Employés et DSI ne peuvent pas se mettre d'accord sur qui est responsable du flot constant d'infractions de données initiées

Bien trop souvent, lorsqu une grande entreprise est touchée par une violation de données, il est prompt à annoncer qu une enquête est en cours et que ses spécialistes en sécurité, de même que des experts externes et des agents des forces de ordre, feront de leur mieux pour déterminer qui est responsable de incident. Les personnes et les organisations cherchent tellement à savoir qui a déjà fait, parfois, qu elles oublient quelle devrait être leur véritable priorité: savoir combien de personnes ont été touchées et quelles mesures peuvent être prises pour protéger leurs données et leur vie privée.

Une enquête approfondie est néanmoins un élément essentiel de la réponse à un incident de cybersécurité. Pour éviter les futures fuites de données, les organisations doivent découvrir ce qui est passé et en tirer toutes les conclusions nécessaires.

Nous constatons de plus en plus de violations dans lesquelles des données sont divulguées sans aide extérieure. Dans de tels cas, il est encore plus important de savoir où l’erreur a été commise. Malheureusement, une étude commandée par la société de sécurité Egress montre que le plus souvent, est beaucoup plus difficile qu il y parait.

Les responsables informatiques et les employés interrogés dans le but de déterminer qui est responsable de état de la sécurité des données

Le rapport appelle Insider Data Breach 2019 et, comme son nom indique, se concentre sur les incidents de sécurité des données qui se produisent sans interférence de pirates. La recherche a été menée par Opinion Matters et a concerné 500 responsables informatiques (responsables de information) et un peu plus de 4 000 employés aux États-Unis et au Royaume-Uni.

On a posé aux répondants diverses questions sur la manière dont leur employeur traite les données. Ils ont dit aux chercheurs si les entreprises pour lesquelles ils travaillaient avaient récemment subi une brèche et si elles en attendaient une à avenir. Ils ont donné des avis sur qui est responsable de quoi et sur le point de savoir si les procédures et les politiques sont aussi clairement énoncées qu elles devraient être. Il se trouve qu il y a un gouffre énorme entre ce que pensent les responsables informatiques et les employés réguliers.

Personne ne semble être accord sur rien

Il semble que les DSI n’ont pas vraiment confiance en la capacité des employés à protéger les informations. Près de 95% entre eux pensent que les initiés peuvent réellement mettre en péril les données de leur entreprise. Dans leur esprit, ils ont une bonne raison pour cela.

79% des responsables informatiques interrogés estiment qu au cours de année précédente, les employés ont mis les informations de entreprise en péril et 61% pensent qu ils ont fait délibérément. 60% des DSI interrogés pensent que leur entreprise subira une telle violation de données au cours des douze prochains mois et près de la moitié (46%) pensent que cette violation sera malveillante.

Cependant, lorsque les employés de niveau inférieur peuvent répondre aux questions, la situation est très différente. Plus de 90% entre eux affirment qu ils ont jamais enfreint la politique de leur organisation en matière de traitement de information. Et parmi ceux qui admettent partager des données de manière non sécurisée, plus de la moitié affirment avoir fait car ils ne disposaient pas des outils adéquats pour le faire correctement.

En d’autres termes, le blâme est lancé comme une patate chaude et, parallèlement, le flot incessant de violations de données montre que la situation est loin d’être idéale. Y a-t-il un moyen de en sortir?

La sécurisation des données de entreprise doit être un processus coordonné

Assurer la sécurité des informations commerciales est de nos jours un processus complexe et continu qui dépend de nombreuses personnes différentes, ce qui signifie que lorsque les choses tournent mal, il est souvent difficile de pointer du doigt une seule personne et de dire: "est de leur faute". Le fait est que tout le monde, des employés de niveau C à la personne qui copie des informations une base de données à une autre, doit être pleinement conscient de importance des données et des conséquences de leur perte.

Les DSI doivent travailler avec les employés de niveau inférieur pour créer des stratégies qui protègent les données et garantissent un flux de travail fluide en même temps. Il faut apprendre aux employés comment tirer le meilleur parti de ces politiques et, surtout, de savoir ce qui pourrait se passer ils ne les respectent pas.

Malheureusement, étant donné écart considérable entre les chiffres cités dans le rapport de Egress Insider Data Breach 2019, prédire une amélioration significative dans un proche avenir ne serait guère plus qu un voeu pieux.