Le Rapport cyber-sinistres Hiscox 2019 a interrogé un échantillon représentatif d’entreprises privées et publiques situées aux États-Unis, au Royaume-Uni, en Belgique, en France, en Allemagne, en Espagne et aux Pays-Bas. Chaque société a été évaluée sur sa stratégie en matière de cyber-sécurité et sur l’exécution de cette stratégie. Elles ont ensuite été classées selon les scores obtenus. Les résultats sont sans appel : seulement 10 % de ces entreprises ont des scores suffisamment élevés pour être considérées comme prêtes à faire face à une cyberattaque.

Chiffres clés du rapport :

• Les cyberattaques franchissent un nouveau degré d’intensité : 61% des entreprises interrogées ont dit avoir subi une attaque au cours des 12 derniers mois, contre 45 % dans le rapport de 2018. La fréquence des attaques a elle aussi augmenté. Les entreprises belges ont été les plus touchées (71%), suivies par la France (67%) et l’Allemagne (61%).
• Plus de PME visées par ces attaques : si les entreprises de grande taille restent celles qui sont le plus susceptibles d’être touchées, la proportion d’entreprises de moins de 50 employés ayant déclaré un cyber-incident est passée de 33% à 47%. Ce chiffre a progressé de 36% à 63% pour les entreprises de taille moyenne (50-249 employés).
• Le préjudice financier consécutif aux attaques explose : parmi les entreprises qui ont rapporté un incident, la moyenne des pertes financières se situe à 327 797€, contre 203 429€ l’an dernier, soit une augmentation de 61%. Le coût moyen des cyberattaques s’élève à 97 717€ en France contre 43 528€ en 2018, soit une augmentation de 125%. Pour les grandes entreprises (250-999 employés), la moyenne des pertes culmine à 621 838€, contre 143 911€ l’an passé. Les entreprises allemandes sont celles qui ont le plus souffert de ces attaques - l’une d’elles a déclaré une perte totale de 42 millions d’euros sur l’année.
• Toujours autant d’entreprises échouent aux tests de cyber-sécurité : seule une entreprise sur dix (10%) a obtenu le niveau « expert » aux tests quantitatifs visant à évaluer leur niveau de réparation aux risques cyber (11% en 2018). Les trois quarts des entreprises (74%) ont obtenu le niveau « novice ». On note également une chute considérable dans le nombre de grandes entreprises américaines et allemandes obtenant le niveau « expert ».
• Les dépenses en matière de cyber-sécurité augmentent : sur l’ensemble des entreprises interrogées, la moyenne des dépenses s’élève désormais à 1,28 million d’euros, une hausse de 24% par rapport à 2018. Le total des dépenses engagées par les 5 400 entreprises de l’étude est de 7 milliards d’euros. Deux tiers des entreprises interrogées (67%) ont indiqué qu’elles envisageaient encore d’augmenter leur budget cyber-sécurité de 5% au moins pour l’année à venir.
  
  
  
  

Astrid-Marie Pirson, Directrice technique de la souscription chez Hiscox France, explique : « c’est le troisième rapport d’Hiscox sur le sujet, et les résultats de cette année montrent bien que les PME sont tout aussi vulnérables que les grandes entreprises. La menace cyber est aujourd’hui un enjeu majeur pour toutes les entreprises, quelle que soit leur taille. Le point positif, c’est que nous voyons plus d’entreprises avoir une approche un peu mieux structurée pour lutter contre cette menace. Elles mettent en place une stratégie de cyber-sécurité et se préparent mieux aux attaques, avec la volonté notamment de s’équiper d’une véritable police cyber autonome ».

L’étude révèle également :

• Une large disparité dans la préparation aux attaques : de façon générale, les entreprises américaines, allemandes et belges sont les mieux préparées, tandis que quatre entreprises françaises sur cinq (81%) obtiennent le niveau « novice ». Les Pays-Bas et la France sont les pays qui obtiennent le moins souvent le niveau « expert » (9 %).
• Des statistiques de coûts biaisées par les gros incidents : parmi les entreprises qui ont été les plus ciblées, nous avons relevé une hausse significative des coûts engendrés par une unique attaque. Le coût moyen est passé de 30 204€ à presque 177 668 €.
• Des attaques de plus en plus fréquentes des services logistiques : presque deux tiers des entreprises (65%) ont eu des incidents sur leur chaîne logistique au cours des 12 derniers mois. Les domaines les plus touchés sont les TMT (technologie, médias, télécommunications) et le transport. La majorité des entreprises (54%) disent évaluer la sécurité de leur chaîne d’approvisionnement au moins une fois par trimestre ou de façon ad hoc.
• Des raisons d’être optimiste : la part d’entreprises qui n’ont pas de service dédié à la cybersécurité a diminué de moitié, passant de 32 % à 16%. On note une baisse significative du nombre d’entreprises qui indiquent n’avoir rien changé à leur stratégie suite à un incident (de 47% à 32%). Les nouvelles réglementations applicables ont été des événements déclencheurs en la matière, puisque 84 % des entreprises européennes ont expliqué qu’elles avaient changé leur stratégie après l’entrée en vigueur du RGPD.
• Une augmentation du recours à la souscription de polices d’assurance cyber : plus de deux entreprises sur cinq (41%) ont indiqué avoir souscrit une assurance cyber au cours des 12 derniers mois, contre 33% l’an passé. 30% des entreprises prévoient de le faire dans l’année à venir. Plus de la moitié des grandes entreprises ont aujourd’hui une couverture dédiée, contre seulement 27 % pour les petites entreprises.