Rien ne met mieux en évidence une « expérience numérique des employés médiocre » que le fait que votre employeur soit victime d’une cyberattaque couronnée de succès. D'un seul coup, la réputation de l'entreprise en matière d' est en lambeaux, le cours de son action s'est effondré et vos données personnelles sont mises en vente sur le dark web.
Pour éviter ce genre de scénarios catastrophes, il est indispensable que tout le monde soit sur la même longueur d'onde en matière de sécurité. Et cela commence par , qui aborde les concepts de sécurité d'une manière compréhensible pour vos collègues qui ne sont pas spécialistes de la cybersécurité. À un certain moment, au tout début de l'avènement des technologies de l'information, nous sommes devenus accros au jargon. Ce jargon est omniprésent dans le secteur, et l’on oublie facilement que même certains des termes les plus élémentaires, que les professionnels de la cybersécurité considèrent comme allant de soi, ne sont que du charabia pour leurs collègues d’autres services et – surtout – pour le conseil d’administration.
Traduire le jargon informatique en langage courant est essentiel pour faire passer votre message, sans parler de l'obtention de l'approbation de vos budgets. Et c'est un facteur déterminant de l'engagement des collaborateurs .
« Commencer par utiliser la terminologie appropriée est également un bon moyen d’engager une réflexion plus large sur les menaces les plus graves qui pèsent sur l’entreprise, ainsi que sur les mesures à prendre pour les réduire au minimum ou les atténuer », explique Malcolm Harkins, directeur de la sécurité et de la confiance chez HiddenLayer, une société spécialisée dans la sécurité de l’IA.
Voici un petit guide destiné au grand public présentant 15 concepts clés de la cybersécurité, de l'APT au ZTA. Utilisez-le comme guide de traduction ou partagez-le avec d'autres dirigeants d'entreprise avant votre prochaine réunion d'approbation du budget.
1. APT
Acronyme de « » (menace persistante avancée) ou, plus précisément, un pirate qui se cache sur votre réseau pendant de longues périodes, en détournant discrètement des informations. Imaginez qu'un inconnu se cache dans votre grenier depuis des mois, écoutant en secret vos conversations et se connectant à votre réseau Wi-Fi. C'est une attaque APT. Parmi les groupes malveillants tristement célèbres connus pour ces activités, on peut citer, entre autres, les groupes basés en Russie APT28 (également connus sous les noms de et Fancy Bear) et ceux basés en Iran APT34.
À retenir : Au lieu de parler d’APT, considérez-les plutôt comme des « intrus bien implantés » ou des « espions numériques ».
«» Imaginez qu’un inconnu se cache dans votre grenier depuis des mois, écoutant en secret vos conversations et se connectant à votre réseau Wi-Fi. Il s'agit d'une attaque APT. »
2. Les « black hats »
Les pirates informatiques qui s'introduisent dans des systèmes et volent des données à des fins malveillantes, pour leur propre compte ou pour le compte de clients. Ils sont à l'opposé des « white hats », qui s'introduisent dans les systèmes pour identifier les failles afin qu'elles puissent être corrigées avant que les pirates ne passent à l'attaque (on les appelle parfois aussi des « hackers éthiques »). Les « gray hats » se situent entre les deux : ils agissent parfois dans le sens du bien, parfois non. Il existe également des « chapeaux rouges » (des justiciers qui lancent des contre-attaques contre les « chapeaux noirs »), des « chapeaux bleus » (des hackers cherchant à se venger d’une cible précise) et des « chapeaux verts » (des débutants qui aspirent à rejoindre l’une des autres catégories).
À retenir : Avant d'autoriser quiconque à accéder à votre réseau, assurez-vous de bien connaître son rôle.
3. CIA
Non, pas l'agence de renseignement. Cet acronyme désigne la « confidentialité, l'intégrité et la disponibilité » ( ), plus communément appelée la « triade de la cybersécurité ». Garantir la CIA est la priorité absolue des professionnels de la sécurité, mais ils ne peuvent y parvenir sans disposer des processus, des politiques et des ressources humaines adéquats, souligne Sue Bergamo , membre de l', qui occupe depuis longtemps les fonctions de directrice des systèmes d'information et de responsable de la sécurité des systèmes d'information (CIO/CISO) et qui exerce également en tant que conseillère de direction.
À retenir : Si vous pensez que la technologie à elle seule suffit pour garantir la CIA, vous avez probablement déjà été victime d'une intrusion.
4. Deepfakes
Des images, des fichiers audio ou des vidéos de type « deepfake » générés par l’IA et conçus pour vous faire croire que vous avez affaire à une personne réelle – comme ce « deepfake » audio qui a poussé un employé d’une société de services financiers de Hong Kong à effectuer un virement de 25 millions de dollars à un escroc par téléphone, en pensant qu’il s’agissait de son directeur financier. Un « deepfake » peut s'inscrire dans le cadre d'une attaque d'ingénierie sociale (voir ci-dessous) visant à gagner la confiance des employés et à les persuader de divulguer des informations sensibles.
À retenir : Si cela semble trop beau, trop bizarre ou trop choquant pour être vrai, c'est probablement de l'IA.
5. les COI
Les « indicateurs de compromission » ( ) sont, en jargon informatique, les signes indiquant que votre appareil ou votre réseau a été piraté, tels qu’une activité inhabituelle sur un compte, des modifications apportées aux fichiers système ou des demandes d’d’augmentation des droits d’accès. Trouver un IOC, c'est comme rentrer chez soi et découvrir que la vitre d'entrée a été brisée et que votre téléviseur a disparu. Cela ne vous permettra pas de récupérer vos affaires, mais cela pourra vous fournir suffisamment d'informations pour limiter les cambriolages à l'avenir et alerter d'autres personnes.
À retenir : Le CIO estime qu'il est temps d'installer des barreaux aux fenêtres et d'adopter un chien.
«Cet IOC [indicateur de compromission] indique qu’il est temps d’installer des barreaux aux fenêtres et de prendre un chien. »
6. LOLBins
Bon, il faut qu'on analyse tout ça. En réalité, « LOL » est l'abréviation de « LOTL », c'est-à-dire « living off the land » (vivre de ce que le réseau offre), qui désigne un type de cyberattaque dans lequel les pirates informatiques exploitent les outils et les systèmes déjà installés sur un réseau. Bins = fichiers binaires. Si les profanes en informatique connaissent peut-être le « code binaire » – ces 1s et 0s qui constituent le langage fondamental utilisé par les ordinateurs –, ils sont peut-être (ou plutôt, très probablement) moins conscients que ce terme désigne également les fichiers et les bibliothèques contenant ce code.
Ainsi, les binaires « living-off-the-land » de constituent des bibliothèques de code légitimes intégrées à votre environnement d'exploitation, que des attaquants peuvent utiliser à votre encontre. Par exemple, un pirate pourrait utiliser le langage de script PowerShell de Windows pour extraire les identifiants de connexion d'un administrateur système. On les appelle également des attaques « sans fichier », car elles n'installent pas de logiciels malveillants, ce qui leur permet de contourner la plupart des logiciels antivirus. Les logiciels de sécurité, tels que , qui recherchent des activités inhabituelles au niveau du système en plus des signatures de logiciels malveillants, peuvent aider à identifier les LOLBins.
À retenir : Avoir un APT qui « fait rire » sur votre réseau n'a rien de drôle.
«Si une fuite de données vous empêche de dormir, c’est probablement qu’elle est significative. »
7. Manquement grave
Toute fuite de données ou attaque obligeant une société cotée à la divulguer dans ses documents déposés auprès de la SEC, conformément aux nouvelles règles de l'agence relatives à la « loi sur la transparence des entreprises » ( ) , entrées en vigueur en décembre. Si la violation entraîne une perte importante de chiffre d'affaires, une atteinte à la réputation ou une baisse du cours de l'action de la société, elle peut être considérée comme « significative ». Mais ce que cela signifie concrètement, c'est à vous (et au directeur juridique de votre entreprise) de le déterminer.
À retenir : Si une fuite de données vous empêche de dormir, c'est qu'elle est probablement significative.
8. Maîtrise en arts plastiques
L'authentification multifactorielle est cette étape supplémentaire, certes fastidieuse mais indispensable, que doit effectuer un utilisateur pour se connecter à un réseau ou à un appareil. Elle implique généralement l'utilisation d'un code envoyé par SMS ou via une application mobile, ce qui ajoute une couche de protection supplémentaire à son mot de passe (probablement faible et facilement piratable). Et non, pour la énième fois, « “12345 », « mot de passe » et le nom de votre joueur préféré de la Coupe du monde ne constituent pas de bons mots de passe (même si ces trois-là restent étonnamment populaires).
Ce qu’il faut retenir : Les procédures d’authentification multifactorielle (MFA) restent moins pénibles que les pirates informatiques qui volent vos identifiants et vous empêchent d’accéder à vos comptes.
9. Application de correctifs
Mettre régulièrement à jour les logiciels afin de corriger les failles de sécurité récemment découvertes, généralement à titre de solution provisoire, en attendant la sortie d'une version plus sécurisée du logiciel. Cela n'est pas sans risques : l'application d'un correctif à une application peut entraîner le dysfonctionnement d'une autre application qui en dépend, ou encore introduire de nouvelles vulnérabilités, note M. Harkins.
À retenir : Lorsque les applications laissent s'écouler trop de temps entre deux versions complètes, elles peuvent finir par ressembler à une courtepointe en patchwork.
10. Élévation des privilèges
Lorsque des acteurs malveillants parviennent à s'introduire dans un réseau et utilisent des identifiants volés ou exploitent des vulnérabilités pour remonter la chaîne de commandement, ils finissent par obtenir des privilèges d'administrateur. C'est comme si quelqu'un s'introduisait dans le local d'entretien et volait les clés de toutes les autres pièces de l'immeuble ; il ne s'arrêtera pas avant d'avoir atteint le dernier étage. Limiter le nombre de personnes disposant de droits d'administrateur et surveiller de près ces comptes constitue une bonne première étape pour limiter l'escalade .
Ce qu’il faut retenir : l’adhésion à « » comporte peut-être certains avantages, mais espérons que ce ne soit pas tous.
11. Équipe rouge / équipe bleue
The red team actively attacks your network to identify points of vulnerability; think of them as white hat hackers with stock options and 401(k)s. L'équipe bleue assure la défense, en s'efforçant d'empêcher les attaques de aboutir ou d'en limiter les conséquences lorsqu'elles se produisent. Il existe également des équipes « purple » qui combinent des éléments des deux approches. Une stratégie de sécurité solide doit inclure des exercices « rouge/bleu » (ou « violet ») réguliers.
À retenir : Lorsqu'elle est mise en œuvre correctement, la sécurité est toujours un travail d'équipe.
12. Ingénierie sociale
Inciter des personnes à cliquer sur un lien malveillant contenu dans un e-mail de hameçonnage (phishing) , à répondre à un SMS frauduleux (smishing) ou à communiquer des informations sensibles par téléphone (vishing ). L'ingénierie sociale représente entre 70 et 90 % des attaques réussies, comme le souligne Roger Grimes, évangéliste de la défense basée sur les données pour la société de formation en sécurité KnowBe4, et elle est particulièrement efficace lorsque l'escroc se fait passer pour une personne en qui vous avez confiance.
À retenir : Cet appel provenant du bureau du PDG n'est peut-être pas réellement passé par le PDG lui-même.
13. Attaque de la chaîne d'approvisionnement
Lorsqu'un adversaire parvient à contourner vos défenses en compromettant l'un de vos fournisseurs de confiance. Cela se fait généralement par le biais d' , qui infectent leurs applications avec des logiciels malveillants ou installent des puces électroniques malveillantes sur leurs circuits imprimés, ouvrant ainsi une porte dérobée vers votre réseau. L'évaluation des risques liés aux tiers , grâce à une sélection rigoureuse des fournisseurs potentiels – les outils d'évaluation automatisés peuvent vous y aider –, constitue une étape fondamentale dans toute relation avec un fournisseur.
À retenir : « » Gardez vos amis près de vous, vos ennemis encore plus près, et vos fournisseurs tiers dans la poche arrière de votre jean le plus moulant.
«Le « zero trust » est bien plus qu’une architecture ou une technologie : c’est une culture. »Malcolm Harkins, directeur de la sécurité et de la confiance chez HiddenLayer
14. Vulnérabilité « zero-day »
Une faille dans un système logiciel ou matériel dont les pirates ont connaissance, mais pas vous – ce qui signifie que ses victimes n'ont aucun délai pour s'y préparer. Il est peu probable que les protections anti-malware existantes détectent une attaque « zero-day » avant qu'elle ne soit lancée, voire qu'elles la détectent tout court. Heureusement, la plupart des attaques « zero-day » exploitent des logiciels obsolètes et s'appuient sur l'ingénierie sociale pour s'introduire dans vos systèmes ; ainsi, l'application régulière des correctifs et ainsi que des formations à la sécurité peuvent limiter votre exposition aux risques.
À retenir : . N'importe quel jour est un mauvais jour pour une faille « zero-day ».
15. ZTA
L'architecture « Zero Trust » (), ou simplement « Zero Trust » ( ), exige que chaque utilisateur et chaque appareil soient authentifiés non seulement lors de la connexion, mais également avant d'accéder à toute ressource réseau. Et cela part du principe que l'on ne doit pas faire confiance aux utilisateurs et aux appareils tant que le contraire n'a pas été prouvé. Cela permet d'éviter des problèmes tels que l'escalade de privilèges (vous pouvez consulter ce document « à usage interne uniquement », mais votre stagiaire d'été ne le peut pas) et de limiter les dégâts causés par des attaques d'ingénierie sociale réussies.
« Le modèle "zero trust" est bien plus qu'une architecture ou une technologie : c'est une culture », déclare M. Harkins. « Et cela doit vraiment s'étendre à tous les domaines, et pas seulement à votre environnement informatique. » « Les dirigeants doivent bien saisir toute la complexité de ce qu'implique le modèle « zero trust » avant de décider de le mettre en œuvre. »
À retenir : Avec le modèle « zero trust », même votre mère doit présenter une pièce d'identité. Et c'est une bonne chose.
