Le rapport « Dans la ligne de mire : les infrastructures sensibles à l’âge de la guerre numérique. », commandité par McAfee et réalisé par le CSIS (Center for Strategic and International Studies) révèle les menaces, le coût et l’impact des cyber-attaques sur des sites hautement sensibles tels que les réseaux de distribution d’électricité, la production de pétrole et de gaz ou les réseaux de télécommunications et de transport.

Cette étude, réalisée auprès de 600 responsables de la sécurité informatique d’entreprises en charge d’infrastructures critiques dans le monde, montre que plus de la moitié (54 %) ont déjà été victimes d’attaques à grande échelle ou d’infiltrations furtives de la part du crime organisé, de terroristes ou d’Etats. Le coût moyen lié à un incident majeur est estimé à 6,3 millions de dollars par jour.

Ce rapport confirme également l’augmentation des risques de cyber-attaques. Malgré des lois et des réglementations de plus en plus nombreuses, plus d’un tiers des responsables informatiques (37 %) déclare que la vulnérabilité de leur secteur a augmenté ces 12 derniers mois, et deux sur cinq s’attendent à un problème majeur de sécurité dans leur secteur au cours de l’année à venir. Seulement 20 % d’entre eux considèrent que le secteur est à l’abri des cyber-attaques graves pour les cinq prochaines années.

De nombreuses infrastructures critiques ont été conçues pour la fiabilité et la disponibilité, pas pour la sécurité. En général, elles ont toujours misé sur la protection physique par des gardes, des portails et des armes, et se retrouvent avec une protection très limitée contre les cyber-attaques.

« Dans les conditions économiques actuelles, il est impératif de se préparer à affronter l’instabilité provoquée par d’éventuelles cyber-attaques visant des infrastructures critiques », déclare Dave DeWalt, président et CEO de McAfee. « Nous dépendons au quotidien des systèmes de transport public, de fourniture d’énergie et de télécommunications. Toute attaque contre l’un de ces secteurs provoquerait d’importantes perturbations économiques, des catastrophes au niveau de l’environnement, des destructions et mêmes des pertes humaines. »

« La récente Opération Aurora est la cyber-attaque la plus sophistiquée et la plus étendue contre des entreprises précises. Elle aurait pu tout aussi aisément s’attaquer à des infrastructures critiques mondiales », poursuit Dave DeWalt. « Dévoilée par Google et identifiée par McAfee, cette attaque a été la plus sophistiquée vue depuis des années. Par sa nature ciblée et coordonnée, elle représente un tournant en matière de cyber-sécurité. »

Autres résultats marquant de l’étude :

Un manque de confiance : plus d’un tiers des personnes consultées considèrent que leur secteur n’est pas prêt à affronter des attaques majeures ou infiltrations furtives par des pirates chevronnés. L’Arabie Saoudite, l’Inde et le Mexique sont les pays les plus inquiets dans ce domaine. 

Les réductions de budget augmentent le risque : deux tiers des responsables informatiques consultés souligne que la récession a entraîné une réduction de leurs ressources en sécurité. Un sur quatre déclare que ces ressources ont été réduites de 15 % ou plus. Ces coupes budgétaires sont particulièrement évidentes dans les secteurs de l’énergie, du pétrole et du gaz.

Certains gouvernements sont impliqués dans les cyber-attaques : en France, près de 70 % des personnes consultées pensent que certains gouvernements étrangers sont impliqués dans les cyber-attaques visant leurs infrastructures critiques. Les États-Unis (36 %) et la Chine (33 %) sont en tête des pays vus comme une menace sur ce type d’attaques.

Beaucoup d’attaques par déni de service : la France est le deuxième pays, après l’Inde, à subir le plus grand nombre d’attaques par déni de service de grande envergure par jour.

Des lois inefficaces en matière de protection : plus de la moitié (55 %) des personnes consultées considère que les lois de leur pays sont inadaptées à la lutte contre les cyber-attaques (les Russes, les Mexicains et les Brésiliens sont les plus pessimistes). 45 % pensent que les autorités ne sont pas capables de prévenir ou décourager les attaques.

Les sociétés d’assurance assument la plus grosse partie du coût des attaques : plus de la moitié des personnes consultées comptent sur leurs assurances pour supporter le coût d’une éventuelle cyber-attaque, et presque une personne sur cinq pense le répercuter sur les abonnés ou les clients. Seulement une personne sur quatre compte sur une aide de l’état.

« Les problèmes de gouvernance sont au cœur de toutes les discussions sur la sécurité des infrastructures critiques », déclare Stewart Baker, membre invité au CSIS et partenaire chez Steptoe and Johnson. « Les relations entre les gouvernements et le secteur privé sont complexes, mais il est essentiel qu’ils aient confiance dans leurs capacités mutuelles. Le secteur de la sécurité se battra toujours pour garder une longueur d’avance, mais en l’absence d’une solution absolue, les réglementations ont un rôle à jouer pour protéger les infrastructures critiques dans le monde. »

La France est plutôt confiante dans la continuité des services bancaires et financiers en cas de cyber-attaque majeure, avec 60 % des personnes consultées globalement ou entièrement confiantes, contre une moyenne de 44 % pour le reste du monde.

Le rapport McAfee « Dans la ligne de mire : les infrastructures sensibles à l’âge de la guerre numérique » est téléchargeable sur le site http://www.3dcommunication.fr/pdf/McAfee%20CIP%20report.pdf.