En fin de compte, la mort est arrivée rapidement. Le 1 janvier 2021, les fabricants d’Adobe Flash, qui était autrefois le lecteur multimédia omniprésent sur les ordinateurs de bureau, les notebooks et d’autres endpoints, ont mis fin à leur prise en charge du logiciel de buggy après son exécution de plus de deux décennies.
Pendant une grande partie de son règne, Flash a été confronté à de graves failles de sécurité. Mais cela n’a pas empêché de nombreuses entreprises d’utiliser l’application facile à déployer.
En effet, les développeurs Web avaient trouvé Flash simple pour créer des interfaces utilisateur attrayantes et pour intégrer des vidéos multimédias sur leurs sites d’entreprise. À tel point qu’ils ont éliminé les avertissements d’Adobe et maintenu l’application en fonctionnement, sur jusqu’à 1 milliard d’endpoints au plus haut de son utilisation.
Pour des personnes comme Bill Pelletier, la réticence des équipes d’entreprise à équilibrer la commodité d’applications comme Flash avec de bonnes décisions de sécurité peut être coûteuse. En tant qu’architecte de sécurité dans une compagnie d’assurance nationale au cours de l’année 2010s, il a averti son entreprise qu’il n’utilisait pas Flash pour collecter les données des utilisateurs et fournir des devis sur les navigateurs des utilisateurs. Personne n’a écouté. « Soudain, la migration vers l’extérieur de Flash a fini par devenir un effort d’un million de dollars au cours de plusieurs années », déclare M. Pelletier.
« Soudain [pour nous], la migration vers Flash a fini par devenir un effort d’un million de dollars au cours de plusieurs années. »Bill Pelletier, architecte de sécurité
Aujourd’hui, Pelletier déclare que les entreprises doivent entendre cette leçon, car il existe des centaines, voire des milliers, d’applications et de bits d’applications exécutées dans les entreprises du monde entier qui présentent des risques de sécurité similaires. Il ajoute que le risque/récompense du choix des applications doit être soigneusement équilibré, et qu’elles doivent être surveillées, corrigées et tenues à jour tout au long de leur cycle de vie, y compris leur fin de vie naturelle.
Lorsque les applications ne sont pas corrigées et non entretenues, elles peuvent souvent être exploitées à distance tant qu’une entreprise les utilise. Les entreprises qui fusionnent ou acquièrent d’autres entreprises sans comprendre pleinement la pile technologique qu’elles héritent souffrent souvent le plus du manque de capacité à évaluer et corriger.
Étant donné qu’une grande partie de la main-d’œuvre d’aujourd’hui travaille à distance, les risques sont encore plus élevés. « Nous ne travaillons plus dans le cadre des protections d’un pare-feu réseau d’entreprise », déclare M. Pelletier. « Nous sommes désormais assis dans des bureaux à domicile, sur des canapés et branchés à nos modems câblés de bureau à domicile ou utilisons le Wi-Fi public pendant les déplacements. »
Bien qu’une sécurité efficace des endpoints ne soit pas obtenue en un « flash », les experts affirment que les équipes de sécurité doivent adhérer à ces cinq stratégies de sécurité de base.
5 stratégies de sécurité
Former les travailleurs pour qu’ils soient sensibilisés à la sécurité
La première ligne de défense concerne les personnes derrière les endpoints, les ordinateurs portables, les PC, les tablettes et autres appareils avec lesquels les organisations les ont déployés pour effectuer leur travail à distance. Les équipes de sécurité ainsi que les RH doivent former efficacement les travailleurs à se méfier de cliquer sur des e-mails d’hameçonnage attrayants ou d’installer des applications indésirables ou à risque. « La formation à la sensibilisation à la sécurité est indispensable », déclare Ken Swick, consultant principal en sécurité chez Manchester, fournisseur de services de sécurité basé en Angleterre NCC Group. « La formation de sensibilisation permet de s’assurer que les utilisateurs n’introduisent pas ces mauvaises choses. Il peut également sensibiliser les utilisateurs aux dangers du stockage d’informations sensibles sur leurs endpoints. »
Un programme solide de sensibilisation et de formation à la sécurité doit commencer par un responsable de formation dédié qui peut expliquer des sujets complexes et stimuler l’engagement des employés, et non pas surcharger les travailleurs avec de la fatigue en matière de sécurité. Cela signifie souvent éviter le type de sécurité qui incite de nombreuses entreprises à s’engager et à se tourner plutôt vers une formation de sécurité gamifiée et des vidéos interactives qui incluent les travailleurs dans le processus de sécurité et les maintiennent engagés.
[Lire également : Comment transformer les télétravailleurs en défenseurs de la sécurité]
Cette formation doit être répétée et doit se concentrer sur l’évolution des comportements à long terme. Une étude 2020 menée par Forrester Consulting pour la société de sécurité des e-mails et des données Mimecast a révélé que l’éducation à la sécurité seule n’aide pas. Malgré la formation de sensibilisation à la sécurité, un tiers des répondants à l’enquête, en moyenne, ont admis contourner les politiques de sécurité, montrant que le comportement cybernétique lui-même doit changer.
Améliorer la visibilité informatique
Pouvoir arrêter une violation est préférable à avoir à détecter une violation. Cela rend une bonne gestion des endpoints essentielle. Selon une enquête Tanium de 2020 auprès de 750 décideurs informatiques, 94 % des DSI ont découvert des endpoints dans leur environnement dont ils n’avaient pas connaissance, nuisant ainsi à leur capacité à réduire les risques de sécurité potentiels associés à ces endpoints.
Les équipes de technologie commerciale doivent savoir quels appareils les employés utilisent, où résident ces appareils, quelles applications ils exécutent et quels types de données ils traitent et contiennent. « Il est essentiel d’avoir de bonnes informations sur les endpoints utilisés », déclare Fernando Montenegro, analyste de sécurité chez la société d’études de marché S&P Global Market Intelligence.
Bill Pelletier ajoute que la gestion des appareils doit figurer sur la liste d’actions de chaque organisation, si ce n’est pas déjà le cas. « Vous devez avoir la possibilité de gérer tous ces appareils, quel que soit leur emplacement, afin de pouvoir faire toute l’hygiène dont vous avez besoin pour rester en sécurité », déclare-t-il.
Pratiquer l’hygiène informatique
La meilleure façon de protéger les pirates informatiques des endpoints est de fermer autant d’entrées que possible. Les équipes informatiques peuvent le faire grâce à la gestion de la configuration, à l’application des politiques et à des correctifs efficaces. « Une bonne hygiène signifie que les choses restent bien corrigées », déclare Pelletier. « Cela signifie réduire votre dépendance aux composants obsolètes tels que Java. » Il demande : « Pourquoi avez-vous besoin de Java 1,41 sur votre appareil ? »
En plus d’installer les derniers correctifs pour tenir les attaquants et les logiciels malveillants à distance, il est également essentiel d’appliquer en permanence une politique de configuration d’appareil appropriée, telle que l’identification des applications indésirables. « Avoir la capacité de s’assurer que seuls les logiciels autorisés sont installés et correctement configurés sur l’endpoint est un contrôle important pour la cohérence, la légalité et l’assistance », déclare Swick.
Assurer une télémétrie précise
Les équipes informatiques doivent comprendre le contexte commercial de chaque appareil. Cela inclut le rôle du propriétaire de l’appareil et les types d’actions que l’utilisateur effectue, qui seraient largement basés sur la télémétrie : les données et communications automatisées sur les systèmes exécutés sur un endpoint. Cela permet à son tour de s’assurer que les politiques de défense et de sécurité appropriées sont en place. Pour l’endpoint d’un directeur financier, la sécurité inclurait la même surveillance du flux de trafic réseau, du cloud et des processus d’endpoint, ainsi qu’une surveillance supplémentaire. Cela pourrait inclure la surveillance du comportement des applications des systèmes financiers auxquels le directeur financier aurait accès.
« Nous voyons à quel point la télémétrie des endpoints est précieuse pour comprendre ce qui se passe dans le monde. Cela va bien au-delà de la détermination si le VPN est utilisé ou non sur l’appareil », déclare le Monténégro. « Il s’agit davantage de comprendre l’état de l’appareil et la manière dont il est utilisé. Cela inclut la télémétrie des systèmes de messagerie, des systèmes de gestion des identités et des accès, ou des informations commerciales contextuelles afin que de meilleures décisions de sécurité puissent être prises. »
Améliorer la réponse aux incidents sur les endpoints
À terme, chaque organisation subit une violation des endpoints, que ce soit en raison de logiciels vulnérables ou d’un membre du personnel cliquant sur un lien dans un e-mail d’hameçonnage. Une mauvaise sécurité, y compris la sécurité des endpoints, est coûteuse. Selon le rapport 2020 sur le coût d’une violation de données, avec des recherches fournies par le Ponemon Institute et publiées par IBM Security, le coût moyen d’une violation de données était de 3,86 millions USD dans le monde. Temps moyen pour repérer ou contenir une violation : 280 jours.
Bien que de nombreux aspects de la sécurité des endpoints soient restés les mêmes au fil des ans, la complexité et l’échelle du problème ont continué à augmenter. « Les compétences dont les entreprises ont désormais besoin sont la capacité de répondre à grande échelle, car les entreprises font désormais face au défi de dizaines de milliers ou de centaines de milliers d’appareils », déclare le Monténégro.
La réponse aux incidents est également cruciale pour la conformité réglementaire, une préoccupation qui a finalement tordu Flash dans la compagnie d’assurance où Bill Pelletier a travaillé. « Ils [l’équipe de développement Web] voulaient exécuter des informations de paiement via Flash, et nous leur avons essentiellement dit que cela n’allait pas se produire », dit-il.
Pourtant, Flash s’est initialement produit parce qu’il fonctionnait et qu’il était si facile à utiliser. Et c’est la même bataille que les professionnels de la sécurité doivent combattre et gérer chaque jour sur tous les endpoints de leur entreprise s’ils veulent les protéger.
