Rien ne dit « mauvaise expérience numérique des employés » plus fort que votre employeur se fait frapper par une cyberattaque réussie. Soudain, la réputation de l’entreprise est en difficulté, le cours de son action est dans le réservoir et vos informations personnelles sont à vendre sur le dark web.
Pour éviter les pires scénarios, il faut que tout le monde soit sur la même longueur d’onde du point de vue de la sécurité. Et cela commence par parler des concepts de sécurité d’une manière que vos collègues non cybernétiques peuvent comprendre. À un moment précoce de la naissance des technologies de l’information, nous sommes devenus dépendants au jargon. L’industrie est lourde et il est facile d’oublier que même certains des termes les plus basiques que les cyberpros prennent pour acquis sont bavards pour les collègues d’autres services et, plus important encore, au conseil d’administration.
Traduire la cyber-expression en anglais quotidien est la clé pour faire passer votre point de vue, sans parler de l’approbation de vos budgets. Et c’est un moteur important de l’ engagement des employés.
Commencer par la bonne terminologie est également un bon moyen de lancer une conversation plus importante sur les menaces les plus graves pour l’entreprise, et ce qu’il faudra faire pour les minimiser ou les atténuer, déclare Malcolm Harkins, directeur de la sécurité et de la confiance de la société de sécurité de l’IA HiddenLayer.
Voici un guide rapide destiné aux profanes sur 15 concepts clés de cybersécurité, d’APT à ZTA. Utilisez-le comme guide de traduction ou partagez-le avec d’autres chefs d’entreprise avant votre prochaine réunion d’approbation du budget.
1. APT
Acronyme de menace persistante avancée ou, plus particulièrement, un attaquant qui se cache sur votre réseau pendant de longues périodes, siphonnant silencieusement les informations. Imaginez un inconnu se cacher dans votre grenier pendant des mois, écouter secrètement vos conversations et utiliser votre Wi-Fi. C’est une APT. Parmi les groupes de menaces connus pour cela, on peut citer APT28 basé en Russie (alias Fancy Bear) et APT34 basé en Iran, entre autres.
Ce qu’il faut retenir : au lieu des APT, considérez-les comme des « intrus enracinés » ou des « espions numériques ».
« Imaginez un étranger se cacher dans votre grenier pendant des mois, écouter secrètement vos conversations et appuyer sur votre Wi-Fi. C’est une APT. »
2. Chapeaux noirs
Les pirates informatiques qui violent les systèmes et volent des données à leurs propres fins malveillantes ou pour le compte de clients. Ils sont l’opposé des chapeaux blancs, qui pénètrent dans les systèmes pour identifier les vulnérabilités afin qu’ils puissent être corrigés avant que les méchants ne frappent (également parfois appelés « pirates éthiques »). Des chapeaux gris existent entre les deux, travaillant parfois pour le bien et parfois pas. Il existe également des chapeaux rouges (vigilantes qui lancent des contre-attaques contre les chapeaux noirs), des chapeaux bleus (pirates cherchant à se venger d’une cible spécifique) et des chapeaux verts (nouveaux qui aspirent à l’une des autres couleurs).
Ce qu’il faut retenir : avant de laisser quelqu’un sur votre réseau, assurez-vous de savoir quel chapeau il porte.
3. CIA
Non, pas l’agence d’espionnage. Cet acronyme signifie confidentialité, intégrité et disponibilité, mieux connue sous le nom de triade de cybersécurité. S’assurer que la CIA est le premier emploi pour les professionnels de la sécurité, mais ils ne peuvent pas le faire sans avoir les bons processus, politiques et personnes en place, note Sue Bergamo, directrice de longue date de l’information et directrice de la sécurité de l’information (CIO/CISO) et conseillère exécutive.
Ce qu’il faut retenir : si vous pensez que la technologie seule peut atteindre la CIA, vous avez probablement déjà été violé.
4. Faux profonds
Images, audio ou vidéo générés par l’IA conçus pour vous tromper et vous faire penser que vous traitez avec une personne réelle, comme le faux audio qui a convoqué un employé d’une société de services financiers de Hong Kong à transférer 25 millions USD à un escroc téléphonique, pensant que c’était son directeur financier. Un faux profond peut faire partie d’une attaque d’ingénierie sociale (voir ci-dessous) pour gagner la confiance des employés et les persuader de révéler des informations sensibles.
Ce qu’il faut retenir : S’il semble trop beau/étrange/shocking pour être vrai, c’est probablement l’IA.
5. IOC
Les indicateurs de compromission sont des signes indiquant que votre appareil ou réseau a été piraté, tels qu’une activité inhabituelle du compte, des modifications apportées aux fichiers système ou des demandes de privilèges d’accès accrus. Trouver un CIO, c’est comme rentrer chez soi et trouver la fenêtre avant brisée et votre télévision manquante. Cela ne vous permettra pas de récupérer vos affaires, mais cela peut vous donner suffisamment d’informations pour limiter les intrusions futures et avertir les autres.
Ce qu’il faut retenir : le CIO dit qu’il est temps d’installer des barres sur les fenêtres et d’obtenir un chien.
« Ce CIO [indicateur de compromis] dit qu’il est temps d’installer des barres sur les fenêtres et d’obtenir un chien. »
6. LOLBins
OK, nous devons décomposer cela. LOL est en fait l’abréviation de LOTL, ou « vivre hors de la terre », qui fait référence à un type de cyberattaque dans laquelle les pirates informatiques cooptent des outils et des systèmes déjà installés sur un réseau. Corbeilles = binaires. Bien que les civils non technologiques puissent connaître le « code binaire », tous les 1s et 0s qui constituent le langage fondamental que les ordinateurs utilisent, ils peuvent être (rendre qui sont probablement) moins conscients que le mot fait également référence aux fichiers et bibliothèques de ce code.
Les fichiers binaires hors du territoire sont donc des bibliothèques de code légitimes intégrées à votre environnement d’exploitation que les adversaires peuvent utiliser contre vous. Par exemple, un pirate informatique peut utiliser le langage de script PowerShell de Windows pour extraire les informations de connexion d’un administrateur système. Ces attaques sont également connues sous le nom d’attaques « sans fichier », car elles n’installent pas de logiciels malveillants, contournant ainsi la plupart des outils logiciels antivirus. Un logiciel de sécurité qui recherche une activité système inhabituelle en plus des signatures de logiciels malveillants peut aider à identifier les LOLBins.
Ce qu’il faut retenir : disposer d’un APT qui est LOL sur votre réseau n’est pas important de rire.
« Si une violation de données vous empêche de dormir, c’est probablement important. »
7. Violation importante
Toute fuite ou attaque de données qui nécessite qu’une société publique les divulgue dans ses dépôts auprès de la SEC, conformément aux nouvelles règles de l’agence qui sont entrées en vigueur en décembre. Si la violation entraîne une perte de revenus importante, une atteinte à la réputation ou une baisse du cours des actions de l’entreprise, elle peut être considérée comme « importante ». Mais ce que cela signifie en termes pratiques dépend de vous (et du directeur juridique de votre entreprise).
Ce qu’il faut retenir : si une violation de données vous empêche de dormir, c’est probablement important.
[Lire également : la SEC se prépare à réglementer le secteur des services financiers]
8. MFA
L’authentification multifacteur est cette étape supplémentaire gênante mais nécessaire nécessaire pour qu’un utilisateur se connecte à un réseau ou à un appareil, impliquant généralement un code envoyé par texte ou une application mobile, qui ajoute une couche de protection supplémentaire à son mot de passe (probablement faible et facilement piraté). Et, non, pour la dixième fois, “12345 », « mot de passe » et le nom de votre joueur préféré de la Coupe du monde ne sont pas de bons mots de passe (bien que ces trois mots de passe restent remarquablement populaires).
Ce qu’il faut retenir : les MFA sont toujours moins ennuyeuses que les pirates informatiques qui volent vos connexions et vous bloquent sur vos comptes.
9. Correctif
Mettre régulièrement à jour le logiciel pour corriger les vulnérabilités nouvellement découvertes, généralement en tant que solution temporaire jusqu’à ce qu’une version plus sécurisée du logiciel puisse être publiée. Ce n’est pas sans ses propres risques ; le fait de corriger une application peut rompre une autre application qui s’en repose, ou elle peut introduire de nouvelles vulnérabilités, note Harkins.
Ce qu’il faut retenir : lorsque les applications passent trop de temps entre les versions complètes du produit, elles peuvent ressembler à un patchwork de couettes.
10. Escalade des privilèges
Lorsque des acteurs malveillants pénètrent dans un réseau et utilisent des informations d’identification volées ou exploitent des vulnérabilités pour gravir la chaîne de commande, obtenant finalement des privilèges administratifs. C’est comme si quelqu’un pénétrait dans le placard du gardien et volait les clés de toutes les autres pièces du bâtiment ; ils ne s’arrêteront pas avant d’atteindre le dernier étage. Limiter le nombre de personnes disposant de pouvoirs d’administration et surveiller étroitement ces comptes est une bonne première étape pour limiter l’escalade.
Ce qu’il faut retenir : l’adhésion peut avoir ses privilèges, mais j’espère pas tous.
11. Équipe rouge/équipe bleue
L’équipe rouge attaque activement votre réseau pour identifier les points de vulnérabilité ; considérez-les comme des pirates informatiques avec des options d’achat d’actions et des 401(k). L’équipe bleue joue un rôle de défense, essayant d’empêcher les attaques réussies ou d’atténuer les incidents lorsqu’ils se produisent. Il existe également des équipes violettes qui combinent des éléments des deux. Une posture de sécurité robuste doit inclure des exercices réguliers rouges/bleus (ou violets).
Ce qu’il faut retenir : lorsqu’il est fait correctement, la sécurité est toujours un sport d’équipe.
12. Ingénierie sociale
tromper les personnes en cliquant sur un lien malveillant dans un e-mail d’ hameçonnage , en répondant à un SMS frauduleux (smishing) ou en donnant des informations sensibles au téléphone (vishing). L’ingénierie sociale représente 70 à 90 % des attaques réussies, note Roger Grimes, évangéliste de la défense axée sur les données pour la société de formation à la sécurité KnowBe4, et est plus efficace lorsque l’escroc se fait passer pour quelqu’un en qui vous avez confiance.
Ce qu’il faut retenir : cet appel provenant de l’intérieur du bureau du PDG peut ne pas provenir en fait du PDG.
13. Attaque de la chaîne d’approvisionnement
Lorsqu’un adversaire enfreint vos défenses en compromettant avec succès l’un de vos fournisseurs de confiance. Cela se fait généralement en infectant leurs applications avec des logiciels malveillants ou en installant des micropuces malveillantes sur leurs cartes de circuit imprimé, ouvrant ainsi une porte dérobée à votre réseau. L’évaluation des risques liés aux tiers en examinant soigneusement les fournisseurs potentiels, les outils d’évaluation automatisés pouvant vous aider, est une étape fondamentale dans toute relation avec un fournisseur.
Ce qu’il faut retenir : gardez vos amis proches, vos ennemis plus proches et vos fournisseurs tiers dans la poche arrière de votre jean le plus fin.
« La confiance zéro est plus qu’une architecture ou une technologie, c’est une culture. »Malcolm Harkins, directeur de la sécurité et de la confiance, HiddenLayer
14. Vulnérabilité zero-day
Une faiblesse dans un système logiciel ou matériel que les malfaiteurs connaissent, mais que vous ne connaissez pas, ce qui signifie que ses victimes n’ont aucun jour pour s’y préparer. Les protections anti-programme malveillant existantes sont peu susceptibles de détecter une attaque zero-day jusqu’à son lancement, le cas échéant. Heureusement, la plupart des attaques zero-day tirent parti de logiciels obsolètes et s’appuient sur l’ingénierie sociale pour trouver leur chemin, afin que des formations régulières sur les correctifs et la sécurité puissent limiter votre exposition.
Ce qu’il faut retenir : n’importe quel jour est un mauvais jour pour un jour zéro.
15. ZTA
L’architecture Zero Trust, ou simplement Zero Trust, exige que chaque utilisateur et chaque appareil soit vérifié non seulement lors de la connexion, mais également avant d’accéder à tout actif réseau. Et cela commence par l’hypothèse que les utilisateurs et les appareils ne doivent pas être approuvés tant qu’il n’a pas été prouvé autrement. Cela permet d’éviter des problèmes tels que l’escalade des privilèges (vous pouvez lire ce document à usage interne uniquement, mais votre stagiaire d’été ne peut pas le faire) et de limiter les dommages causés par les attaques d’ingénierie sociale réussies.
« La confiance zéro est plus qu’une architecture ou une technologie, c’est une culture », déclare Harkins. « Et il doit vraiment proliférer dans tout, pas seulement dans votre environnement informatique. Les dirigeants doivent comprendre toute la complexité de ce que le Zero Trust implique avant de décider de le mettre en œuvre. »
Ce qu’il faut retenir : avec Zero Trust, même votre mère doit montrer une pièce d’identité. Et c’est une bonne chose.
