C'est un constat d'impuissance que dresse cette étude du CSO Interchange. Les patrons sécurité des grandes entreprises sont débordés par l'accumulation des tâches et des problèmes. Submergés même, et totalement impuissants face à de « nouvelles formes d'attaque » telle que le social engineering.

Pas un bouton de guêtre ne manque à l'appel sur les fronts spam, worms, virus, attaques Ddos et tentatives d'intrusion extérieures. 88% en revanche pensent être « moins préparées » -doux euphémisme- face au fléau du social engineering. 75% estiment que leur travail est devenu nettement plus difficile depuis l'an passé. Il faut dire que, depuis, ces patrons de la gouvernance sécuritaire ne se heurtent plus à des script kiddies en culottes courtes, mais à des truands organisés appartenant à des réseaux structurés. L'étude de CSO Interchange ajoute que :

64 % des CSO interrogés se sentent plus concernés par les problèmes de mise en conformité et 38 % d'entre eux déclarent que le budget qui leur est attribué pour cette mise en conformité a récemment augmenté.
74% déclarent que leur entreprise doit répondre aux standards de conformité dictés par plus de 5 lois et réglementations.
68% estiment que leur budget sécurité est inférieur à 10% du budget informatique.
83% sous-traitent moins de 10 % de leur sécurité, et 40 % ne sous-traitent rien du tout.
70% pensent ne pas recevoir assez tôt les alertes de prévision d'attaques.

Il faut insister sur le fait que le CSO Interchange est fondé par Qualys, spécialiste de la sous-traitance dans le domaine notamment de l'inventaire de vulnérabilité, et par Howard Schmidt, rédacteur de préfaces d'ouvrages de sécurité, membre professionnel de divers comités de direction et ex-« Security Czar » du gouvernement Bush dont la gestion et l'organisation ont fortement été critiquées par le GAO américain.

Il n'en demeure pas moins que les techniques de hacking massif actuelles débouchent de plus en plus souvent sur des opérations frisant l'espionnage industriel. Jusqu'à présent, seules les grandes entreprises de « haute technologie » ou de « haute finance » étaient touchées par ce genre de menace, et par conséquent possédaient les armes pour se protéger. Comme le petit espionnage s'industrialise, il touche de plus en plus de petites et moyennes structures. Structures au sein desquelles toute action relevant du contrôle humain dépend de la DRH plus que de la DSI ou des CSO. Structures également que les instances gouvernementales capables de conduire des campagnes de sensibilisation -la DST notamment- ne peuvent protéger, faute de moyens et de personnel.

. Web-profils.com, la place de marché du conseil et de l'ingénierie