La différence de traitement entre la sécurité des identités humaines et machines accroît les risques
Alors que le nombre d’identités humaines et de machines connaît une rapide augmentation, l’étude menée par CyberArk révèle que les professionnels de la sécurité considèrent les machines comme le type d’identité qui affiche le plus haut niveau de risque. Que ce soit en raison de l’adoption à grande échelle de stratégies multiclouds ou de l’utilisation croissante de programmes assistés par l’IA tels que les grands modèles de langage (LLM), d’importantes quantités d’identités voient actuellement le jour, dont un grand nombre nécessitent un accès sensible ou à privilèges. Mais contrairement à la façon dont est géré l’accès des utilisateurs humains aux données confidentielles, les identités machines manquent souvent de contrôles de sécurité, ce qui en fait un vecteur de menace répandu et puissant qui ne demande qu’à être exploité.

• L’année dernière, 93 % des entreprises ont subi au moins deux compromissions d’identité.
• Première cause de la prolifération des identités, les machines sont considérées par les personnes interrogées comme le type d’identité qui présente le niveau de risque le plus élevé.
• 47 % des entreprises de l’Hexagone sont convaincues que le nombre d’identités créées va tripler au cours des 12 prochains mois (moyenne : x 2,4).
• 55 % des entreprises françaises définissent un utilisateur à privilèges comme « uniquement humain » (61 % au niveau mondial). Seulement 43 % des entreprises accordent un accès sensible à la totalité de leurs identités humaines et machines (utilisateurs à privilèges), contre 38 % pour le reste du monde.
• Au cours des 12 prochains mois, 70 % des entreprises françaises feront appel à trois fournisseurs de services cloud (CSP), voire davantage.

Généraliser l’utilisation de l’IA pour lutter contre l’IA et la complaisance
Dans le droit fil de notre rapport 2023, l’étude 2024 sur le paysage des menaces révèle que la quasi-totalité (99 %) des entreprises utilise l’intelligence artificielle dans des initiatives de défense et de cybersécurité. En outre, ce nouveau rapport prévoit une hausse du volume et du niveau de sophistication des attaques liées à l’identité. En effet, les acteurs malveillants, qualifiés ou non, perfectionnent eux aussi leurs capacités en faisant appel à des logiciels malveillants et à l’hameçonnage assistés par l’IA. Parallèlement, et contre toute attente, la majorité des personnes interrogées sont convaincues que les « deepfakes » qui ciblent leur entreprise ne tromperont pas les employés.

• 99 % des entreprises françaises et mondiales ont adopté des outils assistés par l’IA dans le cadre de leurs initiatives de cyberdéfense.
• 95 % des personnes interrogées représentant des entreprises françaises pensent que les outils assistés par l’IA vont créer un cyberrisque pour leur entreprise au cours de l’année à venir.
• Plus de 70 % des personnes interrogées sont convaincues que leurs employés sont capables d’identifier les « deepfakes » imitant des dirigeants de leur entreprise.
• Neuf entreprises sur dix ont été victimes d’une compromission d’identité couronnée de succès suite à une attaque par hameçonnage classiques ou par téléphone (« vishing »).

« Les initiatives numériques qui ont pour objectif d’aider les entreprises à se développer créent inévitablement une pléthore d’identités humaines et machines, dont beaucoup disposent d’un accès sensible et qui doivent toutes être associées à des contrôles de sécurité afin d’empêcher la compromission des identités, observe Matt Cohen, CEO de CyberArk. Ce nouveau rapport souligne que cette compromission des identités a touché la plupart des entreprises — souvent à plusieurs reprises — et démontre que les solutions traditionnelles et cloisonnées sont inefficaces face aux problèmes actuels. Pour garder une longueur d’avance, les entreprises doivent changer d’approche et accroître leur résilience en s’appuyant sur un nouveau modèle de cybersécurité centré sur la protection des identités. »

À propos du rapport
Le rapport CyberArk 2024 Identity Security Threat Landscape présente les résultats d’une étude réalisée à l’échelle mondiale auprès d’entreprises des secteurs privés et publics comptant plus de 500 employés. Elle a été menée par le cabinet Vanson Bourne auprès de 2 400 décideurs du domaine de la cybersécurité qui exercent leur activité en Allemagne, en Australie, au Brésil, au Canada, aux Émirats arabes unis, en Espagne, aux États-Unis, en France, en Inde, en Israël, en Italie, au Japon, au Mexique, aux Pays-Bas, au Royaume-Uni, à Singapour et à Taïwan.