En 2023, les services de sécurité doivent travailler plus résolument dans la gestion des vulnérabilités et la sécurité de la chaîne d'approvisionnement. Il s'agit d'un résultat central de l'étude "State of Security Preparedness 2023" publiée par le fournisseur de sécurité Ivanti.
Contrairement à leurs collègues internationaux, le degré de maturité des services de sécurité allemands n'est que médiocre. Cela est particulièrement évident dans les questions critiques pour l'entreprise telles que la gestion des points faibles et dans la formation à la sécurité des partenaires commerciaux de la propre chaîne de distribution de l'entreprise.
Les équipes de sécurité allemandes ont du rattrapage à faire
Selon l'étude Ivanti, le degré de maturité des services de sécurité informatique allemands est nettement inférieur à celui des pays européens voisins et du monde entier. Seuls 19 % des répondants estiment que leur équipe est avancée et éprouvée lorsqu'il s'agit de se conformer aux réglementations, politiques et procédures de sécurité nationales et mondiales. En Angleterre, en France et dans la moyenne internationale, environ 30 % des entreprises se situent à ce niveau de défense le plus élevé. Selon leur propre évaluation, la majorité des équipes de sécurité allemandes (36 %) se situent juste à un « niveau intermédiaire » sur cette question.
Faible auto-évaluation confirmée
Cette auto-évaluation s'appuie sur les méthodes utilisées par les équipes informatiques pour évaluer leurs cyberprogrammes. La qualité de ces méthodes peut servir d'indicateur du bien-fondé de la mise en place et de la mise en œuvre des programmes. Les modèles de maturité de la cybersécurité ne jouent qu'un rôle mineur en Allemagne par rapport à la moyenne internationale. Seulement 1/3 des entreprises de ce pays travaillent avec ces modèles - dans le monde, c'est 2/3. La situation est similaire lorsqu'il s'agit d'évaluer le risque auquel sont exposées les données financières pertinentes. 1/3 des spécialistes de la sécurité allemands interrogés déterminent leur position en matière de sécurité sur la base d'une évaluation des risques liés aux données financières (FinDRA). Cependant, presque deux fois plus de leurs pairs travaillent sur cette métrique au Royaume-Uni et aux États-Unis (61 %, 62 %).
La capacité d'une organisation à déterminer avec précision son propre niveau de sécurité dépend notamment de sa connaissance des systèmes et des solutions utilisés dans l'entreprise. De ce point de vue également, l'auto-évaluation des responsables de la sécurité allemands chute modérément. La majorité d'entre eux (54 %) n'ont qu'une vue d'ensemble modérée de leurs actifs et seulement 15 % suivent en permanence les utilisateurs, les appareils, les applications et les services connectés au réseau de l'entreprise.
Gestion des vulnérabilités : Souhaitez-vous tout patcher ?
« Les résultats de notre étude montrent que les professionnels de la sécurité allemands souhaitent fermer presque toutes les vulnérabilités avec une priorité ou une priorité élevée. Une telle attitude correspond à la volonté compréhensible de fermer le plus de passerelles potentielles possible. Cependant, cela peut difficilement être réalisé dans le fonctionnement régulier d'un service informatique avec les ressources disponibles des équipes », explique Johannes Carl, Expert Manager PreSales - UEM & Security. « Le grand nombre de vulnérabilités ouvertes rend presque impossible la mise en place d'un mur de protection complet autour d'une entreprise. Il est beaucoup plus efficace de prioriser la fermeture des vulnérabilités qui présentent un risque réel pour l'entreprise individuelle. »
L'étude Ivanti montre que ces connaissances ne se sont pas encore suffisamment diffusées parmi les équipes de sécurité en Allemagne. La moitié des experts en sécurité (48%) donnent la priorité aux vulnérabilités stratégiques qui concernent directement leur entreprise - une bonne valeur dans une comparaison internationale. Cependant, on remarque qu'un nombre disproportionné de points faibles sont inclus.
Qu'il s'agisse de vulnérabilités répertoriées dans la NVD (National Vulnerability Database), actuellement exploitées ou identifiées par l'équipe elle-même, la majorité des professionnels de la sécurité allemands leur accordent la plus haute urgence. Au niveau international, il y a beaucoup plus de différenciation sur cette question. L'une des raisons de cette note peut résider dans le fait que 40 % des répondants n'utilisent pas de méthode spécifique pour hiérarchiser les vulnérabilités ou, si elle est disponible, qu'elle n'est pas documentée séparément. Il est donc difficile pour les équipes d'appliquer des règles cohérentes pour la gestion des vulnérabilités basée sur les risques.
Les attaques de la chaîne d'approvisionnement en un coup d'œil - mais sous contrôle ?
L'évaluation des vecteurs d'attaque potentiels permet également une analyse intéressante. 40 % des professionnels de la sécurité allemands ne voient qu'un niveau de menace modéré dans les attaques sur et via la chaîne de distribution. Compte tenu de l'augmentation de ce type d'attaques depuis un an, un tel bilan est assez étonnant. Ce qui est également intéressant, cependant, c'est la déclaration de presque un répondant sur deux (48 %) selon laquelle ils sont très bien préparés pour une attaque de la chaîne d'approvisionnement.
Cela coïncide avec la grande capacité des services informatiques allemands dans une comparaison de pays à pouvoir retirer l'accès à des entreprises tierces à court terme. 51% sont capables de le faire en une journée. Une autre affirmation est beaucoup plus critique : seul un peu plus d'un spécialiste de la sécurité sur deux en Allemagne (57 %) oblige également les partenaires de la chaîne d'approvisionnement à suivre une formation obligatoire en cybersécurité. La valeur moyenne pour tous les pays est de 67 %.
contexte de l'étude
Pour l'étude "State of Security Preparedness 2023", plus de 2022 6.500 cadres, experts en cybersécurité et employés de bureau du monde entier ont été interrogés en octobre XNUMX. L'objectif de l'enquête, menée par Ravn Research, est de comprendre comment les professionnels de l'informatique d'entreprise perçoivent les menaces de sécurité d'aujourd'hui et comment les organisations se préparent aux menaces encore inconnues à l'avenir.
Plus sur Ivanti.com
À propos d'Ivanti La force de l'informatique unifiée. Ivanti connecte l'informatique aux opérations de sécurité de l'entreprise pour mieux gouverner et sécuriser le lieu de travail numérique. Nous identifions les actifs informatiques sur les PC, les appareils mobiles, les infrastructures virtualisées ou dans le centre de données - qu'ils soient sur site ou dans le cloud. Ivanti améliore la prestation de services informatiques et réduit les risques commerciaux grâce à son expertise et à des processus automatisés. En utilisant des technologies modernes dans l'entrepôt et sur l'ensemble de la chaîne d'approvisionnement, Ivanti aide les entreprises à améliorer leur capacité de livraison, sans modifier les systèmes backend.