Plus des trois quarts (76 %) des personnes interrogées dans le cadre d'une nouvelle enquête ont subi un incident de sécurité lié aux API au cours des 12 derniers mois, principalement dû à des API dormantes/zombies, à des vulnérabilités d'autorisation et à des pare-feu d'applications Web.L'étude de Noname Security montre également que 74 % des professionnels de la cybersécurité ne disposent pas d'un inventaire complet des API ou ne savent pas quelles API renvoient des données sensibles.
Shay Levi, directeur technique et cofondateur de Noname Security, déclare : "Nos recherches ont mis en évidence une déconnexion entre le niveau élevé d'incidents, les faibles niveaux de visibilité, la surveillance et les tests efficaces de l'environnement API, et la confiance mal placée dans le fait que les outils actuels empêchent les attaques. Cela souligne la nécessité d'une formation plus poussée des équipes de sécurité, d'AppSec et de développement autour des réalités des tests de sécurité des API."
Parmi les autres résultats, 71 % des personnes interrogées sont confiantes et satisfaites de bénéficier d'une protection API suffisante. Moins de la moitié (48 %) des répondants ont une visibilité sur la posture de sécurité des API actives.
Seuls 11 % des répondants testent les API pour détecter les signes d'abus en temps réel, et 39 % les testent moins d'une fois par jour et jusqu'à une fois par semaine. 67 % des répondants sont convaincus que leurs outils DAST et SAST sont capables de tester les API.
On observe quelques variations géographiques intéressantes : les répondants britanniques sont plus nombreux (28 %) à disposer d'un inventaire complet des API et à savoir lesquelles renvoient des données sensibles, par rapport aux États-Unis (24 %). Cependant, aux États-Unis, 44 % ont une visibilité sur leur inventaire complet d'API, mais ne savent pas lesquelles renvoient des données sensibles, contre 38 % au Royaume-Uni. Cela tend à suggérer que les organisations américaines sont plus préoccupées par la croissance induite par les API que par la sécurisation des API existantes.
Il existe également des variations entre les équipes : 81 % des RSSI déclarent avoir été confrontés à un incident de sécurité lié aux API, contre seulement 53 % des professionnels de l'AppSec. En outre, 58 % des DSI affirment qu'il est facile de faire évoluer les solutions de sécurité des API, alors que près d'un tiers (29 %) des répondants AppSec déclarent que c'est difficile.
Source : Noname Security
Et vous ?
Trouvez-vous cette étude pertinente ? Qu'en est-il au sein de votre entreprise ?Voir aussi :
94 % des entreprises ont rencontré des problèmes de sécurité dans leurs API de production au cours de l'année écoulée, 20 % d'entre elles ont déclaré que cela avait entraîné une violation des données Les attaques contre les API ont augmenté de 681 % au cours des 12 derniers mois, un incident API est survenu chez 95 % des entreprises au cours de cette période, selon Salt Security 73% des organisations ont considérablement augmenté leurs efforts en matière de sécurité de la chaîne logistique logicielle, suite aux évènements Log4Shell, SolarWinds et Kaseya, selon Synopsys