Plus de 80% des responsables IT pensent qu’un vol de données interne est probable dans leur entreprise, mais environ 60% déclarent ne pas avoir de procédure stricte dans ce domaine LogRhythm, spécialiste de la Security Intelligence, annonce les résultats d’une étude* menée auprès de responsables IT d’entreprises françaises, à propos de leur perception de la sécurité au sein de leurs entreprises, et notamment des risques en interne.

D’après l’enquête, les entreprises françaises ont bien conscience des dangers liés au vol de données et des conséquences pour leurs organisations. Toutefois, il semble que les bonnes intentions ne soient pas mises en pratique et qu’une remise en question des systèmes et stratégies de sécurité en place ne soit toujours pas à l’ordre du jour.

En effet, selon l’étude, 87% des entreprises françaises pensent qu’elles courent peut-être un risque de sécurité actuellement, dont 34,5% des répondants qui en sont persuadés. Pourtant, 70% des organisations indiquent n’avoir rien changé à leurs systèmes de sécurité suite aux récentes affaires de vol de données, alors que 58% d’entre elles se disent plus inquiètes sur ce sujet suite aux révélations de Snowden.

Bien que cette dernière affaire ait été érigée en parfait exemple de ce que l’on peut craindre pour les données confidentielles de la part d’employés ou de partenaires mal intentionnés, l’étude révèle que les entreprises y attachent moins d’importance qu’aux menaces externes : 52% des répondants pensent que les menaces les plus sérieuses pour les informations confidentielles de leur entreprise viennent de l’extérieur contre 37% qui jugent les menaces internes comme étant plus importantes.

Pourtant, les risques associés sont bien identifiés : lorsqu’on interroge les responsables IT sur la possibilité que des employés accèdent à des données sensibles au sein du système d’information, 81% pensent que cela est tout à fait probable, dont 23,5% déclarant que cela était déjà arrivé.

Les menaces internes jugées moins importantes

Si 41,5% des entreprises disposent de procédures contre le vol de données confidentielles en interne, environ 34,5% des personnes interrogées pensent que les systèmes en place ne sont soit pas appliqués, soit pas satisfaisants. 15% ne savent même pas si ce type de procédure existe dans leur entreprise et 9% confirment ne pas en avoir du tout. Parmi ces derniers exempts de tout contrôle de sécurité, 15% des personnes interrogées pensent que cela n’est tout simplement « pas nécessaire ».

En ce qui concerne les procédures de sécurité élémentaires, l’étude montre qu’environ 30% des personnes interrogées ne procèdent toujours pas au renouvellement de leurs mots de passe. Parmi eux, il y a ceux qui savent que c’est nécessaire mais qui ne le font pas (24%) mais aussi 5,5% des répondants qui estiment que cela ne sert à rien !

« Les entreprises françaises sont sensibilisées aux risques majeurs de sécurité mais les bonnes pratiques ne sont toujours pas appliquées, confie Jean-Pierre Carlin, Directeur Europe du Sud chez LogRhythm. Les données des entreprises ne sont peut-être pas aussi critiques que celles de la NSA, il n’en reste pas moins étonnant que les employés ne soient pas plus impliqués par la direction sur cette pratique essentielle pour la sécurité de leurs données alors que la menace est bien réelle. Il est très surprenant que des procédures aussi basiques que le renouvellement régulier de mot de passe ne soient pas encore systématiquement appliquées. »

Selon cette étude, le manque d’information, mais aussi d’implication de la part des directions à se saisir de ces problématiques, engendre une sorte de laisser-aller sur la question de l’accès aux données, surtout en interne. Malgré les inquiétudes justifiées, les stratégies et procédures en place restent insuffisantes à ce jour.

La formation des employés, l’application systématique des bonnes pratiques liées au contrôle d’accès et à la gestion des mots de passe est aujourd’hui indispensable pour initier une vraie stratégie de sécurité des données. Sans compter que ces mesures doivent elles-mêmes être complétées par d’autres procédures régissant l’ensemble des questions relatives à la protection des ressources de l’entreprise, que ce soit en matière de contrôle d’accès, ou de sanction des employés en cas de manquement ou de mauvaise application des règles de sécurité.