Tout d’abord, la bonne nouvelle : 2021 est derrière nous. Elle deviendra l’une des pires, avec des piratages criminels majeurs pour les gazoducs, les emballeurs de viande, les services publics, les agences gouvernementales, les établissements de santé et d’autres infrastructures critiques.
La mauvaise nouvelle : 2022 pourrait être une consternation. Tout comme l’attaque SolarWinds s’est accélérée début 2021, début 2022 sonne dans la nouvelle année avec l’un des défauts logiciels les plus risqués de l’histoire : la vulnérabilité Log4j .
La Federal Trade Commission a intensifié la pression, avertissant cette semaine qu’elle poursuivrait des entreprises qui ne corrigent pas le défaut. Elle a cité son propre règlement de 700 millions USD avec Equifax en 2019 pour n’avoir pas corrigé une vulnérabilité qui a exposé les informations personnelles de 147 millions de consommateurs, comme exemple de ce qui pourrait arriver à d’autres entreprises.
Personne à un poste de direction ne se sent en sécurité. Selon une récente enquête de Tanium auprès de 345 professionnels de la cybersécurité, la majorité (64 %) estiment qu’il est modérément à extrêmement probable qu’ils seront victimes d’une cyberattaque réussie au cours des 12 prochains mois. Les logiciels malveillants représentent la plus grande menace de sécurité pour les organisations (35 %), suivis des erreurs humaines (24 %), des menaces internes (20 %) et des exploits zero-day (11 %).
Pour anticiper leurs préoccupations spécifiques, Endpoint a parlé à des dizaines d’experts en sécurité pour connaître leurs priorités de sécurité pour l’année à venir.
Se préparer à une attaque de ransomware
Étant donné que les attaques par rançongiciels sont si rentables et impliquent un risque si faible pour leurs auteurs, elles continueront à venir et les attaquants continueront d’innover.
L’année dernière (alias 2021) a connu une augmentation significative des attaques RaaS (rançongiciel en tant que service) et des attaques par double extorsion. Avec le ransomware en tant que service, les cybercriminels offrent des logiciels malveillants aux autres sur une base de paiement à l’utilisation.
Des experts affirment qu’en 2022, les entreprises et d’autres organisations verront une augmentation d’un modèle d’affiliation de cybermenaces alors que les cybercriminels embauchent plus de personnes, sous-traitent du travail ou louent des outils à des affiliés.
Avec le ransomware à double extorsion, les attaquants volent d’abord les données des victimes avant de les chiffrer pour obtenir une rançon. Ensuite, si la victime refuse de payer pour récupérer l’accès à ses données, les attaquants peuvent les proposer au plus soumissionnaire ou les télécharger sur Internet.
Les premières mesures prises après une telle attaque permettent aux RSSI et aux équipes de réponse aux incidents de s’exécuter rapidement, en se concentrant particulièrement sur les sauvegardes et la résilience. La direction de la sécurité double la segmentation du réseau (en composants physiques ou logiques plus petits), les solutions de gestion des actifs, les outils de gestion des vulnérabilités, la planification de la continuité des activités et les exercices trimestriels de réponse aux incidents.
De nombreux leaders devront déployer des exercices de table pour atténuer les ransomwares rapidement et efficacement.
Passer de Zero Trust du tableau blanc à la mise en œuvre
Si 2021 était l’année où le secteur de la sécurité a parlé de Zero Trust, 2022 sera l’année où les équipes de sécurité la mettront en pratique.
« Si vous ne l’avez pas déjà fait, 2022 est le moment de mettre tout en œuvre en matière de Zero Trust », déclare Amanda Fennell, directrice des systèmes d’information et DSI chez Relativity, un fournisseur de logiciels juridiques et de conformité de bout en bout.
Dans le modèle de travail hybride d’aujourd’hui, les organisations doivent fournir aux utilisateurs l’accès minimal dont ils ont besoin pour accomplir leur mission. Le contrôle de l’accès permet de maîtriser facilement un appareil compromis, d’autant plus que la main-d’œuvre à distance ajoute plus d’endpoints en dehors du périmètre traditionnel.
« Si vous ne l’avez pas déjà fait, 2022 est le moment de tout mettre en œuvre sur Zero Trust. »Amanda Fennell, CSO et DSI, Relativity
Pour rester compétitifs, les experts en sécurité affirment que les organisations exigent les meilleures ressources informatiques et changent rapidement. Le personnel de sécurité, comme tous les travailleurs actuels dans divers services, s’attend à pouvoir travailler de n’importe où.
That expectation allows security leaders to shift from traditional network-centric security models and create granular access controls focused on user identity and endpoint trustworthiness.
Spending on zero trust is expected to reach about $39 billion in 2024, up from $16 billion in 2019, according to the B2B research firm MarketsandMarkets.
Intégration de la cybersécurité aux objectifs commerciaux
Depuis des années, les responsables de la sécurité s’efforcent de mieux aligner leur investissement en sécurité sur la valeur commerciale des appareils et des données qu’ils protègent. Mais aujourd’hui , les attaques coûteuses et le rythme croissant de la transformation numérique des entreprises signifient que cela sera plus critique que jamais en 2022.
« Nous sommes tous exposés à des acteurs au niveau de l’État, ce qui signifie que l’heure amateur est terminée. »David Elfering, directeur principal de la sécurité de l’information, ReSource Pro
« Cela a toujours été essentiel, mais maintenant nous sommes tous exposés à des acteurs au niveau de l’État, et cela signifie que l’heure amateur est terminée », déclare David Elfering, directeur principal de la sécurité de l’information chez ReSource Pro, qui fournit une plateforme de productivité pour les opérations d’assurance.
Bien que les responsables de la sécurité puissent se sentir dépassés par les capacités des pirates les plus sophistiqués, il n’est jamais trop tard pour augmenter la préparation organisationnelle. « Nous pouvons toujours déplacer la barre plus haut », déclare Elfering. « L’équipe de sécurité doit comprendre l’entreprise afin qu’elle puisse la protéger et gérer réellement les risques. »
Sécuriser la chaîne d’approvisionnement
Cela fait un peu plus d’un an que l’attaque SolarWinds s’est produite, et les RSSI ont toujours peu de visibilité sur leurs propres risques logiciels tiers. Mais les cyber-risques liés aux logiciels de la chaîne d’approvisionnement ont vu le jour en 2021, plus récemment avec la vulnérabilité Log4j .
Plusieurs initiatives sont en cours pour aider les systèmes de correctifs, y compris le récent décret de la Maison-Blanche qui espère renforcer les normes de sécurité des logiciels, mandater et accélérer certaines notifications de violation, et augmenter le partage d’informations de cybersécurité entre les organisations.
L’appel à une « nomenclature logicielle » (SBOM) vise à améliorer les risques de la chaîne d’approvisionnement des logiciels tiers en détaillant tous les composants d’un logiciel.
Les RSSI doivent devenir sérieux. Ils doivent vérifier les accords de niveau de service (SLA) pour tenir les tiers responsables.
Automatiser ce qui peut être automatisé
Lorsque la plupart des professionnels de la sécurité pensent à l’automatisation, ils pensent aux capacités autour de « l’orchestration, l’automatisation et la réponse de la sécurité » (SOAR). Et c’est sans aucun doute la majeure partie de l’investissement dans l’ automatisation de la sécurité . Cependant, il est également essentiel d’automatiser les workflows quotidiens, y compris la gestion des actifs, la gestion des identités, la gestion des vulnérabilités et, bien sûr, la gestion des correctifs.
« Les RSSI doivent se concentrer du mieux possible sur leur efficacité. »Scott Crawford, responsable de la recherche sur la sécurité de l’information, 451 Research
L’automatisation doit être une chose humaine. Chaque RSSI dispose de dizaines de systèmes et d’outils qui sont essentiels à l’entreprise, mais jamais assez d’œil pour développer la bonne compréhension des menaces, des risques, des performances et de la cohérence.
Les entreprises peuvent disposer des processus et tableaux de bord les plus incroyables, mais si elles ne rendent pas les workflows efficaces et ne font pas gagner du temps aux analystes, il ne s’agit que d’un autre aspect. L’automatisation doit être prioritaire dans les domaines qui réduisent la fatigue liée aux alertes et les erreurs humaines, et accélèrent le temps de récupération.
Se concentrer sur les fondamentaux
Les professionnels de la sécurité ont encore beaucoup à faire pour sécuriser leurs systèmes d’entreprise. Ils doivent également établir des protocoles de base, comme une cyberhygiène appropriée.
« L’accent sera mis sur un grand nombre des fondamentaux dont les organisations ont besoin pour se protéger contre les rançongiciels et atténuer les risques liés aux tiers », déclare Scott Crawford, responsable de la recherche sur la sécurité de l’information chez 451 Research. « Ce sont les choses de base que les équipes de sécurité ont dû faire et sur lesquelles elles ont travaillé dans une certaine mesure. Mais rien de tout cela ne signifie que ces tâches sont faciles. »
[Lire également : Cyberhygiène : la gestion proactive des risques commence ici]
En effet, de nombreux RSSI réaliseront en 2022 qu’ils doivent revenir aux bases de la cybersécurité, y compris la détection et la réponse aux incidents, déclare Martin Fisher, directeur de la sécurité de l’information et RSSI au Northside Hospital d’Atlanta.
« Le rythme des menaces zero-day combiné à la vitesse à laquelle l’entreprise ajoute de nouvelles technologies au réseau signifie que pouvoir trouver et réagir aux menaces rapidement et efficacement sera essentiel », déclare Fisher.
Tous les problèmes ci-dessus sont difficiles, d’une année sur l’autre. « Ce n’est pas par manque d’attention ou de volonté de résoudre ces défis », déclare Crawford. « C’est juste qu’il s’agit de problèmes très difficiles. Les RSSI doivent se concentrer au mieux sur leur efficacité. »
