Les articles publiés dans 2022 qui font frissonner les RSSI et leur hérissent les cheveux n’ont pas manqué, notamment ceux consacrés à la montée en puissance de la cyberguerre mondiale , à la cyberguerre et à la cruauté des groupes de ransomware .
Voici les tendances qui devraient préoccuper le plus les dirigeants d'entreprise et qui pourraient semer la peur et l'inquiétude pendant de nombreuses années :
Les failles de firmware se multiplient
Le micrologiciel assure l'interface entre le matériel et les autres appareils sur lesquels s'exécutent des logiciels. Elle offre ainsi aux pirates un accès très convoité aux terminaux et leur permet de passer inaperçus pendant de longues périodes.
«Tout logiciel présente des failles, et le micrologiciel n’est rien d’autre qu’un logiciel. »Roger Thompson, chef de produit technique chez ReversingLabs
Les pirates ciblent de plus en plus souvent le micrologiciel des appareils et parviennent à s'y infiltrer. Un exemple récent est le logiciel « » de CosmicStrand, qui exploite l'interface UEFI (UEFI) et qui a été révélé pour la première fois par l'éditeur russe de logiciels anti-malware Kaspersky Lab. Cette faille cible le chipset H81 et, lorsqu'elle aboutit, elle désactive les logiciels de sécurité installés sur un appareil.
En 2022, le nombre de failles graves de micrologiciel a continué d'augmenter. En février, l'éditeur de solutions de sécurité Binarly a découvert des failles critiques dans « InsydeH2O », un type de micrologiciel UEFI. Ces vulnérabilités concernaient tous les éditeurs qui utilisent, dans leurs logiciels, du code provenant de développeurs BIOS indépendants (IBV) afin de faciliter le fonctionnement des systèmes d'exploitation des ordinateurs. Binarly a indiqué, dans un article publié sur le blog « » ( ), que des vulnérabilités avaient été découvertes dans des produits de fournisseurs tels que Fujitsu, Siemens, Dell, HP, HPE, Lenovo, Microsoft et Intel.
[À lire également : Des failles de firmware mettent les ordinateurs portables en danger]
« Nous sommes engagés dans une course sans répit, la ligne de front ne cessant de descendre dans la pile [technologique] », explique Roger Thompson, expert en sécurité anti-malware et en sécurité des micrologiciels, chef de produit technique chez ReversingLabs, qui propose une plateforme de sécurité de la chaîne logicielle. « Tout logiciel présente un point faible, et le micrologiciel n'est, après tout, qu'un logiciel. » Il affirme que les attaques visant les micrologiciels ne feront que se multiplier à mesure que les entreprises déploieront davantage de terminaux, ce qui élargit la surface d'attaque globale.
Des menaces persistantes avancées se cachent au sein des réseaux
L'approche de sécurité «» ( « zero trust ») repose sur l'hypothèse de base selon laquelle les environnements informatiques ont déjà été compromis et que les attaquants se trouvent déjà à l'intérieur d'un nombre indéterminé de serveurs et de terminaux. Les équipes de sécurité ne savent pas encore de quelles personnes il s'agit. Les identifiants volés étant utilisés pour se déplacer latéralement après une intrusion initiale, il reste essentiel de bloquer les attaquants dès qu’ils pénètrent au sein d’une organisation.
«Il existe des règles claires en matière de guerre conventionnelle, mais il n’y a pas de règles claires issues des Conventions de Genève concernant la cyberguerre. » C'est le Far West là-bas. »Tom Kirkham, PDG et responsable de la sécurité des systèmes d'information (RSSI), Kirkham IT
Le « zero trust » est une architecture technique qui part du principe que les personnes, les systèmes et les appareils doivent faire l'objet d'une authentification continue. Les analystes prévoient que la valeur du marché mondial du « zero-trust » atteindra 126 milliards de dollars d'ici 2031, contre 24 milliards de dollars en 2021..
« Ce modèle diffère radicalement de l’approche « faire confiance, mais vérifier », qui a traditionnellement exposé les réseaux à des activités malveillantes menées par des acteurs internes », explique Robin Berthier, PDG de Network Perception, une entreprise qui propose des solutions de vérification et de visualisation de la segmentation des réseaux. Il explique que le vif intérêt suscité par cette architecture de sécurité tient, en partie, au décret « » ( ) promulgué par le président Biden le mai 2021 , qui impose au gouvernement fédéral d’adopter le modèle « zero trust ». Bien qu'il existe de nombreuses interprétations différentes, des normes « zero-trust » commencent à voir le jour, telles que la norme 800-207 du NIST, le modèle ZTX de Forrester et le modèle CARTA de Gartner.
Les ransomwares restent un véritable fléau
L' par ransomware continue d'entraîner des coûts considérables. Selon Cybersecurity Ventures, le coût des attaques par ransomware devrait atteindre 265 milliards de dollars en 2031, contre 20 milliards de dollars en 2021. Ces coûts comprennent la perte de productivité et de chiffre d'affaires, les mesures prises pour remédier à la violation de données, ainsi que les amendes infligées par les autorités réglementaires.
Le fournisseur de logiciels anti-malware Webroot a classé LockBit à la 2022’s e place parmi les groupes de ransomware les plus prolifiques et les plus efficaces. Bien que ce groupe propose depuis des années un service de rançongiciel, il ne cesse de perfectionner ses tactiques. Outre le fait d'exiger une rançon pour la restitution des données — tout en menaçant de les rendre publiques en cas de non-paiement —, ce groupe de pirates informatiques mène également des attaques par déni de service distribué (DDoS).
« À mesure que l’automatisation de l’ devient de plus en plus accessible, le nombre total d’attaques augmente », explique Tom Kirkham, PDG et RSSI du cabinet de conseil Kirkham IT. « [Ces groupes] adoptent une approche de plus en plus sophistiquée. » Nous avons même vu apparaître des agences spécialisées dans les ransomwares, proposées à la location. « Ils ciblent une personne et mettent en œuvre une stratégie sur mesure pour attirer directement son attention et s'immiscer dans son entourage proche. »
Les chaînes d'approvisionnement restent vulnérables
Assurer la transparence des chaînes d'approvisionnement logicielles constitue une préoccupation constante. Face à la multitude de logiciels et de services de toutes sortes — qu'il s'agisse de solutions open source, commerciales, dans le cloud ou proposées par des tiers —, il est difficile de garantir que le code ne comporte aucune faille susceptible d'être exploitée.
« Les risques liés aux tiers provenant de la chaîne d’approvisionnement ou aux vulnérabilités logicielles au sein des composants logiciels tiers continuent de constituer un facteur majeur dans les violations de sécurité d’origine externe », a déclaré Sandy Carielli, analyste principale chez Forrester, lors du forum « Security & Risk » organisé par le cabinet d’études . « Les organisations comptent probablement plus de tiers que jamais au sein de leur écosystème. »
[À lire également : Qu'est-ce que la gestion des risques liés aux tiers ?]
L'Agence américaine pour la cybersécurité et la sécurité des infrastructures (CISA) encourage activement l'utilisation des listes de composants logiciels (SBOM) — c'est-à-dire des inventaires des composants logiciels présents dans les produits — afin de contribuer à renforcer la sécurité de la chaîne d'approvisionnement logicielle. Les SBOM permettent d'avoir une meilleure visibilité sur les composants logiciels présents dans les logiciels commerciaux et open source d'une organisation.
Les risques géopolitiques s'accumulent
S'il y a bien une chose qui est apparue clairement cette année, c'est que le risque géopolitique est étroitement lié au risque cyber. Chaque nouveau conflit accroît le risque de cyberattaques. Les cyberattaques visant les secteurs public, énergétique, médiatique, financier, privé et associatif en Ukraine se sont intensifiées avant même l’invasion à grande échelle de la Russie en février 2022. Depuis lors, les cyberattaques russes ont perturbé la distribution de médicaments, de denrées alimentaires et de matériel humanitaire, comme l’a établi une note d’information du Parlement européen intitulée « » ( ).
«La tendance potentielle la plus dangereuse pour les RSSI aujourd’hui est leur réticence à agir, par crainte de menaces juridiques du type de celles subies par Uber. »David Maynor, directeur principal chargé du renseignement sur les menaces chez Cybrary
« Les conséquences [des cyberattaques] vont de l’impossibilité d’accéder à des services de base au vol de données et à la désinformation, y compris par le biais de la technologie du deepfake », indique le rapport. « Une autre forme d’activité cybermalveillante consiste à envoyer des e-mails de hameçonnage de type « », à mener des attaques par déni de service distribué (DDoS) et à utiliser des logiciels malveillants destinés à effacer des données, des portes dérobées, des logiciels de surveillance et des programmes de vol d’informations. » Les infrastructures critiques sont également de plus en plus souvent la cible d'attaques en Occident.
Face à l'intensification des menaces chinoises à l'encontre de Taïwan, le gouvernement taïwanais renforce sa résilience cybernétique tout en consolidant ses capacités militaires conventionnelles. Les cyberattaques contre Taïwan se sont multipliées à l'occasion de la visite de la présidente de la Chambre des représentants des États-Unis, Nancy Pelosi. Des panneaux d'affichage électroniques ont été détournés pour diffuser des messages hostiles à la visite de Mme Pelosi.
« Il y a tellement de troubles dans le monde, tant dans les États autoritaires que dans les États démocratiques », déclare M. Kirkham. « Il existe des règles claires en matière de guerre conventionnelle, mais il n’y a pas de règles claires issues des Conventions de Genève concernant la cyberguerre. » « C'est la loi de la jungle en matière de protection et de sécurité. » M. Kirkham s'étonne que l'Occident n'ait pas été la cible d'un plus grand nombre d'attaques de grande envergure de la part de la Russie ou de l'Iran.
L'incertitude juridique jette une ombre qui s'étend loin
Au début de l'année octobre 2022e, un jury fédéral de San Francisco a déclaré coupable Joe Sullivan, ancien directeur de la sécurité d'Uber, pour avoir dissimulé à la Commission fédérale du commerce (FTC) des informations relatives à une fuite de données. Le gouvernement a réussi à démontrer que M. Sullivan avait entravé une enquête en cours de la FTC en payant des pirates informatiques pour qu'ils gardent le silence et en omettant de signaler la violation de données. M. Sullivan n'a pas encore été condamné, mais ce verdict retient l'attention des responsables de la sécurité des systèmes d'information.
« La tendance potentielle la plus dangereuse pour les RSSI aujourd’hui est leur réticence à agir, par crainte de menaces juridiques du type de celles subies par Uber », déclare David Maynor, directeur principal chargé du renseignement sur les menaces chez Cybrary, une plateforme dédiée à la cybersécurité et au développement des compétences informatiques. Après le prononcé du verdict, il raconte que les groupes privés dédiés à la cybersécurité sur les réseaux sociaux « se sont déchaînés » pour discuter de ce que ce verdict signifiait pour eux. Bien que le prononcé de la peine n'ait pas encore eu lieu, une peine de prison effective est envisagée.
« Il s’agit là d’un changement radical par rapport à l’époque où les responsables de la sécurité des systèmes d’information (RSSI) ne se souciaient que des amendes », explique M. Maynor. « Aujourd’hui, ils craignent que, des années plus tard, un jury doive déterminer si les mesures qu’ils prennent en situation d’urgence pourraient être jugées illégales. » « Cette crainte entraîne une inaction due à la paralysie, voire davantage de formalités administratives que les organisations doivent accomplir lorsqu’elles réagissent à une violation de données. »
Il est peu probable que la version 2023 soit moins éprouvante que la 2022, et les entreprises ainsi que leurs responsables de la sécurité des systèmes d'information (RSSI) en sont bien conscients. Selon une enquête intitulée « » menée auprès de plus de 1 400 professionnels de l’informatique par Spiceworks Ziff Davis, les budgets consacrés à la sécurité dépasseront ceux des autres catégories d’investissement technologique des entreprises, telles que les applications de productivité. Les dépenses en matière de sécurité représenteront ainsi 11 % des budgets logiciels, 7 % des budgets matériels et 6 % des budgets consacrés aux services cloud « » .
Les responsables de la sécurité des systèmes d'information ne peuvent qu'espérer que tout cet argent soit bien dépensé.
