Face à un manque de données sur la cybersécurité dans les entreprises à échelle européenne et la difficulté de qualifier l’économie de la cybersécurité, l’agence de notation en cybersécurité Cyrating, a mené une étude auprès de 600 grandes entreprises européennes dont elle a divulgué les résultats à l’occasion du Forum International de la cybersécurité tenu le 23 et 24 janvier 2018 à Lille.
Le benchmark établi par Cyrating dévoile les 3 meilleurs élèves en cybersécurité, à savoir la Suède, la France et le Royaume-Uni, ainsi que les 5 secteurs dans lesquels les sociétés ont adopté les meilleures pratiques en matière de cybersécurité – l’industrie agroalimentaire et des boissons, les matières premières, la finance et les services associés, la chimie et la santé (laboratoires pharmaceutiques).
Échantillon et méthodologie
Les sociétés qui ont pris part dans l’étude constituent les 600 premières capitalisations boursières européennes, implantées dans 17 pays européens (Allemagne, Autriche, Belgique, Danemark, Espagne, Finlande, France, Irlande, Italie, Luxembourg, Pays-Bas, Portugal, République tchèque, Royaume-Uni, Norvège, Suède, Suisse) et appartenant à 19 secteurs d’activité.
Un référentiel de critères représentatifs de la cybersécurité d’une organisation ont été appliqués à l’ensemble des acteurs sondés, ce qui a abouti à l’attribution d’un score compris entre 0 et 100.
Cette notation reflète la performance en cybersécurité, à savoir la mise en œuvre effective des meilleures pratiques de cybersécurité acceptées par l’industrie.
Résultats de l’étude sous le signe de fortes disparités en matière de performance en cybersécurité
L’étude réalisée est disponible sur demande sur le site de Cyrating. En voici les points clés :
- la note médiane est de 71,6 ;
- la note moyenne s’élève à 70, 4 ;
- 88 est la meilleure note obtenue par une société ;
- la plupart des sociétés ont une note entre 70 et 75 ;
- 59% des société basées en Suède (sur 44 analysées) ont une note supérieure à la médiane européenne ;
- 53% des société basées en France (sur 84 analysées) ont une note supérieure à la médiane européenne et les valeurs sont identiques pour le Royaume-Uni ;
- 2% des sociétés atteignent une excellence opérationnelle lorsqu’il s’agit de protéger leur messagerie électronique ;
- 18% des sociétés protègent efficacement leurs noms de domaine – une pratique jugée facile à mettre en œuvre ;
- 10% des sociétés analysées font face à un événement de sécurité – elles hébergent des malwares, communiquent avec des réseaux de botnets ou font état de fuite de données.
Cyrating met l’emphase sur le fait qu’il n’existe pas de corrélation entre le nombre de ressources numériques analysées (hébergement, noms de domaine, adresses IP, etc.) et la note attribuée.
Cyrating et son service d’évaluation en continu
Cyrating a créé sa plateforme de traitement de jeux de données observables afin d’en faire ressortir les faits et les événements de cybersécurité liés aux actifs des organisations, et de les comparer aux meilleures pratiques et normes de cybersécurité. L’analyse débouche sur le calcul de métriques synthétisées et, enfin, l’attribution d’une note.
L’avantage de son approche d’évaluation mis en avant par la société consiste dans la réalisation de l’évaluation du processus indépendamment de l’organisation notée et ne requière aucune installation de logiciel ou de matériel côté client.
Les données disponibles permettent un calcul pratiquement instantané du score. Cyrating propose un service d’évaluation sur abonnement pendant une période donnée et fournit sur toute la période un score actualisé. Cette approche permet à une organisation de pouvoir se positionner en temps réel et voir l’impact des mesures mises en œuvre pour améliorer sa performance en cybersécurité à travers l’évolution du score.
François Gratiolet, un des co-fondateurs aux côtés de Charles d’Aumale et Christophe Ternat, espère atteindre le chiffre de 50 000 organisations notées d’ici fin 2018 et améliorer ainsi la cybersécurité des organisations en Europe.
Cyrating a lancé en janvier 2018 la commercialisation de son service, quatre mois après sa création et après son intégration de l’incubateur ParisTech Entrepreneurs en novembre 2017.