Avec des actifs de données toujours plus volumineux et un nombre croissant de fournisseurs externes, de nombreuses organisations ont du mal à tout garder à l'œil, laissant involontairement des vulnérabilités aux cybercriminels. Mais avec tant de problèmes critiques à résoudre, par où commencer ?
La réponse, même si elle peut paraître inconfortable, est de commencer par le bas. Compte tenu de l’ampleur actuelle des réseaux de données et de fournisseurs, une approche fragmentaire risque d’aggraver la situation. Plutôt que de réagir de manière réactive aux menaces et aux changements réglementaires, les entreprises doivent adopter une vision globale de la résilience des données, sinon les écarts continueront de se multiplier.
La croissance des données comme facteur critique
Après tout, on ne peut pas protéger ce que l’on ne connaît pas. Pour les entreprises qui souhaitent mieux gérer leur patrimoine data, la priorité est d’avoir une vision complète et précise de l’ensemble de l’écosystème.
Les données croissent à un rythme exponentiel. En 2010, l’ensemble de l’univers numérique ne représentait que 2 zettaoctets, alors qu’en 2024, 147 étaient générés. Les données d’entreprise représentent une part énorme de cette croissance, qui a explosé au cours de la dernière décennie. Avec leintelligence artificielle Désormais partie intégrante des processus métiers, cette tendance ne fera que s'accélérer : le marché de la gestion des données d'entreprise devrait doubler dans les années à venir, passant d'environ 111 milliards de dollars en 2025 à 243 milliards de dollars en 2032. En d’autres termes, si les organisations n’agissent pas maintenant, elles risquent d’être désespérément laissées pour compte.
Pour de nombreuses entreprises, l’arrivée de l’intelligence artificielle s’est traduite par bien des changements improvisés. gestion des donnéesla manière dont ils sont archivés et les outils utilisés. La rapidité avec laquelle la technologie a été adoptée a souvent conduit à des changements apportés aux actifs informationnels sans procédures entièrement structurées. Involontairement, cela a créé des silos internes : différents départements utilisent l'IA de différentes manières, laissant de grandes parties de données hors du contrôle central de l'organisation. Les entreprises pensent peut-être qu’elles ont tout sous contrôle, mais la réalité est qu’il leur manque une vision complète.
Après tout, Il ne sert à rien d'introduire de nouvelles pratiques de gestion des risques si vous ignorez une grande partie de votre parc informatique. ou des composants entiers de la pile technologique, simplement parce que vous ne savez pas qu'ils existent.
Le rôle des fournisseurs externes dans la gestion des données
Malheureusement, la croissance incontrôlée des données d’entreprise ne se limite pas à la pile technologique gérée en interne. Pour vraiment comprendre vos actifs de données, vous devez également envisager des solutions tierces. Une étude de la Cyber Risk Alliance révèle qu'en moyenne, une organisation s'appuie sur 88 fournisseurs informatiques externes, utilisant souvent leurs solutions de manière globale. Le problème ? Beaucoup de ces solutions fonctionnent comme des « boîtes noires »offrant peu ou pas de transparence, tant sur les données stockées que sur la manière dont la résilience et la sécurité des données elles-mêmes sont garanties.
Les fournisseurs externes sont souvent remis en cause pour cette raison : alléger la pression sur les organisations en apportant leurs solutions. Le problème est que cela conduit souvent à se concentrer davantage sur le résultat final que sur l’infrastructure qui le supporte. De nombreuses entreprises supposent que les fournisseurs couvrent tout ce dont elles ont besoinmais sans un modèle de responsabilité partagée clair, ils risquent involontairement de générer des lacunes importantes dans la résilience des données.
Des réglementations comme la NIS2 et le DORA de l’UE soulignent clairement l’importance de gérer les risques liés aux données confiées à des prestataires tiers. À cause de ça, les entreprises doivent évaluer soigneusement la manière dont leurs partenaires proposent réellement des solutions.
Limites de la conformité réglementaire
Malgré l’introduction de réglementations dans le monde entier pour renforcer la résilience des données, une étude McKinsey sur les grandes entreprises montre que de nombreuses entreprises restent à la traîne. Environ 30 % des organisations se considèrent plus résilientes qu’elles ne le sont en réalitéet cet écart provient principalement du manque de conscience de l'immensité de leurs actifs de données et des fournisseurs tiers impliqués.
Même lorsque les entreprises se conforment aux réglementations, les fournisseurs externes et les éléments les moins visibles des actifs de données restent souvent hors de contrôle, créant ainsi des lacunes importantes dans la résilience des données. Le problème n’est pas tant l’absence de réglementation que le fait que les organisations n’ont jamais analysé en profondeur leurs actifs de données et leurs fournisseurs tiers. En d’autres termes : vous ne pouvez pas protéger ce que vous ne connaissez pas.
Prenons l'exemple du DORA de l'UE. Destinée spécifiquement aux organisations du secteur financier, la réglementation impose de prêter une plus grande attention à la résilience des données des fournisseurs externes. Néanmoins, 34% des entreprises ont indiqué ce point comme le plus difficile à appliquerprobablement parce que la taille de ses réseaux de fournisseurs était jusque-là peu connue. Six mois après l'entrée en vigueur, 96 % des organisations de la zone EMEA estiment toujours que la résilience des données doit être renforcéedémontrant à quel point cette législation représentait une véritable « confrontation avec la réalité ».
Une approche structurée pour renforcer la résilience
Alors que faire ? Au lieu d'attendre qu'un acteur malveillant profite d'une faille, d'un angle mort ou d'une porte dérobée, les organisations doivent les découvrir et les fermer. Ce n’est pas une tâche facile, mais elle est essentielle pour corriger les faiblesses de la résilience des données. Le processus doit inclure des évaluations approfondies non seulement des mesures internes, mais également de celles des fournisseurs, afin d'identifier les vulnérabilités et les dépendances. Les points faibles des chaînes d’approvisionnement tierces, les silos de données cachés et autres lacunes doivent être identifiés et comblés avant de pouvoir être exploités.
Il ne fait aucun doute qu’il s’agit d’une tâche vaste et complexe qui ne peut être accomplie seule. L'évaluation et l'amélioration de la résilience des données à cette échelle nécessitent une collaboration non seulement au sein de l'entreprise, mais également avec des fournisseurs tiers. Comme pour toute initiative de cette envergure et de cette complexité, avoir un cadre approprié fait toute la différence. Par exemple, le modèle de maturité de la résilience des données est une norme industrielle indépendante du fournisseur qui comprend une auto-évaluation approfondie et un cadre pour élaborer un plan visant à renforcer la résilience au fil du temps.
En suivant l'approche transversale de modèles comme celui-ci, les organisations peuvent élaborer un plan pour améliorer la résilience des données en intégrant les équipes informatiques, de sécurité et de conformité afin de garantir que tous les domaines de leurs actifs de données et des réseaux de fournisseurs tiers sont couverts.
Il est essentiel qu'une fois les nouvelles mesures mises en œuvre, les organisations continuent de les tester en permanence. L’amélioration de la résilience des données n’est pas une opération « ponctuelle » : il s’agit d’un cycle continu d’apprentissage et d’adaptation aux nouvelles menaces. Des tests réguliers et complets peuvent sembler une nuisance, mais cela n’est rien en comparaison des conséquences d’une véritable attaque.
Comme le dit le proverbe, quand une porte se ferme, une autre s’ouvre. L’important est de s’assurer que ces portes ne soient pas laissées grandes ouvertes aux cybercriminels.