4- Bien que l’analyse et la gestion des risques indiquent un niveau élevé d’impact des incidents de sécurité, le niveau de préparation à faire face aux incidents de sécurité est jugé moyen. 5- Les risques résiduels de cybersécurité ne sont pas dans la plupart des cas couverts par une police d’assurance. 6- La majorité des fonctions de sécurité sont déclarées être gérées en interne alors que les ressources humaines qualifiées n’existent pas. 7- Les pourcentages du budget IT consacré à la sécurité et aux campagnes de sensibilisation et de formation sont très faibles. Ceci explique que la sécurité n’a pas la place qu’il faut dans les stratégies et les budgets. 8- Manque de culture en cybersécurité. Le niveau des employés recrutés est médiocre alors que l’organisation des campagnes de sensibilisation et d’information ainsi que l’évaluation de leur efficacité ne sont pas systématiques. Par ailleurs, les utilisateurs finaux ont jugé non satisfaisant le niveau de sensibilisation et d’information du citoyen. 9- Les structures existantes chargées de l’analyse des cyber incidents et des infractions informatiques ne sont pas outillées pour bien faire leur travail. 10- Le manque de législations spécifiques en matière de procédure et de sanctions des infractions informatiques réduit à néant les efforts de ces structures. Les sanctions appliquées en ce moment à certaines infractions qualifiées sous d’autres titres sont insignifiantes. 5 PLAN NATIONAL DE CYBERSECURITE DE BURKINA FASO - VERSION DEFINITIVE : 1.0