En mars dernier, des pirates informatiques appartenant au groupe de chantage « Lapsus$ » , lié à l’ , ont lancé une série d’attaques contre le géant des télécommunications T-Mobile. Après avoir acheté des identifiants volés et réussi à se faire accorder l'accès aux comptes des employés grâce à leur charisme, le groupe Lapsus$ a pu accéder aux outils internes de T-Mobile, tels que son système de gestion de la clientèle. À partir de là, les pirates ont dérobé certaines des données les plus sensibles de l'organisation : plus de 30 000 dépôts de code source. Ils ont également réussi à détourner les numéros de téléphone portable des clients et à intercepter les codes d' s utilisés pour l'authentification multifactorielle.
T-Mobile n'était toutefois pas la seule grande entreprise à avoir été confrontée à un incident de sécurité grave. Au cours du mois qui a suivi, d'autres piratages ont menacé de divulguer d'énormes quantités de données hautement sensibles et confidentielles au sein d'organisations telles que (Coca-Cola),, (Nestlé),, (Epic Games),, et (Scripps Health),.
Le volume total de données auxquelles les pirates informatiques ont désormais accès est stupéfiant : environ 8 milliards de fichiers sont exposés dans des dossiers de stockage dans le cloud, selon l'outil de recherche « » de Grayhat Warfare (), et au moins 7,2 millions de bases de données sont exposées en ligne, selon une analyse réalisée pour ProPublica ( ) ().
Moins volumineuses, mais d’une importance bien plus grande, se trouvent les données les plus sensibles et les plus précieuses d’une organisation : ses « joyaux de la couronne ». Ces fichiers peuvent contenir, par exemple, le code source des principaux produits d'une entreprise, des clés de chiffrement ou des stratégies de sécurité sensibles.
« Les entreprises doivent savoir quelles sont leurs données les plus importantes, où elles se trouvent et comment elles sont protégées », explique Paul Perry, responsable du pôle Sécurité, risques et contrôles au sein du cabinet d’expertise comptable Warren Averett et membre du groupe de travail sur les tendances émergentes de l’ISACA.
« »« Si ces données venaient à être piratées, les conséquences pourraient être désastreuses. »
Selon les experts, il est essentiel de protéger les « joyaux de la couronne », mais la mise en place des mesures de protection adéquates n'est pas toujours aisée. Voici cinq stratégies que les organisations devraient adopter pour protéger leurs données les plus précieuses.
Identifiez les données les plus critiques de votre organisation
« Déterminer où se trouvent vos données les plus critiques constitue une première étape indispensable pour les protéger — et peut-être la plus difficile », explique Jenu Jose, ingénieur en solutions techniques chez Tanium.
«Les entreprises doivent savoir quelles sont leurs données les plus importantes, où elles se trouvent et comment elles sont protégées. »Paul Perry, responsable du pôle Sécurité, risques et contrôles chez Warren Averett
Selon lui, les données les plus critiques sont rarement bien définies au sein des organisations. Certaines entreprises ont peut-être mis en place une politique de protection des données ou un système de classification comportant différentes catégories pour les données sensibles et confidentielles. « Mais de nombreuses entreprises n’ont pas entrepris de faire le tri pour distinguer le vrai du faux, car c’est trop fastidieux », explique José. « Ce n'est pas un projet facile à mener à bien. »
Même la recherche de données à forte valeur ajoutée peut s'avérer complexe : « Il ne suffit pas de faire une recherche rapide pour rassembler toutes ces données », explique-t-il. «Le cloud computing rend la recherche très difficile, car les données peuvent se trouver sur le OneDrive de quelqu’un, sur Azure ou ailleurs dans le cloud. » Vous devez effectuer des recherches sur plusieurs plateformes pour vous faire une idée précise de l'emplacement des données sensibles et des ressources qui nécessitent les niveaux de protection les plus élevés.
Évaluer l'impact d'une fuite de données potentielle
Une fois qu'elles ont identifié leurs « joyaux de la couronne », les organisations doivent ensuite évaluer le degré de criticité de chaque actif, explique José. Ils devraient se poser la question suivante : si un actif ou un terminal donné était compromis, quel en serait l'impact potentiel ?
« La criticité des actifs consiste à comprendre vos applications, vos serveurs et vos terminaux, et à leur attribuer un poids différent en fonction du risque potentiel de fuite de données », explique-t-il. Cette pondération peut être prise en compte dans le système global d'évaluation des risques cybernétiques d'une entreprise.
Une fois que les organisations ont déterminé le niveau de criticité de leurs actifs, elles doivent procéder à une évaluation des risques afin d'identifier les vulnérabilités et d'évaluer les mesures de contrôle existantes mises en place pour les protéger, explique M. Perry, de Warren Averett. Les points faibles potentiels devraient être discutés avec l'ensemble des membres de l'organisation, affirme-t-il. Il se peut que le service comptable ait connaissance de risques dont le service informatique n'a pas conscience.
À lire également : Les scores de risque cyber ne devraient pas se résumer à un simple chiffre
« Vous devez prendre le temps de bien cerner vos risques et les mesures que vous mettez en œuvre pour y faire face ; mais, surtout, vous devez discuter de ce que vous ne faites pas pour y remédier et des dispositifs de contrôle qui vous font défaut », explique Perry. « Les évaluations des risques doivent être menées de manière continue car, au fil du temps, vos risques évoluent, votre environnement change et votre personnel évolue. »
Renforcez vos mesures de sécurité
Selon José, ces moyens de défense supplémentaires peuvent prendre diverses formes. Il s'agit notamment de crypter certains documents, de supprimer les données stockées sur des supports vulnérables, de verrouiller les appareils afin d'empêcher l'utilisation de clés USB personnelles pour copier des données, et de restreindre l'accès à certaines informations.
«Il peut être très difficile de déterminer qui a accès à certaines données. »Jenu Jose, ingénieur en solutions techniques chez Tanium
« Il peut être très difficile de déterminer qui a accès à certaines données », explique José. « Il se peut que vous disposiez d’une règle stipulant que toute information relative aux cartes de crédit doit rester interne. » « Mais il arrive aussi que l’on doive partager ces données en externe : comment les protéger dans ce cas ? »
Les entreprises bien établies peuvent tenir à jour une liste des personnes autorisées à accéder à certains fichiers, tandis que d'autres peuvent permettre à leurs employés d'envoyer un document par e-mail uniquement à des partenaires commerciaux ou à des fournisseurs. L'envoi à d'autres destinataires serait automatiquement bloqué. Lorsqu'elles mettent en place des mesures de sécurisation de leurs actifs, les organisations doivent réfléchir de manière stratégique à la manière de trouver un juste équilibre entre le coût de la protection et le niveau de risque que les dirigeants sont prêts à accepter.
Surveillez en permanence les données sensibles
Une fois que les « joyaux de la couronne » ont été identifiés, évalués et protégés, les organisations doivent en assurer le suivi. « Les outils de surveillance de l’, disponibles sur , constituent les yeux et les oreilles de votre organisation en matière d’activité, du point de vue des données : qui accède à quoi, à quelle fréquence et s’il est même autorisé à y accéder », explique M. Perry.
«Si vous disposez d’un nom d’utilisateur et d’un mot de passe et que vous accédez à quelque chose, vous exercez désormais une fonction informatique. »Perry
La surveillance des données offre une vision plus approfondie de la manière dont les fichiers sont consultés et utilisés, ce qui peut s'avérer particulièrement important lorsque l' t de se conformer aux réglementations gouvernementales. « Il faut être en mesure d’enregistrer chaque modification apportée à un fichier ou à un ensemble de fichiers spécifiques afin de respecter les exigences de conformité », explique José, de Tanium. Ou bien cela peut s'avérer utile dans le domaine des ressources humaines. Dans le cadre d'un dossier RH en cours concernant un salarié, par exemple, l'entreprise peut souhaiter surveiller l'accès aux données sensibles sur les appareils de ce salarié.
Lorsqu’elles choisissent un outil de surveillance, les organisations doivent évaluer sa flexibilité en matière de création de définitions personnalisées pour leurs données sensibles, notamment des mots-clés spécifiques ou des noms de projets, par exemple. Les outils doivent également intégrer les dernières solutions de sécurité basées sur l'IA proposées par l' ainsi que des outils dotés de capacités d'apprentissage automatique (ML) intégrées afin d'améliorer sans cesse leur capacité à réduire le nombre de fausses alertes de sécurité susceptibles de submerger le personnel informatique.
Faites de la sécurité un élément clé de votre culture d'entreprise
La culture de sécurité d'une organisation détermine dans quelle mesure elle protège ses données les plus précieuses. Mais dans certaines entreprises, la mise en place de mesures de sécurité efficaces passe après la facilité d'utilisation.
« De nombreuses entreprises ne disposent pas des mesures de contrôle nécessaires, car leurs employés affirment qu’un dispositif tel que l’authentification à deux facteurs est extrêmement contraignant pour eux ou pour leurs clients », explique M. Perry. « Les entreprises sont également devenues indifférentes à la cybersécurité. » « Lorsque vos ressources — humaines ou financières — sont très limitées et que vous devez déterminer la meilleure façon de protéger vos données, les entreprises peuvent se sentir dépassées. »
« La mise en place d'une culture solide en matière de cybersécurité commence au plus haut niveau », ajoute José. Pour qu'une organisation parvienne à protéger efficacement ses données les plus importantes, les dirigeants doivent soutenir pleinement la stratégie de cybersécurité de l'entreprise. « La protection ne fonctionne que si vous bénéficiez de l’adhésion des dirigeants et de l’ensemble de l’entreprise », déclare-t-il.
La mise en place de mesures de protection et de politiques — ainsi que leur respect — relève également d’une « responsabilité globale » à l’échelle de l’entreprise, dont chacun est responsable. « J’essaie toujours de faire comprendre que, désormais, tous les collaborateurs d’une entreprise font partie du service informatique », explique Perry. « Si vous disposez d'un identifiant et d'un mot de passe et que vous accédez à quelque chose, vous exercez désormais, dans une certaine mesure, une fonction informatique. »
Après tout, les membres du personnel informatique ont les mains liées si les employés contournent systématiquement l'authentification multifactorielle ou définissent des mots de passe non sécurisés.
En fin de compte, les dirigeants doivent mettre en œuvre une stratégie solide visant à identifier, évaluer, surveiller et protéger leurs données les plus précieuses, le tout dans le cadre d'une culture de la sécurité. Si elles ne sont pas en mesure de faire face à l'assaut des attaques par faisceaux laser visant leurs données hautement sensibles, les entreprises s'exposent à une perte potentiellement dévastatrice de leur réputation, de leur clientèle et de leurs actifs les plus précieux.
