Tout d'abord, la bonne nouvelle : le 2021 est derrière nous. Cet épisode restera dans les annales comme l'un des pires, avec des piratages criminels de grande ampleur visant des gazoducs, des entreprises de transformation de viande, des services publics, des agences gouvernementales, des établissements de santé et d'autres infrastructures critiques.
La mauvaise nouvelle : la 2022 pourrait bien être un véritable casse-tête. Tout comme l'attaque SolarWinds s'était intensifiée au début de l'année 2021, le début de l'année 2022 s'ouvre sur l'une des failles logicielles les plus dangereuses de l'histoire : la vulnérabilité « Log4j ».
La Commission fédérale du commerce (FTC) a intensifié la pression : a averti cette semaine qu'elle poursuivrait les entreprises qui ne corrigeaient pas cette faille. Elle a cité son propre accord à l'amiable de 700 millions de dollars conclu en 2019 avec Equifax dans le cadre d'une affaire relevant de la loi sur la protection des données ( ), en raison de l'absence de correction d'une faille de sécurité ayant exposé les données personnelles de 147 millions de consommateurs, comme exemple de ce qui pourrait arriver à d'autres entreprises.
Aucun dirigeant ne se sent en sécurité. Selon une récente enquête menée par Tanium et publiée par « », à laquelle ont participé 345 professionnels de la cybersécurité, la majorité d’entre eux (64 %) estime qu’il est modérément à extrêmement probable qu’ils soient victimes d’une cyberattaque réussie au cours des 12 prochains mois. Les logiciels malveillants constituent la principale menace pour la sécurité des organisations (35 %), suivis par l'erreur humaine (24 %), les menaces internes (20 %) et les exploits « zero-day » (11 %).
Afin d'anticiper leurs préoccupations spécifiques, Endpoint s'est entretenu avec des dizaines d'experts en sécurité afin de connaître leurs priorités en matière de sécurité pour l'année à venir.
Se préparer à une vague de ransomware
Étant donné que les attaques par ransomware de type « » ( ) sont extrêmement lucratives et ne présentent qu’un risque très faible pour leurs auteurs, elles ne cesseront pas et les pirates continueront à innover.
L'année dernière (c'est-à-dire 2021) a été marquée par une augmentation significative des attaques dites de type « ransomware-as-a-service » (RaaS) et de double extorsion. Avec le modèle « ransomware-as-a-service », les cybercriminels proposent des logiciels malveillants à des tiers selon un principe de paiement à l'utilisation.
Selon les experts, en 2022, les entreprises et autres organisations verront se multiplier les cybermenaces de type « affilié », les cybercriminels recrutant davantage de personnes, sous-traitant certaines tâches ou louant des outils à des affiliés.
Dans le cas des ransomwares de double extorsion, les attaquants volent d’abord les données de la victime avant de les chiffrer pour exiger une rançon. Ensuite, si la victime refuse de payer pour récupérer l'accès à ses données, les pirates peuvent les proposer au plus offrant ou les publier sur Internet.
Les premières mesures prises à la suite d'une telle attaque permettent aux responsables de la sécurité des systèmes d'information (CISO) et aux équipes d'intervention en cas d'incident d'agir rapidement, en se concentrant notamment sur les sauvegardes et la résilience. Les responsables de la sécurité misent davantage sur la segmentation du réseau (en composants physiques ou logiques plus petits), les solutions de gestion des actifs « », les outils de gestion des vulnérabilités, la planification de la continuité des activités et les exercices trimestriels de gestion des incidents.
De nombreux dirigeants devront mettre en place des exercices de simulation afin de contrer rapidement et efficacement les attaques par rançongiciel.
Passer du concept théorique du « zero trust » à sa mise en œuvre
Si 2021 a été l'année où le secteur de la sécurité a beaucoup parlé du « zero trust » ( ), , 2022 sera celle où les équipes de sécurité mettront ce concept en pratique.
“If you haven’t already, 2022 is the time to go all-in on zero trust,” says Amanda Fennell, CSO and CIO at Relativity, a provider of end-to-end legal and compliance software.
Dans le modèle de travail hybride actuel, explique-t-elle, les organisations doivent fournir aux utilisateurs l'accès strictement nécessaire à l'accomplissement de leur mission. Le contrôle des accès permet de circonscrire facilement un appareil compromis, d'autant plus que le télétravail ajoute de nouveaux terminaux situés en dehors du périmètre traditionnel.
“If you haven’t already, 2022 is the time to go all-in on zero trust.”Amanda Fennell, responsable de la sécurité des systèmes (CSO) et directrice des systèmes d'information (CIO) chez Relativity
Selon les experts en sécurité, pour rester compétitives, les entreprises ont besoin de ressources informatiques de pointe et en constante évolution. Les agents de sécurité, à l'instar de tous les salariés qui travaillent aujourd'hui dans divers services, s'attendent à pouvoir travailler de n'importe où.
Cette perspective permet aux responsables de la sécurité de s'éloigner des modèles traditionnels centrés sur le réseau et de mettre en place des contrôles d'accès granulaires axés sur l'identité des utilisateurs et la fiabilité des terminaux.
Les dépenses consacrées au modèle « zero trust » devraient atteindre environ 39 milliards de dollars en 2024, contre 16 milliards en 2019, selon le cabinet d'études MarketsandMarkets ( B2B ).
Intégrer la cybersécurité aux objectifs de l'entreprise
Depuis des années, les responsables de la sécurité s'efforcent de mieux adapter leurs investissements en matière de sécurité à la valeur commerciale des appareils et des données qu'ils protègent. Mais l'avalanche actuelle d'attaques coûteuses et l'accélération de la transformation numérique des entreprises font que cela sera plus crucial que jamais en 2022.
«Nous sommes tous exposés à des acteurs agissant au niveau de l’État, ce qui signifie que le temps de l’amateurisme est révolu. »David Elfering, directeur principal de la sécurité de l'information chez ReSource Pro
« Cela a toujours été crucial, mais aujourd’hui, nous sommes tous exposés à des acteurs agissant au niveau de l’État, ce qui signifie que le temps de l’amateurisme est révolu », déclare David Elfering, directeur principal de la sécurité de l’information chez ReSource Pro, qui fournit une plateforme de productivité destinée aux opérations d’assurance.
Même si les responsables de la sécurité peuvent se sentir dépassés par les capacités des pirates informatiques les plus sophistiqués, il n’est jamais trop tard pour renforcer la préparation de l’organisation. « Nous pouvons encore placer la barre plus haut », déclare M. Elfering. « L'équipe de sécurité doit bien comprendre l'activité de l'entreprise afin de pouvoir la protéger et gérer efficacement les risques. »
Sécuriser la chaîne d'approvisionnement
Cela fait un peu plus d'un an que l'attaque SolarWinds a eu lieu, et les responsables de la sécurité des systèmes d'information (RSSI) n'ont toujours qu'une visibilité limitée sur les risques liés à leurs propres logiciels tiers. Mais les cyber-risques pesant sur les logiciels de chaîne d'approvisionnement ont été mis en évidence en 2021, et plus récemment avec la vulnérabilité Log4j .
Plusieurs initiatives sont en cours pour aider à sécuriser les systèmes, notamment le récent décret présidentiel intitulé « » ( ) publié par la Maison Blanche, qui vise à renforcer les normes de sécurité des logiciels, à rendre obligatoires et à accélérer certaines notifications de violation de données, ainsi qu’à intensifier le partage d’informations en matière de cybersécurité entre les organisations.
La demande d'une « liste des composants logiciels » (SBOM) vise à réduire les risques liés à la chaîne d'approvisionnement des logiciels tiers en répertoriant en détail tous les composants d'un logiciel.
Les responsables de la sécurité des systèmes d'information (RSSI) doivent prendre les choses au sérieux. Ils doivent vérifier les accords de niveau de service (SLA) afin de pouvoir demander des comptes aux tiers.
Automatiser ce qui peut l'être
Lorsque la plupart des professionnels de la sécurité pensent à l'automatisation, ils pensent aux fonctionnalités liées à « l'orchestration, l'automatisation et la réponse en matière de sécurité » (SOAR). Et c'est sans aucun doute là que se concentre l'essentiel de l' l'automatisation de la sécurité . Il est toutefois également essentiel d’automatiser les processus quotidiens, notamment la gestion des actifs, la gestion des identités, la gestion des vulnérabilités et, bien sûr, la gestion des correctifs .
«Les RSSI doivent s’efforcer autant que possible de gagner en efficacité et en performance. »Scott Crawford, responsable de la recherche en sécurité de l'information chez 451 Research
L'automatisation doit être axée sur l'humain. Chaque RSSI dispose de dizaines de systèmes et d'outils essentiels à l'activité de l'entreprise, mais ne dispose jamais de suffisamment de ressources humaines pour acquérir une bonne compréhension des menaces, des risques, des performances et de la cohérence.
Les entreprises peuvent disposer des processus et des tableaux de bord les plus performants qui soient, mais si ceux-ci ne permettent pas d'optimiser les flux de travail et de faire gagner du temps aux analystes, ils ne sont qu'une interface de plus. Il convient de privilégier l'automatisation dans les domaines permettant de réduire la fatigue liée aux alertes d' , ainsi que les erreurs humaines, et d'accélérer les délais de reprise.
Se concentrer sur l'essentiel
Les professionnels de la sécurité ont encore beaucoup à faire pour sécuriser les systèmes de leur entreprise. Ils doivent également mettre en place des protocoles de base, tels que les bonnes pratiques en matière de cyberhygiène, disponibles à l'adresse .
« L’accent sera mis sur bon nombre des principes fondamentaux dont les organisations ont besoin pour se protéger contre les ransomwares et atténuer les risques liés aux tiers », explique Scott Crawford, responsable de la recherche en sécurité de l’information chez 451 Research. « Ce sont là les mesures fondamentales que les équipes de sécurité devaient mettre en œuvre et auxquelles elles se sont déjà attelées dans une certaine mesure. » « Mais cela ne veut pas dire pour autant que ces tâches soient faciles. »
En effet, de nombreux RSSI se rendront compte en 2022 qu’ils doivent revenir aux principes fondamentaux de la cybersécurité, notamment la détection et la gestion des incidents, explique Martin Fisher, directeur de la sécurité de l’information et RSSI à l’hôpital Northside d’Atlanta.
« Le rythme auquel apparaissent les menaces de type « zero-day », combiné à la rapidité avec laquelle l’entreprise intègre de nouvelles technologies à son réseau, signifie qu’il sera essentiel de pouvoir détecter les menaces et y répondre rapidement et efficacement », explique M. Fisher.
Tous les problèmes mentionnés ci-dessus constituent des défis de taille qui se posent d'année en année. « Ce n’est pas par manque d’attention ou de volonté de relever ces défis », déclare Crawford. « C’est simplement que ce sont des problèmes très difficiles. » « Les responsables de la sécurité des systèmes d'information (RSSI) doivent s'efforcer autant que possible de gagner en efficacité et en performance. »
