Les sociétés françaises ont subi en moyenne 14 incidents de cybersécurité sur un an

97% : c'est la part de grandes entreprises du monde entier à avoir détecté une attaque réseau sur les douze derniers mois. Un chiffre qui ressort du dernier rapport sur l'économie de la sécurité informatique publié par la société russe Kaspersky, analysant les difficultés financières que peuvent rencontrer les dirigeants cyber. Cette étude rassemble près de 2000 entretiens menés auprès de décideurs en sécurité informatique de PME, ETI et grandes entreprises basées dans 27 pays.

Seulement 12 à 13% du budget informatique consacré à la cybersécurité

Depuis le début de l'année, les entreprises ont été confrontées en moyenne à 11,6 incidents de cybersécurité, et les PME à 14 incidents. Un chiffre identique pour les sociétés françaises dans leur ensemble, sur les douze derniers mois. La quasi-totalité des sociétés interrogées font part d'attaques touchant directement leur réseau, suivies par l'exécution de code malveillant au sein du réseau et par des tentatives de manipulation, d'interruption ou de destruction des systèmes. À noter que près de la moitié (49%) des PME ont signalé des fuites de données provenant d'un écosystème cloud public, contre seulement 19% pour les grandes entreprises.

Le budget médian des grandes entreprises alloué à la cybersécurité s'élève à 5,7 millions de dollars (5,4 millions d'euros) et le budget médian des PME à 200 000 dollars (189 000 euros). Des montants qui restent relativement faibles par rapport au budget total consacré à l'informatique (13,6% du budget pour les grandes sociétés, 12,5% pour les PME). Les sociétés françaises dépensent en moyenne 917 000 euros pour leur cybersécurité, sur un budget informatique total de 5 millions d'euros par entreprise (ratio de 18%).

Des pertes financières supérieures au budget alloué

Les sociétés interrogées ont déclaré vouloir augmenter leurs budgets dédiés à la cybersécurité de 9% en moyenne au cours des deux prochaines années. Un renforcement qui s'explique par la “complexité croissante des menaces”, avec des risques émergents qui ne peuvent être contrôlés par les solutions traditionnelles de cybersécurité. Mais aussi en raison du coût engendré par les réglementations et l'embauche de personnel associée, ainsi que par l'augmentation des attentes salariales pour les professionnels de la sécurité informatique.

Une augmentation suffisante pour limiter les pertes en cas de cyberattaque ? Pas si sûr. Les décideurs cyber de grandes entreprises déclarent avoir dépensé en moyenne 6,2 millions de dollars pour remédier aux cyberattaques, ce qui est 1,1 fois supérieur au budget alloué. Un constat qui s'explique par la durée nécessaire à l'atténuation des risques, qui peut s'avérer plus longue pour ce type d'entreprises.

Les PME ne sont pas épargnées sur ce point : au cours des 12 derniers mois, elles ont dépensé en moyenne 300 000 dollars pour mettre fin aux incidents de cybersécurité, soit 1,5 fois le budget. Kaspersky justifie ce montant par un “manque de procédures éprouvées”, mais aussi par une mauvaise configuration du cloud public et de certaines autorisations.