En France, 85 % des petites et moyennes entreprises ont subi des incidents de cybersécurité au cours de l’année écoulée

Seules 15 % des PME ont échappé à une cyberattaque cette année : selon Kaspersky, les PME subissent désormais la même pression informatique que les grands groupes. Kaspersky a interrogé des spécialistes de la sécurité informatique au sein de PME et de grandes entreprises dans 18 pays afin de dresser un état des lieux des risques les plus critiques du secteur. Cette étude révèle notamment que seules 15% des entreprises françaises de moins de 500 employés ont échappé à un incident cyber au cours de l’année écoulée.

Tribune Kaspersky – Les PME ne sont plus épargnées par les cyberattaques. Digitalisées mais vulnérables, les PME deviennent des cibles de choix pour des cyberattaques de moins en moins coûteuses, en utilisant les technologies émergentes comme des armes et en exploitant la moindre faille de sécurité.

D’après cette étude, les structures françaises font face en moyenne à trois types d’incidents de sécurité distincts chaque année. Pour les PME, le podium des cybermenaces les plus récurrentes s’établit comme suit :

• Le phishing (28 %), 

• L’exploitation des failles de l’IA (28 %)

• Les attaques utilisant des outils d’administrateur (23 %)

Même si les attaques à des fins d’espionnage et celles exploitant les relations de confiance arrivent en bas de classement, chacune de ces attaques a tout de même été subie respectivement par 8 % et 5 % des organisations françaises.

Bien que la répartition des incidents soit similaire quelle que soit la taille de l’entreprise, des menaces telles que les logiciels malveillants de masse, les ransomwares, les escroqueries au président (BEC – Business Email Compromise) et l’exploitation des vulnérabilités de l’IA étaient légèrement plus répandues dans les entreprises de plus de 500 employés.

Interrogés sur les principaux facteurs de vulnérabilité de leur organisation face aux cyberattaques, les répondants français ont identifié le top 5 suivant :

• La résistance au déploiement de nouvelles solutions (38 %)

• Le « Shadow IT » (28 %)

• Le manque de clarté dans l’attribution des responsabilités et le suivi des processus de sécurité informatique (25 %)

• La surcharge de travail qui pèse sur les équipes IT et cybersécurité (25 %)

• L’insuffisance de sensibilisation des collaborateurs aux enjeux de sécurité informatique (23 %)

Afin de faire face à la hausse des cybermenaces et à leurs défis internes :

• La majorité des organisations françaises envisagent de consolider leur sécurité informatique (68 %)

• 83 % des PME ont d’ores et déjà augmenté leur budget dédié cette année

• 36 % a alloué des ressources financières supplémentaires pour renforcer leurs effectifs IT et sécurité

• 39 % a investi dans la transition vers des technologies de protection avancées (XDR, NDR, SIEM)

« La réalité actuelle, où les entreprises de toutes tailles peuvent être ciblées par toutes les méthodes possibles, pousse les organisations à repenser leur posture de sécurité. Les attaques sophistiquées contournent facilement les défenses fragmentées, ce qui nécessite des outils avancés et une équipe qualifiée pour les contrecarrer. Cependant, les entreprises en croissance sont souvent freinées par des contraintes budgétaires et par la pénurie mondiale de talents en cybersécurité », explique Ilya Markelov, responsable de la ligne de produits plateforme unifiée chez Kaspersky. « C’est pourquoi les solutions de cybersécurité modernes doivent en faire plus avec moins. Au lieu d’introduire de nouveaux outils complexes qui exigent une expertise rare et coûteuse, les fournisseurs doivent s’attacher à réduire la complexité. Lors de la conception de nos produits pour les PME, notre objectif est de fournir une protection avancée facile à adopter, simple à gérer et capable de grandir avec l’entreprise, aidant ainsi les organisations à renforcer leur sécurité sans ajouter de complexité inutile ni épuiser leur budget. »

Maximiliano Allo, directeur chez Custom IT, ajoute :

« En tant qu’entreprise aidant ses clients à adopter un modèle de maturité en matière de sécurité pour naviguer au sein des tendances numériques actuelles, nous constatons que le défi cyber s’intensifie. Les attaquants s’appuient de plus en plus sur l’intelligence artificielle, augmentant ainsi le volume et la complexité des menaces d’aujourd’hui. De plus, la protection des identifiants est devenue primordiale, car les pirates exploitent les failles de sécurité pour collecter des accès à forte valeur ajoutée en vue d’attaques ciblées qui perturbent les activités ou provoquent des vols de données. Par conséquent, il est d’autant plus important de sensibiliser les utilisateurs, qui restent l’un des maillons les plus faibles. »

Pour se protéger contre les menaces émergentes, Kaspersky recommande aux PME de :

• Mettre en place des règles d’accès strictes pour l’ensemble des ressources de l’entreprise et des services cloud, en veillant à ce que l’équipe informatique révoque rapidement les autorisations lors du départ d’un employé. 

• Intégrer des sauvegardes de données automatisées dans les opérations quotidiennes pour sécuriser les informations critiques en cas d’urgence ou d’attaque par ransomware. 

• Appuyer ces contrôles techniques par une gestion continue du risque humain : simplifier les directives de cybersécurité concernant la navigation sécurisée et l’hygiène des mots de passe, et exiger l’approbation de l’équipe IT pour tout nouveau logiciel. Ces actions permettront de minimiser les incidents cyber associés, tels que les menaces internes, l’utilisation d’identifiants faibles ou volés et l’exploitation d’équipements informatiques perdus ou volés.

• Organiser des formations dédiées pour apprendre au personnel à détecter et traiter les menaces potentielles, y compris les deepfakes et le vishing (hameçonnage vocal), et suivre leurs progrès.

• Déployer des solutions de cybersécurité spécialisées et adaptées au budget, à la taille et aux exigences du secteur, en mettant l’accent sur l’efficacité, la polyvalence, la simplicité d’utilisation et la scalabilité.