Industrie Mag - Le journal de l'industrie.

Un nouveau rapport Kaspersky mené auprès de plus de 5 200 décideurs informatiques à travers le monde montre une corrélation entre la manière dont une faille informatique est divulguée à la suite d’un incident de cybersécurité et le montant des pertes financières subies par les organisations.

Kaspersky publie les conclusions d’un nouveau rapport présentant les alternatives dont disposent les entreprises pour minimiser le coût d’une cyberattaque ayant entraîné une fuite de données. Ce rapport montre que les entreprises de 50 à 999 salariés qui font le choix d’informer proactivement leurs parties prenantes et le public subissent 40 % de pertes financières de moins que les entreprises de même taille dont la faille a été dissimulée. La même tendance a été constatée dans les entreprises comptant plus de 1 000 salariés.

Ne pas informer le public de manière appropriée et au moment opportun d’une violation de données dont elles seraient victimes peut aggraver les conséquences financières et l’impact réputationnel qui en découlent pour les entreprises. Parmi les affaires les plus médiatisées, citons l’exemple de Yahoo !, condamné à verser une amende et critiqué pour ne pas avoir informé ses investisseurs de la fuite de données subie par l’entreprise, ou celui de Uber, condamné à une amende pour avoir dissimulé un incident de données.

Cyberattaques : l’honnêteté est payante pour les entreprises

Le rapport de Kaspersky, présentant les résultats d’une enquête mondiale menée auprès de 5 266 spécialistes informatiques et cybersécurité, montre que les organisations qui se montrent proactives dans la communication de la situation atténuent généralement les dommages subis. En effet, pour les entreprises de 50 à 999 salariés choisissant de communiquer proactivement sur une brèche de leurs données, le coût moyen à supporter est estimé à 93 000 dollars (environ 77 000 euros), tandis qu’il s’élève à 155 000 dollars (environ 128 000 euros) pour les entreprises qui voient la faille rendue publique par les médias.

Un résultat que l’on constate également chez les entreprises de plus de 1 000 salariés : celles qui informent proactivement le public d’une fuite de données subissent 28 % de dommages financiers en moins que celles pour qui l’incident fuite dans la presse (1,134 millions de dollars, environ 936 000 euros contre 1 583 millions de dollars, environ 1,307 millions d’euros).

Coût moyen d’une fuite de données en fonction de la taille de l’entreprise et de la manière dont la fuite est révélée

La proactivité sur la communication ne fait pourtant pas l’unanimité

Parmi les entreprises ayant déjà subi une fuite de données, seule la moitié environ (46 %) a révélé cette brèche de manière proactive, tandis que 30 % ont préféré ne rien dévoiler. Enfin, presque un quart des entreprises (24 %) ont tenté de dissimuler l’incident mais l’ont vu fuiter dans les médias.

Si les entreprises ayant réussi à dissimuler l’incident (sans fuites) rapportent des pertes financières minimes, cette approche est loin d’être idéale. En effet, ces entreprises prennent le risque de perdre bien davantage si l’incident informatique est rendu public. Ou, plus vraisemblablement, au moment où il sera rendu public.

Le temps de détection reste capital pour garder la maîtrise de sa communication

L’enquête de Kaspersky révèle par ailleurs que les risques sont particulièrement élevés pour les entreprises qui ne détectent pas immédiatement la cyberattaque. 29 % des entreprises de 50 à 999 salariés ayant mis plus d’une semaine à découvrir l’attaque dont elles ont été victimes ont vu leur défaillance rendue publique dans les médias, un chiffre deux fois supérieur à celui des entreprises de même taille ayant détecté immédiatement l’incident (seules 15% d’entre elles ont vu la fuite divulguée par la presse). Pour les entreprises de plus de 1 000 salariés, les proportions sont similaires (respectivement 32 % et 19 %).

« Choisir de communiquer sur une cyberattaque peut renverser la situation en faveur de l’entreprise, au-delà de l’impact financier, et ceci de trois manières. Premièrement, si l’entreprise communique proactivement auprès de ses clients sur la situation, ceux-ci sont davantage susceptibles de maintenir la confiance accordée. Deuxièmement, cela permet à l’entreprise de conseiller ses clients sur les meilleures mesures à prendre au regard de l’incident, afin d’assurer la protection de leurs données. Troisièmement, cela permet à l’entreprise touchée de fournir sa version des faits et de partager aux médias des informations correctes et fiables, prenant ainsi le pas sur des sources tierces qui pourraient donner une vision faussée de la situation », commente Bertrand Trastour, Head of B2B chez Kaspersky France.

Pour réduire le risque de subir des conséquences préjudiciables à la suite d’une fuite de données, Kaspersky recommande aux entreprises :

 De mettre en place des solutions EDR telles que Kaspersky Endpoint Detection and Response pour la détection avancée des menaces au niveau de l’utilisateur final ou point d’entrée, l’investigation et la chasse proactive aux menaces. Les petites entreprises ayant une expertise limitée en matière de cybersécurité peuvent bénéficier de solutions telles que Kaspersky EDR Optimum, qui offrent des fonctionnalités EDR de base, et notamment une meilleure visibilité des points d’extrémité et une option de réponse automatisée.

 En plus d’assurer la protection des points d’entrée, de déployer une solution de sécurité de niveau entreprise qui détecte les menaces avancées sur le réseau et fournit des enseignements de Threat Intelligence, comme Kaspersky Anti Targeted Attack Platform. Celle-ci permet de se protéger des cyber attaquants professionnels qui ont souvent recourt à plusieurs techniques dans le cadre d’une même attaque.

 Pour répondre en temps utile à une cyberattaque, de combiner l’action d’une équipe interne ayant pour objectif de répondre aux incidents en première ligne, à celle d’une équipe d’experts tiers pour le traitement des incidents plus complexes.

 D’apprendre à leurs collaborateurs à reconnaître et à réagir à une cyberattaque, par le biais de formations de sensibilisation adaptées.

 De conduire des formations approfondies à destination des collaborateurs qui se verraient impliqués dans la gestion d’une potentielle faille (responsables et collaborateurs informatiques, équipe de communication…), comme Kaspersky Incident Communications.

http://www.kaspersky.fr/