« Patinage sur pilotis. »
C’est ainsi que Stewart Baker a décrit comment les technologies que nous aimons seront contre nous dans de nouvelles formes de terrorisme.
En fait, il a rédigé un mémoire de politique avec ce titre il y a plus de dix ans (sous-intitulé Pourquoi nous n’arrêtons pas le terrorisme de demain). Elle présageait la crise actuelle des ransomwares et d’ autres types de cyberattaques contre les entreprises américaines, les infrastructures critiques et les agences gouvernementales .
Aujourd’hui, Baker, dont le CV inclut le rôle de premier secrétaire adjoint américain aux politiques au Département de la sécurité intérieure, dirige les pratiques nationales et de cybersécurité chez Steptoe & Johnson LLP et anime The Cyberlaw Podcast, un « résumé avisé » hebdomadaire des actualités gouvernementales, de cybersécurité et de cryptographie de première ligne. (Le Washington Post a qualifié Baker de « l’un des avocats les plus techno littératistes du secteur. »)
À ce titre, il s’attache à aider les entreprises et d’autres clients à relever les cyber-défis et les réglementations du secteur. Il a récemment parlé à Endpoint des erreurs de sécurité que les entreprises commettent dans le cloud, de l’impact du décret du président Biden pour renforcer la cybersécurité et de la nécessité de pratiques de cyberhygiène simples pour prévenir les violations massives.
Quels problèmes de cybersécurité les entreprises devraient-elles être les plus préoccupées ?
Au risque d’être ennuyeux : je pense que la réponse est qu’ils doivent d’abord faire les choses ennuyeuses. Ils doivent faire tout le blocage de la gestion et de la correction de leur réseau. Faites tout ce que tout le monde dit que vous devriez faire. L’application de correctifs logiciels est élevée sur cette liste. Un grand nombre des problèmes rencontrés par les gens sont parce qu’ils n’effectuent pas de correctifs avant d’être attaqués.
« Je ne pense pas que les gens aient pleinement apprécié les types d’erreurs stupides que vous pouvez commettre dans le cloud. »
Les gens sont brûlés en raison de l’incapacité à corriger tout le temps. La violation d’Equifax était due à un échec du correctif. Toute personne qui n’a pas corrigé son logiciel dans les 24 ou 48 heures suivant une mise à jour de version est en danger. Et la fenêtre pour l’application de correctifs diminue constamment.
C’est particulièrement dangereux pour les entreprises, car elles veulent tester les correctifs plutôt que de simplement les installer et prier. Vous avez besoin d’un processus qui vous permet d’obtenir la dernière version du logiciel, d’avoir quelque chose qui fonctionnera sur votre système et de l’installer. C’est quelque chose que vous devez faire très rapidement.
Quels sont certains des cyber-risques que vous voyez dans l’utilisation croissante du cloud computing ?
Je ne pense pas que les gens aient pleinement apprécié les types d’erreurs stupides que vous pouvez faire dans le cloud. Le cloud est plus sécurisé à bien des égards, mais il offre la possibilité de commettre des erreurs qui exposent les données. Encore une fois, les gens peuvent être trop confiants, ou ils peuvent apprendre à travailler avec le cloud d’une manière qu’ils n’avaient pas besoin d’apprendre à travailler avec le réseau de serveurs sur site qu’ils possédaient.
[Lire également : 5 graphiques qui expliquent la crise de visibilité de l’informatique]
Alors que nous déplaçons les charges de travail dans le cloud, la séparation physique du réseau d’Internet disparaît. Et nous comptons entièrement sur l’authentification, et peut-être sur l’authentification effectuée par d’autres personnes. Et apprendre à traiter le processus d’authentification comme votre principale ligne de défense est, encore une fois, un changement culturel. Nous avons certainement vu cela dans la violation de SolarWinds. Les attaquants ont utilisé une escroquerie à l’authentification. Cela s’est terminé par le fait que Microsoft disait oui : il existe de nombreuses façons dont la gestion de l’authentification encourage les gens à prendre des raccourcis qu’ils ne devraient probablement pas prendre.
Selon vous, quels secteurs d’activité sont les plus vulnérables aux cyberattaques ?
Pendant longtemps, vous diriez, bien évidemment, des personnes qui ont de l’argent et des personnes qui ont beaucoup de données client. Je suppose que j’ajouterais à cela maintenant les personnes qui ont des systèmes qui ne peuvent pas se permettre d’interrompre. C’est-à-dire, des personnes vulnérables aux rançongiciels. Je pense que ce sont probablement les personnes qui m’inquièteraient le plus.
Quels domaines des logiciels d’entreprise sont les plus vulnérables ?
Je m’inquiète des produits que les entreprises utilisent pour gérer les logiciels qui ne sont pas en fin de vie, mais à ce stade de vie où le produit n’a probablement pas d’énormes perspectives de croissance des revenus pour le vendeur. Il a trouvé sa niche, il a rempli sa niche et il sert sa niche. Et cela peut être très rentable. Vous pourriez même gérer une société de produits logiciels pendant une décennie ou plus sur cette base.
[C’est 2021 : Est-il temps de revoir vos pratiques de gestion des logiciels ?]
Mais il y a une tentation importante de traiter le produit à ce moment-là. Vous comptez sur les revenus des clients existants ou des personnes qui sont déjà dans un secteur particulier. Vous n’obtiendrez pas beaucoup de nouveaux clients, [donc] vous devez rendre les clients que vous avez aussi rentables que possible. Cela signifie augmenter les prix et peut-être, plus important encore, réduire les coûts.
Je crains que les entreprises qui vendent des produits logiciels soient tentées de réduire les coins en matière de sécurité. Et vous entendez des accusations à ce sujet après des violations. Nous avons certainement entendu cela en lien avec SolarWinds. Et je pense que c’est une véritable inquiétude parce que c’est une chose parfaitement rationnelle pour les entreprises. Et donc, si vous êtes un acheteur de ces services, vous devez commencer à devenir nerveux si vous voyez que vous comptez sur un produit dont la fin de vie peut se situer quelque part au bout de cinq ou 10 ans. Ce serait une chose dont je m’inquiéterais.
« Je crains que les entreprises qui vendent des produits logiciels soient tentées de réduire les coins en matière de sécurité. »
Je m’inquiéterais également des systèmes de sécurité qui doivent avoir des crochets profonds dans l’entreprise et du logiciel qui sert l’entreprise, mais qui sont eux-mêmes confrontés à Internet et, par conséquent, sur une surface d’attaque très tentante. Les attaques qui dépendent des systèmes de sécurité sont quelque chose que nous allons continuer à voir.
Pourquoi pensez-vous qu’il y a eu une augmentation des attaques par ransomware au cours des deux dernières années ? Les attaques ont-elles réellement augmenté ou sont-elles devenues plus réussies ?
Le modèle commercial des rançongiciels est devenu beaucoup plus sophistiqué. Les cybercriminels savent désormais comment établir des prix discriminatoires entre les clients. Ils demandent donc beaucoup plus d’argent aux personnes qui peuvent se permettre de payer plus, et moins d’argent aux personnes qui peuvent se permettre de payer moins. Et ensuite, ils traitent leur accès pour installer le chiffrement, et ensuite également pour voler des données et utiliser des données volées comme base pour extorquer d’autres revenus.
L’industrie du traitement des porcs, créée à Chicago en 1860s, est devenue célèbre pour avoir pour slogan : « Nous traitons tout sauf les cris ». Et je pense que c’est ce que nous voyons avec les rançongiciels. Ils trouvent des moyens de monétiser tout sauf les cris. Les données qu’ils volent, l’importance du logiciel pour fournir réellement les services qui doivent être fournis, la sensibilité des relations client, afin que les données client qui sont exposées soient entièrement monétisées (ou plutôt la menace d’exposer qui est entièrement monétisée).
« Les attaquants de ransomware ne font que s’améliorer, car cela représente beaucoup plus d’argent. »
Toutes ces choses ont transformé les rançongiciels d’une sorte de désagrément pour les enfants script en quelque chose qui vaut la peine d’investir beaucoup d’argent si vous êtes un attaquant. Et c’est ce que nous voyons. Les pirates informatiques s’améliorent beaucoup, car il y a beaucoup plus d’argent.
Où la loi et la réglementation sont-elles les plus strictes en termes d’exigence des entreprises d’appliquer les meilleures pratiques de sécurité ?
Les secteurs et les entités qui ont le plus d’intérêt du gouvernement pour les meilleures pratiques et le plus d’incitations sont probablement les services financiers, le ministère de la Défense, les fournisseurs militaires et les fournisseurs d’électricité. L’endroit unique où la réglementation et les meilleures pratiques ont fait le meilleur travail est dans les services financiers, où les sanctions financières et réglementaires sont perçues comme très élevées. Il existe donc des raisons commerciales et réglementaires d’essayer constamment d’innover dans les meilleures pratiques.
Il a été moins réussi avec la base industrielle de défense. C’est en partie parce qu’il s’agit d’un groupe d’entreprises hétérogènes avec des capacités aussi variées pour payer et investir dans la sécurité.
« L’endroit où la réglementation et les meilleures pratiques ont fait le mieux est dans les services financiers, où il existe des raisons commerciales et réglementaires d’innover. »
L’autorité du gouvernement est également limitée parce que les vendeurs de ces services ont souvent un pouvoir de marché. Si le ministère de la Défense demande trop par souci de conformité, ils seront repoussés politiquement.
Qu’en est-il des fournisseurs de services publics et d’énergie, qui semblent également être attaqués ?
Alimentation électrique : je ne suis pas confiant. Certes, il y a beaucoup d’attention portée aux fournisseurs de sécurité et d’électricité. Mais que nous obtenions notre argent, qu’il obtienne leur argent, je ne sais pas.
[Lire également : La cybersécurité énergétique est au cœur des préoccupations des régulateurs]
La plus grande préoccupation avec les systèmes d’alimentation électrique est la sécurité opérationnelle, contrairement à la sécurité informatique. Il y a moins de personnes qui comprennent comment assurer la sécurité dans les systèmes opérationnels numériques.
Le cauchemar est que l’alimentation s’éteint et ne se remet pas en marche. Et si vous êtes une compagnie d’électricité, vous êtes classé comme réussi ou échoué, soit vous avez fourni la puissance, soit vous n’avez pas fourni la puissance. Vous n’arrêtez pas le système pour installer de nouveaux correctifs. La question est donc : que pouvez-vous corriger sans interrompre l’alimentation ? Je crains qu’il n’y ait pas la même culture d’application de correctifs et de protection, et de réduction des choses, si nécessaire, afin de fournir une protection.
Pensez-vous que le décret du président Biden exigeant le partage d’informations sur la cybersécurité réussira ?
J’ai vu l’ordonnance visant principalement la cybersécurité des entrepreneurs gouvernementaux et la cybersécurité propre au gouvernement. Il y avait des inquiétudes selon lesquelles lorsqu’un fournisseur de logiciels a trouvé un problème, il pourrait le divulguer à ses clients HHS, mais pas à ses clients DHS. C’est un ordre très ambitieux en termes de responsabilités. Je ne suis pas prêt à dire qu’il y a plus qu’ils doivent faire jusqu’à ce que je sache qu’ils peuvent faire ce qu’ils ont déjà mordu.
Comment pensez-vous que les cyberattaques et les violations se développeront et évolueront ?
Nous sommes arrivés à la fin de l’illusion que nous allons corriger notre sortie de ce problème. Mais nous ne nous sommes pas totalement adaptés à ce que cela signifie. Il se peut que nous n’ayons plus jamais de systèmes sécurisés contre les attaques. Nous devons donc trouver d’ autres moyens de réduire la probabilité d’attaques.
Cela signifie que nous avons besoin de meilleurs mécanismes pour attribuer des attaques, pour punir les attaquants, pour refuser les avantages de leurs attaques. Nous devons faire plus pour punir les personnes qui se retrouvent au-dessus du mur. Ce sont tous des personnes intelligentes qui pourraient gagner beaucoup d’argent dans l’informatique. Nous devons également modifier les incitations au point qu’elles pensent qu’elles devraient peut-être faire autre chose dans l’informatique.
