La sécurisation des entreprises semble avoir peu évolué depuis l'enquête précédente du Clusif, réalisée il y a un an. L'étude pointe des dispositifs de sécurité et les réflexes qui pourraient élever le niveau de protection des entreprises.

C'est une somme que vient de livrer le Clusif (Club de la sécurité de l'information français) avec son enquête 2008 sur la sécurité des entreprises françaises. Le document comporte 84 pages et porte sur les entreprises de plus de deux cent personnes ainsi que sur les collectivités locales. Pour Laurent Bellefin, patron de l'activité sécurité du groupe Solucom, qui préface l'enquête, « Cette édition 2008 fait ressortir un inquiétant sentiment de stagnation. Depuis 2006, il semble bien que la mise en application concrète des politiques de sécurité soit restée un voeu pieu. 40 % des entreprises ne disposent toujours pas de plan de continuité d'activité pour traiter les crises majeures, contre 42 % en 2006. Et 30 % d'entre elles disent ne pas être en conformité avec la Loi Informatique et Liberté ».

Une entreprise sur deux a défini sa politique de sécurité
Seulement la moitié des entreprises a mis en oeuvre une Politique de Sécurité de l'Information (PSI). Les chiffres ont peu évolué par rapport à 2006. Toutefois, on observe un recul assez net (moins 6 % par rapport à 2006) pour les grandes entreprises, même si elles restent les plus avancées. Ce recul peut s'expliquer par une meilleure compréhension du terme PSI. Ce dernier n'est plus perçu comme faisant référence à un document « simpliste », mais à un « cadre complet » intégrant la prise en compte des risques métiers, un document « chapeau » et « d'applications », des procédures complètes allant vers le SMSI, la fameuse console de gestion de la sécurité. Une moitié des entreprises s'appuie alors sur une norme. Les normes ISO 2700x (ou ISO 17799) arrivent en tête, en particulier dans les grandes entreprises (32 % d'entre elles utilisent l'ISO), avec toutefois un recul de 11 % par rapport à 2006.

L'ampleur des chantiers mal perçue
par les directions générales
Il existe également des « cadres métiers » spécifiques à certains secteurs comme la santé ou des industries permettant de formaliser des bonnes pratiques. C'est le cas pour 22 % des entreprises. Dans 95 % des cas, la PSI est soutenue explicitement par la direction générale de l'entreprise (59 % en totalité, 36 % en partie). Ce qui semble refléter la volonté de doter l'entreprise d'une vraie culture de la sécurité des systèmes d'information. Mais trop souvent, les directions générales perçoivent mal ...

. Web-profils.com, la place de marché du conseil et de l'ingénierie