L’une des leçons que j’ai tirées des événements bouleversants de 2020, et que j’ai pu constater tout au long de ma carrière dans le domaine de la sécurité, tant dans le secteur privé qu’au sein des services publics, c’est la nécessité d’agir rapidement et de manière réfléchie en cas de crise.
Un exemple concret : en décembre 2020 , lorsque la société de sécurité FireEye a appris que des pirates informatiques avaient pénétré dans son réseau par le biais d'une mise à jour logicielle tierce, elle a rapidement alerté l'ensemble du secteur.
Cette cyberattaque, qui aurait été menée par les services de renseignement russes par le biais de l' , consistant à insérer un code malveillant dans un logiciel de gestion de réseau développé par la société américaine SolarWinds, a fini par infecter plus de 300 entreprises et neuf agences fédérales. C'est devenu la pire affaire de cyberespionnage de l'histoire.
Sans la décision de FireEye d'alerter le monde entier, les espions d'États-nations seraient peut-être encore en train de fouiller les réseaux des agences gouvernementales pour y récupérer des informations sensibles.
À juste titre, l'administration Biden cherche désormais à codifier ce type d'alerte publique. Le président s'apprête à publier un décret intitulé « » qui obligera les éditeurs de logiciels travaillant avec l'État à l'alerter s'ils détectent une violation de données.
Une stratégie réactive constitue un élément essentiel du plan d'action en matière de sécurité. Mais je ne peux m'empêcher de me demander si le gouvernement ne passe pas à côté d'une occasion de renforcer l'attitude proactive du secteur.
«Je ne peux m’empêcher de me demander si le gouvernement ne passe pas à côté d’une occasion de renforcer l’attitude proactive du secteur. »
Les RSSI et les DSI avec lesquels je m’entretiens quotidiennement s’attachent à contrer les tentatives d’hameçonnage et les attaques par rançongiciel de plus en plus sophistiquées, à maintenir le cap de leurs transformations numériques , ainsi qu’à faciliter et sécuriser le travail de leurs collaborateurs à distance. Ils doivent absolument savoir si une faille de sécurité survient au sein de leurs réseaux ou s'ils ont été exposés à un risque suite à une attaque visant la chaîne d'approvisionnement logicielle d'un tiers.
Mais ils me disent aussi qu'ils en ont assez de cette attitude défensive. La plupart d'entre eux, voire tous, souhaitent adopter une attitude plus proactive. Ils veulent sortir de la défensive et passer à l'offensive.
Le gouvernement peut vous aider. Le programme fédéral de certification du modèle de maturité en matière de cybersécurité (CMMC) de l’ , , impose déjà aux sous-traitants du secteur de la défense de respecter certaines normes et de se soumettre à un contrôle par un organisme tiers afin de pouvoir travailler avec les agences du ministère de la Défense. D'autres agences fédérales devraient adopter ce modèle, ce qui favoriserait alors une adoption plus généralisée de mesures de sécurité proactives.
Bien sûr, les DSI et les RSSI n'ont pas besoin d'attendre que le gouvernement impose des mesures. Elles peuvent les mettre en œuvre dès aujourd’hui et faire preuve de leadership en s’attaquant à trois enjeux technologiques majeurs : obtenir une visibilité sur l’ensemble des ressources réseau, corriger les vulnérabilités et accélérer la réponse aux incidents.
Gagner en visibilité
Lorsque je demande aux responsables de la sécurité des systèmes d’information (RSSI) de citer un obstacle qui les empêche de mettre en place des stratégies de sécurité plus proactives, ils évoquent invariablement un manque d’ de visibilité sur leurs actifs. Problème récurrent depuis des années, cette incapacité à avoir une vue d'ensemble des réseaux et des terminaux s'est aggravée en 2020. À mesure que les employés quittaient leurs bureaux pour rentrer chez eux, emportant leurs appareils et se connectant aux réseaux de l'entreprise via des réseaux Wi-Fi non sécurisés, la surface d'attaque s'est élargie. Les équipes informatiques ont toujours du mal à recenser et à inventorier tous ces actifs.
[À lire également : Il est temps de ne plus se contenter de données de mauvaise qualité]
Tout espoir de pouvoir adopter une approche proactive repose sur la maîtrise complète, précise et en temps réel, par le DSI ou le RSSI, de l'ensemble des actifs présents sur le réseau de l'entreprise. Cela inclut tous les terminaux, qu'il s'agisse d'ordinateurs portables, de tablettes, de PC, de machines virtuelles ou d'applications dans le cloud, ainsi que les logiciels.
Veillez à toujours installer les correctifs
Les entreprises stratégiques, telles que les compagnies d'électricité, les prestataires de soins de santé, les industriels et les établissements financiers, repoussent souvent l'application des correctifs destinés à corriger les vulnérabilités connues. Leurs raisons : les temps d'arrêt perturbent leurs activités et leur coût est élevé. D'autres entités, réticentes à appliquer les correctifs, sont tout simplement paralysées par des budgets restreints qui ne leur permettent pas de faire face à l'avalanche de vulnérabilités qui s'abat sur elles. Ils corrigent donc les bogues hautement prioritaires et s'accommodent d'un niveau de risque acceptable.
Si vous envisagez de tenter votre chance en pariant qu’une faille de sécurité datant de plusieurs années n’est pas dans le collimateur des pirates informatiques, ne cherchez pas plus loin que le cas d’Equifax. septembre 2017 a révélé qu’après avoir omis de corriger une faille de sécurité datant de deux mois ( ) dans une application web, des pirates avaient pénétré dans son réseau, exposant ainsi les données sensibles de pas moins de 147 millions de consommateurs américains. Cela aurait pu être évité.
Le meilleur moyen d’éviter une faille de sécurité aussi coûteuse consiste à mettre en place un programme proactif de gestion des correctifs , ce qui implique de mettre à jour vos logiciels à un rythme régulier — et pas seulement le système d’exploitation, mais également les applications tierces. Cela inclut les navigateurs Web, les plug-ins et les logiciels ponctuels qu'un collaborateur pourrait installer pour mener à bien un projet. Les vulnérabilités constituent des points d'entrée.
Répondez rapidement
Les responsables informatiques oublient souvent que la gestion des incidents est une mesure proactive. En intervenant avant qu'une intrusion ne se produise, en automatisant la détection des menaces grâce à des alertes en temps réel et en faisant le tri parmi les fausses alertes, les organisations peuvent identifier, analyser, contenir et remédier aux menaces. Plus un incident est détecté et traité rapidement, moins il est susceptible d'avoir d'impact sur cette organisation.
«Les responsables informatiques oublient souvent que la gestion des incidents est une mesure proactive. »
De nombreux professionnels de la sécurité ne disposent ni des ressources ni du temps nécessaires pour réagir rapidement aux incidents. Les RSSI, aujourd’hui débordés, sont chargés de gérer un large éventail d’incidents au sein d’un environnement décentralisé et, au lendemain de la pandémie, dont les actifs vulnérables n’ont cessé de se multiplier.
Les outils de sécurité traditionnels ne sont d'aucune utilité. Elles fonctionnent souvent en silos, et leurs capacités d'enquête reposent généralement sur des données incomplètes ou obsolètes. Cependant, une nouvelle génération de solutions de gestion des incidents offre une visibilité en temps réel sur les réseaux. Elles permettent aux équipes de sécurité de choisir parmi diverses options de correction à distance : de l'approche « chirurgicale », ciblant un seul terminal parmi des milliers, à l'approche « radicale », appliquée à l'ensemble de l'environnement réseau.
N'oubliez pas les personnes et les processus
Le transfert du poids du pied arrière vers le pied avant n'est pas seulement une question de technique. Votre personnel et vos processus jouent un rôle essentiel dans vos efforts. Les RSSI les plus visionnaires que je connaisse prennent le temps d'associer les parties prenantes de l'ensemble de l'organisation, notamment les services juridiques, de conformité, informatiques, des ressources humaines et opérationnels. Ils recherchent des partenaires pour les aider à mettre en place une structure de reporting interne qui réponde aux exigences du prochain décret présidentiel, voire les anticipe, et s'adapte aux exigences futures.
Les RSSI avec lesquels je travaille mettent en place une structure de direction afin de garantir la responsabilité. Ils désignent un interlocuteur chargé de collaborer avec les organismes susceptibles de contrôler le respect des règles dans le cadre de leur collaboration avec le gouvernement fédéral. Et ils sont douloureusement conscients des nombreux enseignements tirés de la cyberattaque contre SolarWinds.
Ils savent qu'une faille de sécurité au sein d'une entreprise peut compromettre les défenses d'autres entreprises tout au long de la chaîne d'approvisionnement. Ils savent qu'ils doivent sortir de leur position défensive et passer à l'offensive pour être prêts.
