Les fuites de données se multiplient à un rythme effréné. Leur impact sur la vie quotidienne des citoyens, ainsi que sur la résilience des entreprises et la sécurité nationale, est désormais indéniable.
Rien qu’au cours des derniers mois, les cybercriminels ont frappé le plus grand transformateur de viande au monde, provoquant la fermeture d’importantes usines de transformation de viande aux États-Unis ; ils ont paralysé le plus grand gazoduc du pays, déclenchant une ruée vers les magasins ; et ils ont piraté 300 entreprises et neuf agences fédérales lors de la plus grande cyberattaque de l’histoire des États-Unis. (Voir Attaque SolarWinds )
Pour les entreprises et les pouvoirs publics, l'enjeu ne se limite plus à la simple protection des numéros de carte bancaire et autres données personnelles. Il s'agit de protéger les intérêts économiques de la nation et, ce qui est peut-être plus important encore, la capacité de la société à fonctionner.
« Bon nombre des attaques très médiatisées de type « » étaient susceptibles de porter gravement atteinte au « moteur économique » du pays », déclare Maggie Wilderotter, ancienne PDG de Frontier Communications et membre du conseil d’administration de plusieurs entreprises technologiques. La menace est si grave que, le 2 juin, la Maison Blanche d’ a adressé une lettre ouverte aux « dirigeants d’entreprise et chefs d’entreprise », affirmant qu’ils avaient une « responsabilité essentielle » dans le renforcement de la cyber-résilience du pays, tout en soulignant qu’« aucune entreprise n’est à l’abri [des rançongiciels], quelles que soient sa taille ou sa localisation ».
Mais les entreprises qui agissent comme si leurs seuls dispositifs de protection suffisaient à garantir leur sécurité s'exposent à davantage de risques qu'elles ne le pensent. Tôt ou tard, les pirates finiront par réussir. (Sachez que les cyberattaques ont bondi de 600 % depuis le début de la pandémie.)
Les entreprises victimes d'une attaque pourraient voir leurs activités principales paralysées à la suite d'une attaque par le ransomware « » . Ces intrusions ont un coût tant pour la réputation d’une entreprise que pour ses résultats financiers : les entreprises dépensent en moyenne 3,86 millions de dollars pour remédier à une violation de données.
Les entreprises doivent passer d'une stratégie purement défensive à une approche visant à se préparer à une attaque réussie et à en limiter les dégâts. Voici cinq façons d'y parvenir.
S'entraîner et se préparer
Vous ne voulez pas avoir à apprendre les techniques de gestion des incidents au moment même où vous devez faire face à une violation de sécurité. Cela semble évident, mais de nombreuses entreprises ne s'y préparent pas. « Votre équipe doit être prête et savoir exactement ce qu’elle va faire », explique Fernando Montenegro, analyste principal au sein de l’équipe chargée de la sécurité d’entreprise chez 451 Research, qui fait partie de S&P Global Market Intelligence.
«Votre équipe doit être prête et savoir exactement ce qu’elle va faire. »Fernando Montenegro, analyste en sécurité chez 451 Research
« Je ne parle pas de savoir ce qu’ils devraient faire en théorie si un incident venait à se produire », ajoute-t-il. « Je veux dire : comprendre exactement ce qu’ils doivent faire en fonction de chaque situation. »
Cela implique de s'intéresser aux personnes, aux processus et aux technologies. M. Montenegro recommande de commencer par identifier les personnes qui doivent être informées lorsqu'un incident se produit.
“Who do you call at 3 in the morning to escalate something about a particular application?” dit-il. « Ou bien, qui appelez-vous si vous ne parvenez pas à joindre les interlocuteurs principaux ? »
Le fait d'associer ces personnes à la formation permet de tisser des liens importants et de développer une connaissance collective de ce qui doit être fait, par qui et comment. Outre les services de sécurité et informatiques, les équipes d'intervention peuvent compter parmi leurs membres des collaborateurs issus des ressources humaines, des relations publiques, du service juridique, du service produit, ainsi que des services de communication interne et externe.
[À lire également : La crise des ransomwares aux États-Unis peut être résolue]
M. Montenegro recommande que les équipes d'intervention en cas d'incident s'entraînent, par exemple une fois par trimestre. La mise en place d'exercices peut aider les équipes de sécurité à identifier les failles ou les consignes obsolètes dans leurs stratégies de gestion des incidents, ce qui renforce leur confiance et améliore la rapidité de leur intervention.
« Il faut vous assurer d’être à la page et de ne pas ressortir de vieilles stratégies d’intervention d’une étagère virtuelle qui n’a pas été consultée depuis un an », explique-t-il.
Développer la conscience situationnelle
Afin de garantir une réponse rapide et efficace en cas d'incident , les entreprises doivent être constamment à l'affût de tout signe indiquant que des pirates informatiques ou des logiciels malveillants ont compromis leur système. Vous ne souhaitez certainement pas découvrir qu’une faille de sécurité s’est produite par le biais d’un partenaire ou d’un client concerné, des forces de l’ordre ou d’un groupe de serveurs soudainement chiffrés par un rançongiciel.
« Dès qu’un pirate parvient à agir en utilisant des identifiants ou en contournant un système d’authentification à plusieurs facteurs, votre système est compromis », explique Gal Shpantzer, fondateur du cabinet de conseil en sécurité informatique Security Outliers, spécialisé dans les services de RSSI virtuels.
«Les équipes de sécurité ont besoin de processus capables de détecter les nouvelles communications entre les appareils informatiques et de déterminer si celles-ci sont légitimes. »
Pour détecter rapidement une intrusion, les équipes de sécurité ont besoin de processus capables d'identifier les nouveaux signes de logiciels malveillants qui atteignent les appareils informatiques ou d'autres terminaux, et de déterminer s'ils ont leur place à cet endroit. « Il faut rechercher les communications inhabituelles entre ordinateurs de bureau, ou les serveurs qui tentent de contacter d’autres serveurs en utilisant des protocoles inhabituels ou nouveaux, ou encore par des moyens qui établissent de nouvelles relations sur le réseau », explique M. Shpantzer.
Vous souhaitez mettre en place des outils de sécurité des terminaux dotés de fonctionnalités complètes, telles que des systèmes de détection des intrusions et des anomalies, capables de repérer toute activité inhabituelle aussi rapidement que possible. « La nouveauté dans les communications et la nouveauté dans les combinaisons binaires constituent des indices importants », explique Shpantzer.
Comprendre l'impact sur l'activité
Lorsqu'un incident de sécurité commence à se produire, la plupart des organisations ne parviennent pas à en évaluer l'impact sur leurs activités. Mais chaque incident entraîne, dans une certaine mesure, une perturbation de l'activité.
« Ce qui fait la différence, c’est la mesure dans laquelle cela perturbe l’activité », explique David Elfering, directeur de la sécurité de l’information chez ReSource Pro. « Le processus d'escalade d'un incident, depuis une simple demande adressée au service d'assistance jusqu'à une situation nécessitant une intervention de haut niveau, est « fondamentalement défaillant dans la plupart des entreprises », affirme-t-il.
«Le processus permettant de faire passer un problème traité par le service d’assistance à un niveau nécessitant une intervention de haut niveau est défaillant dans la plupart des entreprises. »David Elfering, directeur de la sécurité de l'information chez ReSource Pro
En effet, la plupart des entreprises ne disposent pas d'un inventaire de leurs processus clés. Cela signifie qu'ils ne connaissent pas la valeur de leurs processus. Ils ne peuvent donc pas attribuer un niveau de criticité réel. Ainsi, lorsque le service informatique classe un élément comme « critique » ou « à faible risque », bien souvent, explique M. Elfering, « ce ne sont que des suppositions ».
Pour mieux comprendre l'impact des incidents informatiques, les organisations doivent cesser d'évaluer leurs environnements informatiques selon une approche ascendante. Au lieu d'énumérer les façons dont les systèmes informatiques soutiennent l'activité, il vaut mieux commencer par le début, explique M. Montenegro.
« Identifiez vos principaux processus métier et déterminez les technologies qui permettent leur bon fonctionnement », explique-t-il. « Cela permet, d’un point de vue de la valeur, de déterminer plus facilement quels incidents sont critiques pour les opérations commerciales les plus importantes. »
Adoptez le centre d'opérations de sécurité (SOC) à distance
De nombreuses équipes chargées de la sécurité dans les entreprises ont commencé à travailler à distance pendant la pandémie. Face à la pénurie de compétences en matière de sécurité, les entreprises considèrent désormais le télétravail comme un atout, qui leur permet d’accéder à un vivier de candidats répartis sur un vaste territoire.
« En règle générale, les équipes d’exploitation du SOC travaillaient dans un environnement physique où les écrans étaient omniprésents et où tout le monde surveillait les alertes », explique Scott Crawford, responsable de la recherche en sécurité de l’information chez 451 Research. « Nous avons constaté que les analystes peuvent examiner les consoles depuis n'importe où et travailler en collaboration. »
Ce mode de travail à distance séduit également de nombreux salariés qui préfèrent vivre où ils le souhaitent et éviter les frais et les tracas liés aux trajets domicile-bureau.
« Cela facilitera grandement le maintien de l’expertise en matière de sécurité dont vous avez besoin pour réagir efficacement aux incidents », explique M. Crawford.
Automatisez là où cela s'avère judicieux
En matière de collecte de données et d'analyse des journaux, de nombreux processus peuvent et doivent être automatisés. « Il faut automatiser autant que possible », déclare M. Shpantzer. « Vous pouvez créer des scénarios d'intervention prévoyant d'appuyer sur un gros bouton rouge qui télécharge un ensemble d'indicateurs de compromission (IOC), puis de passer au crible vos journaux pour identifier toutes les machines touchées par ces IOC et consulter toutes les URL enregistrées par le proxy DNS. »
[À lire également : Pourquoi la sécurité et l'automatisation vont de pair]
Vous souhaitez réduire la part de travail manuel dans cette tâche, surtout si quelqu'un doit l'effectuer de manière répétée. L'automatisation est non seulement plus rapide, mais elle permet également de réduire les erreurs humaines liées au travail manuel. « C'est essentiel », affirme Shpantzer, « dans le contexte de stress lié à un incident en cours ». Il est également essentiel de déterminer la durée de conservation des journaux. De nombreuses attaques s'étendent sur plusieurs semaines, voire plusieurs mois ; vous devez donc déterminer où les journaux doivent être stockés, puis mettre en place un processus permettant d'y accéder et de les analyser rapidement en cas de besoin.
« Vous souhaitez pouvoir cliquer sur un bouton pour extraire ces journaux, ou cliquer sur des boutons clairement libellés » avec les données correspondantes, explique M. Shpantzer. Il pourrait s'agir, par exemple, de libellés tels que « feuille de calcul de saisie contenant les IOC pour le DNS », « feuille de calcul de saisie contenant les adresses IP » ou « feuilles de calcul de saisie contenant les hachages ».
Grâce à ces éléments, explique-t-il, la plateforme de détection et de réponse aux incidents sur les terminaux d’ , , permettra de tout coordonner. « De cette manière, vous pourrez rapidement déterminer ce qui s’est passé, où cela s’est produit et ce qui a été affecté », explique-t-il.
Même si les fuites de données sont pratiquement inévitables – la question n'est pas de savoir « si », mais « quand » elles se produiront –, nous pouvons au moins prendre des mesures pour les prévenir aussi longtemps que possible, puis nous préparer à faire en sorte que leur impact soit minimal lorsqu'elles se produiront.