Comment votre entreprise peut‑elle renforcer sa capacité de résilience face aux nouvelles vulnérabilités?

Dans notre étude, le secteur des services bancaires et des marchés financiers se démarque par l’excellence de sa performance en cybersécurité, ce qui rend probablement compte du poids des attentes des autorités de réglementation en matière de résilience opérationnelle, de signalement des cyberincidents et de surveillance des risques liés aux tiers. Aux États‑Unis, les institutions bancaires sont assujetties à des obligations officielles de notification en cas de cyberincident, tandis qu’en Europe, le Règlement sur la résilience opérationnelle numérique (DORA) prescrit l’application d’exigences plus strictes dans la gestion des risques liés aux technologies de l’information et des communications (TIC), l’exécution des tests de résilience et la surveillance des prestataires de services essentiels. Même ainsi, le secteur n’est pas immunisé contre la prochaine vague de cyberrisques, car l’IA est maintenant intégrée plus étroitement aux interactions avec la clientèle et aux environnements de données, surtout là où les interfaces API, les projets d’intégration avec des partenaires et les plateformes technologiques partagées donnent lieu à l’émergence de nouvelles capacités.

Informations sectorielles clés tirées de l’étude

• Dans le secteur des services bancaires et des marchés financiers, le niveau de visibilité des actifs organisationnels est supérieur à la moyenne de l’ensemble des autres secteurs.
• Néanmoins, la couverture de cybersécurité est insuffisante pour de nombreux actifs, surtout dans le cas des comptes et zones d’accueil infonuagiques, des assistants d’IA pour le service à la clientèle et des prestataires de services de centre de données.
• L’accélération du rythme auquel se succèdent les changements peut engendrer de nouvelles vulnérabilités dans le secteur. Dans le secteur des services bancaires et des marchés financiers, la fréquence des modifications aux actifs qui nécessitent la mise à jour des contrôles de sécurité est plus élevée que la moyenne. Par exemple, 35 % des répondants affirment que, dans leur entreprise, les interfaces API pour les services bancaires ouverts et les projets d’intégration avec des partenaires font l’objet de modifications mensuelles, ou plus fréquentes, qui donnent lieu à de telles mises à jour.

Dans le secteur de la gestion de patrimoine et d’actifs, le modèle opérationnel appliqué varie grandement en fonction du prestataire de services externe, selon qu’il s’agit de logiciels‑services, de services de recherche, de données sur le marché ou de services d’arrière‑guichet externalisés. À mesure que l’intégration de l’IA au service à la clientèle et aux flux de travail internes d’une entreprise prend de l’ampleur, le défi consiste davantage pour elle à se familiariser avec un vaste écosystème de services pouvant donner accès à des données sensibles ou à des processus connectés, surtout du fait que le repérage accéléré des vulnérabilités peut permettre aux cyberattaquants de déployer plus rapidement des cyberattaques par mouvement latéral ciblant les principaux flux de travail et les services à la clientèle d’un prestataire externe présentant des défaillances.

Informations sectorielles clés tirées de l’étude

• Dans le secteur de la gestion de patrimoine et d’actifs, 32 % des actifs organisationnels se trouvent dans la zone de vulnérabilité.
• Les actifs écosystémiques représentent une source de préoccupation digne de mention, du fait que moins du quart des répondants affirment que leur entreprise affiche une bonne performance quant à la visibilité des actifs des prestataires de services infonuagiques, de logiciels‑services et de services de centre de données, des actifs des prestataires de services de recherche ou des actifs des prestataires de services d’arrière‑guichet externalisés. De telles préoccupations peuvent aller en grandissant lorsqu’il s’agit de prestataires qui ont accès aux réseaux de l’entreprise ou assurent la prise en charge de ses flux de travail critiques.

Les organisations du secteur Gouvernement et secteur public qui sont exposées à des pressions visant la modernisation de leurs services sont particulièrement susceptibles de faire l’objet de cyberattaques, notamment lorsqu’elles adoptent l’IA et qu’elles intègrent leurs données à un plus grand nombre de systèmes numériques. Bien que les outils d’IA à la disposition des parties prenantes et les interfaces API qui sont connectées aux systèmes de prestataires de services puissent permettre de fournir de meilleurs services, ils prêtent aussi le flanc à de nouveaux cyberrisques. L’IA agentive peut permettre de relier des systèmes patrimoniaux disparates, mais pas d’éliminer les vulnérabilités qu’ils comportent, sans compter qu’elle peut accroître les risques générés par la propagation éventuelle des dommages provoqués par un agent d’IA dont la sécurité est compromise. Le principal défi auquel font face les organisations publiques consiste à assurer la mise à jour rapide des contrôles de sécurité qu’elles appliquent aux actifs sur lesquels repose la prestation de leurs services au public, aux actifs en lien avec les écosystèmes de tiers et de prestataires (y compris les données hébergées par des fournisseurs, les dépendances logicielles et les actifs des prestataires de services externalisés), de même qu’aux interfaces connectées adoptées dans le cadre d’initiatives de modernisation.

Informations sectorielles clés tirées de l’étude

• Dans le secteur Gouvernement et secteur public, 11 % des actifs organisationnels se trouvent dans la zone de vulnérabilité.
• D’après notre étude, c’est l’un des secteurs qui affichent la meilleure performance quant à la visibilité des actifs et à la couverture de cybersécurité, ce qui peut s’expliquer par le fait que les organisations qui y évoluent doivent se conformer à un cadre de sécurité particulièrement strict, vu qu’elles sont plus susceptibles qu’auparavant de faire l’objet de cyberincidents, auxquels elles sont d’ailleurs plus sensibles.
• Les outils et systèmes d’IA à la disposition du public pourraient susciter des préoccupations, seulement 31 % des répondants affirmant que, dans leur organisation, la visibilité des assistants d’IA au service des parties prenantes est optimale, tandis qu’ils ne sont que 18 % à soutenir que ceux‑ci font l’objet de contrôles de cybersécurité exhaustifs.
• Les répondants issus du secteur Gouvernement et secteur public signalent également que, dans leur organisation, les interfaces API publiques et privées affichent des niveaux de visibilité et de couverture de cybersécurité inférieurs à la moyenne (31 % seulement affirmant que leur visibilité est optimale, tandis que 20 % considèrent que leur couverture de cybersécurité est exhaustive), et qu’il en est de même dans le cas des réseaux et des services de connectivité de base pangouvernementaux (33 % seulement affirmant que leur visibilité est optimale, tandis que 24 % considèrent que leur couverture de cybersécurité est exhaustive).
• La réalisation accélérée des initiatives de modernisation internes pourrait engendrer de nouvelles vulnérabilités dans le secteur. Un tiers des répondants environ soutiennent que, dans leur organisation, les portails de services aux parties prenantes, les interfaces API publiques et privées, et les plateformes d’accès à distance à la disposition des entrepreneurs font l’objet de modifications mensuelles, ou plus fréquentes, qui donnent forcément lieu à la mise à jour des contrôles de cybersécurité.
• Bien qu’elles fassent état d’un niveau d’exposition directe aux cyberrisques relativement faible, les administrations publiques pourraient y être exposées indirectement, en raison des dépendances présentes dans leurs infrastructures critiques, dont l’exploitation a souvent été confiée à des tiers.

Les exploitants d’infrastructures font face à l’un des exemples les plus patents de cyberrisques se rapprochant des opérations physiques. Bien que les systèmes de transport ferroviaire, les infrastructures routières et les actifs de surveillance structurelle soient de plus en plus connectés à des réseaux, un bon nombre restent difficiles à surveiller avec le même niveau de rigueur que celui que permettent les systèmes d’entreprise. Grâce à l’IA de pointe, les cyberattaquants peuvent repérer plus rapidement les vulnérabilités dans de tels environnements et détecter plus facilement les erreurs de configuration, les procédures d’authentification défaillantes et les chemins d’accès à distance qui s’avèrent à risque dans les systèmes de TO et de télésurveillance. Tandis que les écosystèmes de connectivité sont en pleine expansion, les exploitants doivent pouvoir s’appuyer sur un inventaire d’actifs de bout en bout, un processus de surveillance continue et des capacités de segmentation de leur environnement, de façon à pouvoir limiter l’ampleur des intrusions.

Informations sectorielles clés tirées de l’étude

• Dans le secteur des infrastructures, 71 % des actifs organisationnels se trouvent dans la zone de vulnérabilité.
• La forte proportion des actifs qui figurent dans la zone de vulnérabilité indique que les cyberrisques liés aux infrastructures se concentrent dans des environnements physiques et opérationnels dont l’exploitation est souvent confiée à des tiers, où les déficiences sur le plan de la visibilité des actifs ou de la couverture de cybersécurité ont pour effet d’accroître la probabilité que des cyberfaiblesses entraînent des perturbations dans les services publics ou en compromettent la sécurité.
• Les systèmes de signalisation, d’aiguillage et de contrôle ferroviaires constituent une importante source de préoccupation pour les exploitants de réseaux de transport ferroviaire, seulement 9 % des répondants affirmant qu’il s’agit d’actifs dont la visibilité est optimale.
• D’autres types d’actifs physiques présentent un faible niveau de visibilité; c’est notamment le cas des ponts, des tunnels et des capteurs pour la surveillance structurelle (dont 16 % affichent un niveau de visibilité optimal), de même que des systèmes de signalisation routière, des systèmes de commande et de l’équipement en bordure des routes (dont 27 % affichent un niveau de visibilité optimal).
• Vu la nature du secteur, le rythme auquel les actifs infrastructurels y sont modifiés est moins rapide que la moyenne, ce qui donne aux organisations la possibilité d’y apporter des améliorations sur le plan de la visibilité et de la couverture de cybersécurité.

Bien que les organisations qui évoluent dans les secteurs de l’aérospatiale, de la défense et de la mobilité semblent faire preuve de plus de rigueur en matière de cybersécurité que celles qui évoluent dans la plupart des autres secteurs, elles sont tout de même exposées aux pressions associées à l’adoption de l’IA, à la complexité des chaînes d’approvisionnement et à l’accroissement des risques géopolitiques. Un bon nombre des fonctions qui revêtent une importance particulièrement critique dans le secteur sont tributaires de partenaires externes, notamment pour les opérations de maintenance et de réparation et les activités des fournisseurs de matériel et de composantes. La résilience de l’environnement de cybersécurité dépend non seulement des contrôles internes, mais également de la capacité des organisations de bien analyser globalement le cadre de sécurité de l’écosystème dans lequel elles évoluent, surtout lorsque des fournisseurs peuvent être eux‑mêmes ciblés par des cyberattaquants à la solde d’un État.

Informations sectorielles clés tirées de l’étude

• Dans les secteurs de l’aérospatiale, de la défense et de la mobilité, 7 % des actifs organisationnels se trouvent dans la zone de vulnérabilité.
• Globalement, selon les répondants issus de ce secteur, les organisations qui y évoluent affichent une meilleure performance que celle de leurs pairs des autres secteurs quant au niveau de visibilité et de couverture de cybersécurité des actifs, mais le niveau de visibilité de leurs actifs écosystémiques est généralement inférieur au niveau de visibilité de leurs autres types d’actifs. C’est notamment le cas des actifs de leurs partenaires chargés de la réalisation de leurs activités de maintenance et de réparation, ainsi que de ceux de leurs partenaires assurant leur approvisionnement en puces et matériel électroniques spécialisés et de leurs fournisseurs de solutions avioniques et de composants. Il s’agit d’une source de préoccupation potentielle, car les tiers jouent un rôle essentiel dans la réalisation des activités des organisations de ce secteur, ce qui est particulièrement le cas des entreprises du secteur de la défense, dont les fournisseurs risquent d’être ciblés dans le cadre de cyberattaques commanditées par un État.
• L’accélération du rythme auquel se succèdent les changements peut engendrer de nouvelles vulnérabilités dans le secteur. Dans une proportion de 22 %, les répondants affirment que, dans leur organisation, les interfaces API publiques et privées, les accès à distance et les hôtes bastions font l’objet de modifications mensuelles, ou plus fréquentes, qui donnent forcément lieu à la mise à jour des contrôles de cybersécurité.

À mesure que le volume d’actifs industriels connectés et propulsés par l’IA augmente, les fabricants sont davantage exposés à des zones de vulnérabilité qui présentent des lacunes sur le plan de la visibilité des actifs, tandis que l’application de contrôles de cybersécurité ne progresse pas aussi rapidement que l’intégration des activités opérationnelles. Parallèlement, l’IA de pointe permet de repérer et d’exploiter de telles faiblesses plus rapidement et plus facilement, mettant à risque les systèmes sur lesquels reposent les activités de production.

Informations sectorielles clés tirées de l’étude

• Dans le secteur des produits industriels, 46 % des actifs organisationnels se trouvent dans la zone de vulnérabilité.
• Catégories d’actifs figurant dans la zone de vulnérabilité : systèmes et outils d’IA, actifs de TO, actifs physiques et actifs écosystémiques.
• Les robots et systèmes d’automatisation industriels sont particulièrement des maillons faibles, seulement 20 % des répondants affirmant qu’il s’agit d’actifs dont la visibilité est optimale tandis qu’ils ne sont que 7 % à soutenir que, dans leur entreprise, ils font l’objet de contrôles de cybersécurité exhaustifs. Les angles morts et les lacunes dans la couverture de cybersécurité gagneront probablement en importance à mesure que le volume des actifs connectés à des réseaux et intégrés à des environnements d’IA ira en augmentant.
• Comparativement à leurs pairs des autres secteurs, les répondants évoluant dans le secteur des produits industriels sont les moins enclins à considérer que les chaînes d’approvisionnement sont une source de cyberrisques. Comme les entreprises industrielles s’efforcent d’améliorer la transparence de leurs chaînes d’approvisionnement, elles pourraient accorder la priorité au contrôle de leur exposition aux cyberrisques.

Les entreprises du secteur des mines et métaux mènent leurs activités dans des environnements de systèmes de production essentiels qui seront de plus en plus exposés aux cyberrisques. Comme elles s’appuient sur des technologies opérationnelles de plus en plus connectées et tributaires de solutions logicielles et d’infrastructures réseau, leurs activités peuvent être directement exposées à des cyberrisques, en raison de la visibilité déficiente de leurs actifs et des lacunes dans les contrôles qui leur sont appliqués. Ces cyberrisques découlent du fait que l’IA de pointe facilite la tâche aux cyberattaquants dans le repérage des failles exploitables présentes dans des systèmes longtemps considérés comme étant sécurisés, ou conçus en tant que tels, de sorte qu’il est d’autant plus important que ces entreprises se dotent de capacités de surveillance et de protection des actifs industriels sur lesquels reposent leurs activités de production.

Informations sectorielles clés tirées de l’étude

• Dans le secteur des mines et métaux, 67 % des actifs organisationnels se trouvent dans la zone de vulnérabilité.
• Catégories d’actifs figurant dans la zone de vulnérabilité : systèmes et outils d’IA, actifs numériques non propulsés par l’IA, infrastructures réseau, actifs physiques, actifs de données et actifs écosystémiques.
• Les systèmes de contrôle industriels sont un maillon faible important, seulement 18 % des répondants affirmant que, dans leur entreprise, la visibilité des applications pour les automates logiques programmables et des applications de télésurveillance et d’acquisition de données est optimale, tandis qu’ils ne sont que 11 % à soutenir que celles‑ci font l’objet de contrôles de cybersécurité exhaustifs.
• Les infrastructures de réseaux TO présentent des lacunes semblables, seulement 18 % des répondants affirmant que, dans leur entreprise, il s’agit d’actifs dont la visibilité est optimale, tandis qu’ils ne sont que 16 % à soutenir qu’ils font l’objet de contrôles de cybersécurité exhaustifs.

Les entreprises qui évoluent dans le secteur du pétrole et du gaz et celui des produits chimiques doivent assumer la gestion des cyberrisques auxquels sont exposés leurs activités distribuées sur le terrain, leurs environnements de contrôle et les grands réseaux des entrepreneurs et des fournisseurs avec lesquels elles font affaire. Tandis que ces environnements sont de plus en plus connectés, les conséquences découlant d’une visibilité déficiente de leurs actifs ou de contrôles insatisfaisants peuvent s’aggraver rapidement. L’IA de pointe accentue la gravité de ces conséquences, en facilitant le repérage de faiblesses exploitables dans les systèmes de contrôle et les actifs connexes, qui ont souvent été conçus pour assurer la disponibilité et la sécurité des activités opérationnelles, plutôt que pour résister à une exposition persistante à des cyberintrusions avancées, d’où l’importance de sécuriser les environnements d’exploitation sur le terrain et les pipelines, en faisant preuve de la même rigueur que pour les autres composantes organisationnelles.

Informations sectorielles clés tirées de l’étude

• Dans le secteur du pétrole et du gaz et celui des produits chimiques, 57 % des actifs organisationnels se trouvent dans la zone de vulnérabilité.
• Catégories d’actifs figurant dans la zone de vulnérabilité : actifs numériques non propulsés par l’IA, infrastructures réseau, actifs infonuagiques, actifs physiques, actifs de données et actifs écosystémiques.
• Les applications de télésurveillance et d’acquisition de données et les applications de contrôle en lien avec les activités d’exploitation sur le terrain et les pipelines représentent une importante source de préoccupation, seulement 18 % des répondants affirmant que, dans leur entreprise, il s’agit d’actifs dont la visibilité est optimale, tandis qu’ils ne sont que 13 % à soutenir qu’ils font l’objet de contrôles de cybersécurité exhaustifs.
• Le matériel de contrôle industriel est potentiellement à risque, seulement 18 % des répondants affirmant que, dans leur entreprise, la visibilité des applications pour les automates logiques programmables et des systèmes de sécurité est optimale, tandis qu’ils ne sont que 4 % à soutenir qu’ils font l’objet de contrôles de cybersécurité exhaustifs.

Les entreprises du secteur de l’énergie et des services publics évoluent dans un environnement de cybersécurité qui est conditionné par une chaîne de valeur décentralisée, des actifs opérationnels de plus en plus connectés, des infrastructures patrimoniales à long terme et la persistance des risques géopolitiques. Tandis que les réseaux électriques constitués auparavant d’un petit nombre d’installations de production d’électricité centralisées ont évolué jusqu’à se transformer en de grands écosystèmes d’actifs distribués, leur surface de cyberattaque s’est agrandie, en engendrant de nouveaux risques. Comparativement à une situation de compromission de la sécurité d’une seule centrale physique, une cyberattaque coordonnée visant des plateformes numériques, des réseaux de communication ou des centrales électriques virtuelles qui orchestrent des ressources énergétiques distribuées représente un plus grand potentiel de déstabilisation.

L’intégration poussée des environnements informatiques et de TO et la visibilité limitée des environnements opérationnels ont pour effet d’exacerber ce risque. Tandis que les cyberattaquants soutenus par un État continuent de cibler des infrastructures critiques, ils peuvent se prévaloir de capacités renforcées, grâce à l’IA de pointe qui leur permet de repérer plus facilement les faiblesses présentes dans des systèmes que l’on présumait être sécurisés, du fait qu’il s’agissait de systèmes spécialisés, isolés ou difficilement accessibles. Alors qu’elles accordaient auparavant la priorité à la protection d’actifs individuels, les entreprises de services publics privilégient désormais la réalisation de gains sur le plan de la visibilité, du contrôle et de la résilience de leurs réseaux TO, de leurs dispositifs périphériques, de leurs communications sur le terrain et des actifs écosystémiques tiers, sur lesquels repose de plus en plus leur capacité à assurer un approvisionnement en énergie fiable.

Informations sectorielles clés tirées de l’étude

• Le secteur de l’énergie et des services publics est l’un des plus exposés aux cyberrisques. C’est dans une proportion de 71 % que les répondants issus du secteur représentent des « entreprises vulnérables » (le groupe de répondants dont l’entreprise est à la traîne), tandis que 46 % des actifs sectoriels se trouvent dans la zone de vulnérabilité, ce qui indique que les portefeuilles d’actifs de ces entreprises sont largement exposés aux cyberrisques.
• Il s’avère que les composantes périphériques des réseaux électriques sont les maillons les plus faibles. Seulement 16 % des répondants affirment que, dans leur entreprise, la visibilité des compteurs intelligents et de l’équipement de communication sur le terrain est optimale, tandis qu’ils ne sont que 16 % à soutenir qu’ils font l’objet d’une couverture de cybersécurité exhaustive. Les réseaux de communication des postes électriques sont exposés aux cyberrisques de la même façon, 18 % des répondants considérant que, dans leur entreprise, il s’agit d’actifs dont la visibilité est optimale, tandis qu’ils sont 16 % à soutenir qu’ils font l’objet d’une couverture de cybersécurité exhaustive.
• Les lacunes sur le plan de la visibilité et du contrôle des actifs de TO engendrent un risque lié à la résilience. Seulement 20 % des répondants estiment que, dans leur entreprise, la visibilité des réseaux de TO auxquels sont rattachées les installations de production, de transport et de distribution d’électricité est optimale, tandis qu’ils ne sont que 24 % à soutenir qu’il s’agit d’actifs qui font l’objet d’une couverture de cybersécurité exhaustive, s’agissant d’un écart critique dans un contexte où les environnements opérationnels sont de plus en plus connectés aux systèmes d’entreprise, aux plateformes infonuagiques et aux outils d’IA.
• Les cybercontrôles n’évoluent pas au même rythme que des modifications sont apportées aux actifs organisationnels. Seulement 4 % des répondants considèrent que leur entreprise est à même de déployer intégralement, dans un délai de 12 heures, les contrôles à appliquer à un actif mis en service depuis peu, tandis que 78 % estiment qu’il faudra à leur entreprise entre 1 et 30 jours pour obtenir ce résultat, s’agissant de représentants d’entreprises qui accusent un retard considérable, vu qu’elles évoluent dans un secteur où prolifèrent les dispositifs connectés, les actifs énergétiques distribués et les projets d’intégration avec des tiers.
• L’IA et les enjeux géopolitiques ont pour effet d’exacerber l’exposition de ces entreprises aux cyberrisques, auxquels leur modèle opérationnel est d’ailleurs déjà exposé. Dans une proportion de 80 %, les répondants conviennent que la course à l’adoption des technologies propulsées par l’IA qui oppose les puissances géopolitiques a pour effet d’accroître les cyberrisques externes; pourtant, seulement 38 % des répondants affirment que leur entreprise est bien préparée à faire face aux cybermenaces engendrées par l’IA, tandis qu’ils ne sont que 29 % à soutenir que le niveau de préparation de leur entreprise lui permet de composer avec les menaces de nature géopolitique, ce qui renforce l’idée que la résilience face aux cyberrisques doit être considérée comme une composante essentielle des réseaux électriques fiables.

Les entreprises du secteur des médias et du divertissement exploitent de plus en plus l’IA dans une optique d’amélioration de leurs activités de planification de contenus, d’établissement de prévisions et d’optimisation de l’engagement de leur audience. Parallèlement, comme l’écosystème dans lequel elles évoluent devient de plus en plus interconnecté, les agences avec lesquelles elles font affaire, les technologies publicitaires, leurs partenaires de distribution et les flux de travail liés à leurs contenus, de même que leurs propres plateformes, peuvent être à l’origine de leur exposition à des cyberrisques. Dans un contexte où l’IA de pointe permet de repérer plus rapidement les vulnérabilités et d’accroître la qualité des activités de recherche connexes, elle peut favoriser globalement l’exposition rapide d’une plateforme externe comportant des faiblesses ou d’un outil de gestion des flux de travail vulnérable aux cyberrisques, surtout dans le cas d’une entreprise dont les capacités de génération de revenus, d’optimisation de l’engagement de l’audience et de diffusion de contenus sont tributaires d’une grande diversité de partenaires.

Informations sectorielles clés tirées de l’étude

• Dans le secteur des médias et du divertissement, 43 % des actifs organisationnels se trouvent dans la zone de vulnérabilité.
• Catégories d’actifs figurant dans la zone de vulnérabilité : systèmes et outils d’IA, actifs numériques non propulsés par l’IA, infrastructures réseau, actifs de TO, actifs physiques, actifs de données et actifs écosystémiques.
• Les répondants signalent que, dans leur entreprise, ce sont les actifs traditionnels générateurs de revenus qui ont une meilleure visibilité, 45 % affirmant que la visibilité des plateformes d’optimisation de l’engagement client est optimale et 48 %, qu’il en est de même pour les plateformes d’hébergement et de diffusion de contenus.
• Il s’avère que la visibilité des inducteurs de revenus futurs potentiels est faible, seulement 25 % des répondants affirmant que – dans leur entreprise – la visibilité des outils d’IA pour l’établissement des prévisions relatives à l’évolution de la demande de contenus et de l’audience est optimale, tandis que la visibilité des outils d’IA pour la gestion des foules, la sécurité et la prévision des incidents est limitée ou nulle.

À mesure que les entreprises technologiques intègrent l’IA à leurs produits, à leurs outils internes et à leurs expériences clients, elles pourraient se trouver à exposer un plus grand nombre de logiciels, d’interfaces API et de flux de données à des cyberrisques. Les progrès récents de l’IA de pointe montrent que les cyberattaquants sont plus rapides que jamais à repérer les faiblesses informatiques et à acquérir les capacités de les exploiter, de sorte qu’il devient encore plus important de savoir où l’IA est déployée et de connaître le type de données ciblées. Puisque les dépendances logicielles et la dépendance à l’égard des plateformes infonuagiques et des services de tiers intégrés ont pour effet d’exacerber ces pressions, les voies d’accès aux systèmes organisationnels s’en trouvent multipliées, et il devient plus difficile de maintenir des contrôles adaptables à l’évolution des produits et des services.

Informations sectorielles clés tirées de l’étude

• Dans le secteur des technologies, 18 % des actifs organisationnels se trouvent dans la zone de vulnérabilité.
• Près de la moitié des entreprises technologiques font état de dépenses de cybersécurité annuelles de plus de 100 millions de dollars américains (contre 31 % de l’ensemble des entreprises évoluant dans les autres secteurs). Plus particulièrement, les entreprises technologiques affectent à l’IA 20 % de leur budget de cybersécurité global, contre 14 % des entreprises évoluant dans les autres secteurs.

• Sur le plan de la visibilité des actifs, la situation est paradoxale : bien que 45 % des répondants dont l’entreprise évolue dans le secteur des technologies affirment que la visibilité de 91 % à 100 % de ses actifs organisationnels est optimale (contre seulement 6 % de leurs pairs dont l’entreprise évolue dans un autre secteur), l’analyse des diverses catégories d’actifs révèle une tout autre situation. La visibilité des actifs écosystémiques (22 %), des systèmes et outils d’IA (26 %), et des actifs de TO et des actifs physiques (28 %) est particulièrement faible. Étant donné que les entreprises technologiques s’appuient sur leurs actifs écosystémiques pour accéder aux marchés, elles ont ainsi l’occasion de renforcer les contrôles qu’elles appliquent dans le cadre de leurs activités de surveillance des fournisseurs, de gouvernance des accès par des tiers et de gestion des risques liés aux prestataires de services de centres de données et de services infonuagiques, et de renforcement de la résilience de leurs écosystèmes.

• Actuellement, dans les entreprises technologiques, ce sont les systèmes et outils d’IA qui sont les actifs les plus susceptibles de se trouver dans la zone de vulnérabilité.
• Dans une proportion de 83 %, les répondants dont l’entreprise évolue dans le secteur des technologies estiment que les cybermenaces quantiques en viendront à représenter pour elle un risque réel au cours des cinq prochaines années. Tandis que certaines entreprises technologiques estiment être prêtes à y faire face, le moment est venu pour leurs administrateurs et leur chef de la sécurité de l’information de s’engager dans des discussions.

Les entreprises de télécommunications doivent gérer les cyberrisques présents dans leurs vastes réseaux connectés, dans leurs applications de service à la clientèle et dans les actifs écosystémiques de leurs fournisseurs. Un tel niveau d’exposition aux cyberrisques revêt encore plus d’importance dans un contexte où, grâce à l’IA de pointe, les cyberattaquants ont moins d’efforts à déployer qu’auparavant pour repérer et exploiter les faiblesses informatiques, tandis que ceux qui sont à la solde d’un État continuent de cibler les infrastructures de communication à des fins d’espionnage ou de déstabilisation potentielle. Cette situation permet aux entreprises de télécommunications de bénéficier de la valeur accrue que confère une excellente visibilité non seulement des actifs réseaux de base, mais également de leurs canaux de service à la clientèle et de leurs relations avec les tiers, du fait que les faiblesses présentes dans de tels environnements peuvent servir de points de départ pour la perpétration de cyberattaques par mouvement latéral qui sont difficiles à détecter et lentes à circonscrire.

Informations sectorielles clés tirées de l’étude

• Dans le secteur des télécommunications, 32 % des actifs organisationnels se trouvent dans la zone de vulnérabilité.
• D’après les répondants, ce sont les actifs qui jouent un rôle particulièrement essentiel dans l’exploitation des réseaux – notamment les stations cellulaires, les tours de télécommunication, les émetteurs‑récepteurs radio et les antennes – et les interfaces API privées et publiques qui affichent la meilleure performance sur le plan de la visibilité et de la couverture de cybersécurité. Par ailleurs, les actifs écosystémiques sont les plus susceptibles de se trouver dans la zone de vulnérabilité.
• Un bon nombre d’actifs liés au service à la clientèle sont touchés par des enjeux de cybersécurité, seulement 28 % des répondants affirmant que, dans leur entreprise, la visibilité des applications Web et mobiles est optimale, tandis qu’ils ne sont que 20 % à soutenir que celles‑ci font l’objet d’une couverture de cybersécurité exhaustive.
• Les modems et les routeurs des clients sont également une source de préoccupation, seulement 28 % des répondants affirmant que, dans leur entreprise, la visibilité de ces actifs est optimale, tandis qu’ils ne sont que 35 % à soutenir que ceux‑ci font l’objet d’une couverture de cybersécurité exhaustive.