Un rapport de Verizon (en anglais seulement) met en évidence certaines tendances extrêmement troublantes concernant les types d’atteintes à la sécurité des données qui se produisent dans le monde, et le fait que des organisations de toutes tailles ne parviennent pas à réagir adéquatement aux nouvelles menaces.
Verizon a analysé 855 atteintes qui se sont produites en 2011. Ces atteintes concernent des organisations de 36 pays et ont mis en péril plus de 174 millions de dossiers. En eux‑mêmes, ces chiffres sont alarmants. Mais certaines des statistiques tirées de l’analyse des incidents sont tout aussi préoccupantes. Par exemple :
- Quatre‑vingt‑dix‑huit pour cent (98 %) des atteintes examinées dans le rapport ont été déclenchées par des agents externes, notamment des criminels organisés, mais aussi par un nombre croissant de groupes d’activistes. Seulement 4 % des atteintes ont mis en cause des employés internes.
- Le piratage a été à l’origine de la grande majorité des incidents (81 %). Des logiciels malveillants de plus en plus invasifs ont été utilisés dans 69 % des cas.
- La plupart des atteintes auraient pu être évitées. Selon les spécialistes de Verizon, 96 % des attaques n’étaient pas très élaborées.
- Presque toutes les entreprises concernées (96 %) contrevenaient aux normes de sécurité sur les données de l’industrie des cartes de paiement.
- Apparemment, les organisations ont aussi eu de la difficulté à détecter les atteintes : 92 % des incidents ont été découverts par un tiers et, en général, des semaines ou des mois après que l’atteinte se soit produite.
Le rapport se lit très facilement, et il est même amusant à l’occasion (qui savait qu’il existe une méthode à la « Sesame Street » pour détecter les atteintes?).
Il contient aussi une page de conseils de sécurité aux points de vente, que l’on peut découper et remettre dans les magasins, restaurants et autres entreprises que l’on fréquente. Des stratégies d’atténuation plus détaillées sont présentées à la fin du document.
Le rapport soulève des questions fondamentales et amène les lecteurs à se demander si, malgré tous les avertissements et les risques de plus en plus démontrés, les organisations prennent vraiment au sérieux les normes de sécurité et leurs responsabilités en matière de protection des données.