« Il est difficile de faire des prédictions, en particulier sur l’avenir », a fait part de la légende du baseball Yogi Berra, dans l’un de ses dictons les plus répétés.
C’est doublement difficile lorsque certaines des histoires les plus importantes de 2022 étaient entièrement prévisibles, telles que les attaques de chaîne d’approvisionnement logicielle et de firmware. Mais qui aurait pu prédire à quel point l’économie deviendrait agitée après le début de la guerre en Ukraine, ou les retombées lourdes pour les RSSI du verdict Uber ?
Avec cet article anticipé, nous avons demandé aux experts en sécurité de se prononcer sur les tendances les plus importantes pour 2023. Ce sont les problèmes que chaque RSSI doit résoudre.
Les mandats SBOM passent au stade central
Prêt ou non, les nomenclatures logicielles (SBOM) vont s’enchérir en urgence cette année. Bien qu’une grande partie de cette poussée provienne d’entreprises privées, qui commencent à exiger des SBOM de la part de leurs fournisseurs de logiciels, peut-être que la pression la plus importante proviendra du gouvernement fédéral. Les agences et services américains doivent s’assurer que les fournisseurs adhèrent aux pratiques de développement logiciel sécurisées et fournissent des SBOM lors du traitement des données les plus critiques.
« Compte tenu du niveau actuel d’immaturité, nous pensons que les SBOM ne sont pas encore des exigences contractuelles appropriées. »Conseil de l’industrie des technologies de l’information
Il existe un accord quasi universel selon lequel les éléments standard des SBOM présentent le plus grand potentiel d’amélioration de la transparence dans les applications logicielles et les composants utilisés au sein des organisations. Cependant, le débat a porté sur la question de savoir si les normes sont prêtes à être utilisées à grande échelle.
Ce débat s’est intensifié en novembre dernier lorsque le Conseil de l’industrie des technologies de l’information, un groupe commercial de l’industrie des technologies composé de nombreux géants technologiques, a soutenu dans une lettre ouverte qu’il fallait plus de temps pour que les SBOM mûrissent avant de pouvoir les utiliser à grande échelle. « Compte tenu du niveau actuel d’immaturité, nous pensons que les SBOM ne sont pas encore des exigences contractuelles appropriées », a déclaré le groupe dans sa lettre.
Le Congrès explore également une exigence selon laquelle les sous-traitants gouvernementaux fournissent des SBOM. Par exemple, la loi 2023 du Sénat sur l’autorisation de la défense nationale vise à exiger des SBOM pour tous les logiciels non commerciaux créés ou acquis par le ministère de la Défense.
En fin de compte, certains experts s’attendent à ce que les SBOM soient rapidement adoptées, malgré les manifestations du secteur. « La technologie est là pour mettre en œuvre et automatiser les SBOM », déclare John Pescatore, directeur des tendances émergentes en matière de sécurité au SANS Institute.
La pression augmente pour la gouvernance et la confidentialité des données
Des mandats accrus en matière de sécurité et de confidentialité ont attiré l’attention des chefs d’entreprise. « La sécurité et la confidentialité font partie de toutes les décisions technologiques que les organisations prennent aujourd’hui », déclare Pescatore. « La manière dont les données sont protégées va devenir de plus en plus partie intégrante de la discussion. »
L’analyste Gartner Anthony Carpino prévoit également que les organisations essaieront de mieux régir leurs données non structurées et d’améliorer la conformité en matière de confidentialité dans les entrepôts de données et les pipelines d’analyse. « Les organisations doivent se concentrer sur la superposition de leur architecture de sécurité principale avec une vue centrée sur les données », déclare-t-il.
Les dirigeants doivent également s’attendre à des lois étendues sur la confidentialité des données. Par exemple, les quelques exemptions interentreprises restantes dans le cadre de la loi California Privacy Rights Act (CPRA) ont expiré le 1 janvier 2023. La loi inclut désormais les données des employés, les données collectées dans les candidatures à un emploi, ou les employés et sous-traitants passés et actuels. La Californie n’est pas le seul État à prendre de telles mesures : la Virginie va de l’avant avec un projet de loi appelé Virginia Consumer Data Privacy Act (VCDPA).
La consolidation des fournisseurs s’accélère
Les prévisions d’une consolidation importante des fournisseurs de sécurité abondent. Les observateurs prédisent une retombée d’une baisse du capital d’investissement disponible et d’une baisse des acquisitions auprès de grandes entreprises technologiques disposant de bilans solides qui s’emparent stratégiquement des fournisseurs de sécurité pour étendre leurs capacités.
« Même si vous ne faites pas l’objet d’une consolidation, vous identifierez également les fournisseurs dont vous pouvez probablement ne pas pouvoir vivre. »Andrew Storms, vice-président de la sécurité, Répliqué
L’investissement dans la cybersécurité se refroidissait alors que 2022 se terminait, avec des valorisations en forte baisse. Mais Andy Ellis, partenaire d’exploitation de la société de capital-risque de cybersécurité YL Ventures, ne pense pas que la consolidation sera un facteur énorme. « Nous vivons régulièrement des fluctuations et des fluctuations sur le marché de la cybersécurité », déclare-t-il. « Lorsque le réseau était le centre de sécurité, nous avons connu une consolidation autour des plus grands acteurs. Mais il y avait toujours plus de 50 fournisseurs de pare-feu. Les fournisseurs de niche sont là où nous avons été témoins de l’innovation. »
Les experts que nous avons interrogés ont suggéré que les équipes de sécurité dressent l’inventaire de leurs fournisseurs de sécurité actuels et évaluent leurs performances par rapport aux objectifs convenus. Les organisations doivent ensuite aligner les employés les plus performants sur les objectifs clés du programme de sécurité et développer des plans pour remplacer ou travailler sans fournisseurs à risque de consolidation. « Même si vous ne faites pas l’objet d’une consolidation, vous identifierez également les fournisseurs dont vous pouvez probablement passer », déclare Andrew Storms, vice-président de la sécurité chez le fournisseur de plateforme Replicated.
L’essor de l’« expérience de sécurité »
Les demandes vont augmenter en 2023 pour améliorer la façon dont les utilisateurs vivent réellement les outils et politiques de sécurité, déclare Jonathan Feldman, directeur de l’information du comté de Wake, en Caroline du Nord. Il explique que les façons dont les organisations parlent de l’ expérience client et employé s’étendront très bientôt à l’expérience de sécurité.
« Nous ne pouvons pas continuer avec la sécurité comme quelque chose qui se produit sous vide, sans mesurer ou sans découvrir comment cela affecte les personnes dans leur travail quotidien », déclare-t-il. « Tout le monde a un intérêt à ne pas recevoir de ransomware. Tout le monde a un intérêt à ne pas avoir une grande attaque réussie. »
Selon une enquête d’Ernst & Young, 83 % des employés américains comprennent les protocoles de cybersécurité de leur employeur. Mais les jeunes générations sur le lieu de travail peuvent être plus difficiles à atteindre. Les travailleurs de la génération Z et de la génération Y sont les moins susceptibles de hiérarchiser ou d’adhérer aux politiques, selon l’enquête.
Au cours de l’année à venir, Feldman conseille aux organisations de se concentrer sur ce qu’elles peuvent faire pour améliorer l’expérience de sécurité. Cela peut signifier adopter l’authentification unique ou l’accès sans mot de passe. Cela pourrait également signifier passer à des processus Zero Trust , plutôt que de forcer les employés à utiliser des réseaux privés virtuels (VPN) encombrants. En fin de compte, l’amélioration de l’expérience de sécurité nécessite de faire de la sécurité une partie naturelle du workflow, et non un obstacle.
L’authentification devient sans mot de passe
Les noms d’utilisateur et les mots de passe sont des mécanismes de sécurité que seul un criminel pourrait aimer. Personne n’aime les mémoriser, les saisir ou se faire rappeler de les modifier, et les professionnels de la sécurité savent que les mots de passe sont l’un des contrôles de sécurité les moins fiables disponibles.
« Si nous pouvons nous débarrasser des mots de passe, cela éliminera de nombreux attaquants malins de l’image. »John Pescatore, directeur des tendances émergentes en matière de sécurité, SANS Institute
Les criminels apprécient les mots de passe parce que les employés les réutilisent à plusieurs reprises. Les gens choisissent des mots de passe trop faciles à créer et, par conséquent, faciles à deviner. Mais grâce aux événements de l’année dernière, le concept d’authentification sans mots de passe, ou sécurité « sans mot de passe », devrait de plus en plus s’appliquer. Bien que l’ extinction du mot de passe ait été prévue depuis plus de deux décennies maintenant, il semble que la technologie et la motivation soient finalement alignées sur les mots de passe en dernier lieu sur la liste des technologies en danger.
La transition découle en partie des spécifications d’ authentification FIDO2, qui sont basées sur la cryptographie à clé publique et les normes internationales. Apple, Google et Microsoft ont annoncé en mai dernier qu’ils prendraient en charge FIDO2 pour permettre l’authentification sans mot de passe sur tous les appareils. Les géants de la technologie pensent que le sans mot de passe protègera mieux contre les attaques d’hameçonnage et les mots de passe volés. Le marché semble être d’accord : la société d’études MarketsandMarkets estime que le marché mondial de l’authentification sans mot de passe a atteint une valeur de 6,6 milliards USD l’année dernière, et continuera de croître à un taux annuel de 26 % jusqu’à 2027.
« Nous n’avons pas pu augmenter le coût des attaques depuis 20 ans », déclare Pescatore de l’Institut SANS. « Mais si nous pouvons nous débarrasser des mots de passe, cela fera sortir de l’image bon nombre des attaquants malin. »
De telles tendances indiquent les nombreuses incertitudes, inconnues et connues, que les RSSI devront parcourir au cours de l’année à venir. Ceux qui sont préparés peuvent être assurés qu’ils bénéficieront de bien meilleurs tarifs contre les risques qui se profilent à l’horizon.
