Sondage 2022 de CIRA sur la cybersécurité

Nouvelle réalité pour les organisations canadiennes et les personnes qu’elles servent

À une époque où les Canadiens sont très préoccupés par les questions de confidentialité et de sécurité en ligne et où les organisations doivent faire face à des menaces en constante évolution, CIRA continue de mobiliser et de soutenir ses communautés en ligne. Dans le cadre de son rôle de fournir des ressources essentielles pour mieux comprendre les enjeux d’Internet, CIRA publie son Sondage annuel sur la cybersécurité.

Vous pouvez en savoir plus sur les résultats du sondage de cette année et sur la façon dont la pandémie a changé la donne et créé une nouvelle réalité pour de nombreuses organisations dans les sections qui suivent.

Table des matières

• Résultats complets du sondage (PDF en anglais)

• Sommaire

• Faits saillants visuels 

• Série de blogues 

• Services de cybersécurité de CIRA 

Résultats complets du sondage

La société d’études de marché The Strategic Counsel a réalisé en août le sondage 2022 de CIRA sur la cybersécurité, et a recueilli en ligne 500 réponses de responsables de la cybersécurité au Canada. L’objectif était de dégager les tendances en matière d’opinions et de comportements dans le secteur.    

Vous trouverez les résultats complets du sondage ici et un résumé des résultats ci-dessous.

En résumé

Moins de restrictions, l’évolution des cybermenaces et la nouvelle législation font de 2022 une année cruciale pour la cybersécurité

La transformation de notre façon de travailler, qu’elle soit au bureau, virtuelle ou hybride, a eu une forte incidence sur la façon dont les entreprises et les organisations se protègent contre les cybermenaces et assurent la sécurité des données personnelles. La prolifération des outils de cybersécurité, y compris l’intelligence artificielle (IA) et l’infonuagique, a entraîné un paysage des menaces en constante évolution où de nouveaux acteurs malveillants et de nouvelles tactiques sont observés presque quotidiennement. Le sondage de CIRA sur la cybersécurité 2022 dévoile comment les professionnels de la cybersécurité du Canada gèrent ces menaces et donne un aperçu des solutions qu’ils utilisent pour assurer la sécurité de leurs données, de leurs réseaux et de leurs utilisateurs.

Dans ce rapport, les professionnels de la cybersécurité ont indiqué à quel point leurs responsabilités ont changé au cours de la dernière année face à ces menaces croissantes. Ainsi, 96 % des organisations indiquent qu’elles dispensent une formation obligatoire de sensibilisation à la cybersécurité pour quelques employés au moins. Il s’agit là d’une augmentation importante depuis le début de la pandémie, lorsque seulement 87 % d’entre elles dispensaient une telle formation.

Une tendance à la fois inattendue et encourageante : 63 % des répondants ont indiqué que la souveraineté des données, soit le principe consistant à s’assurer que les données des utilisateurs et le trafic restent au Canada, était une considération majeure pour les professionnels de la cybersécurité lorsqu’ils recherchaient des fournisseurs de cybersécurité, surpassant le prix comme facteur.

Bien sûr, le gouvernement joue un rôle important en aidant à protéger les Canadiens en ligne, à la fois par le biais de lois et de programmes qui améliorent le paysage de la cybersécurité. Le projet de loi C-27, la Loi de 2022 sur la mise en œuvre de la Charte du numérique, qui pourrait avoir une incidence importante sur la manière dont les données des utilisateurs sont protégées et stockées, est en cours d’adoption au Parlement. Cependant, seuls 55 % des professionnels de la cybersécurité étaient au courant de l’existence de ce projet de loi. Notamment, près de six personnes sur dix (59 %) qui étaient au courant de l’existence du projet de loi ont déclaré qu’elles s’inquiétaient de la façon dont il pourrait affecter leur organisation. Ce chiffre met en évidence la nécessité pour le gouvernement d’accroître la sensibilisation au sujet de ce projet de loi pour expliquer son incidence sur les organisations canadiennes de toutes tailles.

Puisqu’aucun réseau n’est 100 % sécuritaire, il est important que les organisations disposent d’un plan d’intervention pour se protéger contre les menaces qui parviennent à atteindre leur objectif. L’enquête de cette année a révélé que 82 % des organisations ont mis en place un plan d’intervention en cas de cyberattaque. L’importance de disposer d’un plan ne peut être sous-estimée, car il est loin d’être idéal d’en élaborer un en plein milieu d’une attaque, et nous savons que six organisations canadiennes sur dix ont dû déployer leur plan d’intervention face à une menace active.

La réaction de l’industrie de l’assurance est un signe révélateur de l’évolution du risque pour les entreprises. Les compagnies d’assurance au Canada ont pris une longueur d’avance en ce qui concerne les cybermenaces, comme en témoigne l’augmentation graduelle des polices de cybersécurité. Bien qu’il s’agisse encore d’une tendance émergente, le nombre d’organisations disposant d’une assurance cybersécurité est passé à 15 % en 2022. Cette tendance ne devrait que s’accélérer dans les années à venir.

Au cours des prochaines semaines, nous présenterons les résultats du sondage de CIRA sur la cybersécurité 2022 dans une série d’articles de blogue, chacun abordant un élément clé plus en détail. Nous espérons que les professionnels de la cybersécurité pourront tirer parti de nos données pour éclairer leur compréhension du paysage des menaces au Canada.

Conclusions principales

• Trois entreprises sur dix (29 %) ont subi une violation des données des clients et/ou des employés. Avant la pandémie, seuls 18 % disaient en avoir fait l’expérience.

• L’impact le plus courant des cyberattaques est d’empêcher les employés d’effectuer leur travail. En outre, 15 % des organisations ont signalé une perte de clients suite à une attaque. Ce nombre a doublé par rapport aux niveaux pré-pandémiques.

• Les organisations qui ont payé une rançon, ont généralement payé au moins 25 000 $. 

• Un peu plus de la moitié des professionnels de la cybersécurité (55 %) sont au courant du projet de loi C-27 et parmi ceux-ci, six sur dix (59 %) s’inquiètent de l’impact potentiel du projet de loi sur leur organisation. Le secteur privé semblait moins préparé à mettre en œuvre de nouvelles exigences.

• Les organisations dites des MUSH* (30 %) sont plus susceptibles de qualifier de mauvaise la protection de la vie privée des consommateurs au Canada.

• La plupart des organisations (63 %) considèrent la souveraineté des données comme plus importante que le prix lors de la sélection d’un fournisseur de services de cybersécurité. 

• Environ 25 % d’organisations canadiennes de plus ont une assurance cybersécurité en 2022, malgré l’augmentation des coûts et des exigences.

• Presque toutes les organisations (96 %) organisent une formation de sensibilisation à la cybersécurité qui est obligatoire pour au moins certains employés. Ce nombre est passé de 87 % avant la pandémie.

• La plupart des professionnels de la sécurité (82 %) indiquent que leur organisation dispose d’un plan de réponse aux cyberincidents, tandis que six organisations sur dix ont utilisé leur plan de réponse aux cyberincidents au cours des 12 derniers mois. 

• Un peu plus de la moitié (55 %) considèrent leur organisation comme plus vulnérable aux cybermenaces car leurs employés travaillent à distance. 

* (secteur public, comprenant l’administration ou les organismes municipaux, les hôpitaux ou autre organisme de soins de santé, les écoles primaires ou secondaires, les collèges et universités, et les conseils scolaires)

Faits saillants visuels

L’impact le plus courant des cyberattaques est d’empêcher les employés d’effectuer leur travail. De plus, 15 % des organisations ont également signalé une perte de clients suite à une attaque, soit le double du niveau pré-pandémique.

Les organisations canadiennes et les menaces auxquelles elles font face

Un peu plus de la moitié 55 % des professionnels de l’informatique considèrent leur organisation plus vulnérable aux cybermenaces parce que ses employés travaillent à distance.

Les principales menaces perçues sont ​​​​​​l’accès non autorisé/le vol de données et les logiciels malveillants.

Les organisations qui ont payé une rançon ont généralement payé au moins 25 000 $.

En 2022, 73 % des organisations admettent avoir payé la rançon, contre 69 % l’année précédente.

Davantage d’organisations au pays ont décidé d’investir dans une assurance cybersécurité, une augmentation notable de 59 % l’an dernier à 74 % en 2022,  malgré l’augmentation des coûts et des exigences.

82 % des professionnels indiquent que leur organisation dispose d’un plan de réponse aux cyberincidents et six sur dix ajoutent qu’ils l’ont utilisé au cours des 12 derniers mois.

Votre organisation organise-t-elle une formation de sensibilisation à la cybersécurité pour ses employés ?

2022: 96 % oui

2019: 87 % oui

2022: 4 % non

2019: 11 % non

La plupart des organisations offrent une formation de sensibilisation à la cybersécurité tous les trimestres ou moins. La proportion qui dispense une formation au moins une fois par trimestre est plus élevée en 2022 (67 %) que les années précédentes. Les données suggèrent qu’il existe un écart entre le volume de menaces auxquelles les organisations sont confrontées et la fréquence à laquelle la formation est dispensée.

Se concentrer sur la confidentialité, la souveraineté des données et la nouvelle politique

Trois organisations sur dix  (29 %) ont subi une violation des données des clients et/ou des employés l’année dernière contre 18 % avant la pandémie.

Parmi celles-ci, 44 % au total ont informé leurs clients. 

En juin 2022, le gouvernement a déposé le projet de loi C-27 pour:

• mettre à jour la loi fédérale sur la protection des renseignements personnels dans le secteur privé, la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE)
• créer un nouveau tribunal
• proposer de nouvelles règles pour les systèmes et solutions pour l’intelligence artificielle

Un peu plus de la moitié des organisations canadiennes (55 %) sont au courant du projet de loi C-27 et parmi celles qui le sont, six sur dix (59 %) s’inquiètent de l’impact potentiel sur leur organisation.

La moitié des organisations (49 %) évaluent la protection de la vie privée des consommateurs au Canada comme excellente ou bonne, à l’exception des organisations des MUSH. Elles sont plus susceptibles (30 % d’entre elles) de qualifier de ‘mauvais’ le niveau de protection de la vie privée des consommateurs au Canada..

Avec le volume important de données personnelles et professionnelles stockées dans le cloud ainsi que les données en mouvement, les organisations doivent être prudentes. La souveraineté des données signifie que les données numériques sont soumises aux lois du pays dans lequel elles se trouvent. Celles stockées au Canada relèvent des lois canadiennes sur la protection de la vie privée, ainsi que les données qui ne circulent qu’à l’intérieur de nos frontières. Une fois que les données d’une organisation voyagent à l’extérieur des frontières du Canada, elles sont ouvertes aux lois des pays concernés.

La plupart des organisations (63 %) considèrent la souveraineté des données comme plus importante que le prix lors du choix d’un fournisseur de services de cybersécurité.

Série de blogues

Dans le cadre du Mois de la cybersécurité, CIRA publie durant tout le mois d’octobre une série d’articles de blog basés sur les résultats de l’enquête 2022 sur la cybersécurité.  

Vous trouverez ci-dessous chaque article dès qu’il sera publié :

1. Données personnelles et cybermenaces : votre marque est-elle protégée?
2. L’importance de la souveraineté des données pour les organisations canadiennes 
3. Les défis de cybersécurité face au projet de loi C-27

4. Travail hybride : se protéger en tant que travailleur mobile

5. Les défis des rançongiciels au Canada

Services de cybersécurité de CIRA

CIRA a mis à profit son expérience de gestion d’un réseau de plus de trois millions de domaines .CA pour développer une suite de produits de cybersécurité destinés aux entreprises, fabriqués par des Canadiens, pour les Canadiens :

• DNS Firewall de CIRA : une solution de cybersécurité fondée sur l’infonuagique qui protège les organisations contre les programmes malveillants, les rançongiciels, l’hameçonnage et d’autres cyberattaques.
• Bouclier canadien de CIRA : un service de cybersécurité gratuit qui améliore la protection de la vie privée par l’anonymisation des requêtes DNS. Il permet aux ménages canadiens de bloquer les virus, les rançongiciels et d’autres programmes malveillants.

• Formation sur la sensibilisation à la cybersécurité de CIRA uneplateforme de formation et de simulation d’hameçonnage intégrée qui permet aux organisations de sensibiliser leur personnel sur la manière de se protéger contre les cyberrisques comme l’ingénierie sociale et les rançongiciels.

Vous en saurez plus ici sur les services de cybersécurité de CIRA.