« Il est difficile de faire des prédictions, surtout sur l'avenir », a déclaré avec humour la légende du baseball Yogi Berra, dans l'une de ses citations les plus célèbres.
C'est d'autant plus difficile que certaines des 2022 actualités les plus importantes étaient tout à fait prévisibles, comme les attaques visant la chaîne d'approvisionnement logicielle et celles visant les micrologiciels. Mais qui aurait pu prévoir à quel point la situation économique allait devenir précaire après le déclenchement de la guerre en Ukraine, ou les lourdes conséquences pour les RSSI suite au verdict rendu dans l'affaire Uber ?
Dans cet article prospectif, nous avons demandé à des experts en sécurité de formuler des hypothèses éclairées sur les tendances les plus importantes pour 2023. Voici les enjeux que tout RSSI devrait maîtriser.
Les obligations relatives aux SBOM occupent désormais le devant de la scène
Que vous y soyez prêts ou non, les listes de composants logiciels (SBOM) vont prendre une importance encore plus grande cette année. Même si cette dynamique émanera en grande partie des entreprises privées, qui commencent à exiger des SBOM de la part de leurs fournisseurs de logiciels, c'est peut-être le gouvernement fédéral qui exercera la pression la plus importante. Les agences et ministères américains doivent s'assurer que les fournisseurs respectent les pratiques de développement logiciel sécurisées et fournissent des SBOM lorsqu'ils traitent les données les plus sensibles.
«Compte tenu du niveau actuel d’immaturité, nous estimons que les SBOM ne constituent pas encore des exigences contractuelles appropriées. »Conseil de l'industrie des technologies de l'information
Il existe un consensus quasi unanime sur le fait que les éléments standard de la liste des composants logiciels (SBOM) définis par l’ constituent le moyen le plus prometteur d’améliorer la transparence concernant les applications et composants logiciels utilisés au sein des organisations. Pour autant, un débat s'est ouvert pour savoir si ces normes sont prêtes à être généralisées.
Ce débat s'est intensifié en novembre dernier lorsque l'Information Technology Industry Council, un groupement professionnel du secteur des technologies regroupant de nombreux géants de la technologie, a fait valoir dans une lettre ouverte publiée sur qu'il fallait laisser plus de temps aux SBOM pour qu'elles atteignent leur maturité avant de pouvoir être utilisées à grande échelle. « Compte tenu de leur niveau actuel d'immaturité, nous estimons que les SBOM ne constituent pas encore des exigences contractuelles appropriées », a déclaré le groupe dans sa lettre.
Le Congrès étudie également la possibilité d'imposer aux prestataires du gouvernement de fournir des SBOM. Par exemple, la loi n° 2023 du Sénat relative à l'autorisation de la défense nationale vise à rendre obligatoire la mise en place de SBOM pour tous les logiciels à usage non commercial créés pour le ministère de la Défense ou acquis par celui-ci.
En fin de compte, certains experts s'attendent à ce que les SBOM soient rapidement adoptées, malgré les protestations du secteur. « La technologie nécessaire à la mise en œuvre et à l'automatisation des SBOM existe déjà », déclare John Pescatore, directeur des tendances émergentes en matière de sécurité au SANS Institute.
La pression s'intensifie en matière de gouvernance des données et de protection de la vie privée
Le renforcement des exigences en matière de sécurité et de protection de la vie privée dans le cadre de la loi « » a retenu l'attention des dirigeants d'entreprise. « La sécurité et la confidentialité font partie intégrante de toutes les décisions technologiques que prennent aujourd’hui les organisations », déclare M. Pescatore. « La question de la protection des données va occuper une place de plus en plus importante dans le débat. »
Anthony Carpino, analyste chez Gartner, prévoit également que les entreprises s'efforceront de mieux gérer leurs données non structurées et d'améliorer la conformité en matière de protection de la vie privée au sein de leurs entrepôts de données et de leurs pipelines d'analyse. « Les organisations doivent s'attacher à intégrer une approche centrée sur les données à leur architecture de sécurité de base », déclare-t-il.
Les dirigeants doivent également s'attendre à ce que les lois relatives à la protection des données soient renforcées. Par exemple, les quelques exemptions « interentreprises » qui subsistaient dans le cadre de la loi californienne sur la protection de la vie privée (CPRA) ont expiré le 1 janvier 2023. La loi s'applique désormais aux données relatives aux salariés, aux données recueillies dans le cadre des candidatures à un emploi, ainsi qu'aux anciens et actuels salariés et prestataires. La Californie n'est pas le seul État à prendre de telles mesures : la Virginie poursuit l'élaboration d'un projet de loi intitulé « Virginia Consumer Data Privacy Act » (VCDPA).
La consolidation des fournisseurs s'accélère
Les prévisions concernant une consolidation importante parmi les fournisseurs de solutions de sécurité ne manquent pas. Les observateurs prévoient des répercussions liées à la baisse des capitaux d'investissement disponibles et au recul des acquisitions menées par les grandes entreprises technologiques disposant de bilans solides, qui rachètent stratégiquement des fournisseurs de solutions de sécurité afin d'étendre leurs capacités.
«Même si vous ne procédez pas à une consolidation, vous identifierez également des fournisseurs dont vous pourriez probablement vous passer. »Andrew Storms, vice-président chargé de la sécurité chez Replicated
Les investissements dans la cybersécurité ont connu un ralentissement à la fin de l'année 2022 , les valorisations ayant fortement baissé. Mais Andy Ellis, associé opérationnel au sein de la société de capital-risque spécialisée dans la cybersécurité YL Ventures, ne pense pas que la consolidation jouera un rôle déterminant. « Nous constatons régulièrement des fluctuations sur le marché de la cybersécurité », déclare-t-il. « À l’époque où le réseau était au cœur de la sécurité, nous avons assisté à une consolidation autour des principaux acteurs. » Mais il existait encore plus de 50 fournisseurs de pare-feu. « C'est chez les fournisseurs de niche que nous avons constaté l'innovation. »
Les experts que nous avons interrogés ont suggéré que les équipes de sécurité dressent l'inventaire de leurs fournisseurs de solutions de sécurité actuels et évaluent leurs performances par rapport à des objectifs convenus. Les organisations devraient ensuite aligner les prestataires les plus performants sur les objectifs clés du programme de sécurité et élaborer des plans visant à remplacer les prestataires exposés à un risque de regroupement ou à fonctionner sans eux. « Même si vous n’êtes pas concerné par une consolidation, vous identifierez également des fournisseurs dont vous pourriez probablement vous passer », explique Andrew Storms, vice-président chargé de la sécurité chez Replicated, fournisseur de plateformes.
L'essor de « l'expérience de sécurité »
Selon Jonathan Feldman, directeur des systèmes d'information du comté de Wake, en Caroline du Nord, les attentes vont s'intensifier en 2023 afin d'améliorer l'expérience concrète des utilisateurs face aux outils et aux politiques de sécurité. Il affirme que la manière dont les organisations abordent l'expérience client et l'expérience des employés s'étendra très bientôt à l'expérience en matière de sécurité.
« Nous ne pouvons pas continuer à considérer la sécurité comme un élément isolé, sans en mesurer l’impact ni chercher à comprendre comment elle affecte les personnes dans leur travail quotidien », déclare-t-il. « Il est dans l’intérêt de chacun d’éviter d’être victime du ransomware « ». » « Il est dans l’intérêt de chacun qu’une attaque de grande envergure ne parvienne pas à ses fins. »
Selon une enquête menée par Ernst & Young et publiée sur (), 83 % des salariés américains comprennent les protocoles de cybersécurité de leur employeur. Mais les jeunes générations sur le marché du travail pourraient être plus difficiles à atteindre. L'enquête a révélé que les travailleurs de la génération Z et de la génération Y sont les moins enclins à accorder la priorité aux politiques d'entreprise ou à s'y conformer.
Au cours de l'année à venir, M. Feldman conseille aux organisations de se concentrer sur ce qu'elles peuvent faire pour améliorer l'expérience en matière de sécurité. Cela pourrait signifier adopter l'authentification unique ou l'accès sans mot de passe. Cela pourrait également signifier adopter des processus d' s de type « zero-trust » ( ), plutôt que d'imposer aux employés des réseaux privés virtuels (VPN) peu pratiques. En fin de compte, pour améliorer l'expérience en matière de sécurité, il faut faire en sorte que celle-ci s'intègre naturellement dans le flux de travail, et non qu'elle constitue un obstacle.
L'authentification se fait désormais sans mot de passe
Les noms d'utilisateur et les mots de passe sont des mécanismes de sécurité que seul un criminel pourrait apprécier. Personne n'aime devoir s'en souvenir, les saisir ou recevoir des rappels pour les changer — et les professionnels de la sécurité savent que les mots de passe comptent parmi les mesures de sécurité les moins fiables qui soient.
«Si nous parvenons à nous passer des mots de passe, cela éliminera de nombreux attaquants peu avisés. »John Pescatore, responsable des tendances émergentes en matière de sécurité, SANS Institute
Les malfaiteurs apprécient particulièrement les mots de passe , car les employés les réutilisent sans cesse. Les gens choisissent des mots de passe trop simples à créer et, par conséquent, faciles à deviner. Mais grâce aux événements survenus l'année dernière, le concept d'authentification sans mot de passe, ou de sécurité « sans mot de passe », devrait se généraliser de plus en plus. Bien que l'on prédise depuis plus de deux décennies déjà la disparition des mots de passe , il semble que la technologie et la volonté nécessaires soient enfin réunies pour que les mots de passe figurent enfin sur la liste des technologies menacées d'extinction.
Cette transition découle en partie des spécifications d'authentification « FIDO2 » (), qui reposent sur la cryptographie à clé publique et sur des normes internationales. Apple, Google et Microsoft ont annoncé en mai dernier qu'ils prendraient en charge la norme FIDO2 afin de permettre l'authentification sans mot de passe sur tous les appareils. Les géants de la technologie estiment que l'authentification sans mot de passe offrira une meilleure protection contre les attaques de phishing de type « » et le vol de mots de passe. Le marché semble partager cet avis : le cabinet d'études MarketsandMarkets estime que le marché mondial de l'authentification sans mot de passe a atteint une valeur de 6,6 milliards de dollars l'année dernière et qu'il continuera de croître à un taux annuel de 26 % jusqu'en 2027.
« Cela fait 20 ans que nous n’avons pas réussi à augmenter le coût d’une attaque », déclare M. Pescatore, du SANS Institute. « Mais si nous parvenons à nous passer des mots de passe, cela mettra hors jeu bon nombre d’attaquants peu avisés. »
De telles tendances témoignent des nombreuses incertitudes, tant celles qui relèvent de l’ (inconnues) que celles qui relèvent de la (connues), auxquelles les RSSI devront faire face au cours de l’année à venir. Ceux qui sont préparés peuvent être assurés qu'ils s'en sortiront bien mieux face aux risques qui se profilent à l'horizon.
