Alors que les cybermenaces et le chaos lié au retour au travail devraient s'intensifier en 2022, ce sont les organisations les mieux préparées qui en sortiront gagnantes.
Un excellent exemple est celui de Sallie Mae, l'organisme de crédit surtout connu pour ses prêts étudiants. Les plans de retour au bureau ont été bouleversés en octobre, lorsque la date de retour prévue par l'organisation a été reportée en raison de la recrudescence des cas de COVID-19, explique Steve Lodin, directeur principal des opérations de cybersécurité. Heureusement, l'entreprise était passée à une architecture distribuée il y a plusieurs années, après avoir cédé son ancienne activité de services de crédit (Navient) en 2014. Après avoir fait évoluer son centre de données vers des services gérés, Sallie Mae a transféré son infrastructure de serveurs vers Amazon Web Services en 2018.
Afin de faciliter une transition en douceur, Sallie Mae a dû garantir aux autorités de régulation qu'elle prenait les mesures nécessaires pour faire face aux risques potentiels liés à la sécurité du cloud, explique M. Lodin. « Nous avons mis en place très tôt des mesures que l’on qualifierait aujourd’hui de « zero trust » », explique-t-il, citant notamment la création d’un périmètre défini par logiciel (SDP) pour l’accès des utilisateurs et la migration vers le cloud des systèmes de protocole de gestion de réseau.
C'est ainsi que Sallie Mae a pu opérer une transition relativement aisée vers le télétravail en 2020.
« Nous avons rencontré quelques difficultés au niveau du centre d’appels, où nous avons eu recours à la présence physique pour faire respecter les restrictions concernant l’utilisation des données sensibles par nos collaborateurs », explique M. Lodin.
Par exemple, l'équipe de sécurité a utilisé le logiciel endpoint security afin de limiter les informations pouvant être imprimées à partir de l'ordinateur d'un employé du centre d'appels. Il s'agissait d'une stratégie de défense relativement simple, mais efficace.
Grâce à l'accent mis sur la gestion des identités et la microsegmentation de son réseau, Sallie Mae affiche un bilan solide en matière de lutte contre les menaces, explique M. Lodin. Il arrive parfois qu'un lien malveillant ou une pièce jointe à un e-mail passe à travers les filtres de l'entreprise, ce qui oblige alors à réinstaller le système d'exploitation sur l'ordinateur de l'utilisateur concerné. « Nous en avons quelques-uns chaque année, mais ce n'est pas un nombre significatif », dit-il. L'année dernière, ils n'ont enregistré qu'un seul cas avéré de piratage de compte.
«La plupart des entreprises ont dû se tourner précipitamment vers le cloud simplement pour pouvoir continuer à fonctionner — et elles en paient encore le prix, avec de nombreuses vulnérabilités. »Shafayet Imam, fondateur et PDG du groupe BrillianSe
Malheureusement, Sallie Mae fait figure d'exception à la règle en ce qui concerne les exercices d'évacuation réguliers auxquels de nombreuses organisations ont dû se livrer pendant la pandémie.
« La plupart des entreprises ont dû se tourner précipitamment vers le cloud simplement pour pouvoir continuer à fonctionner. Or, en raison de leur manque d’expérience, ou peut-être de leur manque de temps, ou encore d’une réflexion insuffisante sur la manière dont elles ont mis en place leur infrastructure cloud, elles en paient encore le prix aujourd’hui, avec de nombreuses vulnérabilités », explique Shafayet Imam, fondateur et PDG de BrillianSe Group, un cabinet de conseil spécialisé dans l’architecture des systèmes et la cybersécurité.
En 2021, les organisations ont eu le temps d'évaluer la nécessité d'adopter une approche plus systématique — une démarche qu'elles devront mettre en œuvre en 2022, précise-t-il.
Se prémunir contre les attaques par ransomware
Ask cybersecurity leaders about 2021, and the ongoing hangover from the work-at-home explosion is inevitably part of the conversation. Cette tendance ne semble pas près de s'arrêter en 2022. Les retards à répétition dans la mise en œuvre des plans de retour au bureau ont conduit de nombreux dirigeants à penser que le monde du travail d'avant la pandémie appartient désormais au passé.
«J’ai vu des hommes adultes fondre en larmes au téléphone parce qu’ils risquaient de perdre l’entreprise de leur grand-père à la suite d’une attaque par ransomware. »Jeffrey Wheat, responsable de la sécurité des systèmes d'information (RSSI), Blue Team Alpha
L'année dernière a également été une année record en matière d'attaques informatiques. La menace des ransomwares a pris une ampleur telle qu’il est devenu impossible de l’ignorer, : les fournisseurs de carburant, les industriels, les hôpitaux, les établissements scolaires et des centaines d’autres organisations ont été profondément touchés.
Cette année, de nombreux professionnels de la cybersécurité se tournent vers l’avenir et transforment des mesures « temporaires » en stratégies à long terme visant à renforcer la sécurité de leurs environnements sans périmètre face aux inévitables attaques par ransomware de type « » qui accompagnent le recours au télétravail et aux modes de travail hybrides.
« Je pense que les cybercriminels ont commis une erreur », déclare Jeffrey Wheat, responsable de la sécurité des systèmes d'information (RSSI) chez Blue Team Alpha, un cabinet de conseil proposant des services d'intervention et de remédiation en cas d'attaque par ransomware. « Lorsqu’ils ont attaqué les infrastructures, cela équivaut à un acte de guerre. » « J'ai déjà vu des hommes adultes fondre en larmes au téléphone parce qu'ils risquaient de perdre l'entreprise de leur grand-père à cause d'une attaque par ransomware. »
Souvent, ce sont des dirigeants très impliqués dans les opérations, qui n’hésitent pas à dépenser quelques millions de dollars pour une nouvelle presse mécanique, mais qui ont souvent du mal à comprendre la nécessité de dépenser quelques milliers de dollars pour « quelque chose qu’ils ne peuvent ni voir ni toucher », explique-t-il.
Les organismes du secteur public sont confrontés à un défi similaire lorsqu'il s'agit d'obtenir des fonds des contribuables pour la cybersécurité. Lorsque les écoles publiques du comté de Broward, en Floride, ont refusé de céder à une demande de rançon de 40 millions de dollars après avoir été piratées mars 2021, les pirates ont publié près de 26 000 fichiers volés, dont bon nombre étaient des documents financiers et comptables sensibles. Heureusement, le district scolaire a pu utiliser des sauvegardes intactes pour remettre les systèmes en état de fonctionnement, explique Vincent Vinueza, directeur informatique par intérim du district scolaire, qui était responsable de l’infrastructure au moment de l’attaque. « Sans ces stratégies de sauvegarde et de restauration, l'attaque aurait pu avoir des conséquences bien plus graves et entraîner des perturbations plus importantes, affectant la continuité de l'enseignement. »
Cette faille a convaincu le district scolaire d'investir dans la mise à niveau de la sécurité des terminaux et de recruter davantage de professionnels de la sécurité informatique, explique M. Vinueza. Toutefois, même avec la publication de nouvelles offres d'emploi, le comté de Broward aura du mal à attirer des travailleurs ayant suivi une formation en cybersécurité sur un marché du travail où les talents se font rares.
Par ailleurs, la formation des techniciens d’ s qui travaillent dans les différents établissements scolaires reste importante, précise M. Vinueza. « Nous souhaitons qu’ils nous signalent si quelque chose ne leur semble pas normal. » À terme, il espère que l'intelligence artificielle sera capable de détecter bien plus efficacement les anomalies susceptibles d'indiquer un piratage. Comme il le reconnaît lui-même, « les êtres humains sont bien plus lents à réagir ».
Projets pour l'année 2022 et au-delà
Personne ne s'attend à ce qu'un seul outil vienne à leur secours, mais s'il y a bien une catégorie technologique dont les dirigeants espèrent qu'elle fera ses preuves, c'est celle de l'IA.
«Nous souhaitons qu’ils nous signalent tout ce qui leur semble anormal. »Vincent Vinueza, directeur informatique par intérim, Écoles publiques du comté de Broward
« Nous n’avons pas de problème de données, nous avons un problème de surcharge d’informations », déclare M. Wheat, de Blue Team Alpha. « Tout le monde va devoir s'appuyer davantage sur l'intelligence artificielle, car il y a tout simplement trop d'informations pour que les humains puissent les comprendre. »
Les technologies d'IA apportent déjà un soutien aux équipes de sécurité, mais il y a toujours davantage de données à analyser. Sallie Mae génère désormais
2,5 milliards d'entrées de journal par jour à partir d'Amazon Web Services et de systèmes de surveillance des terminaux, qui alimentent un lac de données en vue d'une analyse plus approfondie. « La question qui se pose alors est la suivante : que faites-vous de tout cela ? » demande Lodin. Les technologies d'intelligence artificielle permettent d'identifier les entrées susceptibles de poser problème, mais celles qui sont signalées doivent tout de même faire l'objet d'un examen manuel avec l'aide d'une équipe externe, précise-t-il.
Selon M. Lodin, Sallie Mae a obtenu de bons résultats en utilisant un logiciel de validation de la sécurité pour vérifier que les systèmes fonctionnent correctement et collectent bien les données qu'ils sont censés recueillir. Dans un deuxième temps, il souhaite se concentrer sur l'amélioration de la hiérarchisation des interventions en matière de sécurité. Il explique par exemple que l'équipe chargée de mettre en œuvre les correctifs est submergée d'alertes concernant de nouvelles vulnérabilités et a besoin de meilleurs outils d'analyse pour déterminer celles qu'il convient de traiter en priorité. C'est plus facile à dire qu'à faire, car le problème tient à la nécessité de disposer d'un inventaire précis des systèmes et de leur lien avec les processus métier clés.
« Cela coûte de l'argent, et il faut tout de même pouvoir compter sur des personnes capables de comprendre et de fournir les données pertinentes », explique M. Lodin. « Ces systèmes contiennent-ils des données sensibles ? » Sont-ils sur Internet ? « Ce genre d’évaluation de la criticité est difficile à obtenir de la part des équipes. » Ce n'est qu'ainsi que vous pourrez savoir ce qu'il faut corriger immédiatement et ce qui peut attendre, explique-t-il.
Comme nous l'avons vu, il est urgent de disposer de ce type de visibilité et d'évaluation des risques. Les défis liés à la cybersécurité ne disparaîtront pas en 2022. En réalité, ils deviendront plus grands et plus complexes. Mais les organisations qui prendront les bonnes décisions seront en mesure d'obtenir des résultats nettement meilleurs que celles qui font l'autruche.
