Quels sont les facteurs qui rendent les organisations plus vulnérables face aux cyberattaques ?

C’est la problématique que se sont posée 4 chercheurs anglo-saxons en 2020, dans le cadre d’une étude publiée par le Journal of Cybersecurity de l’université d’Oxford.

Étudiant le cas critique d’attaques par ransomwares, les chercheurs ont analysé 55 organisations publiques et privées, afin de déceler les facteurs ayant joué en leur défaveur lors des attaques dont elles ont été victimes. 

Leurs analyses ont battu en brèche l’idée selon laquelle ce serait la taille ou le secteur qui primeraient dans la gravité des dommages.

C’est en effet bien davantage le degré de préparation aux attaques et la posture de sécurité des organisations qui jouent.

Voici les raisons identifiées par les auteurs de l'étude :

▶ Les PME peuvent être aussi gravement touchées que les les grandes entreprises par des attaques de ransomware. Les chercheurs citent par exemple le cas d’une entreprise de construction paralysée pendant des semaines

▶ Le privé est plus vulnérable que le public, à cause de sa dépendance clients : 68 % des entreprises privées touchées ont subi des conséquences sévères, contre 37 % des organisations publiques 

▶ Les attaques opportunistes, bien que massives, sont moins dévastatrices que les attaques ciblées. 80% des attaques ciblées ont en effet eu des conséquences graves, contre seulement 45% pour les attaques opportunistes. Les chercheurs citent par exemple le cas d’une PME informatique ayant dû négocier une rançon initiale de de 75 bitcoins (400 000 euros), quand les attaques opportunistes qui « ratissent large » exigent une rançon plus modérée (entre 300 et 500 euros)

▶ Les vulnérabilités techniques sont aussi déterminantes que les vulnérabilités humaines : sur les 55 incidents étudiés, 27 ont été déclenchés par une action humaine, pour 28 ayant été favorisées par failles techniques 

▶ La préparation est le facteur le plus déterminant : ce sont les organisations ayant une posture de sécurité faible qui subissent des attaques plus sévères, pour 80% d’entre elles. 

▶ Les organisations s’étant conformées au programme britannique Cyber Essential étaient bien mieux protégées que celles qui n’y étaient pas soumises. C’est pourquoi 64% des grandes entreprises du secteur public avaient des défenses efficaces, contre seulement 23% dans le privé.

Le lien vers l’étude

https://academic.oup.com/cybersecurity/article/6/1/tyaa023/6047253?login=false

Les 42 mesures d’hygiène informatique de l’ANSSI

https://cyber.gouv.fr/publications/guide-dhygiene-informatique