Renforcer la résilience

Parent Page Home
Parent Page Actualités et rapports
Parent Page Lumière sur la transformation technologique et le risque cyber 2025
Renforcer la résilience

En 2024, plusieurs incidents ont mis en évidence les risques cyber liés aux fournisseurs tiers. Si certaines organisations ont su en atténuer les effets, d’autres ont été confrontées à des perturbations majeures et à des conséquences significatives. Souvent, la différence s'est faite sur les mesures d'atténuation des risques que les entreprises avaient mises en place. Celles qui avaient mis en place une approche de défense en profondeur (sécurité multicouche) se sont rétablies plus rapidement.

Des murs à l'intérieur des murs

La nécessité d'une approche de défense en profondeur (ou sécurité multicouche) en matière de cyber sécurité n'a jamais été aussi grande. Les cybercriminels affinent continuellement leurs tactiques d'attaque, devenant de plus en plus habiles à exploiter rapidement les vulnérabilités connues et à infiltrer les systèmes plus rapidement. Selon notre enquête, les entreprises, quels que soient leur secteur d'activité, leur taille ou leur localisation, reconnaissent l'augmentation des risques cyber auxquels elles sont confrontées.
Cependant, certains semblent surestimer leur niveau de résilience dans un paysage de menaces en constante mutation, où de nouvelles attaques émergent chaque jour et où même les défenses les plus solides peuvent être mises en défaut.

La défense multicouche

Assurer plusieurs couches de défense pour restreindre l'accès aux cybercriminels est un élément essentiel des bonnes pratiques en matière de cybersécurité. Une stratégie de défense en profondeur, adaptée à chaque organisation, reflétant sa chaîne d'approvisionnement unique et ses expositions, est nécessaire et devrait au minimum inclure :

L'authentification multifactorielle (MFA ) - Doit être déployé dans toutes les applications et tous les systèmes. Les organisations doivent également utiliser des réseaux privés virtuels (VPN) pour sécuriser les points d'accès à distance et assurer la confidentialité et la protection des données.
Surveillance et correctifs - Tous les systèmes et toutes les infrastructures orientés vers Internet doivent être surveillés en permanence pour repérer les vulnérabilités et les activités suspectes, et les systèmes doivent être rapidement mis à jour avec de nouveaux correctifs.
Segmentation des systèmes - Limiter les mouvements latéraux sur un réseau par les cybercriminels lors d'un incident.
Restreindre et classer les données - Identifier et protèger les données critiques, en les chiffrant et en limitant les droits d'accès à ces données pour que seules les personnes concernées y aient accès. Veille également à ce que les données soient régulièrement sauvegardées.
Gestion des justificatifs - Mise à jour régulière des mots de passe ainsi que les clés d'interface de programmation d'applications (API), les certificats numériques et les données biométriques en toute sécurité.
Se préparer à une attaque - Disposer d'un plan de réponse à incident pratiqué et à jour, facilement accessible si un système est compromis. Entreprendre des formations régulières pour les employés, souscrire à une assurance et savoir qui contacter en cas d'incident.

"Les entreprises ne devraient pas se contenter d'appliquer la MFA sur leurs appareils, d'exiger des mots de passe forts ou de maintenir un programme robuste de gestion de l'accès aux identités. Toutes ces points sont importants, mais une cybersécurité complète ne se résume pas à cela."

Craig Linton
Responsable de la gestion des Assureurs aux États-Unis - Cyber risques.

Comprendre la menace des tiers

Les organisations doivent évaluer l’exposition de leur entreprise aux risques liés aux tiers et affiner leur compréhension de leur profil de risque. Il leur revient également d’examiner attentivement les clauses contractuelles encadrant les relations avec les fournisseurs, lesquelles limitent souvent la responsabilité de ces derniers en cas d’incident impliquant un tiers. Ce déséquilibre peut contraindre les entreprises touchées à assumer seules les conséquences financières et juridiques les plus lourdes. Par ailleurs, certains fournisseurs peuvent tenter de se défausser de leur responsabilité en invoquant un manque de mesures de sécurité adéquates de la part de l’entreprise concernée.

"Je ne suis pas sûr que beaucoup de PDG apprécient les attaques de tiers qui peuvent créer un double problème. Les cybercriminels ne se soucient pas des entreprises qui se retrouvent au milieu. Nous avons également constaté une tendance des fournisseurs à entrer en conflit avec leurs clients et à les blâmer pour ce qu'ils considèrent comme leur part dans un incident impliquant un tiers."

Marcello Antonucci
Claims Leader - Cyber & Tech Claims (en anglais)

Améliorer l'hygiène cyber

Nos données montrent que les dirigeants mondiaux se sentent prêts[i] à contrer la menace que représente le risque cyber, et que plus d'un tiers d'entre eux prévoient d'investir dans l'amélioration de leur cyber sécurité cette année (les dépenses mondiales en matière de sécurité de l'information ont augmenté de 15 % cette année[23]). Alors que le coût mondial des dommages causés par la cybercriminalité est estimé à 10 500 milliards de dollars US en 2025 - contre 3 000 milliards en 2015 - il apparaît clairement que les entreprises restent insuffisamment préparées à faire face à l’ampleur de cette menace.[24]

Une cybersécurité et une protection des données efficaces exigent une approche à la fois proactive, réactive et adaptable. Si aucune stratégie ne peut garantir une prévention totale, des défenses robustes, associées à une assurance cyber de qualité et à des services d’assistance spécialisés, permettent aux entreprises de rester vigilantes et de mieux maîtriser leur exposition aux cyber risques.
"Les attaques phishing restent un piège courant, et les entreprises se trompent encore sur les principes de base, ne parvenant pas à sécuriser leurs données et à segmenter leurs systèmes. La formation des employés est essentielle pour aider à atténuer ce phénomène et constitue un élément crucial du niveau d'hygiène cyber d'une entreprise."

Sydonie Williams
Responsable des risques cyber internationaux.

Des murs à l'intérieur des murs

La défense multicouche

Assurer plusieurs couches de défense pour restreindre l'accès aux cybercriminels est un élément essentiel des bonnes pratiques en matière de cybersécurité. Une stratégie de défense en profondeur, adaptée à chaque organisation, reflétant sa chaîne d'approvisionnement unique et ses expositions, est nécessaire et devrait au minimum inclure :

L'authentification multifactorielle (MFA ) - Doit être déployé dans toutes les applications et tous les systèmes. Les organisations doivent également utiliser des réseaux privés virtuels (VPN) pour sécuriser les points d'accès à distance et assurer la confidentialité et la protection des données.
Surveillance et correctifs - Tous les systèmes et toutes les infrastructures orientés vers Internet doivent être surveillés en permanence pour repérer les vulnérabilités et les activités suspectes, et les systèmes doivent être rapidement mis à jour avec de nouveaux correctifs.
Segmentation des systèmes - Limiter les mouvements latéraux sur un réseau par les cybercriminels lors d'un incident.
Restreindre et classer les données - Identifier et protèger les données critiques, en les chiffrant et en limitant les droits d'accès à ces données pour que seules les personnes concernées y aient accès. Veille également à ce que les données soient régulièrement sauvegardées.
Gestion des justificatifs - Mise à jour régulière des mots de passe ainsi que les clés d'interface de programmation d'applications (API), les certificats numériques et les données biométriques en toute sécurité.
Se préparer à une attaque - Disposer d'un plan de réponse à incident pratiqué et à jour, facilement accessible si un système est compromis. Entreprendre des formations régulières pour les employés, souscrire à une assurance et savoir qui contacter en cas d'incident.

"Les entreprises ne devraient pas se contenter d'appliquer la MFA sur leurs appareils, d'exiger des mots de passe forts ou de maintenir un programme robuste de gestion de l'accès aux identités. Toutes ces points sont importants, mais une cybersécurité complète ne se résume pas à cela."

Craig Linton
Responsable de la gestion des Assureurs aux États-Unis - Cyber risques.

Comprendre la menace des tiers

Améliorer l'hygiène cybernétique

Améliorer l'hygiène cyber

Nos données montrent que les dirigeants mondiaux se sentent prêts[i] à contrer la menace que représente le risque cyber, et que plus d'un tiers d'entre eux prévoient d'investir dans l'amélioration de leur cyber sécurité cette année (les dépenses mondiales en matière de sécurité de l'information ont augmenté de 15 % cette année[23]). Alors que le coût mondial des dommages causés par la cybercriminalité est estimé à 10 500 milliards de dollars US en 2025 - contre 3 000 milliards en 2015 - il apparaît clairement que les entreprises restent insuffisamment préparées à faire face à l’ampleur de cette menace.[24]

Une cybersécurité et une protection des données efficaces exigent une approche à la fois proactive, réactive et adaptable. Si aucune stratégie ne peut garantir une prévention totale, des défenses robustes, associées à une assurance cyber de qualité et à des services d’assistance spécialisés, permettent aux entreprises de rester vigilantes et de mieux maîtriser leur exposition aux cyber risques.
"Les attaques phishing restent un piège courant, et les entreprises se trompent encore sur les principes de base, ne parvenant pas à sécuriser leurs données et à segmenter leurs systèmes. La formation des employés est essentielle pour aider à atténuer ce phénomène et constitue un élément crucial du niveau d'hygiène cyber d'une entreprise."

Sydonie Williams
Responsable des risques cyber internationaux.