MAROC
07/06/2018 13h:25 CET

Comment les entreprises marocaines font face aux cyberattaques (ENQUÊTE)

Près de 30% des cyberattaques sont d’origine interne à l’entreprise au Maroc.

GCShutter via Getty Images

CYBERSÉCURITÉ - Les entreprises marocaines sont conscientes qu’elles peuvent être victimes de cyberattaques, mais leur stratégie pour y faire face n’est pas mise en place assez rapidement, selon une récente enquête du cabinet de conseil et d’audit PwC au Maroc intitulée “Comment les entreprises au Maroc appréhendent la cybersécurité?”.

En effet, 70% des 50 entreprises marocaines privées et publiques sondées, opérant dans divers domaines (industrie, services et produits de consommation, services financiers, télécoms, médias, technologies et secteur public) estiment que leur stratégie de cybersécurité “n’est pas implémentée à une vitesse suffisante”, indique l’enquête.

Un budget conséquent consacré à la cybersécurité

Néanmoins, les entreprises, conscientes des risques auxquels elles sont exposées, consacrent un budget plus important que la moyenne mondiale à la cybersécurité: 11% de leur budget destiné aux technologies de l’information (IT) est consacré à la cybersécurité contre 4% dans le monde. Un budget en hausse depuis 2016, et qui diffère en fonction de la taille de l’entreprise.

Ainsi, les grandes entreprises marocaines ont consacré 9% de leur budget IT à la cybersécurité en 2017 (contre 7% en 2016), les moyennes entreprises 9% (contre 8% en 2016), les petites entreprises 10% (contre 3% en 2016) et les entreprises gouvernementales ou les ONG 12% (comme en 2016). “Ce budget demeure tout de même insuffisant aux yeux de 72% des répondants”, note le rapport.

Les facteurs qui poussent les entreprises marocaines à investir dans la cybersécurité sont, par ordre décroissant, la conformité règlementaire, la transformation digitale, la continuité de l’activité après un incident, le vol des informations clients ou employés, la réputation de l’entreprise, le terrorisme et enfin une opération de fusion-acquisition.

Près d’une cyberattaque sur trois d’origine interne à l’entreprise

Près de 30% des cyberattaques sont d’origine interne à l’entreprise. Les principaux vecteurs des incidents de sécurité subis en 2017 sont les logiciels malveillants déployés sur les postes de travail, selon 25% des entreprises marocaines interrogées.

Les équipements de stockage amovibles (clés USB par exemple) exploités sont les deuxièmes principaux responsables de cyberattaques pour 17% des entreprises. Des applications compromises provenant d’Internet ou internes à l’entreprise, des données volées ou exfiltrées, ou encore des équipements mobiles (smartphones, tablettes...) exploités font également partie des principales sources d’incidents de sécurité cités par les entreprises.

Néanmoins, 39% des entreprises marocaines ne savent pas identifier l’origine des incidents cyber et 89% d’entre elles ne sont pas en mesure de chiffrer leurs pertes, souligne l’enquête.

Les PME moins proactives 

Selon Nabil Kettani, associé digital & expérience chez PwC au Maroc, “les entreprises marocaines font face à de nouveaux challenges et à une pression importante liée à l’ouverture de multiples chantiers de digitalisation. Malgré un budget sécurité paraissant relativement significatif par rapport au budget IT, cette pression et cette multiplicité des sujets adressés dans un timing court induisent cette perception de budget insuffisant”, indique-t-il dans l’enquête.

Les grandes entreprises ont davantage tendance à prendre, en amont, la mesure du risque cyber, contrairement aux petites et moyennes entreprises qui restent globalement moins proactives et ne prennent la mesure du risque qu’à la suite d’un incident ou des recommandations d’un audit.

Enfin, la cybersécurité continue d’être perçue comme une problématique technique et n’est pas suffisamment traitée à un niveau stratégique, “alors qu’elle le devrait”, analyse Nabil Kettani. “Les entreprises ont globalement encore un chemin significatif à parcourir pour atteindre un niveau de maturité acceptable au regard des risques à couvrir”, conclut-il.