Il est facile pour les entreprises de se laisser submerger par tous les cadres et normes de sécurité existants. Et c’est particulièrement vrai pour les petites et moyennes entreprises sans directeur de la sécurité de l’information (RSSI), ou peut-être pas du tout de personnel informatique. Ne serait-ce pas formidable s’il existait une liste détaillée des mesures que les entreprises pourraient prendre pour résoudre la plupart de leurs problèmes de cybersécurité ?
Il y en a, en Australie. Et elle est largement ignorée.
L’Australian Signals Directorate (ASD), qui est l’équivalent de l’Agence nationale de sécurité des États-Unis, a énoncé une liste de meilleures pratiques pour se protéger contre les cyberattaques il y a plusieurs années, en commençant par quatre, puis en élargissant la liste à ce qui est désormais communément connu sous le nom de « les Huit essentiels ». Les entités publiques et privées sont encouragées à suivre les pratiques, mais se conformer même au niveau un s’est avéré difficile pour beaucoup, et accablant pour les petites et moyennes entreprises (PME), en particulier.
Lorsque l’ASD a cristallisé les quatre premières stratégies d’atténuation, elle a déclaré que leur mise en œuvre éviterait 85 % des risques de cybersécurité auxquels les organisations s’attaquent quotidiennement. Il incarnait le principe de Pareto, dans le but de couvrir la part du lion dans le travail avec (idéalement) juste un petit effort.
Ces quatre éléments étaient :
- Liste blanche des applications
- Application de correctifs
- Correctif des systèmes d’exploitation
- Minimiser les privilèges administratifs
C’était 2011. Alors que le paysage des menaces devenait plus complexe au fil du temps, la « liste blanche des applications » a été renommée « contrôle des applications », et la liste a été développée en 2017 pour inclure :
- Authentification multifacteur
- Renforcement de l’application utilisateur
- Sauvegardes régulières
- Restreindre les macros Microsoft Office
Et pourtant, malgré l’accent mis sur les efforts minimaux pour des gains maximums, et une campagne initiale de sensibilisation publique (plus d’informations sur cela dans une seconde), la conformité au E8—especially pour les PME est abyssale. Cela peut sembler contre-intuitif, en particulier en tenant compte de la manière dont le cadre est divisé en huit catégories apparemment simples, dont deux correspondent au même message de base et clair : corrigez votre logiciel, pour pleurer à voix haute ! Quel est donc le problème ?
[Lire également : Comment simplifier et automatiser la conformité à Essential Eight]
Les experts discutant de ce problème affirment qu’une partie de la raison de la non-conformité provient du fait que ces huit catégories peuvent sembler assez simples à comprendre, mais pas dans la pratique. Et ils deviennent beaucoup plus compliqués et moins réalistes pour la plupart des PME, plus vous approfondissez.
La question essentielle de l’Essential Eight : quel est votre niveau de maturité ?
L’ASD applique un modèle de maturité à quatre niveaux à l’Essential Eight. Bien que les entités australiennes qui ne sont pas des entreprises du Commonwealth doivent atteindre le niveau de maturité deux, les entreprises privées peuvent généralement décider du niveau de sécurité qu’elles souhaitent adopter (ou du montant qu’elles sont prêtes à payer).
- Le niveau zéro est le niveau le plus basique (on pourrait sans doute l’appeler un niveau de maturité im), exposant les faiblesses dans la posture de cybersécurité d’une organisation et la rendant largement ouverte aux attaques.
- Le niveau un (souvent adapté aux PME) se concentre sur la protection des organisations contre les métiers communautaires largement disponibles, tels que les types d’outils que les « enfants scriptés » et d’autres sans connaissances approfondies en matière de piratage utilisent au hasard pour exploiter des vulnérabilités bien connues que les entreprises n’ont pas rencontrées pour appliquer des correctifs.
- Le niveau deux (généralement applicable aux grandes entreprises) protège contre les acteurs malveillants qui investissent plus de temps et de connaissances dans leurs attaques, peut-être en utilisant des techniques d’ hameçonnage ou d’ingénierie sociale pour lancer des applications malveillantes et détruire des données.
- Le niveau trois (en particulier la clé pour l’infrastructure critique) se concentre sur les attaquants les plus sophistiqués, qui n’ont pas besoin de s’appuyer sur des outils accessibles au public, mais peuvent concevoir leurs propres ransomware set autres armes numériques. Ces attaquants s’engageront dans une ingénierie sociale plus sophistiquée (conduire un employé, par exemple, non seulement à cliquer sur un lien malveillant, mais également à contourner involontairement les contrôles réseau), à basculer vers diverses parties d’un réseau pour siphonner ou corrompre des données et couvrir leurs pistes.
Chaque niveau dispose de spécifications détaillées pour chacune des huit mesures. Par exemple, le niveau un a neuf critères distincts pour l’application de correctifs uniquement. Il existe une publication distincte pour les correctifs, comme il existe pour la plupart des sujets Essential Eight, avec des conseils nuancés sur des problèmes tels que l’identification des correctifs manquants, la gestion des défauts pendant les correctifs et ce qu’il faut faire pendant les périodes de gel. Les autres listes de contrôle sont également détaillées.
L’ASD a mis à jour les contrôles de l’Essential Eight de manière substantielle en novembre 2023, incorporant de nouvelles exigences telles qu’une exigence de correctif de 48 heures après la découverte d’une vulnérabilité critique. Les mises à jour couvraient la plupart des mesures de base.
« Il ne s’agit plus d’un simple ensemble de contrôles », déclare Jamie Norton, directeur du conseil d’administration de l’ISACA, une organisation internationale de contrôle à but non lucratif. « C’est un ensemble assez important de contrôles. »
Pas aussi simple que « glisse, pente, gifle »
L’argumentaire pour les quatre meilleures pratiques originales de l’ASD faisait écho au message de sensibilisation simpliste que l’Australie est douée : des slogans courts et mémorables qui font la différence. Comme la campagne « glissade, pente, claque » qui a encouragé les gens à combattre le mélanome en portant de la crème solaire et des chapeaux ; le slogan anti-vitesse « Essayer cinq », qui a encouragé à réduire la vitesse de la route de seulement cinq kilomètres par heure ; et le fabuleux liège australien 1980s « Si vous buvez et conduisez, vous êtes un idiot sanglant ».
« Capturer, appliquer des correctifs et faire correspondre. »Un slogan de cybersécurité précoce du gouvernement australien qui n’a pas réussi à s’en tenir (ou à améliorer les taux de cyber-conformité)
La campagne vidéo en ligne « Capturer, appliquer des correctifs et faire correspondre » de l’ASD pour la cybersécurité a résumé les quatre premières règles (combinant les deux règles d’application des correctifs avec une prospérité) et a déclaré que leur suivi éliminerait 85 % des incidents de cybersécurité. Mais vous ne pouvez pas faire simple lorsqu’il s’agit de cybersécurité ; un sujet aussi complexe nécessite plus qu’une campagne de sensibilisation accrocheuse.
« Ce genre d’idée basée sur un slogan de sécurité publique... est idéal pour les consommateurs si vous essayez simplement de protéger votre e-mail et votre PC, » déclare Norton, « mais peut-être pas tant pour les entreprises. »
D’où l’évolution vers l’Essential Eight moins facile à digérer, qui n’avait pas de vidéos en ligne si accrocheuses. Au lieu de cela, elle a été communiquée en coulisses, lors de réunions de gestion des risques , où sa légion de sous-contrôles pouvait être séparée par des experts.
Elle a également été réglementée, dans une volonté qui a eu des résultats limités.
Huit essentiels par les chiffres (conformité des manques)
E8 niveau deux est devenu obligatoire pour les organisations gouvernementales non corporatives depuis 2022, et les grandes entreprises sont plus susceptibles d’avoir atteint ce niveau de maturité que les plus petites. Cela dit, personne ne semble avoir fait particulièrement bien. Selon un rapport d’ASD sur la conformité en 2024, seulement 15 % des entités gouvernementales ont atteint le niveau de maturité global deux, en baisse par rapport à 25 % l’année précédente.
Les PME peuvent-elles se permettre de réaliser l’investissement même au niveau un ?
Il est peu probable, déclare Ash Raina, membre du comité du groupe de réflexion de la Small Business Association of Australia et responsable d’une société de conseil informatique pour les PME appelée KPPro.
« Lorsque vous parlez du renforcement des applications, de l’application des correctifs, de l’application des correctifs des systèmes d’exploitation, en fonction de l’étape du cycle de vie d’un projet, ces choses peuvent prendre du temps, des efforts et de l’argent », déclare-t-il.
Les coûts élevés des activités commerciales sur le marché australien ont exacerbé le problème, déclare Raina. Les données les plus récentes du Bureau australien des statistiques (de 2022) ont montré que 57 % de toutes les entreprises constataient une augmentation du coût de l’activité sur une période de trois mois. Un coût de reporting sur cinq avait augmenté dans une grande mesure.
PME à Essential Eight : nous ne l’achetons pas
Face à des priorités telles que le simple fait de rester à flot, peu de PME ont adhéré à la propulsion de la cybersécurité. Une enquête menée auprès de plus de 1 700 entreprises par l’Australian Cyber Security Centre (ACSC), qui fait partie de l’ASD, a révélé que près de la moitié d’entre elles notaient leur propre sensibilisation à la cybersécurité comme moyenne ou inférieure à la moyenne. Et les budgets de cybersécurité ? Environ le même nombre n’a pas dépensé plus de 500 USD par an en cybersécurité.
« Bien que [l’Essential Eight] soit toujours bon à faire, la nuance est perdue sur les PME qui n’ont pas de cyber-personne, ou probablement même une personne informatique. »Jamie Norton, directeur du conseil d’administration de l’ISACA, une organisation à but non lucratif de contrôle international
Pourtant, plus une entreprise est petite, plus elle a besoin d’aide. La même enquête a révélé que le coût moyen auto-rapporté de la cybercriminalité pour 92 % des entreprises qui gagnent moins de 2 millions USD chaque année était de près de 50 000 USD en FY2023-24. Cela a augmenté de 8 % par rapport à l’année précédente. À l’inverse, les moyennes et grandes entreprises ont vu une baisse de leurs pertes moyennes.
« Leur plus grand défi est l’ensemble des compétences et l’expertise », déclare Norton des PME. « Bien que [l’Essential Eight] soit toujours bon à faire, la nuance est perdue sur les PME qui n’ont pas de cyber-personne, ou probablement même une personne informatique. L’application de correctifs peut être comprise, mais lorsque vous commencez à entrer dans les détails du moment, de la raison et de la manière dont vous corrigez cela, c’est trop de détails. »
Le problème des « personnes » de l’Essential Eight
Paradoxalement pour une campagne de sensibilisation, l’ASD sous-estime également la dépendance aux utilisateurs instruits, déclare Louise McGrath, responsable du développement et de la politique de l’industrie au sein du Groupe australien de l’industrie (Ai Group).
« Je pense que s’ils devaient refaire Essential Eight, cela aurait un élément plus humain. »Louise McGrath, responsable du développement et de la politique de l’industrie, Australian Industry Group
L’accent mis par l’Essential Eight sur les contrôles techniques est particulièrement problématique compte tenu de l’augmentation des attaques d’ingénierie sociale. Selon l’ACSC, les entreprises australiennes ont perdu 84 millions USD en raison d’une compromission des e-mails professionnels en FY2023-24. Et bien que les contrôles techniques tels que la segmentation et les sauvegardes puissent aider à se défendre contre les rançongiciels, une bonne dose de sensibilisation des utilisateurs est également vitale.
« Je pense que s’ils devaient refaire Essential Eight, cela aurait un élément plus humain », déclare McGrath. « Les entreprises comprennent mieux que le risque réel pour les personnes est toujours le comportement, et beaucoup plus d’investissements vont dans la formation des personnes. »
Mais encore une fois, la formation des employés nécessite du temps, du budget et du personnel pour l’effectuer, ce que les PME ont en manque. Dans une récente enquête menée par des chercheurs de l’Université Murdoch auprès de PME d’Australie-Occidentale, seuls 35 % des répondants ont alloué un budget à la cybersécurité, 34 % ont formé leurs employés à la sensibilisation à la cybersécurité et aux escroqueries en ligne, et beaucoup moins savaient que des cadres de cybersécurité conçus pour les aider existaient même : 32 % connaissaient le cadre de l’Institut national américain des normes et technologies (National Institute of Standards and Technology, NIST), moins d’un quart connaissaient les Huit essentiels, et 17 % n’en connaissaient aucune.
Huit alternatives essentielles (conçues pour les PME)
Officiellement, l’Essential Eight n’est obligatoire que pour les organisations gouvernementales. Dans la pratique, explique McGrath, ils sont passés à l’utilisation générale de la chaîne d’approvisionnement.
« Lorsque vous êtes un nouveau fournisseur, votre client, en particulier s’il est grand, vous donnera une auto-évaluation des niveaux de maturité pour Essential Eight », dit-elle. Les petites entreprises peuvent s’en passer, « alors que si vous êtes une entreprise de taille moyenne, il est plus probable que l’on vous pose ces questions ».
Néanmoins, il existe d’autres normes conçues pour les PME. Le cadre SMB 1001 de Dynamic Standards International, basé à Canberra, en est un exemple.
Pour quelque chose d’encore plus simple, l’ACSC dispose de ses propres conseils distincts en matière de cybersécurité pour les PME. Cela contient une aide simple, comme des conseils de formation du personnel. Le Centre recommande aux PME de passer au niveau un du modèle de sécurité Essential Eight après cela.
Ce qui pourrait vraiment vous aider, c’est une certification minimale distincte pour les petites entreprises, juste pour prouver qu’elles ont fait tout leur possible au-delà de l’achat d’une copie de Norton pour le bureau du réceptionniste.
Le modèle Cyber Essentials du Centre national de cybersécurité du Royaume-Uni offre une bonne référence. Il dispose de cinq contrôles techniques relativement courts (bien qu’il n’y ait malheureusement pas de contrôle dédié de sensibilisation/formation du personnel). Il dispose également d’un questionnaire de préparation que les chefs d’entreprise peuvent parcourir en ligne pour déterminer leurs actions les plus urgentes.
Lorsque vous incitez les petites entreprises à faire tout ce qui est lié à l’informatique, il est essentiel de rendre les choses aussi faciles à comprendre, rentables et sans friction que possible. Celles-ci, avant tout, sont essentielles.
