Les entreprises sont plus exposées qu'elles ne le croient aux attaques Internet

La nouvelle étude indépendante « Stress Of Security » 1] commanditée par [Websense, « premier fournisseur mondial de solutions pour l'usage sécurisé d'Internet en entreprise », et menée par Dynamic Markets, révèle que si 91% des responsables informatiques européens pensent bénéficier d'une protection informatique complète ou correcte, seuls 30% d'entre eux sont réellement protégés contre certains dangers Internet les plus fréquents identifiés par l'étude 2] : attaques de « phishing », logiciels espions, outils de piratage et risques liés aux applications de peer-to-peer (P2P), ou encore infection par d'autres malwares, logiciels furtifs néfastes.

Dans le cadre de cette étude [3] 500 responsables informatiques ont été interrogés à travers toute l'Europe, au sein d'entreprises de plus de 250 employés. Au Royaume-Uni, en Allemagne, en France, en Italie et aux Pays-Bas, ces répondants ont la responsabilité de la sécurité informatique de leur entreprise.

Des entreprises insuffisamment conscientes des menaces liées au Web ?

Les menaces connues liées au Web sont largement ignorées. Seuls 58% des répondants sont protégés contre moins de 3 des 7 menaces Internet les plus communes identifiées par l'étude. 26% des répondants ne sont protégés que contre 1 seule de ces menaces :
- 60% des répondants n'ont pas mis en place de mesures pour détecter les pirates internes ;
- 62% pour cent n'ont aucun moyen de bloquer les attaques de « phishing » ;
- 56% n'empêchent pas le fonctionnement des applications de peer-to-peer sur leur réseau ;
- 35% n'ont pas les moyens d'empêcher les logiciels espions d'envoyer à des tiers à l'extérieur de l'entreprise des informations potentiellement confidentielles ;
- 8% des entreprises européennes ont été exposées à toutes les menaces Internet identifiées dans l'étude parce qu'elles n'avaient pas d'autre mesure de sécurité que les solutions antivirus et firewall classiques.

72% des responsables informatiques européens pensent que leurs emplois peuvent être menacés suite à d'éventuelles failles de sécurité informatique ; celles liées à Internet représentent le principal sujet d'inquiétude.

Le décalage dans la perception

Les niveaux de sécurité, tels qu'ils sont perçus, ne reflètent pas toujours la réalité. Par exemple, seuls 3% des responsables informatiques admettent avoir subi des tentatives de piratage interne ; pourtant, 60% d'entre eux n'ont pas de logiciel de détection des attaques, ce qui rend ces menaces invisibles. Elles peuvent donc survenir sans qu'ils en soient informés.

Les ordinateurs portables augmentent les risques d'attaques

71% admettent que les ordinateurs portables fournis par l'entreprise, qui sont utilisés en dehors du lieu de travail puis reconnectés au réseau, posent un problème de sécurité majeur dans leur entreprise. Pourtant, seulement 21% des entreprises ont mis en place des restrictions techniques pour sécuriser les ordinateurs déconnectés.

En fait, les employés peuvent se trouver confrontés à des responsabilités qui les dépassent lorsqu'il s'agit de leur propre sécurité informatique. Selon l'étude, seulement 40% des entreprises mettent en place des politiques d'usage d'Internet automatisées (par des moyens technologiques) sur les postes de travail fixes ; pour les portables, le chiffre tombe à 2%. Si on abandonne aux utilisateurs individuels la gestion d'usage d'Internet, les employés ont toute latitude pour accéder à tous types de sites Web, télécharger des applications inconnues, et même infecter leur réseau - intentionnellement ou non.

Principaux résultats pour la France

> La sécurité informatique laissée à la discrétion des employés ? La France est le pays d'Europe qui affiche le taux le plus élevé de responsables informatiques n'ayant pas de politique de gestion interne de l'usage d'Internet (16% contre 4% en moyenne dans les autres pays d'Europe).

Faisant confiance au comportement individuel de chaque salarié, ils ne sont que 41% à demander aux salariés de leur entreprise de signer une charte d'usage (contre 51% en moyenne dans les autres pays d'Europe).

> Une perception faussée de la sécurité ? Seuls 38% des responsables informatiques français ont bloqué l'usage des applications de peer-to-peer dans leur entreprise (contre 44% en moyenne dans les autres pays d'Europe), ils ne sont que 52% à utiliser un filtre Internet (contre 57%), et seulement 36% d'entre eux parviennent à identifier les intrus pirates internes (contre 44%).

> Des responsables informatiques trop « relax » ? Les responsables français ne sont que 59% à penser que leurs emplois sont menacés suite à d'éventuelles failles de sécurité informatique. Ce taux est le plus bas d'Europe.

> Une réalité française inquiétante ?
- Seuls 15% des responsables informatiques Français pensent qu'ils ont été infectés par des logiciels espions (spywares) contre 28% en moyenne dans les autres pays d'Europe.
- Ils ne sont que 2% à penser qu'ils ont perdu d'importantes données corporate à cause de ces spywares (contre 5% en moyenne en Europe).
- 27% (contre 49 en moyenne en Europe) pensent qu'ils ont été touchés par des virus. Ce taux est le plus bas parmi ceux recueillis dans les divers pays européens interrogés.
- 67% pensent qu'ils n'ont jamais été touchés par les menaces que sont les logiciels espions, les virus, ni par les pirates internes (contre 45% en moyenne dans les autres pays d'Europe).

> Les dangers induits par les ordinateurs portables toujours sous-estimés - Seulement 55% (contre 77% en moyenne, en Europe) des responsables informatiques français sont conscients des risques induits par la reconnection dans l'entreprise des ordinateurs portables emportés à l'extérieur (où des logiciels non-professionnels peuvent y être installés, qui peuvent servir à la maison pour l'usage d'applications de peer-to-peer...).

> Une responsabilité qui repose sur les employés - Près de 70% des responsables informatiques français pensent que la responsabilité des incidents informatiques reposent sur les employés, face à 18% pour qui cette responsabilité repose sur leur département informatique.

Les anti-virus et les firewalls ne suffisent pas

« Les entreprises ne peuvent plus se contenter des seuls logiciels antivirus et des firewalls comme filet de sécurité », affirme Philippe Birot, directeur Europe du Sud de Websense. « Les nouvelles menaces de sécurité Web, telles que les logiciels espions et les escroqueries au " phishing " se multiplient chaque semaine, proportionnellement à l'augmentation de l'usage de l'Internet par les employés, pour des motifs professionnels ou privés. En protégeant les employés contre les menaces potentielles que l'on rencontre aujourd'hui sur Internet, les entreprises se protègent aussi elles-mêmes. »

[1] L'intégralité de cette étude est disponible auprès de Chrystel Libert, attachée de presse de Websense (Tél : 01 41 11 82 27 - [clibert@pvirgule.fr).

2] Dans le cadre de l'étude « Le stress lié à la sécurité », la question suivante a été posée aux personnes interrogées : « Outre les firewalls et les solutions antivirus, avez-vous mis en place des mesures de sécurité destinées à... :
- intercepter l'envoi d'informations à des sources externes par les logiciels espions ;
- contrôler l'utilisation des messageries instantanées ;
- bloquer les fichiers envoyés par l'intermédiaire des messageries instantanées ;
- bloquer l'utilisation des applications de peer-to-peer ;
- filtrer l'utilisation d'Internet ;
- bloquer les sites de " phishing " ;
- identifier les pirates internes. »

[3] Avant et pendant les entretiens, les personnes interrogées ignoraient que Websense était le commanditaire de l'étude conduite par Dynamic Markets.

Présentation de Websense

[Websense se présente comme « le premier fournisseur mondial de solutions pour l'usage sécurisé d'Internet en entreprise ».

Websense permet aux entreprises d'optimiser l'utilisation des ressources informatiques par leurs employés et de réduire les nouvelles menaces liées à l'utilisation d'Internet, comme la messagerie instantanée, le peer-to-peer, les logiciels espions.

« En fournissant des produits capables de faire appliquer et respecter les politiques d'utilisation d'Internet au niveau de la passerelle, du réseau et du poste de travail, Websense améliore la productivité et la sécurité, optimise l'utilisation des ressources informatiques et réduit la responsabilité légale pour ses clients. »

Websense indique compter plus de 24~000 clients à travers le monde, ce qui représente 19,8 millions de postes.

http://ww2.websense.com/global/fr/