La bonne nouvelle d’abord : selon l’étude « The Global State of Information Security » de PWC (7097 correspondants interrogés), les problématiques de sécurité et de respect de la vie privée demeurent critiques pour les entreprises, en dépit d’un contexte peu stable, que l’étude décrit d’ailleurs comme « volatile ».

La déception ensuite : l’édition 2007 de cette même étude notait une croissance de 17 à 20 points dans le nombre d’entreprises ayant engagé un RSSI et mis en oeuvre une politique de gestion de la sécurité. Pour 2008, les consultants de PWC étaient donc curieux de découvrir comment les entreprises, fortes de ce gain organisationnel, allaient attribuer leurs budgets. Il semble hélas qu’elles l’aient fait essentiellement en matière de nouvelles technologies de sécurité, occultant massivement l’aspect humain (processus de gestion de la sécurité, sensibilisation du personnel).

Ainsi, en dépit d’investissements sans cesse croissants, près d’un tiers des répondants seraient toujours incapables de répondre à des questions basiques concernant les risques spécifiques à leur activité. Ils « ignorent ce qu’ils ignorent », résume l’étude.

Les consultants attribuent ce manque de visibilité à l’excès d’investissements technologiques en 2008, qui n’a pas été accompagné des mesures nécessaires pour encadrer correctement l’usage de la technique en terme de processus et d’hommes.

Le monde de la sécurité est toutefois coutumier d’une telle alternance, où de grandes périodes de nouveautés technologiques sont suivies d’un plateau afin de se laisser le temps de digérer les outils et mieux les gérer. La question est donc de savoir si nous sommes tout simplement dans une telle phase ou si, réellement, la technologie est encore la seule réponse que les professionnels de la sécurité savent apporter.