Le cadre australien «Essential Eight » est peut-être le cadre de cybersécurité le plus répandu auprès des organismes publics et des entreprises en Australie, mais son modèle à plusieurs niveaux, qui couvre huit grands domaines de contrôle, est si complexe que les taux de conformité restent très faibles. Même les organismes publics disposant de moyens importants ont du mal à atteindre le niveau requis.
L' , l'intelligence artificielle et l'automatisation pourraient contribuer grandement à inverser cette tendance. Et les experts en cybersécurité soulignent qu’un tel revirement ne saurait tarder.
Examinons les dernières données (désastreuses) concernant le secteur public australien : le pourcentage d'organismes publics atteignant le niveau deux du modèle de maturité des « Essential Eight » a diminué , passant de 25 % en 2023 à 15 % en 2024, selon l'Australian Signals Directorate (ASD), l'agence de renseignement chargée de superviser la cybersécurité et à l'origine de ces huit stratégies d'atténuation des risques.
Le modèle de maturité comporte quatre niveaux ; ce qui prête à confusion, c'est qu'ils commencent par le niveau zéro, qui correspond en réalité à une note d'échec. Viennent ensuite les niveaux 1, 2 et 3, ce qui fait du niveau 2 le deuxième niveau le plus élevé. Toutes les entités du gouvernement australien n'appartenant pas au Commonwealth (ministères, agences et autres organismes qui fonctionnent dans le cadre de la structure gouvernementale au sens large plutôt qu'en tant qu'entités juridiques indépendantes) sont tenues de respecter les exigences de niveau deux.
La baisse du taux de conformité au niveau 2 pourrait s'expliquer par une mise à jour apportée au modèle par l'ASD fin 2023, qui a probablement freiné certaines entités. Parmi ses principaux axes d’action figuraient l’équilibrage des délais de correction, la généralisation de l’ , la résistance au phishing, l’ , l’authentification multifactorielle (MFA) et la mise en œuvre de systèmes de détection et de réponse aux incidents pour les infrastructures exposées à Internet. Pour autant, les résultats du 2023 n'avaient rien d'exceptionnel. Par ailleurs, les entreprises privées sont simplement encouragées à respecter les « Essential Eight ». Ainsi, alors que les grandes multinationales disposant de budgets importants et d’équipes de sécurité bien fournies pourraient au moins avoir une chance, les petites et moyennes entreprises ont rencontré d’énormes difficultés face à ces cadres recommandés.
Malgré cette complexité à vous donner le tournis, l’« Essential Eight » continue de régner en maître. Comment ?
Il s'agit en réalité de l'un des cinq référentiels couvrant les normes australiennes, américaines et internationales auxquels les entreprises australiennes peuvent se référer pour démontrer leur conformité en matière de cybersécurité, conformément à la législation relative à la sécurité des infrastructures critiques (SOCI), annoncée en 2018 par le ministère australien de l'Intérieur et mise à jour l'année dernière. Un grand nombre d'organisations basées en Australie optent pour l'« Essential Eight », très probablement « parce que le gouvernement en comprend l'intérêt », explique Paul Foley, directeur exécutif chargé de la gouvernance, des risques et de la conformité au sein de la société de services informatiques CyberCX, basée à Melbourne. La terminologie et la structure de l’« Essential Eight » sont désormais la norme pour les responsables gouvernementaux lorsqu’ils abordent la question des capacités en matière de cybersécurité ; il est donc logique que les entreprises souhaitant travailler avec des organismes publics en respectent les principes.
[Read also: Cybersecurity frameworks—10 popular standards explained, from HIPAA to NIST to GDPR]
Ainsi, pour le meilleur ou pour le pire, les entreprises ont tendance à opter pour les « Essential Eight », puis peinent à mettre en œuvre cet ensemble complexe de mesures de contrôle. Serait-ce plus simple grâce à la technologie ? D'une certaine manière, oui, affirment les experts. Grâce à des innovations allant de l'intelligence artificielle à l'« infrastructure as code » (qui permet une configuration programmatique, par voie logicielle, de l'infrastructure informatique), les organisations des secteurs public et privé constatent qu'elles peuvent confier la charge de travail à des systèmes automatisés.
Pourquoi les « huit éléments essentiels » constituent le « minimum acceptable »
L'automatisation pourrait constituer la principale aide pour les entreprises qui se trouvent au niveau zéro du classement « Essential Eight » (que l'on pourrait qualifier de niveau « où la seule issue est de progresser »), ce qui signifie qu'elles sont totalement exposées aux attaques en raison de failles de cybersécurité.
«Parce que le gouvernement le comprend. »Paul Foley, directeur exécutif chargé de la gouvernance, des risques et de la conformité chez CyberCX, explique pourquoi tant d'organisations continuent d'être attirées par l'« Essential Eight », malgré sa complexité et les défis qu'il pose en matière de conformité
Le gouvernement définit chacun des autres niveaux en fonction des types d'attaquants contre lesquels une entreprise ayant atteint ce niveau serait en mesure de se défendre, depuis les pirates informatiques inexpérimentés jusqu'à ceux disposant d'une expertise technique plus poussée. Par exemple, l'une des exigences du niveau deux consiste à utiliser une authentification multifactorielle (MFA) résistante au phishing pour s'authentifier sur les systèmes. Le niveau trois s'adresse à ceux qui sont capables de se défendre face à des adversaires plus coriaces.
Chaque niveau comprend le même ensemble de huit grands domaines de contrôle : contrôle des applications, mise à jour des applications, mise à jour du système d'exploitation, configuration des paramètres des macros de Microsoft Office, renforcement de la sécurité des applications utilisateur, restriction des privilèges d'administration, authentification multifactorielle (MFA) et sauvegardes régulières. Mais à mesure que les niveaux augmentent, les exigences relatives à chacun de ces domaines deviennent plus strictes.
« Je répète depuis son lancement que l’Essential Eight représente le niveau minimal acceptable pour un réseau standard », déclare Kieran Hynes, fondateur de la société de conseil en informatique Willyama Services. En effet, de nombreuses entreprises opèrent dans des secteurs régis par la loi SOCI et choisissent de se conformer au cadre « Essential Eight ». « Environ 80 % du secteur industriel australien, si l'on exclut les micro-entreprises et les très petites entreprises, relèverait du secteur des services et serait donc concerné par la législation SOCI », déclare-t-il.
Qu'est-ce qui pourrait faciliter la mise en œuvre de l'« Essential Eight » ? Automatisation de la conformité en continu
En quoi l'automatisation pourrait-elle contribuer à faciliter la gestion des « Essential Eight » ? Cela pourrait notamment concerner la question de la « conformité continue », un concept qui relevait autrefois de l’ambition mais qui, ces dernières années, est devenu plus accessible grâce aux progrès de l’ , de l’apprentissage automatique, à l’essor des outils d’IA dans le domaine de la cybersécurité, ainsi qu’à une prise de conscience croissante des avantages de la surveillance des données en temps réel et d’une visibilité accrue sur l’ensemble des réseaux informatiques.
«Je répète depuis sa création que l’Essential Eight représente le niveau minimal acceptable pour un réseau standard. »Kieran Hynes, fondateur de Willyama Services
Selon les experts, ce changement de paradigme, qui consiste à passer d'une approche traditionnelle de la conformité — caractérisée par des audits saisonniers et par des collaborateurs détournés de leurs tâches quotidiennes dans une course effrénée pour rassembler les données de conformité — à une approche plus rationalisée, est déjà bien engagé. Le mois dernier, l’ du ministère américain de la Défense a finalisé une nouvelle réglementation relative à la certification CMMC (Cybersecurity Maturity Model Certification) de l’ , un cadre similaire au programme australien « Essential Eight », qui impose aux organisations de l’ensemble de la chaîne d’approvisionnement de la défense de maintenir une conformité permanente. Cette règle entrera en vigueur le mois prochain.
Jusqu'à présent, la conformité reposait sur une approche ponctuelle, dans le cadre de laquelle les auditeurs vérifiaient périodiquement un système afin d'évaluer son niveau de conformité. Le danger réside dans ce que l'on appelle le « glissement de conformité », c'est-à-dire lorsque des modifications apportées à un système le font sortir du cadre de conformité sans que cela ne soit remarqué avant le prochain audit.
Une approche de conformité continue consiste à évaluer le système afin de s'assurer qu'il reste à tout moment dans les limites requises. Chaque fois qu'un auditeur se présente, l'équipe de sécurité peut être certaine d'être en règle, grâce à la documentation qui le prouve.
Jamie Norton, membre du conseil d'administration de l'ISACA, une organisation internationale spécialisée dans le contrôle, en souligne les avantages : « La visibilité est un domaine dans lequel l'automatisation fonctionne particulièrement bien », précise-t-il. « Vous pouvez utiliser des technologies pour évaluer et comprendre dans quelle mesure vous répondez aux « Essential Eight » dans l'ensemble de votre environnement. » Certaines entreprises proposent déjà ce type d'outils en Australie.
Malgré ses avantages, la conformité continue pose un ensemble de défis particuliers susceptibles d'entraver son adoption à grande échelle, en particulier pour les petites entreprises dont les budgets consacrés à la sécurité sont plus limités. Il y a une différence entre évaluer votre niveau de conformité et automatiser les contrôles pour vous permettre de le maintenir. Dans certains domaines, il est plus difficile de mettre en place des mesures permettant de configurer automatiquement les éléments et de maintenir vos systèmes dans le périmètre de contrôle.
L'IA, l'automatisation et les « Essential Eight » : des complexités cachées
L'un des domaines les plus complexes est celui du contrôle des applications. Cela implique de limiter les applications qu'une organisation peut exécuter à celles figurant sur une liste d'applications autorisées. Cela semble facile, mais c'est d'une complexité trompeuse.
«La visibilité est un domaine dans lequel l’automatisation fonctionne particulièrement bien. » Vous pouvez utiliser des outils technologiques pour évaluer et comprendre dans quelle mesure vous répondez aux « Essential Eight » au sein de votre environnement. »Jamie Norton, membre du conseil d'administration de l'ISACA, une association internationale à but non lucratif spécialisée dans les contrôles
« Vous devez constamment mettre à jour ce système en fonction des nouvelles applications publiées et des nouvelles menaces qui apparaissent », explique Norton. Chaque application comporte plusieurs versions qui doivent également être gérées en fonction des différentes exigences des services. « C'est quelque chose que l'IA pourrait potentiellement apprendre à faire, ce qui vous éviterait d'avoir à mettre à jour cette configuration régulièrement. »
Deux autres catégories de l'« Essential Eight » qui présentent des défis cachés sont la mise à jour des applications et celle du système d'exploitation. Les systèmes d'exploitation comme les applications reçoivent sans cesse de nombreux correctifs, dont le niveau de gravité varie souvent. Si une mise en place trop lente des correctifs ( ) entraîne une augmentation significative des risques, l'application rapide et aveugle de ces correctifs peut avoir des conséquences potentiellement graves sur les systèmes de production. Il arrive parfois que les correctifs du système d'exploitation provoquent des dysfonctionnements, ce qui rend leur application automatisée risquée.
Le risque lié à l'application de correctifs augmente à mesure que le nombre de produits différents au sein de l'infrastructure d'une entreprise s'accroît. Le nombre de dépendances système entre ces produits augmente également, ce qui accroît le risque d'effets néfastes tels que les attaques en chaîne, dans lesquelles les pirates exploitent successivement plusieurs vulnérabilités présentes dans différents produits.
Comme le souligne M. Foley, cela fait de l'application de correctifs une stratégie d'évaluation des risques. Pour évaluer ce risque, il convient de prendre en compte tous les facteurs susmentionnés, ainsi que le niveau de criticité d'une application ou d'un système d'exploitation au sein de l'organisation. Une application qui gère l'ensemble du processus de production d'une entreprise peut n'être rien de plus qu'un système de journalisation pour une autre.
La marge de temps dont disposent les organisations pour appliquer les correctifs logiciels se réduit à chaque niveau de maturité de l’« Essential Eight », ce qui rend la tâche d’autant plus exigeante.
C'est là que l'IA pourrait entrer en jeu.
« Vous avez toujours besoin d’une intervention humaine », explique M. Foley, « mais comment prendre ces décisions plus rapidement ? » « Pour appliquer des correctifs, vous devez bien comprendre les complexités de l'environnement. » L'IA pourrait s'appuyer sur cette compréhension des interdépendances complexes des applications au sein de l'infrastructure informatique d'une entreprise pour réaliser des évaluations fondées sur les risques concernant les systèmes critiques présentant certaines vulnérabilités. Elle pourrait ensuite présenter ces évaluations aux analystes, qui prendraient la décision finale.
Des résultats rapides — et des moyens de surmonter les défis liés à l'automatisation
L'automatisation de certains aspects de la cybersécurité sera sans doute plus aisée que d'autres. L'une des mesures qui se démarque est la nécessité de restreindre l'utilisation des macros dans Office.
« Il s'agit d'un paramètre de stratégie de groupe », explique M. Foley. « Vous pouvez configurer cette option au niveau de l'entreprise pour désactiver les macros Office. » Cela suppose, bien sûr, que tous les salariés puissent s'en passer. Dans certains domaines, notamment la finance, les employés s'appuient sur des macros élaborées au fil des années pour accomplir certaines tâches de leur travail. Dans ce genre de situation, explique-t-il, il est souvent plus simple d'isoler certains services dans leurs propres parties du réseau afin de limiter au maximum la portée des dégâts causés par une macro malveillante.
De même, M. Foley affirme que la mise en œuvre de l'authentification à plusieurs facteurs (MFA) devrait pouvoir être automatisée de manière centralisée (à condition que l'éditeur de l'application la prenne en charge).
« L'automatisation se heurte à des obstacles de taille », affirme M. Foley. Pour certaines organisations, ce sont leurs propres systèmes qui constituent un frein. « On constate souvent que l'État fédéral est confronté à une dette technique héritée du passé », explique-t-il.
[À lire également : L'automatisation informatique : fonctionnement, avantages et outils de demain]
Les systèmes développés au fil des ans ne disposent peut-être pas des capacités d'automatisation appropriées intégrées, et certainement pas de certaines des fonctionnalités basées sur l'IA décrites ici. De même, les systèmes hétérogènes composés d'éléments provenant de nombreux fournisseurs et qui ne fonctionnent pas bien ensemble sont également difficiles à automatiser. C'est pourquoi M. Hynes, de Willyama, présente la migration vers le cloud comme un moyen possible de relever le défi de l'automatisation.
« Dans le cadre de Microsoft M365, [les clients] n'ont aucune véritable responsabilité en matière de gestion, car Microsoft s'occupe de tout à leur place », explique-t-il, en donnant un exemple. « L'automatisation est assurée par Microsoft. » Vous n'avez rien à faire en interne. « C'est la solution la plus sûre pour la plupart des organisations. »
L'automatisation de la cybersécurité relève probablement d'une approche fondée sur le principe du « meilleur effort ». M. Hynes évoque le principe de Pareto, selon lequel vous pouvez obtenir 80 % des gains en fournissant 20 % de l'effort.
Il ajoute ensuite que tenter d'automatiser absolument tout ne fait qu'accroître la complexité et entraîne des rendements décroissants. Mais en optant pour des systèmes fournis ou gérés par un nombre relativement restreint de fournisseurs, et en mettant en place une infrastructure moderne de cybersécurité, vous aurez davantage de chances de bénéficier de fonctionnalités conçues pour vous faciliter la vie et de vous rapprocher de la conformité aux « Essential Eight ».
