CIRA publie un sondage annuel réalisé auprès des professionnel·les canadien·nes de l’informatique et de la cybersécurité pour mieux comprendre comment ils et elles font face aux cybermenaces. Le sondage auprès de 500 professionnel·les de la cybersécurité partout au pays a été réalisé en août par la société de recherche The Strategic Counsel. Ceci est le deuxième billet de blogue d’une série de quatre qui documentent les tendances en matière de cybersécurité en 2024.
Les cyberattaques malveillantes contre les entreprises canadiennes continuent d’augmenter. Dans le sondage 2024 de CIRA sur la cybersécurité, près de la moitié (44 %) des entreprises ont affirmé avoir été victimes d’une cyberattaque au cours des 12 derniers mois. Les retombées pour ces entreprises peuvent être dévastatrices : les opérations sont perturbées, les revenus sont à la baisse, la confiance du public diminue et leur réputation peut être endommagée à long terme.
Les entreprises ne sont pas les seules victimes. Lorsque les pirates informatiques obtiennent les renseignements personnels du personnel d’une entreprise chargée de les protéger, les conséquences pour ces personnes peuvent être désastreuses. Une fois qu’un·e pirate informatique détient votre adresse de courriel et votre mot de passe pour un seul site, il peut faire plusieurs dommages, comme vous empêcher d’ouvrir une session pour accéder à vos comptes, vider votre compte bancaire ou voler complètement votre identité.
En tant que gardiennes de nos données, les entreprises canadiennes, qu’elles soient dans le secteur privé, public ou du MUSH (municipalités, universités, écoles et hôpitaux), savent qu’elles doivent faire tout ce qui est en leur pouvoir pour protéger ces données. Heureusement, les résultats du sondage démontrent que les entreprises canadiennes de tous les secteurs mettent en place diverses mesures pour se protéger contre les cybermenaces et les atteintes à la protection des données. Parmi ces mesures, on retrouve l’augmentation des ressources humaines, technologiques, financières et juridiques allouées aux mesures de cybersécurité.
Investir dans les ressources humaines
Quel est le maillon le plus faible de la chaîne de cybersécurité? Demandez à n’importe quel·le expert·e et presque tous/toutes vous diront que c’est nous, « l’élément humain ». Bien sûr, les pirates informatiques sont les véritables ennemis, mais trop souvent, les personnes qui travaillent au sein d’une entreprise sont les facilitatrices accidentelles et inconscientes.
Prenez les mots de passe, par exemple. Nous choisissons souvent des mots de passe faibles au lieu de créer de puissants mots de passe qui sont difficiles à deviner. Des recherches réalisées sur une base de données de 193 millions de mots de passe qui ont été interceptés et divulgués sur le Web clandestin ont révélé que la majorité de ces mots de passe (59 %) peuvent facilement être déchiffrés en moins d’une heure. Et ces courriels d’hameçonnage générés par l’IA conçus pour profiter de la faiblesse humaine? Il suffit d’une seule mauvaise décision et d’un seul clic pour permettre à un·e malfaiteur·se de violer les défenses d’une entreprise.
Heureusement, il a été démontré que la formation en sensibilisation à la cybersécurité pour les employé·es réduit considérablement le risque d’une violation de la sécurité. Par exemple, les entreprises qui mettent en œuvre la formation en cybersécurité de CIRA constatent que les utilisateur·rices cliquent en moyenne trois fois moins sur des courriels d’hameçonnage.
Les résultats du sondage sur la cybersécurité de cette année démontrent que les entreprises canadiennes réussissent bien dans ce domaine : presque toutes les personnes interrogées (98 %) affirment que leur entreprise réalise une formation de sensibilisation à la cybersécurité et la plupart (76 %) le font au moins une fois par trimestre. Chez 39 % des entreprise, la formation sur la cybersécurité est obligatoire pour tous/toutes les employé·es.
Bon nombre d’entreprises canadiennes (76 %) ont également augmenté les ressources humaines assignées à la gestion et à la cybersécurité des systèmes informatiques, comparativement à 70 % en 2023. Parmi les entreprises (20 %) qui n’ont pas augmenté le nombre de personnes travaillant dans ces domaines, 50 % citent le manque de besoin, tandis que 33 % signalent un manque de ressources financières pour expliquer leur décision.
Nouvelles technologies pour lutter contre les attaques alimentées par l’IA
Les entreprises canadiennes continuent également d’adopter de nouvelles technologies pour tenir les cybercriminel·les à distance. Cela est extrêmement important, car les cybercriminel·les s’efforcent de trouver de nouvelles méthodes pour exploiter l’IA générative et d’autres technologies émergentes afin de lancer des attaques toujours plus sophistiquées et dommageables.
L’intégration des outils d’IA dans leur flux de travail et leurs opérations est un ajustement technologique important que plus de la moitié (57 %) des entreprises dit effectuer, contre 44 % en 2023. Chez les entreprises qui n’ont pas encore intégré d’outils d’IA, 36 % des personnes interrogées ont déclaré que leur entreprise prévoyait le faire.
D’autre part, plus de quatre professionnel·les de la cybersécurité sur dix (43 %) affirment que leur entreprise possède une politique en matière d’IA, ce qui représente une augmentation importante par rapport à 2023, alors que seulement 32 % de ces entreprises avaient une telle politique en place.
Les entreprises qui intègrent des outils d’IA le font pour diverses raisons, mais l’amélioration de la productivité générale (54 %) et l’automatisation des tâches répétitives (52 %) sont les deux principales raisons citées. Ces deux raisons aideront les professionnel·les de la cybersécurité à détecter les menaces plus efficacement.
Les activités les plus courantes utilisées par les entreprises pour identifier les risques de cybersécurité demeurent la surveillance du trafic réseau (52 %), la surveillance du comportement des employé·es (46 %), l’utilisation d’une ou de plusieurs solutions de détection et d’intervention des menaces (45 %) et l’analyse et la gestion des vulnérabilités (44 %).
Investments in cybersecurity are on the upswing
Les entreprises canadiennes mettent également à contribution leurs ressources financières et juridiques dans la lutte contre la cybercriminalité. Environ la moitié des personnes interrogées ont des budgets annuels pour les TI supérieurs à 100 000 $, et 20 % d’entre elles allouent entre 50 000 $ et 100 000 $ aux TI. Un peu plus de quatre entreprises sur dix (43 %) allouent entre cinq et 15 % de leur budget informatique à la cybersécurité. Ce pourcentage augmente. Près des trois quarts des personnes interrogées (74 %) indiquent que les ressources financières allouées à la gestion des systèmes informatiques et à la cybersécurité ont augmenté au cours des 12 derniers mois.
Pour assurer une protection supplémentaire en cas de cyberattaque réussie, de plus en plus d’entreprises canadiennes (82 %) affirment souscrire à une assurance cybersécurité, ce qui représente une augmentation significative par rapport à 2021 (59 %).
