Finalement, la mort est survenue très vite. Le 1 janvier 2021, les développeurs d'Adobe Flash, qui avait autrefois été le lecteur multimédia incontournable sur les ordinateurs de bureau, les ordinateurs portables et autres terminaux, ont mis fin au support de ce logiciel bogué après plus de deux décennies d'existence.
Pendant une grande partie de son existence, Flash a été en proie à de graves failles de sécurité . Mais cela n'a pas empêché de nombreuses entreprises d'utiliser cette application facile à déployer.
En effet, les développeurs web considéraient Flash comme un outil simple pour créer des interfaces utilisateur attrayantes et intégrer des vidéos multimédias sur leurs sites d'entreprise. À tel point qu’ils ont ignoré les avertissements d’Adobe et ont continué à utiliser l’application — sur pas moins d’un milliard de terminaux au plus fort de son utilisation.
Pour des personnes telles que Bill Pelletier, la réticence des équipes d'entreprise à trouver un juste équilibre entre la commodité d'applications comme Flash et des choix judicieux en matière de sécurité peut s'avérer coûteuse. En tant qu'architecte en sécurité au sein d'une compagnie d'assurance nationale de la région 2010s, il a mis en garde son entreprise contre l'utilisation de Flash pour collecter des données sur les utilisateurs et proposer des devis sur les navigateurs de ces derniers. Personne n'a écouté. « Tout à coup, l'abandon de Flash s'est avéré être un projet d'un million de dollars s'étalant sur plusieurs années », explique M. Pelletier.
«Du jour au lendemain, [pour nous], l'abandon de Flash s'est transformé en un projet d'un million de dollars s'étalant sur plusieurs années. »Bill Pelletier, architecte en sécurité
Aujourd’hui, M. Pelletier affirme que les entreprises doivent tirer les leçons de cette expérience, car il existe des centaines, voire des milliers, d’applications et de composants d’applications en service au sein des entreprises du monde entier qui présentent des risques de sécurité similaires. Il ajoute qu’il convient de trouver un juste équilibre entre les risques et les avantages liés au choix des applications, et que celles-ci doivent faire l’objet d’une surveillance , d’une analyse, d’une application de correctifs et d’une mise à jour tout au long de leur cycle de vie, y compris jusqu’à leur fin de vie naturelle.
Lorsque les applications ne font l'objet d'aucune mise à jour ni d'aucune maintenance, elles peuvent souvent faire l'objet d'attaques à distance tant qu'une entreprise continue de les utiliser. Les entreprises qui fusionnent avec d'autres sociétés ou en font l'acquisition sans bien comprendre l'architecture technologique dont elles héritent sont souvent celles qui souffrent le plus de leur incapacité à évaluer et à corriger les failles.
Comme une grande partie des salariés travaillent aujourd’hui à distance, les risques sont encore plus élevés. « Nous ne travaillons plus sous la protection du pare-feu d’un réseau d’entreprise », explique M. Pelletier. « Nous travaillons désormais depuis notre bureau à domicile, installés sur notre canapé, connectés à notre modem par câble ou utilisant un réseau Wi-Fi public lorsque nous voyageons. »
Même si la mise en place d'une sécurité efficace des terminaux ne se fait pas « en un clin d'œil », les experts estiment que les équipes de sécurité devraient adopter ces cinq stratégies de sécurité fondamentales.
5 stratégies de sécurité
Former les employés à la sécurité
La première ligne de défense, ce sont les personnes qui utilisent les terminaux : les ordinateurs portables, les PC, les tablettes et autres appareils que les entreprises ont mis à leur disposition pour leur permettre de travailler à distance. Les équipes de sécurité, en collaboration avec les ressources humaines, doivent former efficacement les employés à se méfier des , à ne pas cliquer sur des e-mails de hameçonnage alléchants et à ne pas installer d'applications malveillantes ou à risque. « La formation à la sensibilisation à la sécurité est indispensable », déclare Ken Swick , et consultant senior en sécurité chez NCC Group, prestataire de services de sécurité basé à Manchester, en Angleterre. « Une formation de sensibilisation permet de s'assurer que les utilisateurs n'introduisent pas ces éléments indésirables. » « Cela permet également de sensibiliser les utilisateurs aux dangers liés au stockage d'informations sensibles sur leurs terminaux. »
Un programme solide de sensibilisation et de formation à la sécurité doit commencer par la désignation d'un responsable de formation dédié, capable d'expliquer des sujets complexes et de susciter l'engagement des employés, sans pour autant les submerger et leur causer une « fatigue de la sécurité ». Cela implique souvent d'éviter le genre de discours moralisateurs sur la sécurité que de nombreuses entreprises ont l'habitude de tenir, et de privilégier à la place des formations à la sécurité sous forme de jeux et des vidéos interactives qui impliquent les employés dans le processus de sécurité et suscitent leur engagement.
[À lire également : Comment faire des télétravailleurs des ambassadeurs de la sécurité]
Cette formation doit être renouvelée et doit viser à modifier les comportements à long terme. Une étude intitulée « 2020 » ( ), menée par Forrester Consulting pour le compte de la société de sécurité des e-mails et des données Mimecast , a révélé que la sensibilisation à la sécurité, à elle seule, ne suffit pas. Bien qu'ils aient suivi une formation à la sensibilisation à la sécurité, un tiers des personnes interrogées, en moyenne, ont admis contourner les règles de sécurité, ce qui montre que ce sont les comportements en ligne eux-mêmes qui doivent changer.
Améliorer la visibilité informatique
Il vaut mieux pouvoir empêcher une intrusion que de devoir la détecter. C'est pourquoi une bonne gestion des terminaux est indispensable. Selon une enquête menée par Tanium 2020 auprès de 750 décideurs informatiques, 94 % des DSI ont découvert dans leur environnement des terminaux dont ils ignoraient l'existence, ce qui entrave leur capacité à réduire les risques de sécurité potentiels associés à ces terminaux.
Les équipes chargées des technologies de l'entreprise doivent savoir quels appareils les collaborateurs utilisent, où se trouvent ces appareils, quelles applications ils exécutent, ainsi que les types de données qu'ils traitent et contiennent. « Il est essentiel de disposer d’informations fiables sur les terminaux utilisés », déclare Fernando Montenegro , analyste en sécurité chez , au sein du cabinet d’études de marché S&P Global Market Intelligence.
Bill Pelletier ajoute que la gestion des appareils « » doit figurer sur la liste des mesures à prendre de chaque organisation, si ce n'est déjà le cas. « Il faut être capable de gérer tous ces appareils, quel que soit leur emplacement, afin de pouvoir mettre en œuvre toutes les mesures de sécurité nécessaires pour garantir leur protection », explique-t-il.
Adoptez de bonnes pratiques informatiques
Le meilleur moyen d'empêcher les attaquants d'accéder aux terminaux consiste à fermer autant de points d'entrée que possible. Les équipes informatiques peuvent y parvenir grâce à la gestion des configurations, à l'application des politiques et à la mise en place efficace des correctifs. « Une bonne hygiène, c'est veiller à ce que tout soit bien entretenu », explique M. Pelletier. « Cela signifie que vous devez réduire votre dépendance vis-à-vis de composants obsolètes tels que Java. » Il demande : « Pourquoi avez-vous besoin de Java 1,41 sur votre appareil ? »
Outre l'installation des derniers correctifs pour tenir à distance les pirates et les logiciels malveillants, il est également essentiel de veiller en permanence au respect d'une politique de configuration adéquate des appareils, notamment en identifiant les applications non autorisées. « La capacité à garantir que seuls les logiciels autorisés soient installés et correctement configurés sur le terminal constitue un contrôle essentiel en matière de cohérence, de conformité légale et d'assistance », explique M. Swick.
Veillez à ce que la télémétrie soit précise
Les équipes informatiques doivent comprendre le contexte métier de chaque appareil. Cela inclut le rôle du propriétaire de l'appareil et les types d'actions effectuées par l'utilisateur, qui s'appuieraient en grande partie sur la télémétrie — — c'est-à-dire les données et communications automatisées concernant les systèmes fonctionnant sur un terminal. Cela permet ainsi de garantir la mise en place de mesures de protection et de politiques de sécurité adéquates. Pour un terminal d'un directeur financier, la sécurité comprendrait ces mêmes mesures de surveillance du trafic réseau, du cloud et des processus des terminaux, ainsi que des mesures de surveillance supplémentaires. Cela pourrait notamment inclure la surveillance du fonctionnement des applications des systèmes financiers auxquels le directeur financier aurait accès.
« Nous constatons à quel point les données télémétriques des terminaux sont précieuses pour comprendre ce qui se passe dans le monde. » « Cela va bien au-delà de la simple vérification de l’utilisation ou non du VPN sur l’appareil », explique M. Montenegro. « Il s’agit davantage de comprendre l’état de l’appareil et la manière dont il est utilisé. » « Cela inclut les données télémétriques issues des systèmes de messagerie électronique, des systèmes de gestion des identités et des accès, ainsi que des informations métier contextuelles, afin de permettre la prise de meilleures décisions en matière de sécurité. »
Améliorer la réponse aux incidents sur les terminaux
Tôt ou tard, toute entreprise est victime d'une intrusion au niveau des terminaux, que ce soit en raison d'un logiciel vulnérable ou parce qu'un membre du personnel a cliqué sur un lien contenu dans un e-mail de hameçonnage. Une sécurité insuffisante, notamment au niveau des terminaux, a un coût élevé. Selon le rapport « 2020 Cost of a Data Breach » (Le coût d'une violation de données), élaboré à partir d'une étude menée par l' , le Ponemon Institute , et publié par IBM Security, le coût moyen d'une violation de données s'élevait à 3,86 millions de dollars à l'échelle mondiale. Délai moyen nécessaire pour détecter ou maîtriser une violation de données : 280 jours.
Si de nombreux aspects de la sécurité des terminaux sont restés inchangés au fil des ans, la complexité et l'ampleur du problème n'ont cessé de croître. « Les compétences dont les entreprises ont besoin aujourd’hui, c’est la capacité à réagir à grande échelle, car elles doivent désormais faire face au défi que représentent des dizaines de milliers, voire des centaines de milliers d’appareils », explique M. Montenegro.
La gestion des incidents est également essentielle pour la conformité réglementaire, une préoccupation qui a finalement causé la perte de Flash au sein de la compagnie d'assurance où travaillait Bill Pelletier. « Ils [l'équipe de développement web] voulaient traiter les informations de paiement via Flash, et nous leur avons tout simplement dit que ce ne serait pas possible », explique-t-il.
Pourtant, si Flash a connu un tel succès au départ, c'est parce qu'il fonctionnait et qu'il était très facile à utiliser. Et c'est précisément ce combat que les professionnels de la sécurité doivent mener et gérer au quotidien sur l'ensemble des terminaux de leur entreprise s'ils souhaitent en garantir la sécurité.
