Une entreprise sur quatre a subi une attaque de la chaîne d’approvisionnement au cours des 12 derniers mois, et les professionnels de l’informatique craignent que la situation ne s’améliore pas en 2022.
Ces perspectives désastreuses proviennent d’une enquête récemment publiée auprès de plus de 1 300 professionnels de l’informatique dans le monde, de l’ISACA (Information Systems Audit and Control Association). Plus de la moitié des personnes interrogées ont déclaré s’attendre à ce que le nombre de piratages de la chaîne d ’approvisionnement reste le même ou s’aggrave cette année.
Parmi les personnes interrogées, 39 % ont déclaré que leur entreprise n’avait pas de plan de réponse aux incidents établi avec les fournisseurs en cas de cyberattaque, et 53 % ont déclaré qu’ils n’effectuaient pas d’ analyse des vulnérabilités ou de test de pénétration sur leurs fournisseurs. Au total, 84 % ont déclaré que la chaîne d’approvisionnement de leur organisation avait besoin d’une meilleure gouvernance.
Rob Clyde, ancien vétéran du secteur, anciennement président du conseil d’administration de l’ISACA et ancien directeur technique de Symantec, a qualifié les résultats de l’enquête « un peu alarmants ». La bonne nouvelle est que les entreprises ont commencé à prêter plus d’attention à la sécurité de la chaîne d’approvisionnement depuis le piratage de SolarWinds, signalé pour la première fois en décembre 2020, et l’augmentation du travail à distance pendant la pandémie.
L’avantage : « La plupart des grandes organisations ont un RSSI », déclare Clyde. « La plupart des conseils se rencontrent en fait régulièrement au sujet de la cybersécurité, ce qui ne s’est pas produit il y a cinq ou six ans. »
Le cybercrime auquel les entreprises sont confrontées
Le défi est que les pirates informatiques individuels, les réseaux de crime organisé et les États-nations sophistiqués travaillent souvent en parallèle. La cyberattaque SolarWinds a été attribuée à des pirates informatiques, soutenus par des services de renseignement russes, qui ont pu insérer des logiciels malveillants dans une mise à jour de code de routine destinée à surveiller les réseaux des clients. On estime que 18 000 entreprises et agences gouvernementales ont pu être affectées par l’attaque.
« Nous vivons dans un monde où le travail de l’attaquant est en fait beaucoup plus facile : [Ils] trouvent une voie. »Rob Clyde, ancien président du conseil d’administration, ISACA
Avec de nombreuses ressources, les acteurs malveillants sont encore plus innovants sur la manière dont ils s’enfouissent profondément dans la chaîne d’approvisionnement d’une entreprise, explique Clyde. Ils peuvent recruter un développeur travaillant déjà dans une société de logiciels pour insérer un code malveillant, ou essayer d’embaucher leur propre pirate informatique dans l’entreprise. Leurs laboratoires peuvent exécuter des attaques de test sur chaque produit de cybersécurité de pointe sur le marché.
« Nous vivons dans un monde où le travail de l’attaquant est en fait beaucoup plus facile : [Ils] trouvent une voie d’entrée », déclare Clyde. En revanche, les professionnels de la cybersécurité doivent être vigilants quant à toutes les voies possibles que quelqu’un pourrait exploiter et concevoir des moyens d’empêcher l’une d’entre elles.
Le travail n’a été compliqué que par l ’augmentation du travail à distance pendant la pandémie, ce qui a considérablement augmenté le nombre d’appareils connectés au réseau d’une entreprise de l’extérieur. La pandémie a éliminé l’idée qu’un pare-feu impénétrable pourrait éventuellement protéger une entreprise.
Renforcer vos défenses
La cyberhygiène de base, y compris les inventaires des endpoints, la surveillance des performances et la gestion des correctifs et des configurations, offre un niveau de sécurité significatif. Dans ce sens, le National Institute of Standards and Technology (NIST) a publié des directives mises à jour en mai 2022 pour protéger les entreprises contre les piratages de la chaîne d’approvisionnement. Ses 326 pages de conseils concrets gratuits étaient longtemps attendues pour faire du décret du président Biden sur la cybersécurité une réalité. Ils détaillent les scénarios et les plans d’urgence pour les risques de la chaîne d’approvisionnement allant de l’évaluation du contrôle étranger sur le développement d’un logiciel ou d’un produit à ceux associés à l’utilisation de fournisseurs de services informatiques externes.
« Il s’agit d’un outil complet qui peut vous faire passer d’une marche à l’autre, et qui peut vous aider à le faire immédiatement. »Jon Boyens, co-auteur de l’enquête, NIST
« La gestion de la cybersécurité de la chaîne d’approvisionnement est un besoin qui est là pour durer », a déclaré Jon Boyens, l’un des auteurs de la publication du NIST, dans un entretien avec Bleeping Computer. « Si votre agence ou organisation n’y a pas commencé, il s’agit d’un outil complet qui peut vous faire passer de l’exploration à la marche à pied, et cela peut vous aider à le faire immédiatement. » Selon le NIST, la cyberhygiène se résume à la confiance. Les organisations doivent avoir une plus grande assurance que ce qu’elles achètent et utilisent est digne de confiance.
[Lire également : Cyber Hygiene 101]
Dans son rapport, l’ISACA a proposé cinq étapes supplémentaires que les professionnels de l’informatique peuvent prendre pour aider à protéger leurs organisations contre les attaques de la chaîne d’approvisionnement :
- Inventaire des fournisseurs et de leurs capacités, y compris une classification des
risques de la valeur de chaque fournisseur pour les opérations d’une
entreprise. - Exiger des fournisseurs qu’ils divulguent les composants open source contenus dans les produits et services qu’ils fournissent.
- Effectuez une analyse des menaces et des vulnérabilités des principaux tiers pour identifier les risques de sécurité possibles et leurs impacts potentiels.
- Inclure les attentes et exigences en matière de sécurité dans les contrats avec les fournisseurs.
- Effectuer des examens fondés sur des preuves des principaux tiers.
La dernière suggestion est essentielle lorsqu’il s’agit des principaux fournisseurs, explique Clyde. Trop souvent, les entreprises envoient simplement aux fournisseurs un questionnaire sur la sécurité de leurs logiciels, demandant si les développeurs utilisent l’ authentification à deux facteurs, comment ils sécurisent les endpoints et quels tests de sécurité ils ont effectués.
Vous prenez un fournisseur à sa demande, et ce n’est pas suffisant, dit Clyde. Si le logiciel d’un fournisseur se trouve sur la plupart de vos systèmes, a accès à vos données les plus précieuses ou aurait un impact majeur sur vos opérations s’il était piraté, vous devez examiner un fournisseur beaucoup plus attentivement.
« J’aimerais voir un rapport d’audit », déclare Clyde, mais seulement 56 % des cadres de l’enquête ISACA effectuent des évaluations d’audit. Avec un fournisseur important, vous pourriez même demander une démonstration de sa facture de santé, suggère Clyde, y compris la preuve que le fournisseur exécute réellement son logiciel lors de certains tests.
Si vous générez peu d’affaires pour un fournisseur, cela peut ternir de dépenser du temps et de l’argent pour effectuer des rapports ou des tests d’audit. « Mais si vous dépensez beaucoup d’argent avec eux, vous pourriez même envisager d’envoyer vos propres auditeurs », déclare Clyde.
Il n’y a vraiment « aucune excuse » pour ne pas utiliser un certain type d’authentification multifacteur tout au long de la chaîne d’approvisionnement, dit-il. Clyde est un « grand fan » de l’isolation Web, également connu sous le nom d’isolation du navigateur, qui fait référence à la technologie qui protège contre les logiciels malveillants en maintenant la navigation Internet distincte d’un appareil endpoint. Il recommande également des outils d’application de confiance qui empêchent le
téléchargement de logiciels non approuvés.
[Lire également : Comment le leader mondial de l’énergie Cummins adopte la cyberhygiène]
La meilleure défense d’une entreprise contre un piratage de la chaîne d’approvisionnement est le soutien de ses cadres supérieurs, afin que les professionnels de l’informatique disposent des ressources nécessaires
pour effectuer les évaluations de sécurité nécessaires des tiers. Chaque fois qu’une organisation effectue une évaluation de sécurité ou un audit externe, les dirigeants doivent demander si le personnel a évalué la chaîne
d’approvisionnement.
S’assurer de poser des questions difficiles comme celles-ci est la moitié de la
bataille. Le reste d’une défense efficace implique d’y répondre efficacement.
