Une étude montre que le battage médiatique de la cybersécurité complique la pile de sécurité et étend la surface d’attaque – CPO Magazine
Un rapport d’Egress a levé le voile sur les difficultés auxquelles sont confrontés les responsables de la sécurité lors de la sélection de la pile de sécurité de leur organisation en raison des tactiques de marketing « d’huile de serpent » des fournisseurs de cybersécurité.
Le rapport Cybersecurity Hype: How to Manage Expectations Versus Reality a révélé que les responsables de la sécurité ont du mal à réduire le bruit et à mettre en œuvre des solutions appropriées pour leurs entreprises.
Tony Pepper, PDG et co-fondateur d’Egress, a déclaré que l’industrie de la cybersécurité était coupable de vendre de l’huile de serpent, avec des résultats souvent différents des attentes initiales.
« L’industrie est un vivier bondé de start-ups et d’acteurs établis qui innovent dans les mêmes espaces et essaient constamment de s’aligner et de se différencier les uns des autres. Dans tout le bruit de la création de catégories, des lancements de produits, des mots à la mode et des acronymes, les acheteurs de cybersécurité continuent d’investir dans des mécanismes de réduction des risques.
Le battage médiatique sur la cybersécurité obscurcit le jugement des responsables de la sécurité et élargit la surface d’attaque
Selon le rapport sur le battage médiatique sur la cybersécurité, les stratégies marketing déroutantes des fournisseurs ont dérouté la plupart des responsables de la sécurité. Par la suite, 91 % des décideurs ont eu du mal à sélectionner des fournisseurs de cybersécurité en raison d’un marketing peu clair sur leurs offres spécifiques.
De plus, 49 % des responsables de la sécurité ont déclaré que leur organisation souffrait de la prolifération des fournisseurs, ce qui entraînait une augmentation de la surface d’attaque.
Par conséquent, 92 % des organisations mettent en œuvre une stratégie de défense en profondeur et doivent gérer entre 10 et 30 produits de sécurité différents. La défense en profondeur vise à créer davantage de couches technologiques pour détecter, prévenir, contenir, corriger et récupérer des attaques.
Dans un marché bruyant rempli de revendications non fondées, les utilisateurs ne peuvent pas prédire avec précision l’efficacité des solutions à la mode, et ils n’ont pas non plus le temps de le faire. Ainsi, ils préfèrent plusieurs couches de sécurité dans l’espoir d’arrêter les attaques dans la mesure du possible et de déterminer plus tard ce qui a échoué.
Les acheteurs sont confrontés à un marché encombré et complexe, devant constamment intégrer de nouveaux produits de sécurité dans leur environnement pour parvenir à une défense en profondeur, évaluer les technologies d’IA nouvelles et émergentes et réinvestir en permanence dans SA&T.
Sans surprise, les fournisseurs capitalisaient sur cette stratégie en convainquant les responsables informatiques et de la sécurité que leurs produits contribueraient énormément à la défense en profondeur.
Egress a averti que l’augmentation des produits de cybersécurité n’était pas nécessairement bénéfique compte tenu du risque par rapport au coût, des frictions entre les entreprises et les utilisateurs, ainsi que des ressources et du temps informatiques/de sécurité.
Le battage médiatique sur la cybersécurité complique la pile de sécurité
La société de sécurité a constaté que le battage médiatique sur la cybersécurité compliquait la pile de sécurité des organisations et augmentait les frais généraux de gestion. Près de la moitié (49 %) des responsables informatiques et de la sécurité estiment que leur pile de sécurité est trop complexe, tandis que 48 % pensent qu’elle est difficile à gérer.
De même, la pile de sécurité complexe a introduit des risques commerciaux potentiels lors de l’intégration de plusieurs fournisseurs, en particulier les startups sujettes à l’échec financier. Il est peu probable que cette situation change, les startups dominant l’industrie de la cybersécurité, évaluées à 139,77 milliards de dollars en 2021 et qui devraient atteindre 155,83 milliards de dollars en 2022 et 376,32 milliards de dollars d’ici 2029.
Résultats et commercialisation peu clairs des produits de sécurité basés sur l’IA
Le rapport Egress présentait des informations sur si/comment l’IA prend en charge la cybersécurité pour découvrir de nouvelles menaces inconnues et accélérer et améliorer la précision des enquêtes sur les incidents.
Selon les chercheurs, 77 % des responsables informatiques utilisaient déjà un produit de sécurité avec des fonctionnalités d’IA intégrées pour améliorer la détection. Cependant, seuls 66 % ont pleinement compris comment l’IA a rendu leur(s) produit(s) de sécurité plus efficace(s), tandis que seulement 52 % pensent que les fournisseurs sont très clairs sur les capacités de marketing de l’IA.
La cybersécurité est secondaire dans la sensibilisation et la formation à la sécurité
Le rapport sur le battage médiatique sur la cybersécurité a révélé que 96 % des personnes interrogées pensent que la sensibilisation et la formation à la sécurité (SA&T) peuvent apporter des changements positifs à long terme au comportement des employés. Cependant, Egress a averti que des attentes aussi élevées pourraient être irréalisables sur la base des données disponibles.
Malgré ces croyances, d’autres données que nous avons découvertes suggèrent que ces attentes peuvent être dissociées de la réalité et que les attentes gonflées de SA&T peuvent être exacerbées par les fournisseurs.
Egress a également découvert que la plupart des organisations donnaient la priorité à SA&T à des fins autres que la sécurité. Par exemple, 67 % des personnes interrogées ont cité la conformité réglementaire comme le principal moteur du SA&T, tandis que 62 % ont adopté le SA&T pour répondre aux exigences de la cyberassurance. Seuls 32 % des répondants ont cité la création d’une culture de la sécurité comme objectif principal de la sensibilisation et de la formation à la sécurité.
Pas étonnant que SAT ait fréquemment échoué, 84 % des répondants signalant des attaques de phishing réussies malgré 98 % des organisations mettant en œuvre des programmes SAT.
Surmonter le battage médiatique de la cybersécurité et naviguer dans la pile de sécurité complexe
Pour surmonter le battage médiatique sur la cybersécurité et conquérir la pile de sécurité complexe, Egress a recommandé ce qui suit :
- Évaluer les résultats plutôt que l’activité ;
- Formation individuelle sur mesure; et
- Combinez SA&T avec des coups de pouce, des interventions et des moments d’apprentissage en temps réel, au point de risque, lorsqu’un utilisateur est sur le point d’effectuer une action potentiellement dangereuse.
Pendant ce temps, Egress a constaté que 40 % des organisations combinaient déjà SA&T avec des interventions en temps réel, telles que des alertes juste avant qu’un utilisateur ne fasse une erreur, comme répondre à un e-mail de phishing.