Résumé exécutif

Notre rapport sur la confidentialité et la conformité des communications de contenu sensible offre aux responsables IT, cybersécurité, risques et conformité des données issues de leurs pairs. L’objectif : vous aider à garantir la protection du contenu sensible que vous envoyez et partagez via différents canaux de communication, tels que la messagerie électronique, le partage sécurisé de fichiers, le transfert sécurisé de fichiers, SFTP et les formulaires web. Vous vous assurez ainsi que vos échanges et partages de données sensibles respectent les réglementations en matière de protection des données personnelles et que vos systèmes de communication répondent aux normes et validations de sécurité les plus strictes.

L’enquête de cette année, menée par Centiment entre février et mars 2024, comportait 33 questions couvrant divers sujets liés à la sécurité des données, à la confidentialité et à la conformité. Certaines questions étaient des « retours en arrière » — reprises des enquêtes réalisées lors d’une ou des deux années précédentes — tandis que d’autres ont été ajoutées pour mieux cerner les nouvelles tendances. Au total, 572 responsables IT, cybersécurité, risques et conformité d’Amérique du Nord, d’Europe, du Moyen-Orient, d’Afrique (EMEA) et de la région Asie-Pacifique ont répondu à l’enquête.

Voici quelques-unes des questions que nous avons posées pour identifier les tendances et faciliter l’analyse :

• Comment le nombre d’outils de communication influe sur la gestion des risques
• L’impact persistant des violations de données sur les coûts de contentieux
• Quels types de données présentent le plus de risques et pourquoi
• Comment la conformité réglementaire et les normes de sécurité favorisent une meilleure protection des données en instaurant des standards de sécurité de base et des réglementations sur la confidentialité des données plus strictes
• Comment les fonctions de sécurité avancées des outils de communication permettent de réduire les risques
• Pourquoi et comment les approches obsolètes ou inadaptées des communications de contenu sensible génèrent des inefficacités et augmentent les risques liés à la confidentialité et à la conformité

Introduction

Bienvenue à la troisième édition annuelle du Rapport Kiteworks sur les communications de contenu sensible ! Nous réalisons ici une enquête approfondie sur la façon dont les organisations protègent la confidentialité et la sécurité de leurs contenus sensibles et respectent les réglementations en matière de protection des données personnelles et les normes de sécurité.

Nous utilisons le terme « contenu sensible » pour désigner une grande variété de types de contenus ciblés par des acteurs malveillants — et qui représentent un risque majeur pour une organisation légitime si ces acteurs mettent la main dessus. C’est ce qui est compromis lorsque les gros titres évoquent une « violation de données ». Le contenu sensible comprend les données des clients et des employés — informations personnelles identifiables (PII), informations médicales protégées (PHI) et données du secteur des cartes de paiement (PCI). Il englobe aussi la propriété intellectuelle (IP) de l’organisation, les communications et documents juridiques, les données financières, les informations relatives aux fusions-acquisitions et d’autres types d’informations privées et confidentielles.

Risques de sécurité

D’un point de vue sécurité, la difficulté avec le contenu sensible, c’est qu’il ne reste pas à un seul endroit. Au quotidien, il circule entre les collaborateurs, mais aussi entre eux et des partenaires, fournisseurs, sous-traitants, avocats, experts-comptables, auditeurs, etc. Pour avancer, une organisation doit faire circuler ces informations sans friction entre elle et des milliers de tiers. Comme nous allons le voir, cela se fait via de multiples canaux de communication.

Par conséquent, les organisations doivent protéger leur contenu — non seulement là où il est stocké, mais aussi lorsqu’il transite par différents canaux de communication vers des tiers. Malheureusement, ces dernières années, les cybercriminels ont découvert des vulnérabilités dans la supply chain logicielle qui leur donnent accès à des centaines, voire des milliers d’organisations et à des millions de fichiers sensibles. Le Data Breach Investigations Report (DBIR) de Verizon de cette année confirme cette tendance, révélant une augmentation de 180 % d’une année sur l’autre des exploitations de vulnérabilités logicielles et montrant que les violations de données liées à la supply chain logicielle ont bondi de 68 % sur un an — représentant 15 % de toutes les violations de données.¹ Les attaques de ransomware Clop de l’an dernier contre MOVEit de Progress Software² et GoAnywhere de Forta³, deux solutions de transfert sécurisé de fichiers (MFT), illustrent bien ce risque.

Risques liés à l’IA

En plus de la protection des canaux de communication de contenu, les entreprises et organismes publics font face à une priorité de plus en plus urgente depuis 18 mois. Avec l’essor fulgurant de l’intelligence artificielle (IA), tant sur le plan technique que dans l’usage courant, il devient crucial de garder les contenus sensibles hors des grands modèles de langage publics (LLMs), désormais utilisés couramment par leurs collaborateurs et partenaires.

Selon Gartner, les trois principaux sujets d’inquiétude liés aux risques des LLMs de GenAI concernent l’accès aux données sensibles par des tiers (près de la moitié des responsables cybersécurité), les violations de données et d’applications GenAI (40 % des répondants), et la prise de décision erronée (plus d’un tiers).⁴ Les risques liés au fait que des employés saisissent des données sensibles dans des outils GenAI sont bien réels. Près d’un tiers des employés interrogés fin 2023 ont reconnu avoir placé des données sensibles dans des outils publics de GenAI. Sans surprise, 39 % des répondants à la même étude citent la fuite potentielle de données sensibles comme le principal risque de l’utilisation de ces outils publics par leur organisation.⁵

En parallèle, la démocratisation de l’IA a aussi permis à des cybercriminels moins aguerris de lancer des attaques toujours plus complexes.⁶ Cela renforce l’impression d’une véritable « course à l’armement » entre acteurs étatiques, cybercriminels et organisations légitimes — avec des conséquences qui pourraient s’avérer existentielles.

Risques de conformité

À moins que votre entreprise n’opère dans une seule juridiction, la difficulté de la conformité réglementaire en matière de protection des données personnelles réside dans la mosaïque d’exigences selon les zones géographiques — ce qui complexifie et renchérit la conformité, ainsi que sa documentation. L’essor de nouvelles réglementations et l’évolution des textes existants ont poussé 93 % des organisations à repenser leur stratégie cybersécurité l’an dernier.⁷ Le Règlement Général sur la Protection des Données (RGPD) de l’Union européenne, entré en vigueur en 2018, a unifié les 27 États membres autour d’un même standard de protection des données personnelles.

Ailleurs dans le monde, la situation est plus complexe. Selon l’ONU, 137 des 194 pays disposent désormais de lois sur la protection des données personnelles — avec des différences majeures selon les pays.⁸ Aux États-Unis, la législation fédérale la plus stricte est le Health Insurance Portability and Accountability Act (HIPAA) — qui ne couvre que les PHI, mais pas les PII. Faute de consensus au Congrès sur un standard national, chaque État a pris l’initiative, à commencer par la California Consumer Privacy Act (CCPA) en 2018. Depuis, 17 autres États ont adopté des lois sur la protection des données personnelles, et 10 autres sont en cours d’examen.⁹ Si cela permet de mieux protéger les citoyens et résidents américains, cela accentue la complexité pour les entreprises qui doivent s’y conformer.

Les différents organismes chargés de ces réglementations continuent de mettre la pression sur les organisations pour qu’elles soient conformes. Les amendes et sanctions pour non-conformité au RGPD ont atteint 2,269 milliards de dollars (2,1 milliards d’euros) en 2023 — soit plus que le total cumulé de 2019, 2020 et 2021.¹⁰ Le montant moyen par sanction explose également : 4,75 millions de dollars (4,4 millions d’euros) par infraction l’an dernier, contre 540 000 dollars (500 000 euros) en 2019. Les sanctions liées à HIPAA sont tout aussi impressionnantes, atteignant 4,176 milliards de dollars l’an dernier.¹¹

Outre la réglementation sur la protection des données personnelles, les standards et règles de cybersécurité sont devenus une priorité pour les gouvernements et organismes de contrôle. Parmi les grandes nouveautés de l’année écoulée figurent les règles de gestion des risques cybersécurité et de déclaration d’incidents de la SEC pour les sociétés cotées, le Cyber Incident Reporting for Critical Infrastructure Act (CIRCIA), le Cyber Resilience Act (CRA) et le Digital Operational Resilience Act (DORA) en Europe, ou encore le Cybersecurity Framework (CSF) 2.0 du National Institute of Standards & Technology (NIST), entre autres.

Risques humains

Le facteur humain reste un problème majeur pour la sécurité et la conformité des données, à l’origine de nombreuses violations de données sensibles. Le DBIR indique que les utilisateurs finaux sont responsables de 68 % des erreurs menant à une fuite.¹² Cela se manifeste de plusieurs façons : envoi d’informations sensibles à de mauvais destinataires, absence de sécurisation des données, ou encore victimes d’attaques d’ingénierie sociale comme la compromission de messagerie professionnelle ou le phishing. Le manque de visibilité et de gouvernance sur les communications de contenu sensible est un facteur clé, tout comme l’insuffisance des infrastructures et contrôles de sécurité.

Méthodologie de l’étude

Le Rapport Kiteworks sur les communications de contenu sensible de cette année repose sur une enquête menée auprès de 572 professionnels de l’IT, de la cybersécurité et de la gestion des risques et de la conformité, dans des organisations de plus de 1 000 salariés. Notre analyse s’appuie sur les retours de l’ensemble des répondants, les compare avec les résultats des enquêtes 2023 et 2022, et croise les données selon différents critères démographiques.

Un panel diversifié de répondants

Les répondants proviennent de huit pays à travers le monde, avec une représentation en Amérique du Nord (34 %), Asie-Pacifique (18 %) et Europe-Moyen-Orient-Afrique (48 %) (voir figures 1 et 2). Ils représentent des entreprises de tailles variées, 54 % ayant entre 1 000 et 10 000 salariés, 46 % au-delà (figure 3).

Le panel couvre de nombreux secteurs, avec une forte représentation pour la sécurité et la défense (15 %), l’industrie (12 %), la santé (12 %) et les services financiers (12 %) (figure 4). Plus de 22 % travaillent dans le secteur public ou l’éducation, un quart dans la finance, le juridique et les métiers du conseil, et 10 % dans l’énergie.

En termes de fonctions, l’échantillon regroupe des professionnels à différents niveaux hiérarchiques : 31 % occupent des postes de direction et 69 % des postes de management intermédiaire (figure 5). Ils se répartissent entre les fonctions risques et conformité (26 %), IT (42 %) et sécurité (31 %).

Types de données et classification

Tendance : Impossible de suivre et de contrôler tous leurs échanges de données

La croissance déjà exponentielle des données s’est encore accélérée au cours des 18 derniers mois avec l’adoption des grands modèles de langage (LLMs) de GenAI. Dès qu’un contenu quitte une application comme la messagerie électronique, le partage de fichiers, SFTP, le transfert sécurisé de fichiers ou les formulaires web, il est essentiel que les organisations puissent suivre et contrôler l’accès à ce contenu.

Les organisations doivent comprendre les types de données qu’elles possèdent, leur emplacement, ainsi que leurs destinations et modes de partage. Pour identifier les données non structurées à contrôler, il faut mettre en place un système de classification. Lorsqu’on leur demande quelle part de leurs données non structurées est étiquetée ou classifiée, moins de la moitié des répondants (48 %) déclarent que c’est le cas pour 75 % ou plus de leurs données (voir Figure 14). Par secteur, 65 % y parviennent dans la santé, 56 % dans les services financiers et 55 % dans le secteur juridique (voir Figure 15).

Cela dit, les organisations estiment que toutes les données non structurées n’ont pas besoin d’être étiquetées et classifiées. 40 % des organisations affirment que 60 % ou plus de leurs données non structurées doivent l’être. Plus l’organisation est grande, plus la part de données non structurées à étiqueter et classifier augmente. Par exemple, parmi celles qui comptent plus de 30 001 employés : 15 % indiquent que toutes leurs données doivent être étiquetées et classifiées, et 20 % supplémentaires estiment que plus de 80 % doivent l’être (voir Figure 16). Selon la région, davantage de répondants nord-américains jugent cette étape indispensable : 10 % déclarent que toutes les données non structurées doivent être étiquetées et classifiées, et 16 % évoquent 80 % ou plus (voir Figure 17). Les répondants du gouvernement fédéral sont les plus nombreux à estimer que toutes les données doivent être étiquetées et classifiées (24 %), 17 % supplémentaires évoquant 80 % ou plus (voir Figure 18).

Évaluer les risques liés aux types de données

Comme indiqué plus haut, le contenu sensible prend différentes formes au sein des organisations. Toutes n’impliquent pas le même niveau de risque de violation de données. Selon l’étude annuelle d’IBM sur le coût des violations de données, les informations personnelles identifiables (PII) sont les plus coûteuses et les plus fréquemment compromises. Les PII ont également été le type de données le plus touché en 2023, représentant 52 % de toutes les violations, une tendance déjà observée les deux années précédentes.¹⁵ Les résultats d’IBM concordent avec ceux du dernier DBIR, où 50 % des violations de données concernaient des PII.

Si l’on compare ces données avec les réponses de notre enquête, on constate des écarts. Par exemple, d’après les études d’IBM et de Verizon, on pourrait penser que les répondants citeraient les PII comme leur principale préoccupation. Ce n’est pourtant pas le cas. Ils placent en tête les documents financiers (55 %), la propriété intellectuelle (44 %) et les communications juridiques (44 %) (voir Figure 19).

Notre analyse croisée des informations médicales protégées (PHI) confirme en partie les données d’IBM et de Verizon : ceux qui considèrent les PHI comme l’un de leurs trois principaux sujets de préoccupation subissent un taux plus élevé de violations de données malveillantes que ceux qui privilégient d’autres types de données. Par exemple, 43 % de ceux qui placent les PHI dans leur top 3 déclarent avoir subi plus de sept violations de données (contre 32 % pour l’ensemble des répondants ayant signalé sept violations ou plus) (voir Figure 20). Le deuxième type de données le plus touché par les violations est la propriété intellectuelle (35 % déclarent avoir subi sept violations ou plus).

Fait marquant, la moitié des répondants nord-américains classent les LLMs de GenAI parmi leurs trois principales préoccupations, juste derrière les documents financiers (voir Figure 21). Par secteur, les LLMs préoccupent particulièrement l’énergie et les services publics (62 %), la pharmacie (61 %), le gouvernement fédéral (61 %) et les États (58 %), ainsi que les cabinets juridiques (58 %).

Le niveau de risque associé à chaque type de données varie fortement selon les secteurs :

• Les LLMs de GenAI sont le plus souvent cités par les entreprises de l’énergie et des services publics, ainsi que par celles de la sécurité et de la défense (50 %).
• Les PII sont citées en priorité par l’enseignement supérieur (50 %).
• Les PHI sont citées en priorité par le secteur de la santé (58 %).
• Le CUI et le FCI sont le plus souvent cités par les industriels (79 %).
• Les communications juridiques sont le plus souvent citées par les entreprises pétrolières et gazières (62 %) et les agences gouvernementales fédérales (61 %).
• Les détails de fusions-acquisitions sont principalement identifiés par les entreprises pharmaceutiques et des sciences de la vie (40 %).

Cybersécurité et gestion des risques

Tendance : Protéger les communications de contenu sensible reste un défi majeur

Pour l’équipe de sécurité, le contenu sensible est au cœur de ce qu’il faut protéger dans les systèmes informatiques de l’entreprise. En 2024, les répondants à notre enquête sont bien moins nombreux à estimer qu’aucune amélioration n’est nécessaire dans la gestion de la sécurité du contenu, comparé à ceux de 2023 (Figure 40). Seuls 11 % partagent cet avis cette année, mais la part de ceux qui jugent qu’une amélioration significative est nécessaire a également diminué. Plus de la moitié (56 %) considèrent qu’une amélioration reste à apporter. On peut donc se réjouir que les organisations progressent, tout en prenant davantage conscience de la nécessité de continuer à s’améliorer.

Mais ces pourcentages varient selon les groupes. 30 % ou plus des répondants en Arabie saoudite, aux Émirats arabes unis, en Amérique du Nord et en Asie-Pacifique estiment qu’il faut des améliorations significatives (Figure 41). Même constat dans les services professionnels (47 %), les services financiers (43 %), le secteur pétrolier et gazier (42 %), l’administration fédérale (41 %), l’industrie manufacturière (36 %) et la santé (34 %) (Figures 42 et 43).

Progresser vers le Zero Trust

Le Zero Trust s’impose dans les organisations, avec une adoption et une intégration marquées à tous les niveaux de la sécurité. Au niveau réseau, les principes Zero Trust s’appliquent via la microsegmentation et des contrôles d’accès stricts pour limiter les déplacements latéraux des menaces. La sécurité des endpoints repose sur le déploiement de solutions avancées de protection contre les menaces et de détection et réponse sur les endpoints (EDR), afin que tous les appareils accédant au réseau soient authentifiés et surveillés en continu. Pour la gestion des identités et des accès, l’authentification multifactorielle (MFA) et la gestion des accès à privilèges (PAM) sont essentielles pour garantir un contrôle strict et une vérification continue des accès utilisateurs. Au niveau du contenu, les organisations mettent en place le chiffrement des données et une surveillance en temps réel pour sécuriser les informations sensibles. Malgré la priorité donnée au Zero Trust, près de la moitié (48 %) déclarent rencontrer des difficultés à l’intégrer à la fois sur site et dans le cloud.¹⁹

Dans ce rapport, notre attention porte naturellement sur la sécurité du contenu (Figure 44). Premier constat : 45 % des entreprises n’ont pas encore atteint le Zero Trust pour la sécurité du contenu. Deuxième point, certaines zones géographiques affichent des résultats encore plus faibles. Seuls 35 % des répondants britanniques atteignent ce niveau, contre 39 % au Moyen-Orient et en Asie-Pacifique (Figure 45). Côté secteurs, l’administration d’État (21 %), le pétrole et gaz (33 %) et la pharmacie/biotechnologies (39 %) accusent un retard sur la protection Zero Trust du contenu (Figure 46).

Renforcer la sécurité pour protéger le contenu sensible

Parmi les organisations qui reconnaissent ne pas utiliser de fonctions de sécurité avancées pour les communications de contenu sensible, une proportion bien plus élevée (36 %) déclare ignorer combien de violations de données les ont touchées, contre seulement 8 % pour celles qui utilisent ces fonctions pour tout ou partie de leurs communications (Figure 47). Ce constat révèle un écart de risque important. Tous secteurs confondus, les plus grandes difficultés concernent le secteur juridique (55 % les utilisent partiellement ou pas du tout), les collectivités locales (50 %), l’administration fédérale (48 %) et la santé (44 %), contre 41 % pour l’ensemble du panel mondial. Les meilleurs résultats sont enregistrés dans les services professionnels (71 % les utilisent pour toutes leurs communications), l’administration d’État (71 %) et l’enseignement supérieur (65 %) (Figure 48).

Traçabilité, classification et contrôle des accès au contenu sensible

Lorsque le contenu quitte une application comme la messagerie, le partage sécurisé de fichiers, la SFTP, le transfert sécurisé de fichiers ou les formulaires web, il est essentiel que les organisations puissent tracer et contrôler l’accès à ce contenu. Seuls 16 % des répondants y parviennent systématiquement, tandis que 45 % y arrivent environ trois fois sur quatre (Figure 49). Ce taux grimpe à 70 % en Amérique du Nord, 79 % dans l’industrie manufacturière et 73 % dans la santé (Figures 50 et 51). À l’inverse, l’enseignement supérieur (31 %) et le secteur pétrolier et gazier (34 %) affichent de moins bons résultats.

Pour identifier quelles données non structurées doivent être contrôlées, il faut disposer d’un système de classification. À la question de savoir quelle part de leurs données non structurées est étiquetée ou classifiée, moins de la moitié des répondants (48 %) affirment que c’est le cas pour 75 % ou plus de leurs données (Figure 14). La situation est un peu meilleure en Amérique du Nord, où 56 % atteignent ce niveau (Figure 52). Par secteur, la santé affiche 65 %, les services financiers 56 % et le juridique 55 % (Figure 53).

Utilisation des outils de sécurité pour le contenu sensible

Toutes les entreprises disposent de plusieurs outils de sécurité qu’elles déploient sur leurs réseaux, endpoints et applications cloud. Mais les utilisent-elles pour protéger les communications internes et externes de contenu sensible ? C’est une autre question.

Interrogés sur l’utilisation de fonctions telles que l’authentification multifactorielle, le chiffrement et la traçabilité/gouvernance pour ces communications, les résultats sont contrastés (Figure 54). Près de six sur dix (59 %) déclarent que ces protections sont systématiquement en place pour les communications externes de contenu sensible. Presque tous les autres disent qu’elles le sont parfois. Les répondants nord-américains affichent la posture de sécurité la plus élevée, avec 67 % qui le font tout le temps, contre 57 % en Asie-Pacifique et 53 % en EMEA.

La maturité dans la mesure et la gestion de la sécurité des communications de contenu sensible reste un axe clé pour les organisations : seuls 11 % estiment qu’aucune amélioration n’est nécessaire, contre 26 % lors de l’enquête de l’an dernier (Figure 55). Cette année, une plus grande part d’organisations juge qu’une amélioration est nécessaire (56 %, contre 37 % l’an dernier).

Si les chiffres sont identiques pour l’ensemble du panel, l’analyse par groupe révèle des différences intéressantes. Pour les communications internes, 71 % de l’administration d’État et des services professionnels déclarent utiliser systématiquement ces outils (Figure 56). Deux tiers (67 %) des répondants nord-américains font de même, contre seulement 53 % en EMEA (mais 63 % au Royaume-Uni) (Figure 57). Fait notable, les cabinets juridiques (45 %) sont les moins performants en interne. Pour les communications externes, la pharmacie/biotechnologies (78 %) et l’enseignement supérieur (72 %) sont en tête, tout comme les organisations nord-américaines (69 %) (Figure 56).

Conclusion

Les résultats du rapport annuel sur la confidentialité et la conformité des communications de contenu sensible soulignent l’importance pour les organisations d’adopter une démarche proactive pour protéger leurs contenus sensibles. L’un des principaux enseignements est la nécessité de regrouper les outils de communication sur une seule plateforme. En réduisant le nombre d’outils distincts utilisés pour la communication de contenu, les organisations diminuent considérablement le risque de violations de données et gagnent en efficacité opérationnelle. Les organisations qui utilisent moins d’outils de communication subissent moins de violations, ce qui montre un lien direct entre la consolidation des outils et le renforcement de la sécurité.

Le rapport met également en avant les risques majeurs liés aux données non étiquetées et non classifiées. Les organisations qui n’instaurent pas de systèmes robustes de classification et d’étiquetage des données s’exposent à davantage de violations, car elles manquent de visibilité et de contrôle sur leurs contenus sensibles. L’augmentation exponentielle du volume de données, accélérée par l’adoption de GenAI, impose aux organisations de faire de la classification des données une priorité pour limiter efficacement ces risques.

L’application des principes du zéro trust et de fonctions de sécurité avancées s’avère essentielle pour renforcer la sécurité des communications de contenu sensible. Les résultats du rapport révèlent d’importantes failles de sécurité et la nécessité d’un zéro trust défini par le contenu, intégrant des contrôles d’accès basés sur les attributs, le chiffrement, la surveillance en temps réel et la prévention des pertes de données. Nos analyses montrent que certains secteurs d’activité, régions et pays présentent des écarts plus importants que d’autres.

Les données mettent également en évidence les risques importants liés aux échanges de contenu sensible avec des tiers : plus les répondants envoient et partagent de contenu sensible avec des tiers, plus ils subissent de violations de données et supportent des coûts de contentieux élevés. Les organisations doivent donc garantir un suivi et des contrôles de gouvernance rigoureux, ainsi que des fonctions de sécurité avancées pour limiter les risques liés aux tiers.

Enfin, il convient de souligner le coût des violations de données, notamment en matière de contentieux. L’enquête de cette année révèle que de nombreuses organisations supportent des frais juridiques importants, souvent absents des estimations traditionnelles du coût d’une violation. L’atteinte à la réputation, la perte de chiffre d’affaires et la perturbation des activités ne représentent qu’une partie des conséquences. Les amendes et sanctions pour non-conformité ainsi que les frais de contentieux sur la durée ont souvent un impact prolongé. Cela rappelle l’importance de choisir des outils de communication de contenu sensible conformes à des standards de sécurité tels que FedRAMP, ISO 27001, SOC 2 Type II, NIST CSF 2.0, entre autres.