Cybercriminalité : étude ArcSight / Ponemon Institute
- ArcSight et le Ponemon Institute publient leur étude commune, « First Annual Cost of Cyber Crime Study », et se penchent sur les réelles conséquences de la cybercriminalité sur les organisations commerciales aux États-Unis. Ce rapport vise à accroître la sensibilité des différents acteurs quant aux investissements et ressources nécessaires afin d’éviter les cyber-attaques et d’en minimiser l’impact.
- L’étude porte sur les divers types de coûts (directs ou indirects) liés à la perte ou au vol d’informations, à une interruption des activités métiers, à une perte de revenus ou à la destruction de données propriétaires. Ces coûts englobent notamment la recherche et la détection de l’intrusion, ainsi que divers éléments qui participent du processus de continuité et de reprise d’activité.
- Il en ressort que, pour les 45 organisations américaines concernées, la cybercriminalité peut très sérieusement impacter les résultats financiers. Durant la période d’investigation de quatre semaines, ces 45 organisations, issues de divers secteurs de marché, ont été affectées chaque semaine par une cinquantaine d’attaques réussies : soit, un coût annuel médian estimé à 3,8 millions de dollars par organisation (3 millions d’euros).
- Cette étude révèle également que les attaques Web, les injections de codes malicieux et les employés en interne sont à l’origine de 90 % des pertes. Plus la réponse à ces attaques est rapide, moins les pertes sont lourdes. Au titre des activités les plus coûteuses, figurent les opérations nécessaires pour remédier à l’attaque ainsi que la reprise d’activité.
- A titre de comparaison, en France, d’après une étude réalisée par Symantec, la cybercriminalité aurait coûté en moyenne 2,4 millions d’euros aux entreprises françaises en 2009.
- Dans un contexte de généralisation de l’usage du commerce en ligne, ce coût de la cybercriminalité (dont la fraude aux paiements) peut être exponentiel. Aujourd’hui, pour un e-commerçant, la disponibilité de son site est une donnée cruciale et une interruption de l’activité s’avère dramatique, compte tenu du volume de transactions échangées dans des temps très courts, mais aussi de l’effet dévastateur que cela peut avoir sur la fidélisation des clients.
- Malgré les efforts des établissements bancaires et de leurs partenaires en matière de lutte contre la fraude, le développement de la cybercriminalité inquiète fortement les spécialistes. En effet, les mesures que prennent ces structures accroissent significativement la sécurité sur les systèmes bancaires, communautaires et commerçants. En revanche, les risques de détournement des données restent importants dès lors que les fraudeurs interviennent sur le domaine privé des clients (PC personnel, Smart-Phone, téléphone, etc.). Cette fraude diffuse restera très dure à combattre. Moins « spectaculaire » que les compromissions massives sur des sites marchands, elle intervient sur un domaine où les banques n’ont aucune légitimité pour imposer des contraintes sécuritaires (obligation de mise en œuvre d’un antivirus, etc.). L’authentification forte, dynamique, non rejouable et réalisée à chaque transaction, apporte un bon niveau de protection. D’autres mesures sont en cours de test ou de déploiement (cf ci-dessous exemple de Prevx).