Le CLUSIF publie les résultats de son étude consacrée aux menaces et pratiques de sécurité en France. L’association s’appuie pour cela notamment sur un panel de 351 entreprises de plus de deux cent salariés.

L’étude dévoile une SSI française bonne élève mais encore trop matérialiste. Celle-ci semble à la fois consciente des risques et mieux organisée tout en étant encore parfois soumise à de vieilles (mauvaises) habitudes tel cet indécrottable attrait pour l’empilement de solutions techniques au détriment de l’organisation, de la sensibilisation des utilisateurs ou de la classification des données.

Premier enseignement, positif celui-ci : la sécurité fait désormais partie du paysage. La totalité des entreprises interrogées disposent en effet au moins d’une équipe SSI dédiée, ce qui n’était pas encore le cas lors de l’étude précédente en 2010 (seulement 45%).

Des RSSI plus nombreux… mais plus éloignés de la DG

Ensuite la fonction RSSI se généralise : 54% des entreprises sont dotées d’un RSSI, contre seulement 37% en 2008 et 49% en 2010. En revanche, le RSSI reste toujours majoritairement rattaché à la DSI (47%) et s’éloigne de fait progressivement de la Direction Générale. En 2008 encore 45% des RSSI répondaient à leur Direction Générale, tandis qu’ils ne sont plus que 32% en 2012. Cet éloignement s’explique en partie par « les arrivées plus nombreuses de RSSI au sein d’entreprises de tailles moyennes ayant un niveau de maturité en Sécurité des SI encore faible » (dixit l’étude). Et peut-être également, à l’autre bout du spectre pour les plus mûres d’entre elles, par l’apparition de Direction Sécurité globales auxquelles se rattache naturellement le RSSI (une extrapolation qui n’engage que nous et non les auteurs de l’étude).