Une étude personnalisée de la série Technology Adoption Profile commandée par Bell Canada Juin 2014 Protéger l expérience client contre les attaques par déni de service distribué (attaques par DDOS) Introduction Nous sommes à une époque centrée sur le client, et dans ce contexte, la viabilité des entreprises repose sur leur capacité d offrir une expérience client uniforme de qualité sur l ensemble des points de contact. Les principales priorités des entreprises sont d ailleurs toutes orientées sur la mise en œuvre d une expérience client qui se distingue de celle des concurrents. Mais une menace importante plane sur l expérience client, les attaques par déni de service distribué (attaques par DDOS), des intrusions malveillantes conçues expressément pour saboter l expérience client en ligne. De telles attaques actives et agressives sur les systèmes clients sont une menace réelle pour l expérience client et la fidélité à la marque et, dans de nombreux cas, elles peuvent compromettre les perspectives d avenir de l entreprise. Pourtant, malgré les risques financiers substantiels liés aux attaques par DDOS, bon nombre d organisations n ont toujours pas recours aux technologies qui leur permettraient de se prémunir contre de telles attaques. Ces organisations s en remettent aux pare-feu et aux systèmes de détection d intrusion (SDI) installés sur leurs systèmes. Ainsi, de nombreuses organisations doivent investir et s informer davantage pour protéger leurs clients des interruptions de services résultant d attaques par DDOS, et s assurer de préserver leur confiance et leur loyauté. La présente étude commandée par Bell Canada a été réalisée auprès des décideurs canadiens qui comptent sur des systèmes clients en ligne pour générer des revenus. L étude porte sur le degré de connaissance et de préparation et sur les perceptions en matière d attaques par DDOS, et elle repose sur les données sur le marché de Forrester de même que sur un sondage exclusif mené dans ce même marché.
1 L expérience client se déroule sur plusieurs plateformes dans la nouvelle économie fondée sur les données L expérience client s étend désormais sur tous les points de contact : le client est maître du moment et du lieu de l interaction. Cette autonomie du client se traduit par des attentes de service élevées, uniques et uniformes. L accès des clients prend plusieurs formes, y compris l accès en ligne et sur appareils mobiles, et les attentes en matière de disponibilité et de convivialité augmentent en conséquence. Dans ce contexte : La satisfaction des clients repose sur la performance de vos systèmes informatiques. Plus les attentes des clients envers les plateformes numériques se font grandes, plus il devient important d offrir un accès partout, en tout temps et de la façon qui convient aux clients. Toute interruption de service aura une incidence négative sur l expérience client. Notre sondage mené auprès de 66 décideurs canadiens représentant tous les grands secteurs d activité qui comptent sur des systèmes clients en ligne pour générer des revenus a révélé que tout type d interruption a une incidence négative sur les objectifs prioritaires des organisations. Plus précisément, les deux tiers des répondants affirment qu une interruption de service prolongée des systèmes clients aurait une incidence importante sur la satisfaction de la clientèle (voir la figure 1). Plus de la moitié des répondants affirment qu une telle situation aurait une incidence importante sur la perception de la marque (56 %), sur la rétention des clients (55 %) et sur l acquisition de clients (52 %). L acquisition et la rétention des clients sont les grandes priorités aujourd hui Les clients veulent avoir un accès fiable aux produits et services d une entreprise sur plusieurs plateformes. Aujourd hui, les entreprises se font concurrence pour attirer et conserver les clients équipés des récentes technologies. La conquête de nouveaux clients est toujours plus dispendieuse que le maintien d un lien avec des clients existants. Les entreprises devraient avoir à l esprit les éléments suivants : Les clients commentent davantage leurs expériences d achat et ils profitent d une grande visibilité. Avec les réseaux sociaux, chaque client satisfait peut devenir un ambassadeur, et chaque client non satisfait est susceptible de faire une critique. L expérience client est un vecteur de la satisfaction des clients, une composante essentielle pour la rétention des clients et la croissance des revenus FIGURE 1 Les objectifs liés à l expérience client sont les plus touchés par les interruptions de service prolongées «Comment évaluez-vous l incidence d une interruption de service de vos systèmes clients qui se prolonge durant plus d une heure ou deux sur les objectifs organisationnels suivants?» Très important 1 Important 2 Satisfaction des clients 47 % 20 % 67 % Incidence sur la marque 23 % 33 % Rétention des clients 23 % 32 % Acquisition de clients 14 % 38 % Revenus à venir 24 % 26 % Revenus actuels 29 % 20 % 56 % 55 % 52 % 50 % 49 %
2 L expérience client doit être une priorité absolue. Selon notre sondage Forrsights auprès des décideurs, T 4 2012, les principales priorités des décideurs nordaméricains pour la prochaine année sont d acquérir et de retenir des clients, d augmenter les profits de l entreprise, de répondre aux attentes grandissantes des clients et d améliorer la satisfaction des clients (voir la figure 2). Ces objectifs sont directement liés à la possibilité pour les clients d accéder aux ressources de l entreprise en tout temps, et sur n importe quelle plateforme. Les attaques par DDOS doivent être au premier plan des préoccupations des décideurs en marketing et en technologie Traditionnellement, les responsables du marketing sont peu préoccupés par les problèmes technologiques. Ces problèmes relèvent plutôt du directeur des systèmes d information. Or, comme une grande part de l expérience client repose sur le bon fonctionnement de la technologie, c est non sans risque que les responsables du marketing ignorent ces aspects. Voilà pourquoi de plus en plus de responsables du marketing sont également les principaux intervenants en cas de problèmes technologiques ayant une incidence sur les clients. Les attaques par DDOS sabotent l expérience client. Ces attaques sont une menace non seulement pour la satisfaction des clients, mais également pour la fidélité à la marque et, dans de nombreux cas, elles peuvent compromettre les perspectives d avenir de l entreprise. Une attaque par DDOS réussie entraînera des pertes financières bien réelles découlant à la fois d une augmentation directe des coûts opérationnels et d une perte potentielle des revenus immédiats et des revenus projetés. Les dirigeants doivent comprendre les éléments suivants : Les attaques par DDOS sont lourdes de conséquences. Notre sondage mené auprès de 66 décideurs canadiens qui comptent sur des systèmes clients en ligne pour générer des revenus a révélé que les principales préoccupations reliées aux attaques par DDOS sont l atteinte à la réputation (30 %) et les pertes financières découlant d une détérioration des services (27 %) (voir la figure 3). Les répercussions des attaques par DDOS sont coûteuses. Selon notre sondage Forrsights sur la sécurité, T 2 2013, plus de 30 % des décideurs nord-américains en matière de sécurité informatique affirment que les attaques par DDOS ont entraîné des coûts de plus de 100 000 $ par incident relié aux communications en temps réel (voir la figure 4). Au Canada, cinq décideurs sur sept qui ont répondu au sondage font état d attaques par DDOS ayant entraîné des coûts entre 100 000 $ et 999 999 $. FIGURE 2 Les principales priorités des entreprises sont toutes reliées à l expérience client «Quelles initiatives parmi les suivantes sont susceptibles d être les priorités de votre organisation au cours des 12 prochains mois?» Priorité absolue Priorité élevée Acquisition et rétention de clients 51 % 33 % 84 % Croissance des revenus de l entreprise 47 % 40 % Réponse aux attentes grandissantes des clients et amélioration de la satisfaction Amélioration de la capacité d innover de l entreprise 21 % 42 % Croissance dans les marchés émergents 20 % 30 % Uniformité de la marque à l international 18 % 28 % Amélioration de la qualité des produits et des services 16 % 39 % Conformité à la réglementation et aux exigences gouvernementales 22 % 42 % 14 % 34 % 87 % 64 % 63 % 50 % 46 % 55 % 48 % Base : 153 décideurs en marketing nord-américains (réponses multiples acceptées) Source : sondage Forrsights auprès des décideurs, T 4 2012; Forrester Research, Inc.
3 FIGURE 3 Principales inquiétudes liées aux attaques par DDOS «Quelle est votre principale inquiétude liée aux attaques par DDOS?» Atteinte à la réputation 30 % Perte financière directe découlant d une panne ou d une détérioration des services 27 % Incidence sur les licences d utilisation d un logiciel 18 % Efficacité des employés 12 % Les attaques par DDOS ne sont pas une menace pour mon organisation 9 % Incidence sur Internet dans l organisation 3 % Ne sais pas 0 % (comme les chiffres sont arrondis, le pourcentage total peut ne pas être de 100 %) FIGURE 4 Estimation des coûts entraînés par des attaques par DDOS «À combien évaluez-vous le coût par incident de sécurité touchant les communications en temps réel?» 10 000 000 $ ou plus 1 % 1 000 000 $ à 9 999 999 $ 5 % 100 000 $ à 999 999 $ 25 % 10 000 $ à 99 999 $ 35 % 1 000 $ à 9 999 $ 20 % Moins de 1 000 $ 9 % Base : 114 décideurs en sécurité informatique nord-américains (les réponses «Ne sais pas» ont été exclues) Source : sondage Forrsights sur le matériel, T 2 2013; Forrester Research, Inc.
4 Les entreprises doivent investir davantage dans la lutte contre les attaques par DDOS pour préserver la confiance, l expérience et la loyauté des clients Les répondants à notre sondage reconnaissent l importance de la protection contre les attaques par DDOS. Pourtant, dans bon nombre de cas, ils adoptent une approche simple visant un seul type d attaque. Les attaques par DDOS prennent plusieurs formes. Il peut s agir d attaques visant à paralyser le réseau en saturant la bande passante d un trafic artificiel, d attaques visant à paralyser le protocole réseau en inondant les dispositifs de protections tels que les pare-feu, ou d attaques applicatives visant à mettre tout le système hors service en envoyant des requêtes malveillantes aux serveurs et aux systèmes d exploitation. Ainsi, l adoption d un seul angle de protection contre les attaques par DDOS, une défense contre les envois massifs par exemple, n est pas suffisante. La bonne approche consiste à se munir d une défense composite qui tient compte des trois types d attaques. Notre sondage a révélé les éléments suivants : Les entreprises doivent investir dans une protection adéquate contre les attaques par DDOS. Notre sondage a démontré que de nombreuses entreprises canadiennes investissent dans une protection contre les attaques par DDOS, mais que 26 % des entreprises ne disposent d aucune protection ou s en remettent aux pare-feu et aux SDI, qui sont inefficaces contre de telles attaques. Les mesures de protection contre les attaques par DDOS varient grandement chez les répondants. Plus de 60 % des répondants disposent d une forme de protection contre les attaques par DDOS, mais l architecture de défense et la compréhension des mesures varient grandement (voir la figure 5). Certains répondants utilisent à la fois des solutions installées sur leur système, des services d un fournisseur dans le nuage des services réseau (23 %); certains utilisent des solutions installées sur leurs systèmes et des services dans le nuage, mais aucun service dans le réseau (14 %); d autres n utilisent que des solutions installées sur leur système (12 %); et enfin d autres n utilisent que les services d un fournisseur dans le nuage (8 %). Les entreprises doivent être mieux informées sur la protection multicouche contre les attaques par DDOS. Plus du deux tiers des répondants considèrent qu ils ont au mieux une connaissance moyenne des avantages et des désavantages de la protection multicouche contre les attaques par DDOS (voir la figure 6). Ces entreprises devraient évaluer l incidence d une protection multicouche contre les attaques par DDOS sur la relation avec leurs clients qu ils ont mis tant d efforts à établir. Bon nombre d entreprises doivent investir davantage dans des mesures pour contrer les attaques par DDOS. Les attaques par DDOS sont plus fréquentes, et plusieurs approches peuvent être utilisées dans une même attaque. Comme les échanges commerciaux se font sur de nombreuses plateformes, y compris en ligne et sur des appareils mobiles, les entreprises doivent investir pour protéger toutes les plateformes d interaction avec les clients.
5 FIGURE 5 Plus de la moitié des répondants disposent d une forme de protection contre les attaques par DDOS, mais est-ce suffisant? «Actuellement, comment protégez-vous votre organisation des attaques par déni de service distribuées qui pourraient compromettre la disponibilité de vos systèmes clients en 2014-2015?» Achat d une technologie de protection pour le centre de données comme première protection, et service de protection par un fournisseur dans le nuage ou sur le réseau comme deuxième protection Achat d une technologie de protection pour le centre de données comme première protection, et service de nettoyage des données dans le nuage comme deuxième protection Achat d une technologie de protection pour le centre de données seulement Service de protection par un fournisseur dans le nuage ou sur le réseau seulement 8 % 12 % 14 % 23 % 63% Service de nettoyage des données dans le nuage seulement 6 % Aucune solution dédiée, nos pare-feu et nos solutions de protection contre les intrusions font parfaitement l affaire 26% Ne sais pas 12 % (comme les chiffres sont arrondis, le pourcentage total peut ne pas être de 100 %) FIGURE 6 La protection multicouche contre les attaques par DDOS demeure mal connue «Quel est votre degré de connaissance des avantages et des désavantages liés à l utilisation de différentes couches de protection pour se prémunir contre différents types d attaques par déni de service distribué (protection multicouche)?» Excellente connaissance 1 12 % Bonne connaissance 2 20 % Connaissance moyenne 3 33 % Faible connaissance 4 32 % Aucune connaissance 5 3 %
6 Méthodologie Ce Technology Adoption Profile a été commandé par Bell Canada. Pour créer ce document, Forrester s est appuyé sur son sondage Forrsights sur la sécurité, T 2 2013, et son sondage Forrsights auprès des décideurs, T 4 2012. Forrester Consulting a ajouté à ces données des questions de sondage personnalisées posées à 66 décideurs canadiens qui comptent sur des systèmes clients en ligne pour générer des revenus. Parmi les répondants, on retrouvait des décideurs du domaine des ventes, du marketing et de l informatique dans des entreprises comptant plus de 100 employés, partout au Canada. Les répondants se sont décrits comme ayant un rôle décisionnel important concernant les systèmes clients pour générer des revenus ou travaillant avec ces systèmes sur une base quotidienne. Le sondage auxiliaire a été réalisé en mars 2014. Pour plus de renseignements sur l échantillon de données et les services de consultation en industrie des technologies, visitez le site www.forrester.com. À PROPOS DE FORRESTER CONSULTING Forrester Consulting offre des services-conseils indépendants et objectifs basés sur la recherche pour favoriser la réussite des dirigeants et des organisations. Les services-conseils de Forrester Consulting, dont la portée varie de courtes séances d élaboration de stratégies à des projets personnalisés, vous mettent directement en contact avec des analystes de recherche qui vous font profiter de leur expertise pour relever les défis particuliers de votre entreprise. Pour plus de renseignements, visitez le site www.forrester.com/consulting. Forrester Research, Inc., 2014. Tous droits réservés. Toute reproduction non autorisée est strictement interdite. Les informations se fondent sur les meilleures ressources disponibles. Les opinions présentées reflètent le jugement des auteurs au moment de la rédaction et sont sous réserve de modifications. Forrester, Technographics, Forrester Wave, RoleView, TechRadar et Total Economic Impact sont des marques de commerce de Forrester Research, Inc. Toutes les autres marques de commerce sont la propriété des entreprises qui les détiennent. Pour de plus amples renseignements, consultez le site www.forrester.com. 1-M1IP85