Les attaques par ransomware ayant gagné en fréquence et en coût, les compagnies d'assurance ont commencé à renforcer leurs critères pour les polices de cyberassurance, y compris celles destinées à K–12 établissements scolaires.
Les organisations qui ne parviennent pas à faire preuve d’une bonne hygiène en matière de cybersécurité auront plus de mal et devront débourser davantage pour souscrire des polices d’assurance cyber sans une longue liste d’avenants et d’exclusions. Dans certains cas, les organisations se trouveront dans l'impossibilité totale de souscrire une assurance cyber.
En mettant en place des contrôles de sécurité des terminaux et en respectant les bonnes pratiques en matière de cyberhygiène, les K–12 établissements scolaires peuvent démontrer à leurs assureurs qu’ils ont pris des précautions raisonnables contre les attaques par ransomware. Les assureurs seront alors plus enclins à leur proposer des contrats d'assurance couvrant le coût des dommages susceptibles d'être subis à la suite d'une attaque.
In this post, I review cybercrime trends, consider how those trends are affecting insurance premiums, and offer recommendations for K–12 schools to follow to strengthen their IT security and more easily meet the increasingly strict coverage requirements.
La cybercriminalité est lucrative, et les assureurs n'ont cessé de verser des indemnités
Le secteur de la cyberassurance a vu le jour après que Target a été victime d'une fuite de données en 2013. Lors de cette attaque, des cybercriminels ont piraté les systèmes informatiques d'un partenaire de Target et ont utilisé les droits d'accès de ce partenaire pour récupérer les informations de paiement de 110 millions de consommateurs.
L'attaque ayant été perpétrée par un partenaire, Target a commencé à exiger de ses partenaires qu'ils souscrivent une assurance cyber afin de couvrir les frais en cas de nouvelles failles de sécurité. Lorsque les partenaires de Target ont commencé à demander une couverture d'assurance, les compagnies d'assurance ont pris conscience qu'un nouveau marché venait de voir le jour. Ils ont commencé à rédiger de nombreuses directives.
Au cours des premières années, ces polices se sont révélées très rentables. Par la suite, les attaques informatiques, notamment celles par ransomware, sont devenues plus audacieuses, plus fréquentes et plus coûteuses à résoudre.
Au cours des cinq dernières années, le coût moyen d'une cyberattaque réussie aux États-Unis a atteint 13 millions de dollars, et les failles de sécurité ont augmenté de 67 %.
Au moment où s'est produite la violation de données chez Target, les interruptions d'activité liées aux cyberincidents se classaient aux alentours de la 15 e place dans la liste des risques auxquels sont confrontées les entreprises, selon des experts en risques. Il figure désormais en tête de la liste.
Ces failles de sécurité ont évidemment eu des conséquences néfastes pour les entreprises directement concernées. Elles étaient également préjudiciables aux assureurs. Ce qui était encore un marché très rentable quelques années auparavant est devenu un marché à l'équilibre, voire pire. Certaines compagnies d'assurance se sont même retrouvées à verser, au titre des sinistres liés à la cyberassurance, des montants supérieurs à leurs recettes. L'époque où la souscription était relativement rapide et simple est révolue.
Plus il y a de menaces, plus la surveillance est renforcée
Désormais, les assureurs posent des questions plus pointues avant de souscrire des contrats d'assurance. Ils souhaitent s'assurer que les organisations qu'ils assurent prennent des mesures prudentes pour réduire le risque de réussite d'attaques informatiques, telles que les ransomwares. Les assureurs demandent donc aux demandeurs de remplir des questionnaires afin de confirmer qu’ils ont pris des mesures concrètes pour réduire au minimum les menaces liées aux ransomwares.
Par exemple, de nombreuses variantes de ransomware utilisent le port du protocole RDP (Remote Desktop Protocol) pour se déplacer latéralement au sein d'un réseau. Dans la plupart des organisations, ce port peut être désactivé sur un grand nombre de terminaux sans que cela n'entraîne de perte de fonctionnalité pour l'organisation. Les assureurs demandent donc aux organisations de confirmer qu'elles ont bien fermé ce port.
Une fois la police d'assurance émise, l'assureur fera appel à un service de sécurité informatique pour analyser régulièrement le réseau public de l'organisation, afin de détecter d'éventuelles failles dans ses systèmes de protection.
La fermeture des ports inutiles constitue sans aucun doute une bonne pratique en matière de sécurité. De plus, le fait de remplir des questionnaires et de se soumettre à des analyses de réseau permet effectivement aux assureurs de mieux évaluer le niveau de préparation d'une organisation face aux attaques informatiques.
Mais les organisations peuvent-elles faire davantage pour renforcer leurs défenses contre les attaques ? Et comment pourraient-ils mieux démontrer leur niveau de préparation aux assureurs afin d'obtenir plus facilement une police d'assurance avantageuse ?
L'assurance cyber et K–12 établissements scolaires
Ces questions s'appliquent à toutes les organisations, y compris les K–12 établissements scolaires. Beaucoup de gens ne pensent pas que les établissements scolaires constituent une cible intéressante pour les pirates informatiques. Après tout, les établissements financiers, comme les banques, ne disposeraient-ils pas de davantage de fonds pour payer la rançon ? Les hôpitaux ne se sentiraient-ils pas davantage poussés à résoudre rapidement toute interruption de réseau susceptible de compromettre la prestation des soins ?
Mais les établissements scolaires constituent des cibles de choix pour les cybercriminels en raison de leur taille, de leurs ressources financières et de la quantité importante de données à caractère personnel qu’ils gèrent.
Le système scolaire public américain emploie plus de personnes — environ 6,6 millions — que n'importe quel autre secteur d'activité du pays. Les systèmes informatiques des établissements scolaires publics stockent des informations, notamment les noms, adresses personnelles et numéros de sécurité sociale, concernant plus de 50 millions d'élèves.
La quasi-totalité de ces élèves ouvriront un jour des comptes bancaires et utiliseront des produits financiers tels que les cartes de crédit. Les malfaiteurs savent que les données personnelles de ces étudiants constituent une cible de choix pour commettre des fraudes, aujourd'hui comme à l'avenir. C'est pourquoi les criminels sont prêts à payer entre 250 et 350 dollars pour les données personnelles d'un étudiant sur le dark web.
La plupart des entreprises commerciales, telles que les banques et les hôpitaux, disposent de systèmes de sécurité sophistiqués à plusieurs niveaux, ainsi que d'effectifs et de budgets solides pour prendre en charge tous les aspects de la sécurité informatique. La plupart des écoles du programme « K–12 » ne disposent que d'une fraction du budget et des effectifs de ces organisations de taille comparable. Il se peut que certaines petites écoles ne disposent même pas d'un informaticien à temps plein. Ce manque de ressources rend K–12 écoles vulnérables, ce qui explique pourquoi les attaques se multiplient.
Sans parler de l'impact sur la réputation d'un district scolaire K–12 . La plupart des directeurs d'établissement souhaitent éviter de faire la une des journaux en raison de failles embarrassantes qui peuvent non seulement épuiser leurs réserves budgétaires pour payer des rançons, mais aussi susciter la colère des parents quant à leurs processus de gestion informatique.
, 122 cyberattaques ont été perpétrées contre K–12 établissements scolaires en 2018. Rien qu’en août et septembre 2020 , 57 % des attaques par ransomware signalées à l’équipe MS-ISAC du Center for Internet Security visaient K–12 établissements scolaires.
Les menaces pour la sécurité pesant sur K–12 établissements scolaires étaient déjà suffisamment graves pour justifier la diffusion d'un message d'intérêt public par le FBI en 2018, intitulé «». Le problème est aujourd’hui encore plus pressant, notamment en raison de l’essor de l’enseignement à distance lié à la pandémie de COVID-19. À tel point qu’en 2020, l’Agence pour la cybersécurité et les infrastructures (CISA), , a élaboré des recommandations de sécurité à l’intention des K–12 établissements scolaires afin de leur permettre de faire face à l’aggravation des menaces, parallèlement à l’essor de l’enseignement à distance.
Comment les K–12 établissements scolaires peuvent-ils donc mieux se protéger contre les cybermenaces et démontrer aux assureurs qu’ils sont prêts en matière de sécurité informatique ?
Automating K–12 cybersecurity and meeting policy requirements
Un établissement scolaire de niveau K–12 peut renforcer considérablement ses défenses contre les ransomwares et autres menaces de sécurité en déployant une plateforme de gestion et de sécurité des terminaux. Grâce à cette même plateforme, l'établissement peut bénéficier d'une visibilité précieuse sur la sécurité et le fonctionnement quotidien de ses terminaux, notamment les ordinateurs portables, les ordinateurs de bureau, les machines virtuelles et les serveurs.
Une plateforme intégrant des solutions permettant de gagner du temps et l'automatisation de la cybersécurité peut également aider les districts scolaires disposant de ressources limitées à mieux gérer leur sécurité qu'ils ne le font aujourd'hui, en automatisant de nombreuses tâches manuelles et fastidieuses, ce qui permet à leur personnel actuel d'être plus efficace.
Grâce à cette meilleure visibilité, le personnel peut identifier les problèmes à corriger afin de réduire au minimum les vulnérabilités face aux attaques. Et lorsqu'une attaque se produit, les équipes informatiques peuvent utiliser les fonctionnalités de sécurité et de visibilité des terminaux pour analyser rapidement la nature de l'attaque et la contenir.
De plus, une plateforme de gestion et de sécurité des terminaux permet de recenser avec précision l'ensemble des terminaux associés à l'établissement scolaire, de générer des rapports sur leur niveau de vulnérabilité et de déployer automatiquement les correctifs et les mises à jour.
Étant donné que la plupart des attaques de sécurité exploitent des vulnérabilités déjà connues dans les applications et les systèmes d'exploitation, le fait de maintenir les terminaux constamment à jour et de leur appliquer les correctifs réduit considérablement le risque d'attaques.
Malheureusement, dans de nombreux établissements scolaires, la gestion des mises à jour et des correctifs est une tâche chronophage, qui n'est effectuée que lorsque le personnel informatique dispose du temps nécessaire pour analyser les terminaux, identifier les modifications requises, puis exécuter des scripts de correctifs ou de mises à jour, en espérant qu'ils fonctionnent comme prévu. Même dans ce cas, seuls certains terminaux pourraient être corrigés ou mis à jour.
L'automatisation des processus de gestion des mises à jour et des correctifs grâce à un système de gestion des terminaux permet de réaliser cette tâche essentielle de manière rapide, simple et exhaustive.
La solution « Tanium Risk and Compliance Management » d' , disponible sur , offre une visibilité en temps réel sur l'état des terminaux. Tanium vous indique non seulement quels ports sont ouverts ou fermés, mais également quelles activités ont lieu sur les terminaux et lesquelles de ces activités constituent une menace pour la sécurité.
La fonctionnalité de génération automatique de rapports intégrée à la plateforme permet au personnel de créer facilement des rapports sur les actifs gérés ou non gérés au sein d'un district scolaire K–12 , que ce soit sur le réseau ou hors réseau. Ces rapports peuvent s'avérer d'une aide précieuse, car ils fournissent des données précises et en temps réel, sans nécessiter des semaines de collecte et de compilation de données à transmettre aux assureurs cyber afin de prouver le respect des bonnes pratiques en matière de cybersécurité. Cela signifie non seulement que les établissements scolaires peuvent souscrire plus facilement une assurance, mais aussi que leur vulnérabilité face aux attaques s'en trouve réduite — dès lors qu'ils ont une bonne visibilité sur ce qui se passe dans leur environnement.
K–12 établissements scolaires peuvent également utiliser Tanium pour déployer automatiquement des correctifs et des mises à jour sur tous les terminaux, ce qui renforce la sécurité globale de ces derniers et réduit le risque d'une attaque qui entraînerait le versement d'une indemnité par la compagnie d'assurance.
Face à la menace croissante d'attaques informatiques coûteuses, souscrire une assurance cyber est une décision prudente pour tout établissement d'enseignement K–12 . Tanium aide les établissements scolaires à protéger leurs réseaux et à bénéficier de conditions avantageuses pour ce type d'assurance essentiel.
Laissez-nous vous montrer comment la solution « Risk and Compliance » de Tanium offre une vue en temps réel de l'exposition aux risques au sein de votre organisation. Inscrivez-vous dès aujourd'hui pour une démonstration sur.