Nous avons entendu les dernières informations sur le paysage mondial des brèches et discuté des défis présentés par le piratage parrainé par l’État, entre autres sujets. Tout au long de la journée, nous avons vu émerger trois thèmes clés.
(Denise Zheng (à gauche), Suzanne Spaulding (au centre) et Fran Townsend (à droite) ont discuté du piratage parrainé par l’État au CONVERGE1717.)
L’infrastructure critique, le piratage parrainé par l’État et l’importance des bases de la cybersécurité ont été les priorités des intervenants pendant les sessions générales du Jour 2 à CONVERGE17. Tout au long de la journée, nous avons vu trois thèmes clés émerger :
- Les pirates informatiques parrainés par l’État privilégient les infrastructures critiques
- Les humains sont nos « critères d’évaluation » les plus vulnérables ; et
- Les organisations ont encore du mal à bien comprendre les bases de la cybersécurité.
Les pirates informatiques parrainés par l’État privilégient les infrastructures critiques
Bien que le piratage parrainé par l’État soit un problème pour chaque organisation, les propriétaires et opérateurs d’infrastructures critiques sont confrontés à la plus grande menace, selon Denise Zheng, vice-présidente de la Table ronde commerciale, qui a animé une table ronde sur le sujet.
« Les cybermenaces envers les infrastructures critiques ne sont plus des événements théoriques », a-t-elle déclaré. « Ils sont réels et ciblent le secteur privé et le gouvernement. » La question devient ensuite : quel est le rôle du gouvernement dans la sécurisation de ces entités ? « S’ils sont confrontés à des cybercriminels parrainés par un État national qui disposent de ressources suffisantes, sont sophistiqués et ont une protection juridique de leur gouvernement », a déclaré Zheng, « devrions-nous poursuivre un modèle similaire à celui d’Israël dans lequel le gouvernement joue un rôle de surveillance des menaces ? »
En décrivant la relation entre la communauté technologique et le gouvernement américain comme « éparse », la panéliste Frances Townsend, vice-président exécutif MacAndrews & Forbes, a déclaré : « Je suis sceptique que vous puissiez y parvenir. Le déploiement d’un modèle israélien où vous avez des acteurs gouvernementaux au sein d’une entreprise du secteur privé est peu probable et, franchement, inconfortable. Les entreprises publiques doivent évaluer leur risque de réputation en raison de leur relation avec le gouvernement. Cela soulève des problèmes de confidentialité et de libertés civiles, et cela pourrait ne pas être faisable aux États-Unis. »
Un cadre plus confortable, a déclaré Townsend, serait une organisation tierce par le biais de laquelle les informations sur les menaces pourraient être partagées de manière anonyme. L’organisation pourrait servir de « chien de garde entre le secteur privé et le gouvernement », a-t-elle déclaré.
Alors que les gouvernements et les entreprises sont confrontés à ces défis et à d’autres, la nature des attaques parrainées par l’État change. « En 2011, lorsque j’ai commencé chez DHS, nous pensions aux acteurs nationaux en termes de capacité et d’intention », a déclaré Suzanne Spaulding, ancienne sous-secrétaire du Département de la sécurité intérieure. « Nous parlerions du fait que nous avions deux acteurs d’État clés, la Chine et la Russie, avec des capacités significatives, mais une faible intention destructrice, et [des pays tels que] la Corée du Nord et l’Iran avec moins de capacités, mais une intention plus élevée. »
Depuis lors, Spaulding a déclaré : « nous avons vu une sophistication croissante des capacités de ceux qui aimeraient nous nuire et une tension croissante avec ceux qui ont des capacités significatives. »
Pendant ce temps, la frontière entre l’activité criminelle pour un gain financier et l’activité nationale pour l’espionnage est floue. « Vous voyez cela plus clairement avec la Corée du Nord, où ils essaient de financer leur régime en partie grâce à une menace cyber-activée », a déclaré M. Spaulding. « Nous constatons que les États-nations utilisent des acteurs non étatiques comme entrepreneurs. Les lignes sont définitivement floues. »
Les lignes sont également floues entre les mondes de la physique et de la cybersécurité, en particulier pour les organisations impliquées dans notre infrastructure critique. Selon Spaulding, il est essentiel que les personnes responsables de la sécurité physique d’une organisation et celles responsables de la cybersécurité se considèrent comme une seule et même équipe.
En fait, intégrer un large éventail de parties prenantes dans vos conversations sur la cybersécurité est essentiel pour comprendre toutes les implications commerciales d’une violation. « Votre expert informatique ne peut plus vous parler des conséquences en cascade d’une cyberattaque pour votre entreprise que votre électricien peut vous en dire plus sur les conséquences en cascade pour votre entreprise si l’électricité est coupée », a déclaré Spaulding. « Vous devez penser hors de la boîte informatique à l’équipe élargie. »
Les humains sont nos « critères d’évaluation » les plus vulnérables
Il est tout aussi important d’avoir une vision claire de la manière dont vos employés sont susceptibles de se comporter. « Lorsqu’il n’y a pas de système vulnérable, il y a toujours une personne vulnérable », a déclaré Chris Novak, cofondateur/directeur mondial du Verizon Threat Research Advisory Center, lors de sa présentation « Une vue sur le paysage des cybermenaces ».
Il a noté qu’un utilisateur sur 14 tombe pour une forme d’ ingénierie sociale ou d’ attaque par hameçonnage , et qu’un quart d’entre eux tombe pour cela plus d’une fois. Par exemple, Novak a déclaré qu’une organisation avec laquelle il a travaillé lui a récemment dit que, lorsqu’ils ont suivi une formation trimestrielle de sensibilisation à la cybersécurité pour les employés, puis ont mené une pratique d’hameçonnage, leur taux de victimisation était de 3 % à 4 %. Mais, lorsqu’ils ont arrêté la formation pendant quelques mois, le taux de victimisation a grimpé à 38 %. « Certaines organisations me disent que c’est plus proche de 60 % à 70 % », a-t-il déclaré.
Étant donné le nombre d’attaques entrant dans une organisation par hameçonnage, Spaulding a noté que les organisations doivent continuer à investir dans la formation de la main-d’œuvre et la mise en œuvre d’outils de base tels que l’authentification multifacteur, la segmentation et la liste blanche des applications.
« Tout repose sur les bases », a déclaré Novak. « Les organisations sont tellement axées sur les éléments avancés et sophistiqués, et nous laissons les portes et les fenêtres ouvertes. Si vous ne faites pas certains des éléments de base, les choses vont voler hors de la fenêtre. »
Faire les bases de la cyberhygiène semble échapper à de nombreuses organisations. « Je ne pense pas que vous puissiez assumer l’hygiène de base », a déclaré Townsend. « Les entreprises ont beaucoup fait, mais je continue d’être mystifiée qu’elles n’ont pas fait certaines des bases. »
Les organisations ont encore du mal à bien comprendre les bases de la cybersécurité.
Il n’est pas facile d’obtenir les bases adéquates, en particulier pour les organisations à l’échelle de l’entreprise. Par exemple, passer de l’authentification à un facteur unique à l’authentification à plusieurs facteurs peut introduire une multitude de défis pour une organisation, notamment le repoussage des utilisateurs qui s’en prennent à l’idée. « Mais la réalité est que la plupart de ces choses pourraient être contrecarrées ou ralenties considérablement si vous n’aviez qu’une authentification multifacteur », a déclaré Novak. « Et vous devez l’avoir à plusieurs endroits. Tout le monde nous dit : « Oui, nous l’avons. » Mais lorsque nous commençons à creuser, nous découvrons qu’ils ne l’avaient pas partout dans l’organisation. Ils ne l’avaient pas pour les administrateurs, par exemple, donc vous créez ces poches de populations vulnérables qui vont être ciblées. »
L’application de correctifs est un élément de base de la cyberhygiène souvent cité et critique, mais Novak a déclaré : « plus important que de pouvoir simplement appliquer des correctifs, c’est de savoir ce que vous avez. L’application de correctifs doit aller de pair avec l’inventaire des actifs. Si vous obtenez 99 % de tout ce qui est corrigé, quel est le « tout » ? Chaque organisation dispose d’une aire de jeu pour pirates informatiques. C’est ces parties de l’organisation que l’organisation ne réalise même pas. »
Au début d’une enquête sur une violation, l’une des premières étapes pour Novak et son équipe est de demander un inventaire des actifs. « Nous avons mené une enquête sur une violation où ils ont produit trois inventaires d’actifs différents pour nous, et aucun d’entre eux n’était vrai », a-t-il déclaré.
Dans une autre enquête, au Japon, il a déclaré « nous sommes entrés et nous avons commencé à suivre ce que les acteurs de la menace faisaient, et nous avons remarqué tout d’un coup qu’ils avaient disparu du radar, mais nous avons pu voir que les données étaient toujours exfiltrées. Nous avons découvert des actifs dans l’environnement que personne ne pouvait prendre en compte. Nous avons trouvé 30 000 actifs dont ils n’avaient aucun dossier. Lorsque nous leur avons demandé, ils nous ont dit « nous acquérons deux à trois entreprises par mois ». Il y a donc une marge d’erreur sur ce qu’ils comprennent qu’ils possèdent. »
Alors que les organisations ont du mal à bien comprendre les bases, l’activité du piratage continue de mûrir. Selon Novak, la plupart des groupes négociant sur le Dark Web fonctionnent comme une entreprise. « Nous sommes tous là parce que nos entreprises sont là pour bien faire, gagner de l’argent et satisfaire nos clients », a-t-il déclaré. « Ces gars font exactement la même chose. Ils veulent gagner de l’argent et satisfaire leurs clients. Vous pouvez vous rendre sur ces sites et soumettre un appel d’offres pour les logiciels malveillants. Vous aurez des gens qui trébuchent sur eux-mêmes pour essayer de vous fournir le logiciel malveillant. Vous pouvez acheter des botnets, tout ce dont vous pourriez avoir besoin sur ces sites. Il est important que les gens réalisent la facilité avec laquelle la communauté souterraine a accès à ce type de données et d’informations. »
Bien que les attaques nationales fournissent un tremplin pour les gros titres des médias et notre anxiété collective, « ce n’est généralement pas si intéressant », a déclaré le PDG de Tanium, Orion Hindawi, dans sonentretien informel du Jour 1 avec Robert Hackett du Fortune. Dans de nombreux cas, il a déclaré : « C’est quelqu’un qui exploite une vulnérabilité connue » qui aurait dû être corrigé il y a des mois.
La bonne nouvelle est que personne dans ce secteur ne travaille sur ces défis dans le vide. Nous pouvons partager des informations et des enseignements clés les uns avec les autres lors d’événements tels que CONVERGE et par le biais de discussions dans la Communauté Tanium. Nous pouvons continuer à affiner la formation des employés pour équiper les humains, nos « critères d’évaluation » les plus vulnérables, des connaissances dont ils ont besoin pour rester en sécurité. Et nous pouvons trouver de nouvelles façons de communiquer avec nos cadres supérieurs et nos conseils d’administration sur la nécessité d’investir dans la cybersécurité. Parce que lorsque vous êtes dans une entreprise qui n’a pas de ligne d’arrivée, le meilleur que vous puissiez faire est d’apprendre à profiter de la course.
En savoir plus sur Tanium CONVERGE17 :
- CONVERGE17 : Trois choses que nous avons apprises le premier jour
- CONVERGE17 : Libérer votre pouvoir
Vous avez des questions ? Nous avons des réponses. Participez à la conversation dès aujourd’hui et contactez vos pairs et les experts techniques Tanium de notre Communauté d’utilisateurs Tanium.
Vous souhaitez voir Tanium en action ? Planifiez une démo individuelle ou participez à notre webinaire hebdomadaire. Discutez avec nos experts Tanium lors de nos prochains événements.
À propos de l’auteur : Scott Rubin est directeur marketing chez Tanium, où il est responsable du marketing, des communications, des affaires publiques et des politiques publiques. Avant Tanium, Scott était associé de la société de capital-risque, Andreessen Horowitz, où il a conseillé les sociétés de portefeuille sur leurs communications et leurs stratégies de marque. Avant de rejoindre Andreessen Horowitz, Scott était directeur chez Google, où il a siégé à la fois dans les équipes de politique publique et de communication, et plus récemment dans la gestion des communications d’entreprise mondiales.
