Dynatrace, spécialiste de l’observabilité et de la sécurité unifiées, a publié les résultats de son enquête annuelle intitulée « L’état de la sécurité des applications en 2024 ».
Cette étude, qui a interrogé 1 300 RSSI et mené 10 entretiens avec des PDG et des directeurs financiers, révèle les difficultés que rencontrent les grandes organisations, dont celles en France, pour se protéger contre les cybermenaces.
Les enjeux de la sécurité des applications
Selon l’étude mondiale menée par Dynatrace, 87% des responsables de la sécurité des systèmes d’information (RSSI) considèrent que la sécurité des applications est souvent négligée.
Face à l’augmentation des attaques générées par l’intelligence artificielle (IA) et à l’accélération des cycles de livraison de logiciels, les organisations se retrouvent de plus en plus vulnérables. Cette situation est exacerbée par des problèmes d’alignement entre les équipes de sécurité et la direction, exposant les entreprises à des cyber-risques accrus.
Les principaux résultats de l’enquête
Manque d’alignement des dirigeants et cyber-risques accrus
Plus des trois quarts des RSSI estiment que la sécurité des applications est négligée par les PDG et les membres du conseil d’administration.
Cette négligence crée un décalage entre les équipes de sécurité et la direction, limitant la compréhension des cyber-risques.
Complexité technique des équipes de sécurité
70% des cadres supérieurs jugent les équipes de sécurité trop techniques, sans fournir de contexte business.
Mais 75% des RSSI soulignent que les outils de sécurité ne génèrent pas d’informations exploitables par les dirigeants.
Menaces accrues générées par l’IA
L’augmentation des attaques par IA rend critique la nécessité de combler le fossé entre technologie et communication.
L’automatisation DevSecOps devient indispensable pour gérer les vulnérabilités introduites par l’IA.
Les résultats pour la France
En France, les RSSI font écho aux tendances mondiales avec des chiffres significatifs :
- 81% des RSSI affirment que la sécurité des applications est négligée par les dirigeants.
- 72% pensent que les outils de sécurité ont une capacité limitée à fournir des informations compréhensibles par les dirigeants.
- 74% des organisations ont subi un incident de sécurité applicative au cours des deux dernières années.
- 77% des RSSI considèrent l’automatisation DevSecOps comme de plus en plus importante.
- 73% des RSSI trouvent difficile de piloter l’automatisation DevSecOps en raison de la multiplicité des outils de sécurité.
- 89% affirment que l’automatisation DevSecOps est essentielle pour se conformer aux nouvelles réglementations.
- Seulement 11% des RSSI estiment que leur organisation applique des pratiques matures d’automatisation DevSecOps.
Conséquences des incidents de sécurité
72% des RSSI rapportent que leur organisation a dû faire face à un incident de sécurité applicative au cours des deux dernières années.
Et, il souligne que ces incidents comportent des risques importants :
- 47% des RSSI ont observé un impact sur les revenus.
- 36% ont subi des sanctions réglementaires.
- 28% ont constaté une perte de parts de marché.
« Les incidents de cybersécurité peuvent avoir des conséquences dévastatrices sur les organisations et leurs clients. C’est pourquoi ce sujet est devenu, à juste titre, une préoccupation majeure au niveau des conseils d’administration. Cependant, de nombreux RSSI peinent à trouver un alignement entre les équipes de sécurité et les dirigeants seniors parce qu’ils ne savent pas comment traduire des problématiques exclusivement techniques en risques spécifiquement business. Les RSSI doivent urgemment trouver une façon de surmonter ces barrières et créer une culture où la cybersécurité devient une responsabilité partagée. C’est à cette condition qu’ils pourront améliorer leur capacité à répondre efficacement aux incidents de sécurité et minimiser leur exposition aux risques. » explique Bernd Greifeneder, CTO chez Dynatrace.
Priorités des organisations en matière de cybersécurité
Les RSSI ont classé les priorités de gestion de la cybersécurité comme suit :
- Sécurité des applications (gestion des vulnérabilités).
- Gestion et réponses aux crises (violation de données et attention des médias).
- Gestion du risque interne / supervision (utilisation des appareils mobiles).
Principaux enjeux et préoccupations
Le rapport de cette étude révèle également des résultats significatifs concernant les enjeux et préoccupations relatifs à la sécurité des applications dans les organisations.
Engagement plus étroit entre sécurité et direction
Avec l’essor de l’IA, 52% des RSSI s’inquiètent de la capacité de l’IA à créer de nouvelles menaces plus rapidement et à plus grande échelle.
45% sont préoccupés par l’accélération de la livraison de logiciels avec moins de contrôle, ce qui conduit à davantage de vulnérabilités.
83% des RSSI affirment que l’automatisation DevSecOps est cruciale pour gérer les risques de vulnérabilités introduites par l’IA.
71% estiment que l’automatisation DevSecOps est essentielle pour garantir des mesures de sécurité efficaces.
Complexité des outils de sécurité
77% des RSSI déclarent que les solutions actuelles comme XDR et SIEM ne peuvent pas gérer la complexité du cloud.
70% considèrent que la multiplicité des outils de sécurité applicative entraîne une inefficacité opérationnelle.
L’intelligence artificielle : une arme à double tranchant
« L’utilisation croissante de l’IA est une arme à double tranchant, qui permet d’accroître l’efficacité des créateurs d’innovation digitale tout autant que de ceux qui cherchent à briser leurs défenses. D’une part, il y a un plus grand risque que les développeurs introduisent des vulnérabilités via un code généré par IA qui n’a pas été correctement testé ; et d’autre part, les cybercriminels peuvent développer des attaques plus sophistiquées et plus automatisées pour les exploiter. Pire encore, les organisations doivent également se conformer aux régulations émergentes comme le mandat de la SEC américaine (Securities and Exchange Commission) qui exige qu’elles identifient et rendent compte de l’impact d’une attaque dans un délai de quatre jours. Les organisations ont donc urgemment besoin de moderniser leurs pratiques et outils de sécurité pour protéger leurs applications et leurs données contre les cybermenaces sophistiquées d’aujourd’hui. Les approches les plus efficaces s’appuieront sur une plateforme unifiée capable de piloter une automatisation DevSecOps mature et de tirer parti de l’IA pour traiter des données distribuées à n’importe quelle échelle. Ces plateformes fourniront les informations sur lesquelles l’ensemble de l’organisation pourra s’entendre et s’appuyer pour démontrer sa conformité avec des réglementations strictes. » Conclut Bernd Greifeneder.
Moderniser les pratiques de sécurité pour une résilience renforcée face aux cybermenaces
L’étude de Dynatrace met en lumière les défis croissants auxquels sont confrontées les organisations en matière de sécurité des applications. Les problèmes de communication interne et le manque d’alignement entre les équipes de sécurité et la direction aggravent les risques de cyber-attaques.
Pour faire face à ces menaces, il est essentiel d’adopter une approche unifiée de l’observabilité et de la sécurité, en intégrant des pratiques d’automatisation DevSecOps pour renforcer la résilience et la conformité des organisations.
