Bien que la vitesse à laquelle les rançongiciels WannaCry se propagent ne soit pas nouvelle, elle soulève de nouveaux problèmes de responsabilité, en particulier la responsabilité personnelle de la manière dont nous devons nous protéger contre les cyberattaques et, plus important encore, tenir les gouvernements et les fournisseurs responsables du développement de technologies sûres. Pour réduire la prochaine épidémie de WannaCry, nous avons besoin du même niveau d’effort combiné qu’il a fallu pour rendre les voitures sûres, des ceintures de sécurité et des airbags aux lampes de contrôle du moteur et aux caméras de secours, appliquées à la cybersécurité afin que chacun comprenne son rôle dans la protection contre les cyberattaques futures.
(Image : Karen Nadine / Pixabay)
En 2010, le virus Stuxnet contre l’Iran a propulsé de nombreux experts en cybersécurité dans le monde dangereux et imprévisible des cyberattaques mondiales. Cette semaine, alors que le blâme penchait vers la Corée du Nord, l’attaque par rançongiciel WannaCry a propulsé le grand public dans ce même monde dangereux et imprévisible. Cette attaque était si importante, même les chaînes d’information locales la couvraient, avec des titres captivants sur le « cyberchaos ».
Nous avons vu d’innombrables cyberattaques par le passé, alors qu’est-ce qui rend cela différent ? Cette attaque par rançongiciel était un peu trop personnelle pour beaucoup d’entre nous, principalement parce que nous avons pris pour acquis la mesure dans laquelle la technologie a imprégné notre vie quotidienne. La plupart d’entre nous fonctionnent comme si « les choses fonctionnaient simplement ». Nous ne reconnaissons pas les innombrables systèmes utilisés pour créer une tonalité, exécuter un ascenseur ou même distribuer des médicaments dans une salle d’urgence. Lorsqu’un système est opérationnel, personne ne réfléchit à son système d’exploitation actuel, n’est à jour sur tous ses correctifs logiciels et utilise des mots de passe difficiles à craquer. Au lieu de cela, nous effectuons l’appel téléphonique, nous prenons l’ascenseur ou la pilule.
Mais que se passe-t-il lorsque vous décrochez le téléphone pour composer le 911 et que personne n’est là ? Ou l’ascenseur s’arrête entre les étages et le bouton d’appel d’urgence ne fonctionne pas ? Ou vous prenez un surdosage de médicaments parce que vos dossiers ont disparu ? À ce stade, il est trop tard pour réfléchir aux correctifs et aux mots de passe. Ce qui était connu est désormais inconnu et même effrayant.
Au milieu de la panique de WannaCry, les victimes se battaient pour corriger leurs logiciels obsolètes, les entreprises se battaient pour voir si elles étaient attaquées et le grand public se sentait impuissant, craignant qu’elles ne soient la prochaine.
Ne nous occupons pas nous-mêmes du fait que la récente attaque WannaCry est différente dans sa forme et sa structure des nombreuses craintes de rançongiciel bitcoin de 300 USD qui l’ont précédée, ou de celles qui suivront à coup sûr dans son sillage. Ce qu’elle a fait, c’est souligner que nous n’avons pas pris personnellement la responsabilité de notre propre cybersécurité et de notre sécurité. Cela doit changer. Chacun d’entre nous doit être plus impliqué et plus conscient des technologies sur lesquelles nous comptons chaque jour.
Alors, qu’apprenons-nous lorsque la poussière se dépose ? D’une part, cette attaque aurait pu être atténuée plusieurs mois, voire plusieurs années auparavant. Oui, les mises à niveau technologiques jouent un rôle majeur dans la discussion sur la réduction des cyberattaques généralisées. Cependant, ce sont les personnes, celles qui assument la responsabilité de ces systèmes, qui décident de la manière dont ces technologies sont mises en œuvre et sécurisées. Un manque de responsabilité personnelle conduit les professionnels de l’informatique à développer des logiciels non sécurisés, à ne pas signaler les bugs non corrigés et même à utiliser des logiciels vieux de plusieurs décennies contre le meilleur jugement des administrateurs système les plus juniors.
Nous, en tant que société, devons assumer une plus grande responsabilité personnelle pour notre propre sûreté et sécurité dans le monde cybernétique, tout comme nous le faisons dans le monde physique. Conduiriez-vous une voiture pendant des années sans jamais changer l’huile ? Probablement pas. Alors, pourquoi utiliseriez-vous la technologie avec des logiciels obsolètes ? Sortiriez-vous 200 USD d’un DAB la nuit dans un quartier mal éclairé ? Peu probable. Alors, pourquoi visiteriez-vous des sites Web douteux ou ouvririez-vous des e-mails douteux ? Personne ne vous dira de ne pas conduire la voiture sans changer d’huile, ou d’éviter les distributeurs automatiques de billets la nuit. Vous savez juste que c’est une mauvaise idée.
Avant la prochaine WannaCry : comment chacun peut jouer son rôle
Au-delà de nos propres responsabilités individuelles, nous avons la responsabilité collective d’assurer le bien commun. Tout comme nous avons convenu des meilleures pratiques pour conduire dans les rues et sur les autoroutes, nous avons également besoin de meilleures pratiques convenues pour notre comportement dans le monde numérique. Voici quelques exemples :
Secteur public : les dirigeants gouvernementaux ont besoin d’urgence d’un cours sur la cybersécurité 101. Puis et seulement alors, peuvent-ils vraiment comprendre les capacités (et, franchement, les limitations) des agences gouvernementales pendant une cybercrise. Vos cyberdéfenseurs disposent-ils des compétences et des outils dont ils ont besoin pour accomplir leur travail ? Si vous ne comprenez pas les principes de base de la cybersécurité, comment pouvez-vous répondre à cette question ?
Secteur privé : une bonne cybersécurité commence en haut. Les PDG doivent combler l’écart de cyber-responsabilité et adopter une culture de responsabilité en s’engageant à supprimer les technologies obsolètes au profit d’options plus sécurisées. En termes simples, les systèmes non gérés ne sont pas corrigés et les systèmes non corrigés entraînent des cyberattaques, par conséquent les systèmes non gérés entraînent des cyberattaques. Les entreprises doivent trouver ces systèmes non gérés avant que les criminels ne le fassent. Faire des affaires avec un fournisseur tiers ? Demandez à votre équipe juridique d’écrire des normes de sécurité dans les accords avant de signer. De plus, toute entreprise sans équipe de sécurité informatique dédiée, une équipe qui fonctionne séparément de celles qui gèrent les tâches informatiques jour après jour, envoie un signal clair à ses clients : la cybersécurité n’est pas importante pour votre entreprise.
Public général. Les individus doivent exiger plus des dirigeants et PDG du gouvernement. L’infrastructure qui nous apporte notre électricité et nos distributeurs automatiques de billets, ainsi que la bande passante du spectre qui transporte nos flux vidéo en direct et permet à nos smartphones, moniteurs de bébé et appareils Alexa de fonctionner, sont tous les résultats d’un esprit de coopération public-privé. Mais la responsabilité personnelle ne s’arrête pas là. Pour chacun d’entre nous, la cybersécurité signifie plus qu’un simple antivirus et une prière. Cela signifie corriger vos ordinateurs personnels tout le temps, pas seulement une partie du temps et ne pas cliquer sur « me rappeler plus tard ». De cette manière, votre ordinateur ne peut pas être facilement détourné pendant le prochain ransomware ou la prochaine peur du botnet. Cela signifie apporter les mêmes bonnes pratiques de cyberhygiène que celles que vous exercez au travail dans votre maison, et apprendre à vos enfants à être de bons citoyens numériques. Cela signifie être un bon consommateur en responsabilisant les entreprises lorsqu’elles ne respectent pas leurs mandats en matière de cybersécurité. Récompensez les entreprises pour la sécurité de vos données et évitez celles qui ne le font pas.
Pour réduire la prochaine cyber-épidémie de WannaCry, qu’elle provienne de Corée du Nord ou d’un enfant universitaire dans une chambre de repos, nous avons besoin du même niveau d’effort combiné qu’il a fallu pour rendre les voitures sûres. Tout comme nous avons des ceintures de sécurité et des airbags, des lampes de contrôle du moteur et des caméras de secours, nous avons besoin de protections similaires appliquées à la cybersécurité. Ce n’est que de cette manière que chacun d’entre nous comprendra notre propre responsabilité personnelle de nous protéger, ainsi que nos entreprises et notre société, contre les cyberattaques futures.
En savoir plus :
- Les cinq questions auxquelles vous devez répondre pour une bonne hygiène de sécurité
- Rechercher les meilleures données sur les menaces
À propos de l’auteur : en tant que directeur de la sécurité chez Tanium, Andre McGregor se concentre sur la cybersécurité. Il possède une connaissance approfondie des cybertechniques criminelles et de contre-intelligence utilisées pour attaquer les réseaux et infrastructures informatiques américains. Avant de rejoindre Tanium, Andre a occupé le poste d’agent spécial cyber du FBI à New York, puis a été promu agent spécial de supervision au siège du FBI. Au FBI, McGregor était l’agent technique principal et le principal intervenant en cas d’incident pour plusieurs intrusions informatiques à grande échelle. De plus, il a été à la fois le responsable de la cybersécurité du FBI auprès des Nations Unies et le responsable de la cybersécurité du FBI auprès du DHS US-CERT et de l’ICS-CERT. Avant le FBI, McGregor est allé à l’Université Brown, a commencé sa carrière chez Goldman Sachs, puis plus tard en tant que directeur informatique chez Advogent (Cardinal Health) dans toutes les opérations informatiques à l’échelle nationale. Pendant son temps libre, André est également consultant technique et du FBI pour M. Robot.
