Les entreprises peuvent facilement se sentir dépassées par la multitude de cadres et de normes de sécurité existants. Et cela vaut tout particulièrement pour les petites et moyennes entreprises qui ne disposent pas d’un responsable de la sécurité des systèmes d’ s (RSSI), ni même, parfois, d’aucun informaticien. Ne serait-ce pas formidable s'il existait une liste détaillée des mesures que les entreprises pourraient mettre en œuvre pour résoudre la plupart de leurs problèmes de cybersécurité ?
C'est le cas en Australie. Et cela est largement ignoré.
L’Australian Signals Directorate (ASD), qui est l’équivalent de l’Agence nationale de sécurité américaine (NSA), a établi il y a plusieurs années une liste de bonnes pratiques visant à se protéger contre les cyberattaques. D’abord composée de quatre points, cette liste a ensuite été élargie pour devenir ce que l’on appelle aujourd’hui couramment en Australie « les huit mesures essentielles de l’ » (Essential Eight). Les entités publiques comme privées sont encouragées à adopter ces pratiques, mais le simple fait de se conformer au niveau 1 s'est avéré difficile pour beaucoup — et particulièrement contraignant pour les petites et moyennes entreprises (PME).
À l'époque où l'ASD avait défini les quatre premières stratégies d'atténuation, elle avait déclaré que leur mise en œuvre permettrait d'éviter 85 % des risques liés à la cybersécurité auxquels les organisations étaient confrontées au quotidien. Ce système incarnait le principe de Pareto, dont l'objectif était d'accomplir l'essentiel du travail avec (idéalement) un minimum d'effort.
Ces quatre personnes étaient :
- Liste blanche des applications
- Mise à jour des applications
- Mise à jour des systèmes d'exploitation
- Réduire au minimum les privilèges administratifs
C'était le 2011. Au fur et à mesure que le paysage des menaces se complexifiait, la « liste blanche des applications » a été rebaptisée « contrôle des applications », et la liste a été élargie en 2017 pour inclure :
- Authentification multifactorielle
- Renforcement de la sécurité des applications utilisateur
- Sauvegardes régulières
- Restriction des macros de Microsoft Office
Et pourtant, malgré l'accent mis sur un minimum d'efforts pour un maximum de résultats, et malgré une campagne de sensibilisation initiale accrocheuse (nous y reviendrons dans un instant), le taux d'adhésion au « E8—especially pour les PME » est catastrophique. Cela peut sembler contre-intuitif, surtout si l'on considère que ce cadre est divisé en huit catégories apparemment simples, dont deux reviennent au même message fondamental et clair : Mettez à jour vos logiciels, bon sang ! Alors, quel est le problème ?
Selon les experts qui se penchent sur cette question, cette non-conformité s'explique en partie par le fait que ces huit catégories peuvent sembler assez simples à comprendre à première vue, mais qu'elles ne le sont pas dans la pratique. Et plus on entre dans les détails, plus elles deviennent complexes — et d’autant moins réalistes à mettre en œuvre pour la plupart des PME.
La question fondamentale des « Essential Eight » : quel est votre niveau de maturité ?
L'ASD applique un modèle de maturité à quatre niveaux aux « Essential Eight ». Alors que les entités du Commonwealth australiennes non constituées en société doivent respecter le niveau de maturité 2, les entreprises privées peuvent généralement choisir le niveau de sécurité qu'elles souhaitent adopter (ou le montant qu'elles sont prêtes à y consacrer).
- Le niveau zéro « » correspond au niveau le plus élémentaire (on pourrait même le qualifier de niveau de maturité « » selon l’ im), qui met en évidence les faiblesses de la posture de cybersécurité d’une organisation et la rend largement vulnérable aux attaques.
- La « » de niveau 1 (souvent adaptée aux PME) vise principalement à protéger les organisations contre les techniques de piratage couramment utilisées par la communauté, telles que les outils que les « script kiddies » et d’autres personnes ne disposant pas de connaissances approfondies en piratage utilisent au hasard pour exploiter des vulnérabilités bien connues que les entreprises n’ont pas encore eu le temps de corriger.
- Le niveau 2 (qui s'applique généralement aux grandes entreprises) offre une protection contre les acteurs malveillants qui consacrent davantage de temps et de savoir-faire à leurs attaques, par exemple en recourant à des techniques d' , de phishing ou d' , ainsi qu'à des techniques d'ingénierie sociale pour lancer des applications malveillantes et détruire des données.
- L' de niveau trois (particulièrement cruciale pour les infrastructures critiques) cible les attaquants les plus sophistiqués, qui n'ont pas besoin de recourir à des outils accessibles au public, mais sont capables de concevoir leurs propres ransomware et autres armes numériques. Ces pirates auront recours à des techniques d'ingénierie sociale plus sophistiquées (en amenant un employé, par exemple, non seulement à cliquer sur un lien malveillant, mais aussi à contourner à son insu les contrôles du réseau), se déplaceront vers différentes parties du réseau pour détourner ou corrompre des données, et effaceront leurs traces.
Chaque niveau comporte des spécifications détaillées pour chacune des huit mesures. Par exemple, le niveau 1 comporte neuf critères distincts rien que pour la mise à jour des applications. Il existe une publication distincte consacrée à l'application des correctifs, comme c'est le cas pour la plupart des thèmes de l'« Essential Eight », qui fournit des conseils détaillés sur des questions telles que l'identification des correctifs manquants, la gestion des incidents survenant lors de l'application des correctifs et la marche à suivre pendant les périodes de gel. D'autres listes de contrôle sont tout aussi détaillées.
L'ASD a considérablement mis à jour les mesures de contrôle de l'« Essential Eight » dans le document « novembre 2023 », en y intégrant de nouvelles exigences, telles que l'obligation d'appliquer un correctif dans les 48 heures suivant la découverte d'une vulnérabilité critique. Ces mises à jour ont porté sur la plupart des indicateurs clés.
« Il ne s'agit plus d'un simple ensemble de contrôles », déclare Jamie Norton, membre du conseil d'administration de l'ISACA, une association internationale à but non lucratif spécialisée dans les contrôles. « C'est tout un ensemble de commandes. »
Ce n’est pas aussi simple que « slip, slop, slap »
La présentation des quatre meilleures pratiques initiales de l’ASD reprenait les codes des campagnes de sensibilisation grand public simplistes dans lesquelles l’Australie excelle : des slogans courts et accrocheurs qui vont droit au but. Like the “slip, slop, slap” campaign that encouraged people to fight melanoma by wearing sunscreen and hats; the anti-speeding slogan "Wipe off five," which encouraged reducing road speed by just five kilometers per hour; and the fabulously Australian 1980s corker "If you drink and then drive, you're a bloody idiot."
«Catch, Patch, and Match. »Un ancien slogan du gouvernement australien en matière de cybersécurité qui n'a pas réussi à s'imposer (ni à améliorer les taux de conformité en matière de cybersécurité)
La campagne vidéo en ligne de l’ASD intitulée « Catch, Patch, and Match », consacrée à la cybersécurité, résumait les quatre premières règles (en combinant avec brio les deux règles relatives aux correctifs) et affirmait que leur respect permettrait d’éliminer 85 % des incidents de cybersécurité. Mais en matière de cybersécurité, on ne peut pas se contenter de solutions simplistes ; un sujet aussi complexe exige bien plus qu'une campagne de sensibilisation accrocheuse.
« Ce genre d’idée inspirée des slogans de sécurité publique… est formidable pour les particuliers qui cherchent simplement à protéger leur messagerie électronique et leur ordinateur », explique Norton, « mais peut-être pas autant pour les entreprises. »
D'où l'évolution vers les « Essential Eight », moins faciles à assimiler, qui ne bénéficiaient pas de vidéos en ligne aussi accrocheuses. Au contraire, cette information a été communiquée en coulisses, lors de réunions de gestion des risques organisées par l' , au cours desquelles sa multitude de sous-contrôles a pu être passée au crible par des experts.
Cette question a également fait l'objet d'une réglementation, dans le cadre d'une initiative qui n'a donné que des résultats limités.
Les « Essential Eight » à la lumière des chiffres (peu convaincants en matière de conformité)
La norme E8 de niveau 2 est devenue obligatoire pour les organismes publics non commerciaux à compter de 2022, et les grandes entreprises sont plus susceptibles d'avoir atteint ce niveau de maturité que les petites. Cela dit, personne ne semble s'en être particulièrement bien sorti. Selon un rapport de l'ASD ( ) intitulé « » et consacré à la conformité à la norme ( ) en 2024, seules 15 % des entités publiques ont atteint le niveau de maturité global 2, soit une baisse par rapport aux 25 % enregistrés l'année précédente.
Les PME ont-elles les moyens de réaliser cet investissement, même au niveau 1 ?
« Cela semble peu probable », déclare Ash Raina, membre du comité d'un groupe de réflexion au sein de la Small Business Association of Australia et dirigeant d'une société de conseil en informatique pour les PME, KPPro.
« Lorsque vous parlez de renforcement de la sécurité des applications, d'application de correctifs aux applications ou aux systèmes d'exploitation, selon la phase du cycle de vie dans laquelle vous vous trouvez au sein d'un projet, ces opérations peuvent demander du temps, des efforts et de l'argent », explique-t-il.
Selon Raina, les coûts élevés liés à l'activité commerciale sur le marché australien ont aggravé le problème. Les dernières données du Bureau australien des statistiques (sur 2022) ont révélé que 57 % de l'ensemble des entreprises avaient constaté une augmentation de leurs coûts d'exploitation sur une période de trois mois. Un sur cinq des coûts déclarés avait considérablement augmenté.
Les PME à l’« Essential Eight » : « On n’y croit pas »
Confrontées à des priorités telles que le simple fait de rester à flot, peu de PME ont adhéré à cette dynamique en matière de cybersécurité. Une enquête intitulée « » menée par l'Australian Cyber Security Centre (ACSC), qui fait partie de l'ASD, auprès de plus de 1 700 entreprises, a révélé que près de la moitié d'entre elles estimaient que leur niveau de sensibilisation à la cybersécurité était moyen ou inférieur à la moyenne. Et les budgets consacrés à la cybersécurité ? Environ le même nombre de personnes ne dépensaient pas plus de 500 dollars par an en cybersécurité.
«Même si [les « Essential Eight »] restaient une bonne pratique, cette nuance échappe aux PME qui ne disposent pas d’un spécialiste de la cybersécurité, ni même, probablement, d’un responsable informatique. »Jamie Norton, membre du conseil d'administration de l'ISACA, une association internationale à but non lucratif spécialisée dans les contrôles
Pourtant, plus une entreprise est petite, plus elle a besoin d'aide. Cette même enquête a révélé que le coût moyen déclaré par les entreprises elles-mêmes lié à la cybercriminalité, pour les 92 % d'entre elles dont le chiffre d'affaires annuel est inférieur à 2 millions de dollars, s'élevait à près de 50 000 dollars en FY2023-24. Cela représentait une hausse de 8 % par rapport à l'année précédente. À l'inverse, les moyennes et grandes entreprises ont enregistré une baisse de leurs pertes moyennes.
« Leur plus grand défi réside dans les compétences et l'expertise », déclare M. Norton à propos des PME. « Même si [les « Essential Eight »] restaient une bonne pratique, cette nuance échappe aux PME qui ne disposent pas d'un spécialiste de la cybersécurité, ni même, probablement, d'un responsable informatique. » « On peut comprendre ce qu’est un correctif, mais dès qu’on entre dans les détails pour savoir exactement quand, pourquoi et comment on l’applique, cela devient trop complexe. »
Le problème « humain » des « Essential Eight »
Paradoxalement pour une campagne de sensibilisation, l'ASD minimise également l'importance du rôle des utilisateurs informés, explique Louise McGrath, responsable du développement sectoriel et des politiques au sein de l'Australian Industry Group (Ai Group).
«Je pense que s’ils devaient refaire Essential Eight, la série mettrait davantage l’accent sur la dimension humaine. »Louise McGrath, responsable du développement et de la politique sectorielles, Australian Industry Group
L'accent mis par les « Essential Eight » sur les contrôles techniques est particulièrement problématique compte tenu de la recrudescence des attaques par ingénierie sociale. Selon l'ACSC, les entreprises australiennes ont subi des pertes s'élevant à 84 millions de dollars en raison d'une attaque de type « business email compromise » en FY2023-24. Et si les mesures techniques telles que la segmentation et les sauvegardes peuvent contribuer à la protection contre les ransomwares, une bonne prise de conscience des utilisateurs est également essentielle.
« Je pense que s’ils devaient refaire Essential Eight, cela comporterait davantage de dimension humaine », déclare M. McGrath. « Les entreprises prennent de plus en plus conscience que le véritable risque pour les personnes réside toujours dans les comportements, et elles consacrent donc des moyens bien plus importants à la formation de leur personnel. »
Mais là encore, la formation des salariés nécessite du temps, un budget et du personnel pour la mettre en œuvre, autant de ressources dont les PME manquent cruellement. Dans une récente enquête menée auprès des PME d’Australie-Occidentale par des chercheurs de l’université Murdoch, seules 35 % des entreprises interrogées avaient alloué un budget à la cybersécurité, 34 % avaient formé leurs employés à la sensibilisation à la cybersécurité et aux escroqueries en ligne, et elles étaient bien moins nombreuses à savoir que des cadres de référence en matière de cybersécurité, conçus pour les aider, existaient même : 32 % connaissaient le référentiel de l’Institut national des normes et des technologies (NIST) de l’ des États-Unis, moins d’un quart connaissaient les « Essential Eight », et 17 % n’en connaissaient aucun.
Huit alternatives incontournables (conçues spécialement pour les PME)
Officiellement, le programme « Essential Eight » n'est obligatoire que pour les organismes publics. Dans la pratique, explique M. McGrath, ces termes se sont progressivement imposés dans le vocabulaire courant de la chaîne d'approvisionnement.
« Lorsque vous êtes un nouveau fournisseur, votre client, en particulier s'il s'agit d'une grande entreprise, vous proposera une auto-évaluation des niveaux de maturité relatifs aux « Essential Eight », explique-t-elle. » Les petites entreprises peuvent peut-être s'en tirer sans cela, « alors que si vous êtes une entreprise de taille moyenne, vous risquez davantage de devoir répondre à ces questions ».
Il existe néanmoins d'autres normes spécialement conçues pour les PME. Le référentiel « SMB 1001 » de l' , intitulé « » et élaboré par Dynamic Standards International, une société basée à Canberra, en est un exemple.
Si vous recherchez quelque chose d'encore plus simple, l'ACSC propose son propre guide dédié à la cybersécurité des PME, intitulé « » (Guide de cybersécurité pour les PME) :. Ce document contient quelques conseils pratiques, tels que des astuces pour la formation du personnel. Le Centre recommande aux PME de passer ensuite au niveau 1 du modèle de sécurité « Essential Eight ».
Ce qui pourrait vraiment aider, c'est une certification minimale distincte pour les petites entreprises, simplement pour prouver qu'elles ont fait un effort, ne serait-ce que minime, au-delà de l'achat d'une licence Norton pour l'ordinateur de la réceptionniste.
Le modèle « Cyber Essentials » du Centre national de cybersécurité du Royaume-Uni ( ) constitue une bonne référence. Il comporte cinq contrôles techniques relativement courts (même s'il ne comporte malheureusement aucun contrôle spécifique consacré à la sensibilisation ou à la formation du personnel). Il propose également un questionnaire d'évaluation de l'état de préparation que les chefs d'entreprise peuvent remplir en ligne afin d'identifier les mesures les plus urgentes à prendre.
Lorsqu'il s'agit d'amener les petites entreprises à entreprendre des démarches liées à l'informatique, il est essentiel de rendre ces démarches aussi simples à comprendre, aussi rentables et aussi fluides que possible. Ce sont là, avant tout, les éléments essentiels.
