La sensibilisation à la cybersécurité n’est toujours pas suffisante, mais les réglementations aident

Lorsqu’on discute de la transformation numérique, nous ne pouvons pas ignorer la question de la cybersécurité. Quel est le niveau de sensibilisation du secteur réel croate aux dangers qui se cachent derrière les écrans a été le sujet de la dernière table ronde lors du forum Lider G.R.I.D. d’hier, et la conclusion a été que la sensibilisation à la cybersécurité est en croissance, bien qu’il reste encore du travail à faire, avec la directive NIS2 (c’est-à-dire la nouvelle loi sur la cybersécurité) et le règlement DORA (loi sur la résilience numérique) aidant à sensibiliser.

Bojan Ždrnja, directeur technique chez Infigo, a souligné que son équipe s’occupant des incidents de cybersécurité n’a pratiquement pas eu de week-end libre depuis novembre de l’année dernière.

– Les réglementations sensibilisent, mais je dirais quand même que la sensibilisation à l’importance de la cybersécurité n’est pas à des niveaux suffisants – a déclaré Ždrnja.

—

Bojan Ždrnja

photo Boris Ščitar

—

Une impression similaire est partagée par Zlatan Morić, directeur du département de cybersécurité à l’Université Algebra, qui a souligné qu’il ne connaît pas de manager qui considère la cybersécurité comme une nécessité ; au contraire, tout le monde la voit comme un coût.

– L’accent de la nouvelle loi sur la cybersécurité est l’analyse des risques. En Croatie, je vois un défi significatif car pour analyser les risques, il faut savoir gérer les actifs, et 99 % des entreprises ne savent pas quels actifs elles possèdent. Comment peut-on effectuer une analyse des risques sur quelque chose qu’elles ne savent même pas qu’elles ont dans l’entreprise ? Les incidents se produisent le plus souvent sur des systèmes dont l’entreprise n’a même pas besoin mais qui restent allumés, ne sont pas correctement entretenus, et cela suffit pour que les hackers pénètrent dans le système et accèdent aux données – a expliqué Morić.

—

Zlatan Morić

photo Boris Ščitar

—

Ça s’améliore, mais trop lentement

Il y a des changements positifs, a ajouté Ždrnja.

– Quatre-vingt-dix pour cent de nos clients proviennent du secteur financier, qui est réglementé et doit prendre soin de la cybersécurité. Au cours des cinq à six dernières années, je peux dire que cette structure change ; il y a plus de compréhension de la part d’autres secteurs, probablement en raison des incidents qui se sont produits et des réglementations. Ça s’améliore, mais trop lentement – pense Ždrnja.

Que le secteur privé doit être plus en phase avec la cybersécurité a été déclaré par Robert Preskar, directeur des solutions de sécurité chez ASEE, qui distingue entre la sensibilisation des petites et grandes entreprises.

– Les entreprises plus exposées sont effectivement plus conscientes des attaques et travaillent sur la remédiation et la prévention, tandis que le secteur des PME n’y prête toujours pas suffisamment attention et probablement ne le fera pas tant que cela ne deviendra pas une véritable menace – a ajouté Preskar, notant que le maillon le plus faible est actuellement les personnes, ou ‘le mépris du bon sens’ dans le travail quotidien et le comportement.

—

Robert Preskar

photo Boris Ščitar

—

Les budgets de cybersécurité sont généralement faibles avant un incident, après quoi ils augmentent, dit Preskar. Malheureusement, comme l’a noté Ždrnja, il existe des cas où une grande quantité d’argent est ‘déversée’ dans une technologie qui est bonne à avoir, mais ce n’est pas tout à propos de la technologie elle-même.

– La chose clé est la stratégie, l’évaluation des risques, décider où investir et combien pour atteindre le niveau de sécurité approprié. En plus de la technologie, les ressources humaines sont ce dans quoi nous devons investir, et nous sommes à la traîne par rapport aux autres à cet égard – a ajouté Ždrnja.

Manque d’experts

Algebra forme des experts en cybersécurité, mais en général, nous manquons de personnes dans l’informatique, a déclaré Morić, expliquant pourquoi moins de professionnels de l’informatique choisissent une carrière en cybersécurité.

– Les gens ne se dirigent pas vers la cybersécurité pour l’argent mais parce qu’ils veulent de nouvelles choses et des défis, et l’effort requis est plus important que celui des programmeurs et des ingénieurs systèmes. C’est la principale raison pour laquelle nous, mais aussi le monde entier, n’avons pas assez d’experts en cybersécurité – a expliqué Morić.

À la fin de la table ronde, modérée par la journaliste de Lider Ksenija Puškarić, les participants ont convenu qu’aujourd’hui, les hackers attaquent les entreprises qui sont les cibles les plus faciles, c’est pourquoi les entreprises sont obligées de travailler à la sensibilisation de leurs employés, et cela devrait faire partie de leur politique de sécurité.

—

Robert Preskar, Zlatan Morić, Bojan Ždrnja, Ksenija Puškarić

photo Boris Ščitar

—