Les actualités dans le domaine de la cybersécurité n'ont jamais manqué, et l'année 2022 en a réservé quelques-unes vraiment incroyables.
Des voleurs ont divulgué sur le dark web des informations concernant plus d'un million de cartes de crédit volées ; des recours collectifs ont été intentés contre de grandes entreprises à la suite de fuites de données ; et des entreprises ont été victimes de vols de données personnelles touchant des millions de clients.
Même si les noms des personnes impliquées changent et que l'ampleur des incidents varie, ce genre d'histoires est malheureusement devenu la norme. Ce qui importe désormais pour les RSSI, ce sont les événements qui auront le plus grand impact sur les risques numériques des entreprises, notamment les tendances entièrement nouvelles et les facteurs déterminants qui façonnent les tendances existantes.
Dans cette optique, , par l'intermédiaire de son responsable , revient sur les événements les plus marquants de l'année 2022.
Renforcement de la sécurité de la chaîne d'approvisionnement logicielle
Depuis l’attaque de la chaîne d’approvisionnement SolarWinds , survenue en 2020 , et l’exploit « zero-day » connu sous le nom de Log4j , dont les entreprises ont mis du temps à se remettre jusqu’en 2022, les dirigeants du monde entier ont pris conscience à quel point ils dépendent des logiciels qui constituent le fondement des organisations modernes.
«Vous devez bien comprendre votre chaîne d'approvisionnement. » Et vous devez bien comprendre l'ensemble des composants logiciels dont vous disposez, ainsi que ceux de vos fournisseurs. »Nick Selby, vice-président du pôle « assurance logicielle » chez Trail of Bits
La chaîne logistique des logiciels englobe pour l'essentiel tout ce qui touche au développement et à l'acquisition de logiciels, depuis la sécurité des applications et bibliothèques open source jusqu'aux produits proposés par des fournisseurs tiers. Cela inclut également les pratiques et l'infrastructure de sécurité des tiers de .
Sous l'impulsion de la nécessité de renforcer la sécurité de la chaîne d'approvisionnement logicielle, cette année a vu les listes de composants logiciels (SBOM) — qui répertorient les composants logiciels présents dans les produits — connaître un essor sans précédent. Pour illustrer l’urgence d’agir, le décret n° 2021 du président Biden, intitulé « » ( ) et portant sur l’amélioration de la cybersécurité nationale, impose aux fournisseurs qui fournissent des logiciels au gouvernement fédéral d’inclure une liste des composants logiciels (SBOM) pour tous les éléments de leurs produits.
À retenir : « Il est absolument essentiel de bien comprendre les dépendances logicielles », déclare Nick Selby, vice-président du pôle d’assurance logicielle au sein du cabinet de conseil en sécurité informatique Trail of Bits. « Vous devez bien comprendre votre chaîne d'approvisionnement. » « Et vous devez bien comprendre l'ensemble des composants logiciels dont vous disposez, ainsi que ceux de vos fournisseurs. » Il précise que si les fournisseurs tiers ne disposent pas d'une SBOM complète, ils doivent fournir une liste des dépendances présentes dans leurs bibliothèques. Cela vous indique, à vous, l'acheteur, qu'ils disposent d'un certain niveau de contrôle sur le code qui compose le produit qu'ils vendent.
Le piratage d'Uber a mis les responsables de la sécurité informatique en état d'alerte
Les responsables de la sécurité des systèmes d’information (RSSI) à travers les États-Unis ont pris note en octobre de la condamnation d’ , ancien RSSI d’Uber (et ancien procureur fédéral), , pour des chefs d’accusation fédéraux d’entrave à la justice et de dissimulation d’un crime dont il avait connaissance.
«[Garder le silence sur une faille de sécurité] ne revient pas simplement à dissimuler quelque chose qui est gênant pour vous ou pour l’entreprise. »Mark Rasch, avocat et ancien procureur fédéral, au cabinet Kohrman Jackson & Krantz
Ces condamnations faisaient suite à des paiements qu’il avait versés à des pirates informatiques dans le cadre d’un accord de confidentialité (NDA) concernant une intrusion informatique de type « 2016 ». Joseph Sullivan, ancien responsable de la sécurité des systèmes d'information (RSSI) d'Uber, a affirmé que ces paiements s'inscrivaient dans le cadre du programme de prime aux bogues d'Uber. Les procureurs fédéraux ont déclaré que ces agissements constituaient un pot-de-vin et une tentative de dissimulation, et que M. Sullivan avait demandé aux pirates informatiques de garder leur piratage secret et de nier avoir volé des données. Il convient notamment de noter qu'Uber faisait encore l'objet d'une enquête de la FTC à cette époque concernant une précédente fuite de données.
De nombreux responsables de la sécurité des systèmes d'information (RSSI) ont considéré ce verdict comme un avertissement indiquant que le gouvernement fédéral poursuivra les RSSI en justice s'ils omettent de signaler une violation de données. En réalité, ce verdict portait sur la dissimulation d'une faille que le ministère de la Justice a estimé qu'il aurait fallu divulguer et traiter avec plus de transparence.
À retenir : Les experts juridiques recommandent aux responsables de la sécurité des systèmes d'information (RSSI) de conserver une documentation détaillée sur les incidents de sécurité et de communiquer par e-mail et par d'autres canaux en partant du principe que les autorités de régulation, les juges et les jurés pourraient un jour prendre connaissance de cette correspondance.
Mark Rasch, ancien procureur fédéral et avocat au sein du cabinet Kohrman Jackson & Krantz, conseille aux dirigeants de faire preuve d'honnêteté concernant toute violation de données ou tout programme de prime aux bogues au sein de leur entreprise. Lors d’une interview diffusée dans le podcast « Security Current » de l’ , il a déclaré que même si une organisation pouvait choisir de ne pas signaler une violation de données, ses dirigeants devaient au moins s’assurer que le processus ayant conduit à cette décision était valable.
[À lire également : Pourquoi les chasseurs de bogues touchent des récompenses colossales]
« Il ne s’agit pas simplement de dissimuler quelque chose qui vous met dans l’embarras ou qui met l’entreprise dans l’embarras », a-t-il déclaré. « Le fait de signaler ou non une violation de données relève d’une décision mûrement réfléchie. » « Vous devez également vous assurer de prendre vos décisions en vous faisant conseiller par un avocat. »
Les risques liés aux micrologiciels se sont accrus
Dans l'article n° 2021, nous avons mis en avant des failles de sécurité d' ciblant les pilotes de périphériques (), qui gèrent l'interaction entre le matériel informatique et le système d'exploitation. Les vulnérabilités du micrologiciel offrent un accès privilégié à l'entreprise.
Plus tôt en 2022, des chercheurs en sécurité ont identifié une technique de piratage sophistiquée, connue sous le nom d’ CosmicStrand , qui permet aux pirates d’infecter clandestinement des micrologiciels. Par ailleurs, cette année a été marquée par des attaques visant les micrologiciels et exploitant des failles « » qui ont touché plus de 70 modèles d'ordinateurs portables Lenovo, ainsi que des vulnérabilités « » qui ont exposé des technologies opérationnelles et des appareils de l'Internet des objets (IoT).
À retenir : « La sécurisation de la couche du micrologiciel est souvent négligée, mais elle constitue un point de défaillance unique dans les appareils et représente l’une des méthodes les plus discrètes permettant à un attaquant de compromettre des appareils à grande échelle », selon un rapport intitulé « » ( ) publié par le Département américain de la Sécurité intérieure et le Département américain du Commerce.
Les entreprises doivent au minimum s'assurer qu'elles mettent en œuvre les exigences techniques des dernières spécifications de l'interface UEFI (Unified Extensible Firmware Interface) et que des fonctionnalités telles que le démarrage sécurisé UEFI (UEFI Secure Boot) sont bien en place. Des outils tels que CHIPSEC peuvent être utilisés pour effectuer des audits de sécurité du micrologiciel dans le cadre du processus de diligence raisonnable préalable à l'acquisition de produits.
L'incertitude économique a explosé
Même si personne ne peut savoir avec exactitude quelle ampleur prendront les vents contraires auxquels sera confrontée l'économie américaine en 2023, le consensus général parmi les économistes est que le pays se dirige vers une récession, ou du moins vers une période de croissance économique marquée par de fortes turbulences. La forte hausse des prix, les difficultés liées à la chaîne d'approvisionnement et les tensions géopolitiques ont considérablement freiné la croissance.
L'incertitude économique ne manquera pas d'exercer une pression sur les budgets consacrés à la sécurité, alors même que les risques liés à la cybersécurité ne cessent d'augmenter. « Profitez-en pour optimiser vos processus », conseille Andy Ellis, ancien directeur de la sécurité chez Akamai Technologies et actuellement associé opérationnel chez YL Ventures.
Conclusion : Les responsables de la sécurité doivent optimiser leur efficacité autant que possible, mais ils doivent le faire de la manière la plus efficace et la moins risquée possible. Mais si, en fin de compte, on leur demande de réduire les dépenses, les RSSI seront contraints de trouver des postes où effectuer ces coupes.
« C’est douloureux, mais on trouve toujours le moyen d’aller encore plus loin », déclare Ellis. Une démarche judicieuse pour le RSSI consiste à prendre contact avec ses pairs et les parties prenantes et à leur poser deux questions : « Quelles sont les actions que nous menons et dont vous ne percevez pas l'intérêt ? » Et qu'est-ce que nous ne faisons pas et qui, selon vous, serait à la fois simple et utile ?
Une cyberguerre a éclaté dans toute l'Europe
Bien que les hostilités cybernétiques dans le cadre de la guerre entre la Russie et l’Ukraine soient restées pour l’essentiel confinées à l’Ukraine, à quelques exceptions près concernant des infrastructures occidentales, il est encore trop tôt pour affirmer que la situation restera calme sur le front numérique. Mais si les hostilités venaient à s'étendre, il y a de fortes chances qu'elles commencent sur Internet. Au début de la guerre, les cyberattaques russes ont visé les infrastructures de communication essentielles de l'Ukraine.
«Disposez-vous d'un bon plan de reprise après sinistre ? » Entretenez-vous des relations professionnelles avec le bureau local du FBI ? Sinon, cultivez-en une. »Andrew Storms, vice-président chargé de la sécurité chez Replicated
Avant même l'invasion russe, le ministère américain de la Sécurité intérieure avait averti les organisations américaines, en particulier celles impliquées dans les infrastructures critiques, de se préparer à des attaques par déni de service distribué (DDoS) ou à des attaques encore plus destructrices. Ces attaques — ou les préparatifs clandestins en vue de celles-ci — pourraient déjà être en cours.
« Lorsque vous vous penchez sur des activités soutenues par des États-nations, qu’il s’agisse d’attaques physiques ou cyberattaques, vous ne parviendrez pas vraiment à comprendre pleinement ce qui se passe, car ceux qui sont au courant ne diront pas ce qu’ils savent », explique Andrew Storms, vice-président chargé de la sécurité chez Replicated, fournisseur de plateformes. « Je ne pense pas qu’il soit prudent de croire que c’est fini, ni que des attaques à grande échelle ne se produiront pas. »
À retenir : Mettez-vous au travail pour combler les failles de sécurité. « Examinez attentivement votre dispositif de sécurité et identifiez les éléments essentiels qui devraient être en place mais qui ne le sont peut-être pas encore tout à fait », explique M. Storms, de Replicated. « Disposez-vous d’un plan de reprise après sinistre efficace pour l’ ? » Entretenez-vous des relations professionnelles avec le bureau local du FBI ? Sinon, cultivez-en une. »
C'est un excellent conseil en toutes circonstances, et pas seulement à une époque où les menaces numériques se multiplient. Même si personne ne sait quelles évolutions en matière de sécurité apportera l'année 2023 , les dirigeants qui tireront les leçons de l'année 2022 seront certainement mieux préparés à affronter tout ce que l'avenir leur réserve.
