Si des outils informatiques sont déployés dans la forêt numérique et que personne ne les voit ni ne les utilise, existent-ils vraiment ?
La plupart des responsables de la sécurité des systèmes d'information (RSSI) savent qu'il vaut mieux ne pas répondre à cette question aux accents zen. Que des logiciels aient été détectés ou non, la prolifération incontrôlée d'outils autorisés et non autorisés peut ouvrir une véritable porte dérobée, potentiellement dévastatrice, aux pirates informatiques.
Bradley Schaufenbuel en est bien conscient. Le responsable de la sécurité des systèmes d'information (RSSI) de Paychex, un prestataire de services de gestion de la paie destiné aux petites entreprises, affirme que la « prolifération des outils » est devenue une préoccupation majeure pour les équipes de sécurité. Son équipe découvre chaque jour de nouvelles vulnérabilités liées à des logiciels malveillants. Si ce logiciel n'est pas mis à jour régulièrement, la surface d'attaque augmente de manière exponentielle.
« À moins que ces outils ne soient approuvés et répertoriés, les équipes de sécurité ignorent souvent leur existence », explique M. Schaufenbuel. « Et une équipe de sécurité ne peut pas protéger ce dont elle ignore l'existence. »
Un problème qui prend de l'ampleur
De nombreux outils non autorisés sont installés de manière aléatoire au sein d’une entreprise à l’insu du service informatique et y restent ainsi — oubliés, sans correctifs et vulnérables — jusqu’à ce qu’un pirate informatique les repère et s’en serve pour s’introduire dans le réseau de l’entreprise.
Selon une enquête mondiale menée par Tanium auprès de 2020 entreprises, 91 % des décideurs informatiques ont reconnu qu’ils disposaient d’ , d’une visibilité ou d’un contrôle insuffisants sur leurs actifs informatiques. En effet, près d'un tiers d'entre eux ont déclaré que les projets informatiques parallèles et la prolifération d'outils autorisés et non autorisés posaient d'énormes problèmes.
La dispersion du personnel, telle qu'elle se pratique aujourd'hui, n'a fait qu'aggraver la situation. Selon une enquête menée par la société de sécurité réseau NetMotion, trois télétravailleurs sur cinq ont désormais recours à des outils non autorisés , en dehors du cadre de la politique informatique officielle. Cette profusion de logiciels non contrôlés pose des problèmes aux entreprises qui cherchent à retrouver un semblant de « normalité » sur leur lieu de travail après la pandémie. Ce problème est d'autant plus aigu que les environnements informatiques mondiaux ont gagné en ampleur et en complexité au fil des ans, et que les environnements hybrides et multicloud sont désormais monnaie courante.
Les outils de sécurité peuvent être source d'insécurité
La grande ironie de toute cette complexité et de ces logiciels malveillants réside dans le fait que les outils mêmes conçus pour protéger la sécurité d’une organisation peuvent constituer la plus grande menace en matière de cybersécurité, comme l’a mis en évidence le récent piratage de SolarWinds par .
Dans une enquête, 55 % des décideurs informatiques ont déclaré utiliser 20 outils ou plus dans les domaines de la sécurité et des opérations, et 70 % ont indiqué que ces outils ne bénéficiaient pas d'une intégration complète. Si certains professionnels de la sécurité informatique peuvent penser que le recours à plusieurs outils de sécurité permet aux équipes de couvrir plus de domaines avec souplesse, une étude d’ , réalisée par IBM , suggère que c’est tout le contraire. Ces solutions ponctuelles, peu intégrées entre elles, entraînent des coûts supplémentaires et une complexité accrue qui finissent par entraver la capacité d'une organisation à détecter les violations de sécurité et à y réagir.
Mais Josh Schofield, directeur principal de la gestion des produits chez Tanium, affirme que les problèmes liés à la prolifération des outils de sécurité ne trouvent pas nécessairement leur origine au sein des services informatiques. Il affirme que la plupart de ces outils sont des logiciels gratuits à installation unique , installés par les employés eux-mêmes lorsqu'ils effectuent l'entretien de leurs ordinateurs. Selon lui, des problèmes surviennent lorsque les licences obligeant les entreprises à payer pour ces applications entrent en vigueur et bloquent l'utilisation des programmes. Peu d'utilisateurs font l'effort de les supprimer, ce qui crée des failles potentielles en matière de cybersécurité, explique M. Schofield.
«Si un outil est réellement utile, insistez pour qu’il soit soumis à un processus de validation afin d’être homologué. »Bradley Schaufenbuel, responsable de la sécurité des systèmes d'information (RSSI), Paychex
Chris Hughes, consultant en cybersécurité et chargé de cours à l'université sur ce sujet, affirme que tout outil de cybersécurité doit être associé à une personne sachant comment le déployer, l'installer et le gérer. Lorsque les services informatiques disposent d'une équipe chargée de surveiller la prolifération des outils, ils ont tendance à mieux résister aux attaques. Mais peu d'équipes de sécurité sont actuellement en mesure d'y parvenir efficacement en raison d'une pénurie critique de talents dans le domaine de la sécurité de l' . Investir dans plusieurs outils de cybersécurité n'a donc guère de sens sur le plan de la sécurité, affirme M. Hughes.
« La plupart des équipes de sécurité qui disposent de dizaines d'outils admettront qu'elles ne savent pas vraiment dans quelle mesure ceux-ci sont efficaces », déclare-t-il. « Ils dépensent beaucoup pour ces outils, mais ne sont pas en mesure de vous dire s’ils en tirent réellement profit. » « Et c'est de l'argent qu'ils auraient pu consacrer à d'autres postes, comme le renforcement de leurs équipes. »
Mark Settle, ancien directeur des systèmes d'information chez Okta et BMC Software, voit la question sous un autre angle. En principe, les entreprises investissent dans plusieurs outils car ceux-ci présentent des fonctionnalités complémentaires, et les avantages qu'ils génèrent lorsqu'ils sont combinés sont supérieurs à la somme de leurs parties. « C'est la théorie », explique M. Settle, qui a récemment publié un ouvrage sur la gestion informatique « » (). « Dans la pratique, certains outils peuvent présenter des fonctionnalités qui se chevauchent, être difficiles à gérer et comporter des failles de sécurité sous-jacentes. »
Comment limiter la prolifération des outils
En théorie, les organisations qui souhaitent lutter contre la prolifération des outils pourraient simplement déployer une seule plateforme agréée pour prendre en charge plusieurs fonctions. Cela permettrait de rationaliser les opérations et la sécurité tout en éliminant pratiquement tout recours à des solutions informatiques parallèles. Toutefois, les experts recommandent de suivre quelques mesures élémentaires pour améliorer immédiatement l'hygiène informatique et la sécurité :
Répertoriez les terminaux et les logiciels. L'équipe de M. Schaufenbuel chez Paychex a mené cette initiative dans le cadre d'un effort plus large visant à rationaliser les dépenses liées aux outils et à regrouper ses fournisseurs. Certaines organisations disposent déjà de plateformes de gestion des flux de travail ou de gestion complète des terminaux mises en place pour les aider à atteindre cet objectif. Ceux qui ne le font pas devraient envisager de telles solutions afin de bénéficier d'une meilleure visibilité et d'un meilleur contrôle sur les outils et applications numériques.
[À lire également : Comment les DSI du secteur public peuvent-ils se montrer plus fermes ?]
M. Schofield recommande également de rechercher les anomalies dans le cadre de ce processus : il ne s'agit pas seulement de connaître l'ensemble des éléments installés sur un réseau, mais aussi ceux qui semblent l'être de manière plus limitée — et d'en comprendre les raisons.
« C’est formidable de savoir qu’un outil est installé sur 50 000 appareils, mais c’est encore plus intéressant lorsque vous pouvez inverser la perspective et identifier des situations où un élément particulier n’est installé que sur cinq machines », explique M. Schofield. « C’est exactement le genre de chose que vous devez absolument surveiller, car cela pourrait constituer un vecteur d’attaque majeur. »
Améliorer l'accès. Il est extrêmement difficile d'évaluer avec précision ce qui se trouve sur un réseau si les appareils n'y sont pas enregistrés. M. Schaufenbuel recommande d'accorder aux utilisateurs un délai de grâce pour enregistrer leurs outils, afin que ceux-ci puissent être continuellement renforcés et mis à jour ; si cela ne fonctionne pas, il préconise de bloquer ou de supprimer de manière systématique les outils non autorisés des systèmes de l'entreprise. « Si un outil présente une utilité légitime, insistez pour qu’il soit soumis à un processus de validation afin d’être homologué », suggère M. Schaufenbuel.
Il précise toutefois qu'il ne s'agit pas d'une approche universelle. Les développeurs de logiciels, en particulier, peuvent avoir besoin de davantage de flexibilité pour installer des outils non autorisés afin d'accomplir leur travail. « L’une des plus grosses erreurs que j’ai commises a été de restreindre trop strictement l’accès aux postes de travail des développeurs », explique-t-il, « ce qui peut nuire à la productivité, freiner l’innovation et susciter du ressentiment à l’égard de l’équipe de sécurité. » Pour les développeurs, explique-t-il, il est préférable d'utiliser une solution de gestion des terminaux qui leur permette d'installer des outils de manière plus contrôlée.
Examinez attentivement les dépenses liées aux outils. Une fois qu'une organisation maîtrise ces outils, elle doit évaluer l'investissement qu'ils représentent. Les techniciens peuvent être à tel point obsédés par l'achat des outils les plus récents et les plus performants qu'ils en viennent à négliger les autres outils dans lesquels ils ont déjà investi. « Certains responsables de la sécurité des systèmes d’information que je connais mettent leurs équipes au défi d’identifier un outil existant auquel elles sont prêtes à renoncer avant d’approuver l’achat d’un nouveau produit ou service », explique M. Settle. « Cela peut constituer un moyen très efficace de limiter l'étalement urbain. »
Correctif. Correctif. Correctif. Une fois que le service informatique aura une vue d'ensemble de tous les « arbres » de sa « forêt numérique », il pourra alors les mettre à jour et les sécuriser. Le service informatique devrait donner la priorité aux correctifs logiciels qui permettent de corriger les vulnérabilités les plus susceptibles d'avoir un impact sur l'activité. Il est important d'accorder une attention particulière aux ordinateurs de bureau, aux ordinateurs portables et aux imprimantes sur lesquels sont installés des logiciels inutilisés ou obsolètes. Un rapport récent de HP Bromium a révélé qu'une ancienne vulnérabilité de type « corruption de mémoire » ( ) non corrigée dans Microsoft Office était à l'origine de près de 75 % de toutes les attaques détectées par sa fonctionnalité de cybersécurité HP Sure Click.
Allez au-delà des mots de passe. Tout RSSI sait que les mots de passe, à eux seuls, constituent une méthode inefficace pour contrôler l'accès au réseau. Il est donc important de mettre en place des mécanismes permettant aux utilisateurs non seulement de créer des identifiants forts, longs et uniques, mais aussi de s'en souvenir. Les outils de gestion des identités et des accès, tels que OneLogin, peuvent vous aider dans ce domaine. Les experts en sécurité affirment que les organisations devraient également mettre en place une authentification multifactorielle (MFA) afin de réduire le risque d'attaques par hameçonnage et par force brute. Cela revêt une importance particulière en raison du nombre croissant de terminaux utilisant le protocole RDP (Remote Desktop Protocol) qui ont été la cible d'attaques pendant la pandémie de COVID.
