Septembre La gestion des utilisateurs à privilèges. Etude de marché

Transcription

1 Septembre 2014 La gestion des utilisateurs à privilèges Etude de marché

2 Gestion des comptes à privilèges Votre responsabilité est engagée! Plus de 40% des RSSI interrogés ne savent pas si leur entreprise a été victime d une attaque avec fuite de données. C est ce qui ressort d une étude réalisée par WALLIX au 1er septembre 2014, auprès d un échantillon de 2000 responsables de la sécurité des systèmes d information français pour laquelle 5% des sondés ont accepté de se prononcer. Peut-on donc encore s étonner de voir émerger des fraudes massives à la Carte bleue telles que celles qui ont lieu lors d une attaque persistante chez Target en début 2014 avec 110 millions de comptes ciblés? Et les vols de données personnelles aux proportions effarantes comme ceux réalisés cet été par un groupe de hackers soldés par le piratage de plus d 1,2 milliard de comptes utilisateurs et comptes mails à travers le monde? Quel impact également sur la réputation de ces célébrités d Hollywood dont les photos dénudées ont été publiées sur Internet après avoir été dérobées sur icloud, ou sur celle des multiples sociétés de toutes tailles victimes de chantage qui finissent par déclarer des fuites d informations de leurs clients? Avec cette avalanche de déclarations quotidiennes, et eu égard à la part croissante des usages d Internet dans notre vie courante, sommes-nous condamnés à voir nos informations personnelles terminer sur le marché Darknet des comptes Internet volés? Peut-on considérer que les moyens sont aujourd hui mis en œuvre pour préserver la sécurité des données personnelles et des contenus sensibles chez les opérateurs ou les hébergeurs de services informatiques? Cet été, les conclusions d une autre étude réalisée par SkyHigh Networks sur 7000 services cloud soulignaient que seuls 1% des fournisseurs de services cloud étaient prêts à respecter la nouvelle directive sur la protection de données dite «EU General Data Protection Regulation» qui doit remplacer en 2015 l ancienne directive qui datait de 1995, en Europe. Dans cette nouvelle ère où l informatique en nuage porte une part croissante des services en ligne, l externalisation des moyens informatiques remplace des pans entiers de l informatique traditionnelle, et dans certains domaines comme l industrie ou la santé, l automatisation et les objets connectés vont remplacer nombre d interventions humaines. N est-il donc pas indispensable de repenser la sécurité informatique dont l investissement reste faible au regard des moyens mis en œuvre dans les data centers ou le développement des nouvelles applications? La confiance numérique n est-elle pas au moins aussi importante dans les services en ligne que dans la vie réelle? La première action lors d un piratage informatique consiste à élever ses privilèges en vue de prendre la main sur le système ou la machine ciblée. Dès lors, la sécurisation des accès, la gestion des mots de passe et la traçabilité des comptes à privilèges sont au cœur du maintien de l intégrité d un système d information ou d un cloud public ou privé, si l on s inscrit dans une vision globale qui est celle d une saine gouvernance des SI. 2

3 Dans la même étude réalisée par WALLIX, 94% des RSSI interrogés considèrent le contrôle des utilisateurs à privilèges important ou très important, la plupart contribue à augmenter la sécurité globale en contribuant aux normes métiers. Comment expliquer que seuls 37% des responsables informatiques utilisent une solution de gestion des comptes à privilèges aujourd hui? Qui est donc responsable de cette schizophrénie dans laquelle l hyper majorité des responsables informatiques tirent la sonnette d alarme pendant que les investissements restent minoritaires? Alors que l année 2014 arrive à son terme et que les arbitrages 2015 se préparent, la responsabilité des dirigeants d entreprises est plus que jamais engagée vis-à-vis de la protection des données et doit les amener déterminer leurs priorités en matière de dépenses informatiques. Or comme 2015 s annonce encore plus digitale que 2014, il est encore temps de mettre l accent sur la gestion des risques et de mettre les budgets informatiques en phase avec les priorités des RSSI. La gestion des comptes à privilèges en sera un témoin clé. Jean-Noël de Galzain, PDG de WALLIX 3

4 A propos de WALLIX WALLIX ( est éditeur de solutions de sécurité informatique spécialisé dans la traçabilité et la sécurisation des accès au système d information des entreprises. WALLIX propose une gamme logicielle et matérielle qui permet de contrôler les risques liés aux accès internes et externes au réseau, aux serveurs ainsi qu aux applications des entreprises, de tracer les actions des utilisateurs à privilège avec le WAB, Wallix AdminBastion, L offre est distribuée à travers un réseau d intégrateurs et de revendeurs à valeur ajoutée en France, au Benelux, en Suisse, au Royaume Uni, en Afrique du Nord et au Moyen Orient. Elle s'adresse aux directeurs informatiques et aux responsables de la sécurité informatique qui ont besoin d'améliorer la gouvernance de la sécurité informatique de l entreprise, en conformité avec les réglementations en matière de gestion des risques informatiques dans les secteurs de la finance, l'industrie, la défense, la santé ou le secteur public. Implantée en France et en Angleterre, WALLIX est une entreprise innovante lauréat PM'UP de la Région Ile de France, labellisée OSEO Excellence, et membre du Pôle de compétitivité Systematic Paris-Région dont elle a récemment reçu le label "Champion du Pôle" et lauréate des Trophées "Computing Security Awards" à Londres en Elle est soutenue par les fonds d investissement Access2Net, Sopromec, Auriga Partners, TDH, la Holding personnelle de Monsieur Thierry Dassault, et le Fonds national pour la Société Numérique (FSN). Contexte de l étude Cette étude a été menée auprès de responsables des Systèmes d Information Français, du 1er au 5 septembre. L échantillon analysé porte sur 114 réponses complètes Représentant : 5% d entreprise de moins de 100 adresses IP 39% d entreprise de moins de adresses IP 36% d entreprise de moins de adresses IP 20% d entreprise de plus de adresses IP Provenant des secteurs d activité suivants : 25% Public 9% Industries 19% Banques - Assurances 34% Services - tertiaires 13% Autres 4

5 Points Clefs Sur 112 RSSI français interviewés, représentants une diversité de secteurs et de tailles d entreprises : 40% ne sait pas si son entreprise a été victime d une attaque avec fuite de donnée 94% pensent que le contrôle et la traçabilité des Utilisateurs à priviléges est important 87% pensent que cela contribue à augmenter la sécurité, 74% pensent que cela contribue aux normes métiers Seulement 37% déclarent utiliser une solution de PUM! 5

6 1/ Pensez-vous que le contrôle et la tracabilité des actions des Utilisateurs à Privilèges sont : Très importants (A1) % Importants (A2) % A adresser (A3) % Superflus (A4) % Inutiles (A5) % Sans réponse % 2/ Pensez-vous que la Gestion des Utilisateurs à Privilèges contribue aux normes de votre métier? Oui (B1) % Non (B2) % Ne sais pas (B3) % Sans réponse % 6

7 3/ Pensez-vous que la Gestion des Utilisateurs à Privilèges contribue réellement à augmenter la sécurité de votre SI? Oui (C1) % Non (C2) % Ne sais pas (C3) % 4/ A ce jour, utilisez-vous une solution de Gestion et de traçabilité des Utilisateurs à privilèges? Oui (D1) % Bientôt (D2) % Non (D3) % Jamais (D4) % 7

8 5/ Quel est selon vous le premier critère de choix d'une solution de Gestion et de traçabilité des Utilisateurs à privilèges? Le périmètre fonctionel du produit (E1) % La maîtrise du produit par votre fournisseur de solutions de sécurité (E2) % L'origine du produit (certification, pays d'origine) (E3) % Le prix (E4) % 6/ Sur quelle population vous semble-t-il le plus important de contrôler les privilèges d'accès? Prestataires externes (F1) % Administrateurs internes (F2) % Les deux (F3) % Autre % Identifiant (ID) Réponse 28 Tous les comptes à privilèges 70 tous utilisateurs du système d'information 8

9 7/ Sur quel périmètre technique vous semble-t-il le plus important de contrôler les privilèges d'accès? Serveurs (GSQ001) % Bases de données (GSQ002) % Applications métiers (GSQ003) % Equipements réseau (GSQ004) % Equipements de sécurité (GSQ005) % Autre % Identifiant (ID) Réponse 70 tous composants du SI 123 Tous 8/ A ce jour, quelle est votre priorité sur les Utilisateurs à privilèges? Gestion des droits (H1) % Processus automatique de changement de mots de passe (H2) % Recensement des droits existants (H3) % Traçabilité et enregistrement des actions (H4) % Autre % Sans réponse % Identifiant (ID) Réponse 52 ALL 64 Gestin des droits, Traçabilité, et SSO 70 tout cela 89 pas concerné 9

10 9/ Pensez-vous ou savez-vous si vous avez été victime d'une attaque avec fuite de données? Oui (I1) % Non (I2) % Ne sais pas (I3) % 10/ Quelle est l'activité de votre organisation? Public (J1) % Industrie (J2) % Banque - Assurance (J3) % Services - Distribution - Transport (J4) % Autre % Identifiant (ID) Réponse 33 energie 50 intégration 65 Presse 68 Sante 70 Educ/Recherche 7 10

11 11/ Dans votre Entreprise, qui est le gestionnaire d'une solution de PUM? Equipe Sécurité (KSQ001) % Equipe Réseau (KSQ002) % Equipe de Production (KSQ003) % Equipe Support (KSQ004) % Autre % Identifiant (ID) Réponse 86 Responsable SI 89 je ne sais pas 12/ Combien y a-t-il d adresses IP dans votre organisation? Moins de 100 (L1) % De 100 à 1000 (L2) % Plusieurs milliers (L3) % Plus de (L4) % 11

12 WALLIX ( est éditeur de solutions de sécurité informatique spécialisé dans la traçabilité et la sécurisation des accès au système d information des entreprises. WALLIX propose une gamme logicielle et matérielle qui permet de contrôler les risques liés aux accès internes et externes au réseau, aux serveurs ainsi qu aux applications des entreprises, de tracer les actions des utilisateurs à privilège avec le WAB, Wallix AdminBastion, L offre est distribuée à travers un réseau d intégrateurs et de revendeurs à valeur ajoutée en France, au Benelux, en Suisse, au Royaume Uni, en Afrique du Nord et au Moyen Orient. Elle s'adresse aux directeurs informatiques et aux responsables de la sécurité informatique qui ont besoin d'améliorer la gouvernance de la sécurité informatique de l entreprise, en conformité avec les réglementations en matière de gestion des risques informatiques dans les secteurs de la finance, l'industrie, la défense, la santé ou le secteur public. Implantée en France et en Angleterre, WALLIX est une entreprise innovante lauréat PM'UP de la Région Ile de France, labellisée OSEO Excellence, et membre du Pôle de compétitivité Systematic Paris-Région dont elle a récemment reçu le label "Champion du Pôle" et lauréate des Trophées "Computing Security Awards" à Londres en Elle est soutenue par les fonds d investissement Access2Net, Sopromec, Auriga Partners, TDH, la Holding personnelle de Monsieur Thierry Dassault, et le Fonds national pour la Société Numérique (FSN). Certifié CSPN WALLIX FRANCE (HQ) sales@wallix.com 118, rue de Tocqueville Paris Tél. : +33 (0) Fax : +33 (0) WALLIX UK ukinfo@wallix.com Lincoln House High Holborn London WC1V 7JH Phone: +44 (0) Fax: +44 (0) WALLIX RUSSIA & CIS wallix@status-it.com ЗАО «Статус Комплаи нс» , Россия, Москва, ул. Большая Семеновская, 45 Тел.: +7 (495) WALLIX ASIA PACIFIC (Bizsecure Asia Pacific Pte Ltd) contact@bizsecure-apac.com Tel: