ENQUETE SYMANTEC SUR LA PREPARATION DES PME AUX INCIDENTS (2011) Symantec 2011 Enquête sur la préparation des PME aux incidents.

Transcription

1 ENQUETE SYMANTEC SUR LA PREPARATION DES PME AUX INCIDENTS (2011) Symantec 2011 Enquête sur la préparation des PME aux incidents Résultats globaux

2 SOMMAIRE Introduction...3 Méthodologie...4 Conclusion 1 : Les PME ne sont pas préparées aux incidents...5 Conclusion 2 : Les PME sont exposées aux risques...6 Conclusion 3 : Les PME réagissent après coup...7 Conclusion 4 : L'absence de préparation peut avoir un impact financier négatif...8 Recommandations...9 2

3 INTRODUCTION Pour la deuxième année consécutive, l'enquête menée par Symantec sur la préparation des PME aux incidents révèle que ces entreprises négligent la préparation de leurs systèmes informatiques et de leurs réseaux. Les PME sont exposées et d'après l'enquête, la plupart ne commencent à prendre des mesures pour se prémunir des incidents qu'après avoir subi des pertes en raison d'un temps d'arrêt. Ce manque de préparation a des répercussions importantes sur leurs clients et leur activité. 3

4 MÉTHODOLOGIE Applied Research a réalisé une enquête téléphonique en novembre 2010, sur un échantillon composé de PME comptant de 5 à salariés et 552 clients de PME implantés dans 23 pays différents. Cette enquête portait sur plusieurs secteurs. Le niveau de confiance de l'enquête est de 95 % +/- 2,7 % pour les questions posées aux PME et +/- 4,2 % pour les questions posées aux clients de PME. 4

5 CONCLUSION 1 : En dépit des avertissements, la plupart des PME ne sont pas encore préparées à faire face un incident Les entreprises ont été interrogées sur leur état de préparation en cas d'interruption ou de panne touchant leurs ressources informatiques ou technologiques. Seules 50 % ont déclaré avoir déjà élaboré un plan. Un chiffre légèrement supérieur aux 47 % de l'année passée. 14 % ne disposent d'aucun plan et n'envisagent pas d'en créer un. Des différences ont été observées selon la taille de l'entreprise. 57 % des petites entreprises n'ont aucun plan, contre 47 % des entreprises moyennes. Parmi les personnes interrogées qui envisagent de mettre un plan en œuvre, 16 % indiquent vouloir le faire sous 30 jours, 34 % sous un à trois mois et 25 % sous trois à six mois. Même si seule la moitié des personnes interrogées a un plan, 81 % des participants sont plutôt/très satisfaits de leurs plans - formels ou non - pour faire face aux pannes ou interruptions et 84 % déclarent que leurs systèmes informatiques sont plutôt/totalement protégés. Quand on tente de découvrir la raison pour laquelle certaines entreprises n'ont aucun plan, plus de la moitié (52 %) répondent qu'elles ne considèrent pas les systèmes informatiques comme stratégiques pour leur activité. 41 % indiquent qu'elles n'ont jamais établi aucun plan et 40 % que la préparation en cas d'incident ne constitue pas une priorité. 5

6 CONCLUSION 2 : Les PME sont exposées aux risques Il est inquiétant de constater que nombre de PME n'ont aucun plan pour faire face à un éventuel incident et maintenir leurs systèmes informatiques en ligne, en particulier quand on sait que 65 % des PME sont implantées dans des régions qu'elles jugent vulnérables aux catastrophes naturelles. En réalité, les PME ont connu en moyenne 6 pannes au cours de l'année passée. Les cyberattaques, les pannes de courant, les erreurs des salariés et les mises à niveau figurent au premier rang des causes d'indisponibilité, chacun de ces événements s'étant produit en moyenne une fois par entreprise l'année passée. L'enquête révèle que les informations des PME ne sont pas protégées. Seule la moitié des entreprises interrogées déclare sauvegarder au moins 60 % de ses données et moins de la moitié effectue des sauvegardes hebdomadaires ou plus fréquentes. 23 % seulement réalisent des sauvegardes quotidiennes. En outre, les données clés ne sont pas toujours sauvegardées. Parmi les personnes interrogées, 31 % ne sauvegardent pas le courrier électronique, 21 % ne sauvegardent pas les données applicatives et 17 % ne sauvegardent pas les données clients. Les participants ont également déclaré qu'un incident provoquerait une perte d'informations. 44 % des PME indiquent qu'elles perdraient au moins 40 % de leurs donné es dans l'évent ualité d'un incide nt. 6

7 CONCLUSION 3 : Les PME réagissent après coup Parmi les PME qui disposent d'un plan de préparation en cas d'incident, la moitié (50 %) a mis le plan en œuvre suite à une panne ou une perte de données. 52 % ont élaboré leur plan au cours des six derniers mois. En revanche, seules 28 % ont véritablement testé leur plan de reprise après incident, une phase essentielle de la préparation en cas d'incident. Dans ce domaine aussi, des différences ont été observées selon la taille de l'entreprise. 36 % des petites entreprises disposant d'un plan de préparation en cas d'incident l'ont mis en œuvre au cours des six derniers mois, contre 58 % des entreprises moyennes. 7

8 CONCLUSION 4 : L'absence de préparation peut avoir un impact financier négatif Les incidents peuvent avoir un impact financier considérable sur les PME. Les coûts occasionnés par les temps d'arrêt s'élèvent en moyenne à $ par jour dans les PME : $ par jour dans les petites entreprises et $ par jour dans les moyennes entreprises. Les pannes ont également un impact considérable sur les clients des PME. Ceux-ci déclarent en effet que les pannes dans les entreprises leur coûtent $ par jour et 29 % indiquent avoir perdu "une partie" ou "un important volume" de données suite à un incident dans la PME d'un fournisseur. Les temps d'arrêt entraînent également une désaffection de la clientèle. En effet, 54 % des clients de PME interrogés disent avoir changé de fournisseur en raison du manque de fiabilité des systèmes informatiques, soit une augmentation de 12 % par rapport à l'enquête de l'année dernière. Pour la plupart des PME, un incident peut également être synonyme de fermeture. 44 % des clients de PME indiquent que certains de leurs fournisseur s ont dû fermer temporaire ment suite à un incident. 8

9 RECOMMANDATIONS DE SYMANTEC Ne pas attendre qu'il soit trop tard : Les PME ne doivent pas attendre qu'un incident survienne pour se demander comment protéger leurs données. Un temps d'arrêt peut non seulement avoir un lourd impact financier, mais aussi signifier la fin de l'entreprise. Les PME doivent sans attendre commencer à élaborer un plan de préparation en cas d'incident. Ce plan doit inclure l'identification des systèmes et données clés indispensables à la bonne marche de l'activité. En bref, identifiez vos ressources stratégiques. Protéger l'intégralité des informations : Pour réduire le risque de perte d'informations stratégiques, les PME doivent déployer les solutions de sauvegarde et de sécurité appropriées pour archiver les fichiers importants, comme les dossiers des clients et les informations financières, à long terme. Les catastrophes naturelles, vols et cyberattaques peuvent tous être à l'origine d'une perte financière et de données, c'est pourquoi les PME doivent veiller à sauvegarder les fichiers importants non seulement sur un disque dur externe et/ou le réseau de l'entreprise, mais aussi dans un emplacement hors site sécurisé. Impliquer les salariés : Les salariés des PME jouent un rôle stratégique pour aider à prévenir les temps d'arrêt. Il convient de les former aux pratiques d'excellence en matière de sécurité informatique et de leur apprendre comment réagir en cas de suppression accidentelle d'informations ou d'impossibilité d'accéder à leurs fichiers. Du fait que les PME disposent de ressources limitées, tous les salariés doivent savoir comment récupérer les informations de l'entreprise dans l'éventualité d'un incident. Réaliser des tests fréquents : La survenue d'un incident est le plus mauvais moment pour réaliser que les fichiers stratégiques n'ont pas été sauvegardés comme prévu. Un test régulier du plan de reprise après incident demeure crucial. Testez votre plan chaque fois qu'un changement intervient dans votre environnement. Passer le plan en revue : Si les ressources et la bande passante ne permettent pas de réaliser des tests fréquents, les 9

10 PME doivent au moins contrôler chaque trimestre leur plan de préparation en cas d'incident. 10