Comment la fabrication intelligente intensifie les risques pour les entreprises

Les risques émergents tels que l’intégration de la blockchain et des « installations intelligentes », les perturbations de la chaîne d’approvisionnement mondiale, l’Internet industriel des objets (IIoT) et le vol de propriété intellectuelle peuvent représenter un défi de taille pour les fabricants. Un récent projet du MIT a démontré l’impact des perturbations de la chaîne d’approvisionnement sur les chaînes d’approvisionnement en semi-conducteurs, en constatant qu’une perturbation de 10 jours dans la production d’une entreprise entraîne en moyenne un délai d’au moins 300 jours avant que son stock ne revienne à la normale.1

Le secteur manufacturier est l’un des principaux moteurs de l’économie mondiale. La Chine est une superpuissance manufacturière et les États-Unis, le Japon et l’Allemagne sont les premiers pays en termes de valeur ajoutée par l’industrie au produit intérieur brut (PIB).2 Aux États-Unis, l’industrie manufacturière a contribué à hauteur de 2 300 milliards de dollars au PIB du pays au quatrième trimestre 2022.3 La taille et l’interconnexion de l’industrie manufacturière signifient qu’il existe un grand potentiel pour un cyber-incident important – comme en témoigne le fait qu’elle soit reconnue comme l’industrie la plus touchée par les attaques de rançongiciel en 2022.4

Les grands fabricants s’appuient sur un vaste réseau de petites entreprises dans la chaîne d’approvisionnement. Ces petites entreprises ne parviennent généralement pas à atteindre le niveau de sophistication de leurs homologues de plus grande taille en matière de cyber-maturité. Aux États-Unis, 98,6 % des entreprises manufacturières sont des petites entreprises et la plupart d’entre elles comptent moins de 20 employés.5 D’après notre expérience, les opérations de fusion et d’acquisition (F&A) comportent également des risques, certains des cyber-événements les plus importants dans l’industrie manufacturière résultant d’une intégration limitée ou médiocre des entreprises acquises dans l’ensemble.

À cela s’ajoute un environnement économique et opérationnel difficile. Notre expérience nous a montré que l’industrie manufacturière mondiale a connu deux années difficiles pendant la pandémie de COVID-19, en proie à des coûts d’expédition élevés, à des pénuries de personnel et à des problèmes de chaîne d’approvisionnement. Avec un budget limité, les dirigeants ont relevé des défis sous tous les angles et ont été contraints de prendre des décisions basées sur le retour sur investissement pour chaque dépense.

Rapport des clients d’Aon : Industrie manufacturière et risques

Les demandes d’indemnisation liées aux rançongiciels pour l’industrie manufacturière ont diminué de 32 % entre 2020 et 2022, les organisations ayant fait état d’une amélioration constante de leur cyber-maturité globale. Le pourcentage médian du budget informatique consacré à la sécurité a également augmenté au niveau mondial, les entreprises déclarant consacrer 8,5 % de leur budget informatique à la sécurité. Selon l’étude E&O Cyber Insurance Broking 2023 H1 Snapshot d’Aon, du point de vue des tendances en matière de sinistres dans la région APAC, l’industrie manufacturière était particulièrement visée en raison de l’importance des centres de production dans la région, la technologie opérationnelle demeurant une préoccupation majeure en matière de risques pour les marchés régionaux.6

Les données CyQu d’Aon7 montrent que le score de risque global s’est amélioré de 2,2 à 2,5 en 2022 pour les clients du marché intermédiaire. Cependant, 56 % des entreprises ont déclaré des scores de risque inférieurs à 2,5 en 2022. Nous prévoyons que la maturité des risques dans les petites et moyennes entreprises continuera d’augmenter à mesure que des fabricants plus importants imposeront à leurs chaînes d’approvisionnement des exigences supplémentaires en matière de cyber-maturité. En conséquence, les petits fabricants peuvent également être tenus de faire preuve de résilience pour obtenir des polices de cyber-assurance.

Pour les entreprises mondiales, les scores se sont légèrement améliorés, passant de 2,7 à 2,8, mais 80 % des entreprises ont déclaré des scores supérieurs à 2,5, ce qui montre que ce secteur de revenus dans son ensemble se rapproche d’un profil de risque « géré ».

Aux États-Unis, les fabricants ont fait état d’une amélioration de la mise en œuvre des contrôles des technologies de l’information (TI) entre 2021 et 2022. Selon les données sur les contrôles des alertes des applications complémentaires Ransomware, 90 % des clients en 2022 ont signalé une amélioration dans la mise en œuvre des contrôles de la gestion de l’accès axé sur des informations d’identification uniques pour les administrateurs système. En moyenne, en 2022, les clients ont mis en œuvre 75 % des contrôles clés d’authentification multifacteur (AMF) pour la souscription, contre 58 % en 2021. Les progrès réalisés dans ces domaines ne sont pas surprenants. L’industrie manufacturière n’était pas un secteur de travail à domicile avant la pandémie, et le passage au travail à distance, associé aux nouvelles exigences en matière d’assurance concernant l’AMF, a probablement été à l’origine de cette progression.

Les fabricants américains ont également indiqué que la résilience des entreprises n’était pas encore acquise. Il est frappant de constater qu’en 2022, 65 % des entreprises ont signalé l’absence d’exercices de simulation dans le cadre d’un plan de résilience d’entreprise. Cette statistique semble confirmer le fait que les entreprises ont tendance à se concentrer davantage sur la sécurisation de la technologie plutôt que sur les personnes, les politiques et les procédures lorsqu’il s’agit de répondre aux incidents et d’y remédier.

Bien que les données sur les tendances ne soient pas encore disponibles, nous pouvons considérer 2022 comme une année de référence pour le Royaume-Uni. Les fabricants britanniques ont signalé une plus grande maturité en matière de gestion des accès. Les fabricants britanniques sont toutefois moins avancés que leurs homologues américains en ce qui concerne la maturité de tous les contrôles informatiques en 2022, à l’exception de la gestion des accès, pour laquelle ils ont obtenu les mêmes résultats.

Dans l’environnement des Technologies Opérationnelles (TO), les industries manufacturières des États-Unis et du Royaume-Uni ont, en moyenne, fait preuve d’une plus grande maturité que les autres secteurs. Historiquement, l’industrie manufacturière s’est concentrée sur la résilience TO ; nous nous attendions donc à ces scores plus élevés. Toutefois, les entreprises manufacturières ont encore beaucoup à faire en matière de contrôles et de segmentation. Les clients ont fait état d’un manque de 41 % dans les contrôles TO critiques, une lacune qui doit être comblée.