Faible appétit pour la réglementation sur la cybersécurité, sauf celle luttant contre les attaques menées par des États-nations

Selon le sondage mondial 2019 de Marsh et de Microsoft sur la perception des cyberrisques, les entreprises considèrent généralement que les réglementations gouvernementales et les normes du secteur ont une efficacité limitée dans la gestion des cyberrisques.

L’exception notable concerne les attaques menées par des États-nations; les entreprises sont manifestement préoccupées et veulent que le gouvernement les aide à les combattre.

Augmentation de la réglementation sur la cybersécurité

Ces dernières années, les organismes de réglementation du monde ont prévu de nombreuses mesures qui ont augmenté l’imputabilité directe des sociétés et des membres de la haute direction afin de garantir des mesures de protection efficaces en ce qui a trait à la cybersécurité et aux données des consommateurs.    

Ces nouvelles lois et nouveaux règlements complètent un ensemble de normes bien établies en matière de cybersécurité et de sécurité de l’information émanant des autorités du secteur, telles que le NIST et l’Organisation internationale de normalisation (ISO).

Points de vue variés sur l’utilité de la réglementation

La plupart des répondants du sondage de 2019 ont déclaré que les lois et règlements gouvernementaux les aidaient moins à améliorer leur cybersécurité que les normes et les directives « molles » du secteur, c’est-à-dire volontaires. 

Même dans ce cas, bien moins de la moitié des répondants considèrent que la réglementation ou les directives du secteur sont « très efficaces » pour améliorer la cybersécurité de leur entreprise. 

À peine le quart de tous les répondants considèrent que les lois et réglementations gouvernementales étaient très efficaces pour améliorer la cybersécurité. Cette opinion prévaut dans toutes les grandes régions, malgré des lois et réglementations locales qui varient grandement. 

Cependant, les secteurs très réglementés, tels que l’aviation, les institutions financières et les communications, risquent davantage de trouver pertinente la réglementation gouvernementale en matière de cyberrisques.

Les directives et normes du secteur, comme NIST et ISO, semblent être les plus appréciées par les plus grandes entreprises.  Peu d’entreprises de petite taille considèrent que les normes du secteur sont très efficaces, par rapport à près de la moitié des grandes entreprises qui trouvent les normes du secteur très efficaces.

Appétit pour de l’aide gouvernementale pour lutter contre les attaques menées par des États-nations

La principale différence d’attitude vis-à-vis de la cyberréglementation porte sur les cyberattaques menées par des acteurs qui sont des États-nations. La majorité des répondants sont très préoccupés par l’impact des cyberattaques menées par des États-nations.

Ce pourcentage monte à 60 % à 70 % au sein des grandes entreprises et celles engagées dans les infrastructures nationales critiques, telles que les entreprises actives dans les secteurs de l’énergie, de l’électricité, de la communication et de la technologie.

De la même façon, 55 % des entreprises ont déclaré qu’il est nécessaire que les gouvernements interviennent davantage pour protéger les entreprises privées contre les cyberattaques menées par des États-nations. 

Cet appel à l’action se fait entendre depuis toutes les régions, tout particulièrement au sein des institutions financières et des cabinets de services professionnels.

Il a été principalement formulé par les membres des équipes dirigeantes – membres de la haute direction et des conseils d’administration.

Ces résultats montrent que, bien que les entreprises préfèrent généralement une approche non normative pour gérer leur cybersécurité et les questions liées aux cyberrisques, les activités des États-nations constituent une exception évidente.

Lisez le sondage mondial de 2019 sur la perception des cyberrisques, mené par Marsh en collaboration avec Microsoft.