Il n’y a jamais eu de pénurie d’histoires sur le rythme de la cybersécurité, et 2022 ont apporté de véritables doozies.
Les voleurs ont déversé des détails sur plus d’un million de cartes de crédit volées sur le dark web, des poursuites collectives ont frappé de grandes entreprises après des violations de données et des entreprises ont subi des vols de données personnelles affectant des millions de clients.
Alors que les noms des personnes impliquées changent et que l’ampleur des incidents évolue, ce genre d’histoires, malheureusement, est devenu la norme. Ce qui compte pour les RSSI à l’avenir, ce sont les événements qui auront le plus grand impact sur le risque numérique de l’entreprise, y compris les tendances entièrement nouvelles et les catalyseurs importants qui façonnent les tendances existantes.
En gardant cela à l’esprit, Focal Point examine les histoires les plus importantes de 2022.
Sécurité renforcée de la chaîne d’approvisionnement logicielle
Depuis l’attaque de la chaîne d’approvisionnement SolarWinds en 2020 et l’exploitation zero-day connue sous le nom de Log4j que les entreprises ont bien nettoyée en 2022, les dirigeants du monde entier se rendent compte à quel point ils sont interdépendants des logiciels qui sous-tendent l’organisation moderne.
« Vous devez comprendre votre chaîne d’approvisionnement. Et vous devez comprendre tous les composants logiciels dont vous disposez, ainsi que ceux de vos fournisseurs. »Nick Selby, vice-président du cabinet de Software Assurance, Trail of Bits
La chaîne d’approvisionnement logicielle consiste essentiellement en presque tout ce qui a trait au développement et à l’approvisionnement de logiciels, de la sécurité des applications et bibliothèques open source aux produits de fournisseurs tiers. Cela inclut également les pratiques de sécurité et l’infrastructure des tiers .
Poussée par le besoin d’une sécurité accrue de la chaîne d’approvisionnement logicielle, cette année a vu les nomenclatures logicielles (SBOM), des listes d’inventaire des composants logiciels dans les produits, atteindre de nouveaux niveaux d’adoption. À titre d’exemple de l’urgence d’agir, le décret 2021 du président Biden sur l’amélioration de la cybersécurité de la nation exige que les fournisseurs qui fournissent des logiciels au gouvernement fédéral incluent une SBOM pour tout ce qui concerne leurs produits.
Le point à retenir : « Comprendre les dépendances logicielles est vraiment essentiel », déclare Nick Selby, vice-président de la pratique de l’assurance logicielle chez Software Security Consultancy Trail of Bits. « Vous devez comprendre votre chaîne d’approvisionnement. Et vous devez comprendre tous les composants logiciels dont vous disposez, ainsi que ceux de vos fournisseurs. » Il dit que si les fournisseurs tiers ne disposent pas d’une SBOM complète, ils doivent fournir une liste des dépendances dans leurs bibliothèques. Cela vous indique, en tant qu’acheteur, qu’ils ont un certain niveau de contrôle sur le code qui entre dans ce qu’ils vendent.
Le piratage d’Uber a alerté les RSSI
Les RSSI aux États-Unis ont été informés en octobre lorsque l’ancien RSSI d’Uber (et un ancien procureur fédéral) a été condamné pour des accusations fédérales selon lesquelles il a bloqué la justice et masqué un crime connu.
« [Se taire au sujet d’une violation] ne consiste pas simplement à dissimuler quelque chose qui est embarrassant pour vous ou embarrassant pour l’entreprise. »Mark Rasch, avocat et ancien procureur fédéral, Kohrman Jackson & ; Krantz
Les condamnations provenaient des paiements qu’il a faits aux attaquants en vertu de la NDA concernant une intrusion numérique de 2016 . L’ancien RSSI d’Uber, Joseph Sullivan, a soutenu que les paiements faisaient partie du programme de primes pour les bogues d’Uber. Les procureurs fédéraux ont déclaré que les actions étaient un avantage et une dissimulation, et que Sullivan a demandé aux pirates informatiques de garder leur piratage secret et de refuser qu’ils volent des données. En particulier, Uber faisait toujours l’objet d’une enquête de la FTC à l’époque concernant une violation de données antérieure.
De nombreux RSSI considéraient le verdict comme un avertissement indiquant que le gouvernement fédéral facturera les RSSI pour ne pas avoir divulgué une violation. La réalité est que le verdict portait sur la couverture d’une violation que le Département de la Justice a déterminé devoir être divulguée et traitée de manière plus honnête.
Les experts juridiques recommandent que les RSSI conservent une documentation détaillée sur les incidents de sécurité et communiquent par e-mail et d’autres canaux comme si les régulateurs, les juges et les jurés pouvaient finalement lire cette correspondance.
Mark Rasch, ancien procureur fédéral et avocat du cabinet d’avocats Kohrman Jackson & Krantz, conseille aux dirigeants d’être honnêtes concernant toute violation de données ou tout programme de primes de bogues dans leur entreprise. Dans un entretien sur la diffusion actuelle de sécurité , il a déclaré que même si une organisation peut choisir de ne pas signaler une violation, les dirigeants doivent au moins établir que leur processus pour parvenir à cette décision était valide.
[Lire également : Pourquoi les chasseurs de primes de bugs gagnent d’énormes gains]
« Il ne s’agit pas simplement de dissimuler quelque chose qui est embarrassant pour vous ou embarrassant pour l’entreprise », a-t-il déclaré. « Il existe une décision éclairée quant à la raison pour laquelle vous signalez ou non une violation de données. Vous voulez également vous assurer que vous prenez des décisions avec l’avis d’un avocat. »
Les risques liés au firmware se sont intensifiés
En 2021, nous avons mis en évidence les piratages ciblant le firmware, qui gèrent l’interaction entre le matériel informatique et le système d’exploitation. Les vulnérabilités du firmware fournissent un accès enviable à l’entreprise.
Plus tôt en 2022, les chercheurs en sécurité ont identifié un piratage sophistiqué connu sous le nom de CosmicStrand qui aide les attaquants à infecter clandestinement le firmware. En outre, l’année a vu des attaques de firmware exploitant des failles qui ont affecté plus de 70 modèles d’ordinateurs portables Lenovo et des vulnérabilités qui ont exposé les technologies opérationnelles et les appareils de l’Internet des objets (IdO).
Le point à retenir : « La sécurisation de la couche du firmware est souvent négligée, mais il s’agit d’un point de défaillance unique dans les appareils et c’est l’une des méthodes les plus furtives dans lesquelles un pirate informatique peut compromettre les appareils à grande échelle », selon un rapport du Département américain de la sécurité intérieure et du Département du commerce.
Au minimum, les entreprises doivent s’assurer qu’elles mettent en œuvre les exigences techniques des spécifications les plus récentes de l’interface de firmware extensible unifiée (UEFI), et que des fonctionnalités telles que le démarrage sécurisé UEFI sont en place. Des outils tels que CHIPSEC peuvent être utilisés pour effectuer des examens de sécurité du firmware dans le cadre du processus de diligence raisonnable avant d’acquérir des produits.
L’incertitude économique a explosé
Bien que personne ne puisse savoir exactement à quel point les vents contraires auxquels l’économie américaine sera confrontée vont croître en 2023, le consensus général entre les économistes est que la nation se dirige vers une récession, ou du moins une période profondément instable de croissance économique. Des prix nettement plus élevés, des problèmes de chaîne d’approvisionnement et des tensions géopolitiques ont fortement freiné la croissance.
[Lire également : 5 grandes erreurs que les RSSI doivent éviter pendant un ralentissement]
L’incertitude économique est susceptible de mettre la pression sur les budgets de sécurité, même lorsque les risques liés aux cyberattaques continuent d’augmenter. « Profitez-en pour optimiser », conseille Andy Ellis, ancien directeur des systèmes d’exploitation chez Akamai Technologies et actuellement partenaire opérationnel chez YL Ventures.
Les points à retenir : les responsables de la sécurité doivent augmenter l’efficacité autant que possible, mais ils doivent le faire de la manière la plus efficace et la moins risquée possible. Mais s’il est finalement demandé de couper, les RSSI seront obligés de trouver des endroits à couper.
« C’est douloureux, mais vous pouvez toujours trouver des moyens de couper plus profondément », déclare Ellis. Un exercice intelligent pour le RSSI consiste à contacter les pairs et les parties prenantes et à poser deux questions : Que faisons-nous pour que vous ne voyiez pas la valeur ? Et qu’est-ce que nous ne faisons pas qui, selon vous, serait facile et utile ?
La cyberguerre s’est développée à travers l’Europe
Bien que les cyberhostilités dans la guerre entre la Russie et l’Ukraine soient principalement restées confinées à l’Ukraine, à quelques exceptions près concernant l’ infrastructure occidentale, il est encore trop tôt pour dire si les choses resteront silencieuses sur le front numérique. Mais si les hostilités se propagent, il y a de fortes chances qu’elles commencent en ligne. Les cyberattaques russes au début de la guerre ont ciblé l’infrastructure de communication critique de l’Ukraine.
« Avez-vous un bon plan de reprise après sinistre ? Avez-vous une relation de travail avec le bureau local du FBI ? Si ce n’est pas le cas, cultivez-en un. »Andrew Storms, vice-président de la sécurité, Répliqué
Avant même l’invasion de la Russie, le Département de la sécurité intérieure des États-Unis a averti les organisations américaines, en particulier celles impliquées dans les infrastructures critiques, d’être prêtes pour des attaques par déni de service distribué (DDoS) ou encore plus destructrices. Ces attaques, ou préparations clandestines pour elles, pourraient déjà être en cours.
« Lorsque vous vous plongez dans une activité soutenue par un État, qu’elle soit physique ou cyberattaque, vous n’aurez pas vraiment une compréhension complète de ce qui se passe, car ceux qui sont au courant ne diront pas ce qu’ils savent », déclare Andrew Storms, vice-président de la sécurité chez le fournisseur de plateforme Replicated. « Je ne pense pas qu’il soit prudent de croire qu’il est terminé, ou que des attaques généralisées ne se produiront pas. »
Le point à retenir : s’occuper de combler les lacunes en matière de sécurité. « Examinez attentivement votre posture de sécurité et recherchez les éléments essentiels qui devraient être en place et qui ne sont peut-être pas tout à fait en place », déclare Storms of Replicated. « Avez-vous un bon plan de reprise après sinistre ? Avez-vous une relation de travail avec le bureau local du FBI ? Si ce n’est pas le cas, cultivez-en un. »
Il s’agit d’un excellent conseil à tout moment, pas seulement à une époque de menaces numériques croissantes. Bien que personne ne sache quels développements de sécurité 2023 apporteront, les leaders qui tireront des leçons de 2022 seront certainement mieux préparés à ce qui est en magasin.
