Une nouvelle étude d’Iron Mountain, en association avec le grand cabinet de conseil aux entreprises, PwC, suggère que les entreprises européennes se trouvent submergées par les énormes volumes d’information qui ne cessent de croître et qu’elles s’exposent à des niveaux de risque sans précédent.

Depuis la publication l’an dernier du tout premier indice de maturité de gestion des risques pour l’information, les entreprises européennes sont aujourd’hui davantage sensibilisées aux menaces liées aux risques pour l’information. Mais l’indice 2013 confirme que les entreprises européennes de taille moyenne sont insuffisamment équipées pour se frayer un chemin dans un paysage de l’information plus complexe, caractérisé par des volumes d’information sans cesse croissants, dans de multiples formats ; la multiplication des attaques malveillantes à un niveau de sophistication toujours plus haut; et la nécessité de traiter l’information comme un actif stratégique vital.

50% de violation de données en plus par an

Le nombre moyen des cas de violation de données progresse de 50 % par an [2]. Malgré l’intensification de la menace, l’indice 2013 de maturité de gestion des risques pour l’information nous apprend que moins de la moitié des entreprises (45 %) dispose d’une stratégie de gestion des risques pour l’information et contrôle son efficacité, et que 38 % ont un plan mais ne savent pas s’il est réellement efficace.

L’incohérence serait la norme, à en croire les réponses obtenues

68 % des sondés estiment qu’une approche responsable de la protection de l’information est essentielle pour la réussite de leur entreprise, et 44 % pensent que les risques de violation de données vont augmenter

Mais ce constat ne se traduit pas en action : la question de la protection des données ne figure pas au nombre des priorités du conseil d’administration dans 47 % des entreprises et dans 43 % des cas, les employés ne mesurent pas non plus l’importance de protéger l’information ; enfin, 60 % privilégient encore la réduction des coûts à la diminution des risques pour l’information.

Plus de la moitié pensent qu’il n’y a rien à faire

Certains sont résignés et pensent qu’il n’y a rien à faire. Plus de la moitié (54 %) a le sentiment que les risques pour l’information changent à un tel rythme qu’ils ne peuvent le suivre, et 41 % considèrent que la perte de données est une conséquence inévitable du commerce.

« Il y a un an, notre étude du degré de préparation des entreprises européennes à faire face au risque pour l’information mettait en évidence leur manque de vigilance et leur négligence, exposant ces entreprises à un risque inacceptable de violation de leurs données », fait constater Marc Delhaie, PDG d’Iron Mountain France. « Le bilan de l’étude 2013 conclut à ‘quelques avancées mais il faut faire beaucoup mieux encore’. Dans l’univers hybride actuel où coexistent les contenus papier et électroniques, à moins qu’elles prennent la gestion de l’information à bras le corps, les sociétés vont se noyer dans la complexité et la confusion. Elles ne pourront tirer profit de l’actif stratégique que constitue l’information qu’en adoptant une approche responsable, essentielle pour préserver leur réputation et la fidélité de leurs clients. »

La France avant dernière

Pour établir l’indice 2013 de maturité de gestion des risques en Europe, PwC a interrogé les dirigeants et cadres supérieurs de 600 entreprises européennes, entre 250 et 2 500 employés, des secteurs des services financiers, des assurances, des cabinets juridiques, de la fabrication industrielle et de l’ingénierie et de l’industrie pharmaceutique.

Les résultats obtenus pour la France, l’Allemagne, la Hongrie, les Pays-Bas, l’Espagne et le Royaume-Uni montrent que le score moyen des entreprises européennes à l’indice 2013 a augmenté pour atteindre 56,8, contre 40,6 en 2012, sur un résultat idéal de 100. Le score des entreprises françaises est de 53,9 %, la plaçant en 5ème position, contre 41,7 l’an dernier, qui la plaçait en 2nde position.

L’indice préconise un ensemble de mesures qui, une fois mises en place et régulièrement contrôlées, contribuent à protéger les informations papier et numériques que détient une entreprise. Il reflète une approche équilibrée de la prévention des risques pour l’information, avec des mesures relatives à la stratégie, au personnel, aux communications et à la sécurité.

Claire Reid, de PwC Risk Assurance, commente ainsi les résultats : « Les entreprises doivent réexaminer leur stratégie de sécurité de l’information et y voir autant un moyen de protéger les données qu’une source de valeur ajoutée pour elles. A en croire l’indice 2013, il reste beaucoup à faire pour un grand nombre d’entre elles. »