroître leur productivité.

Il existe bien sûr des agents d’IA plus sûrs qu’une équipe de cybersécurité proactive pourrait identifier, mais cela nécessite un travail de recherche considérable. Au moment où ces recherches seront terminées, le service marketing aura inévitablement créé une série de flux de travail complexes qu’il devra entièrement remanier s’il passe à une autre plateforme d’agents d’IA. Au nom de la productivité, une nouvelle dérogation sera alors accordée, même si tous les acteurs de la cybersécurité savent qu’il ne s’agit que d’une question de temps avant que les agents d’IA déployés par le service marketing ne soient compromis.

Ces mêmes équipes de cybersécurité savent également que plus la personne souhaitant obtenir une dérogation à une règle occupe un poste haut placé, plus il y a de chances que celle-ci soit accordée. On part du principe que ces dirigeants ont conscience du niveau de risque qu’ils font courir à l’organisation. Malheureusement, ces dérogations donnent un mauvais exemple qui ne tarde pas à se généraliser dans toute l’organisation.

Pourquoi les équipes de sécurité se retrouvent seules à gérer les risques liés aux exceptions

Que cela soit injuste ou non, c’est principalement aux équipes de sécurité qu’incombe la responsabilité de veiller à ce que tous les membres d’une organisation prennent conscience du niveau de risque encouru chaque fois que de nouveaux outils et de nouvelles plateformes sont intégrés à un portefeuille. Cela représente une lourde charge pour les professionnels de la cybersécurité, qui manquent généralement déjà d’effectifs, et cela suppose que les autres services communiquent leurs projets informatiques à l’équipe de sécurité avant de lancer une nouvelle initiative parallèle. Trop souvent, une dérogation à une politique est accordée simplement parce que le service en question sait qu’il est bien plus facile de demander pardon que la permission.

Comment les exceptions de sécurité peuvent retarder les initiatives commerciales

Malgré ces difficultés, les équipes de cybersécurité ne peuvent pas se permettre de baisser les bras. En effet, l’enquête montre que leurs voix sont de plus en plus entendues. Plus des deux tiers des personnes interrogées (39 %) ont déclaré que leur organisation avait reporté ou annulé des projets d’expansion commerciale, de lancement de produits, de fusions-acquisitions ou de déploiement d’IA, car ces activités ne pouvaient pas être menées en toute sécurité ; 20 % ont même indiqué que, dans certains cas, les projets à haut risque avaient été purement et simplement annulés.

Malheureusement, les cas où les organisations ont fait ces exceptions dans une culture d’entreprise qui continue généralement à privilégier la rapidité à tout prix restent rares.