Quelles tendances pour la cybersécurité en 2018 ?

L'ann&eacute;e 2017 a &eacute;t&eacute; riche en attaques informatiques et les premi&egrave;res semaines de 2018 promettent d&eacute;j&agrave; un &laquo; grand cru &raquo; de la cybers&eacute;curit&eacute;. Du c&ocirc;t&eacute; des victimes, tout le monde est concern&eacute; : des entreprises de tous les secteurs, subissant des pertes de plusieurs millions &agrave; centaines de millions de devises ainsi que des indisponibilit&eacute;s de services, jusqu&rsquo;aux citoyens dont les donn&eacute;es priv&eacute;es sont r&eacute;v&eacute;l&eacute;es par des fuites record. Le secteur financier reste malheureusement la cible num&eacute;ro 1, et en particulier les banques, qui offrent de multiples sources de gains directs pour les attaquants. Les plates-formes de paiement (e.g. acc&egrave;s au r&eacute;seau SWIFT), la banque en ligne ou encore les distributeurs automatiques de billets permettent de rentabiliser plus rapidement le co&ucirc;t de l&rsquo;attaque, en d&eacute;robant directement de l&rsquo;argent &ndash; les attaquants informatiques, comme les entreprises, surveillent leur retour sur investissement ! Au-del&agrave; de gains financiers directs, les attaquants et leurs motivations peuvent &ecirc;tre vari&eacute;s : on y retrouve notamment l&rsquo;acteur isol&eacute;, souvent labellis&eacute; &laquo; script kiddie &raquo; en r&eacute;f&eacute;rence &agrave; son (potentiel) jeune &acirc;ge, profitant de son temps libre pour parcourir Internet pour apprendre et obtenir les moyens d&rsquo;une attaque, &laquo; pour la gloire &raquo; ou &laquo; parce qu&rsquo;il peut le faire &raquo; ; viennent ensuite les groupes criminels organis&eacute;s, pour leurs actes de protestation num&eacute;rique (hacktivisme), par exemple en r&eacute;action &agrave; une d&eacute;cision politique ou &eacute;conomique d&eacute;plaisante &ndash; ou plus directement pour des &laquo; cambriolages &eacute;lectroniques &raquo; d&rsquo;institutions financi&egrave;res comme &eacute;voqu&eacute; pr&eacute;c&eacute;demment ; enfin, les acteurs &laquo; &eacute;tatiques &raquo;, pour des raisons politiques &ndash; comme la perturbation des &eacute;lections am&eacute;ricaines ou de la sortie du film The Interview sur le chef d&rsquo;&Eacute;tat nord-cor&eacute;en &ndash;, id&eacute;ologiques ou &eacute;conomiques. L&rsquo;attribution &agrave; un groupe &eacute;tatique est pour autant loin d&rsquo;&ecirc;tre une science exacte : elle est souvent bas&eacute;e sur des ressemblances de code dans les malwares , pouvant tout autant &ecirc;tre un indice qu&rsquo;un hasard ou une diversion&hellip; Du c&ocirc;t&eacute; des attaques, au-del&agrave; des fuites de donn&eacute;es et vuln&eacute;rabilit&eacute;s critiques de plus en plus nombreuses, deux tendances ont &eacute;merg&eacute; ces derniers mois. La diffusion de ransomwares , utilisant un logiciel malveillant pour prendre en otage votre ordinateur personnel ou syst&egrave;me d&rsquo;information en chiffrant les donn&eacute;es stock&eacute;es, et r&eacute;clamer une ran&ccedil;on contre la clef de d&eacute;chiffrement. Certaines variantes devenant &laquo; destructrices &raquo; quand le paiement de la ran&ccedil;on est impossible, comme dans le cas du malware NotPetya l&rsquo;&eacute;t&eacute; dernier. Dans tous les cas, payer la ran&ccedil;on n&rsquo;est pas la solution : cela n&rsquo;offre aucune garantie de restaurer son syst&egrave;me, ne prot&egrave;ge pas contre une attaque subs&eacute;quente et incite surtout les attaquants &agrave; continuer ! La seconde tendance, plus r&eacute;cente, s&rsquo;affranchit des probl&egrave;mes de lourdeur du processus de paiement des ransomwares : les malwares mineurs de cryptomonnaie, une fois d&eacute;ploy&eacute;s, vont d&eacute;tourner la puissance de calcul des victimes pour produire directement de la cryptomonnaie, r&eacute;mun&eacute;rant l&rsquo;attaquant de fait. Une sorte de &laquo; planche &agrave; billets &raquo; install&eacute;e dans votre garage&hellip; &agrave; votre insu. Le sujet cybers&eacute;curit&eacute; est de plus en plus m&eacute;diatis&eacute;, une aubaine pour &eacute;veiller les consciences ! Mais &eacute;galement grossir les rangs des attaquants&hellip; La menace promet d&rsquo;&ecirc;tre active pendant encore des ann&eacute;es. En tant qu&rsquo;entreprise, quelles mesures de d&eacute;fense pouvez-vous mettre en place pour en limiter les cons&eacute;quences ? R&eacute;pondre &agrave; cette menace : un travail de longue haleine Historiquement, la s&eacute;curit&eacute; informatique se r&eacute;sumait &agrave; de la gestion de pare-feu, &agrave; savoir autoriser et interdire des connexions r&eacute;seau. Il n&rsquo;existait pas d&rsquo;&eacute;quipes d&eacute;di&eacute;es &agrave; cette activit&eacute;, laquelle incombait aux &eacute;quipes d&rsquo;infrastructure, telle une t&acirc;che parmi tant d&rsquo;autres. Avec l&rsquo;&eacute;volution des menaces, la cybers&eacute;curit&eacute; a pris de plus en plus d&rsquo;importance. On est alors pass&eacute; de simples mesures de protection &agrave; un cycle de traitement plus complet, abordant les phases en amont et en aval d&rsquo;un incident. Aujourd&rsquo;hui, les &eacute;quipes de direction n&rsquo;ont pas d&rsquo;autres choix raisonnables que de consid&eacute;rer la cybers&eacute;curit&eacute; comme un enjeu majeur dans leurs feuilles de route. Il ne faut pour autant pas se pr&eacute;cipiter. Les &laquo; buzz words &raquo; attirent, les initiatives se multiplient sans se cl&ocirc;turer, la course aux technologies &laquo; dernier cri &raquo; est omnipr&eacute;sente, les budgets se consomment tr&egrave;s (trop) vite, et pourtant, les fondamentaux ne sont pas ma&icirc;tris&eacute;s. De qui doit-on se pr&eacute;munir et que doit-on prot&eacute;ger ? Il est essentiel de commencer par conna&icirc;tre son adversaire et ses ressources critiques. Pour ce faire, une analyse de risque doit &ecirc;tre r&eacute;alis&eacute;e en adoptant par exemple l&rsquo;une des m&eacute;thodes reconnues : MEHARI (Clusif), EBIOS (ANSSI), ISO, etc. Cette &eacute;tude permet d&rsquo;aboutir sur une liste claire des risques encourus par l&rsquo;entreprise et des ressources internes les plus sensibles. Ces &eacute;l&eacute;ments doivent rester au centre des d&eacute;cisions afin d&rsquo;assurer des efforts intelligents. Ensuite, une s&eacute;rie de mesures classiques mais essentielles peuvent &ecirc;tre consid&eacute;r&eacute;es. Elles forment les &laquo; fondations &raquo; de la s&eacute;curit&eacute; de son syst&egrave;me d&rsquo;information. On retient notamment : pr&eacute;venir par l&rsquo;&eacute;ducation au quotidien de ses utilisateurs, la sensibilisation sur les derni&egrave;res nouveaut&eacute;s, l&rsquo;entra&icirc;nement par des cas d&rsquo;&eacute;cole concrets et leur &eacute;valuation r&eacute;guli&egrave;re ; continuer &agrave; se prot&eacute;ger en limitant les connexions &agrave; Internet, en isolant les informations entre elles, en sauvegardant les plus critiques, en limitant leur acc&egrave;s &agrave; des besoins essentiels et en d&eacute;sactivant les fonctionnalit&eacute;s inutilis&eacute;es ; d&eacute;tecter en surveillant les activit&eacute;s sensibles , en sachant identifier un comportement l&eacute;gitime d&rsquo;un comportement ill&eacute;gitime et en poss&eacute;dant un processus de remont&eacute;e d&rsquo;alerte ad&eacute;quat ; enfin, r&eacute;agir efficacement en s&rsquo;entra&icirc;nant r&eacute;guli&egrave;rement dans des conditions r&eacute;elles, en apprenant les bons r&eacute;flexes pour les &laquo; premiers secours &raquo;, en ayant des ressources suffisantes et disponibles &agrave; tout moment, en sachant communiquer au bon niveau et en impliquant les bons interlocuteurs. Une fois ces &laquo; piliers &raquo; en place, on peut alors aborder la suite en allant un cran plus loin. &Agrave; titre d&rsquo;exemple, revenons sur trois tendances prometteuses. Threat Intelligence : comprendre pour mieux agir La Threat Intelligence &ndash; en fran&ccedil;ais, renseignement sur la menace &ndash; regroupe des activit&eacute;s de veille technique, technologique et strat&eacute;gique. Elles permettent de fournir une mati&egrave;re riche en information, permettant de mieux assimiler l&rsquo;&eacute;cosyst&egrave;me cybercriminel dans lequel on &eacute;volue quotidiennement et d&rsquo;adapter ses plans d&rsquo;action en cons&eacute;quence. Cyber-r&eacute;silience : adapter son Plan de continuit&eacute; d&rsquo;activit&eacute; (PCA) aux attaques modernes Principalement construits autour d&rsquo;enjeux de disponibilit&eacute;́, les PCA historiques n&rsquo;int&egrave;grent pas les impacts directs qu&rsquo;une cyberattaque peut g&eacute;n&eacute;rer aujourd&rsquo;hui. Puis-je avoir confiance dans mon site de secours en cas d&rsquo;incident ? Est-il &eacute;galement compromis ? Difficile &agrave; dire. Plusieurs solutions sont alors envisageables, &agrave; co&ucirc;t variable. Elles forment aujourd&rsquo;hui de v&eacute;ritables challenges pour les responsables PCA ! Pr&eacute;vention d&rsquo;urgence : g&eacute;rer une crise avant la crise Les cybercriminels &eacute;tant de plus en plus rapides, il devient aujourd&rsquo;hui indispensable d&rsquo;&ecirc;tre capable de r&eacute;agir efficacement &agrave; l&rsquo;annonce d&rsquo;une nouvelle menace ( malware , vuln&eacute;rabilit&eacute;, campagne d&rsquo;attaques, etc.). Si votre voisin vient d&rsquo;&ecirc;tre touch&eacute;, il se pourrait bien que vous soyez le prochain sur la liste. Il faut alors se mettre imm&eacute;diatement en ordre de marche : conna&icirc;tre le p&eacute;rim&egrave;tre impact&eacute;, dresser les options de traitement envisageables, appliquer les patchs de s&eacute;curit&eacute; si disponibles, assurer les sauvegardes, surveiller constamment pour lever l&rsquo;alerte au bon moment, etc. Bref, une crise avant la crise ! Nous pouvons d&rsquo;ailleurs citer de r&eacute;cents exemples avec les d&eacute;couvertes des failles Windows et Intel, ou encore les derni&egrave;res vagues de ransomwares WannaCry ou NotPetya. Enjeux r&eacute;glementaires Force est de constater qu&rsquo;une infinit&eacute; d&rsquo;initiatives existent pour faire face &agrave; cette menace ravageuse. Le secteur r&eacute;glementaire s&rsquo;empare &eacute;galement du sujet. De nouvelles r&eacute;glementations d&eacute;di&eacute;es &agrave; la cybers&eacute;curit&eacute; voient le jour, avec notamment la loi de programmation militaire, la directive europ&eacute;enne NIS [1] , le RGPD [2] et de multiples r&eacute;glementations bancaires locales. De ce fait, si certains investissent et font d&eacute;j&agrave; de ce combat un &eacute;l&eacute;ment clef strat&eacute;gique, les autres n&rsquo;auront bient&ocirc;t plus le choix. M&ecirc;me si ces r&eacute;glementations sont souvent complexes &agrave; interpr&eacute;ter, elles ont a minima le m&eacute;rite de faire avancer tout le monde dans la bonne direction. En pratique, par o&ugrave; commencer ? Au-del&agrave; de ce tour d&rsquo;horizon essentiel mais th&eacute;orique, quels seraient nos conseils clefs pour vous lancer ? Voici un cocktail d&rsquo;id&eacute;es concr&egrave;tes et applicables &agrave; court terme. Embarquez les bonnes personnes ! Si l&rsquo;&eacute;tat-major de votre entreprise n&rsquo;est pas convaincu de l&rsquo;int&eacute;r&ecirc;t de la cybers&eacute;curit&eacute;, inutile d&rsquo;aller plus loin. Vous devez imp&eacute;rativement les avoir &laquo; &agrave; bord de votre navire &raquo;, en sponsor de vos futures initiatives. Il faut &eacute;duquer sa direction sur les risques encourus, en illustrant par des cas concrets et en pointant les impacts, notamment financiers et d&rsquo;image, que &ccedil;a peut g&eacute;n&eacute;rer. Pensez &laquo; red team &raquo; ! Vous ne vous jugez pas ou peu vuln&eacute;rable ? Vous ne savez pas par quelles actions d&eacute;buter ? Opter pour une s&eacute;ance de &laquo; red team &raquo; peut &ecirc;tre une solution int&eacute;ressante. Ce nouveau concept est l&rsquo;&eacute;volution des tests d&rsquo;intrusion. Il s&rsquo;agit de donner un objectif pr&eacute;cis &ndash; l&rsquo;&eacute;v&eacute;nement que vous redoutez le plus par exemple &ndash; &agrave; une &eacute;quipe d&rsquo;experts techniques (des attaquants dits &laquo; &eacute;thiques &raquo;) et ils se chargeront de l&rsquo;atteindre par tous les moyens possibles. Si la mission r&eacute;ussit, ils vous expliqueront alors &eacute;tape par &eacute;tape ce qu&rsquo;ils ont fait. Vous aurez alors entre les mains un cas r&eacute;el mais sans impact (sensibilisation assur&eacute;e !) et une s&eacute;rie de faiblesses exploit&eacute;es (premier plan d&rsquo;action &agrave; lancer !). Mettez vos partenaires sous contr&ocirc;le ! N&rsquo;attendez pas que le nombre de tierces parties s&rsquo;agrandisse avant d&rsquo;agir. Vos partenaires sont une source non n&eacute;gligeable d&rsquo;attaque potentielle. Vous devez cr&eacute;er un lien de confiance avec eux. Pour ce faire, vous devez vous assurer de leur respect de vos pratiques s&eacute;curit&eacute;. Mettez en place un processus de s&eacute;lection int&eacute;grant des contraintes de s&eacute;curit&eacute; et int&eacute;grez les clauses ad&eacute;quates &agrave; l&rsquo;ensemble de vos contrats. Entrainez-vous avant qu&rsquo;il soit trop tard ! N&rsquo;attendez pas des impacts irr&eacute;versibles pour vous rendre compte que vous n&rsquo;&ecirc;tes pas pr&ecirc;ts &agrave; g&eacute;rer une crise cyber. Organisez des exercices de crise en conditions r&eacute;elles, et ce r&eacute;guli&egrave;rement. Chaque &eacute;dition doit avoir un objectif pr&eacute;cis : tester le rassemblement de la cellule, le passage du mode &laquo; alerte &raquo; au mode &laquo; crise &raquo;, la communication interne et externe, le plan d&rsquo;action, la gestion de ressource 24/7, etc. Vous ne vous entra&icirc;nerez jamais assez pour &ecirc;tre pr&ecirc;t le jour J. Le plus important : faites les choses dans l&rsquo;ordre ! On ne cessera de le r&eacute;p&eacute;ter : pensez &agrave; vos fondations avant tout ! Ne vous laissez pas tenter par les derni&egrave;res technologies attractives vous promettant &laquo; de tout faire tout seul &raquo;. Comme le dit si bien l&rsquo;ANSSI [3] , une &laquo; hygi&egrave;ne informatique &raquo; est indispensable avant d&rsquo;aller plus loin. Security by design Vous l&rsquo;aurez compris, la cybers&eacute;curit&eacute; est un sujet dont on n'a pas fini d&rsquo;entendre parler. &Agrave; chaque nouvelle avanc&eacute;e technologique, certains sont au rendez-vous pour en exploiter les premi&egrave;res faiblesses &agrave; des fins malicieuses. Voitures autonomes, intelligences artificielles, automatisation, d&eacute;mat&eacute;rialisation en tout genre, cryptomonnaie, tous ces sujets forment une v&eacute;ritable aubaine pour les cybercriminels. Pour &eacute;viter des impacts de plus en plus importants, la s&eacute;curit&eacute; devra syst&eacute;matiquement &ecirc;tre consid&eacute;r&eacute;e &ndash; et ce de plus en plus t&ocirc;t &ndash; dans les cha&icirc;nes de conception. 1 Directive Network and Information Security adopt&eacute;e en juillet 2016 qui devra &ecirc;tre transpos&eacute;e en droit national d&rsquo;ici &agrave; mai 2018. 2 R&egrave;glement g&eacute;n&eacute;ral sur la protection des donn&eacute;es adopt&eacute; en avril 2016, qui entrera en vigueur en mai 2018. 3 Agence nationale de la s&eacute;curit&eacute; des syst&egrave;mes d&rsquo;information.

RECHERCHEZ UN ARTICLE, UNE CHRONIQUE, PARMI L'ENSEMBLE DES PUBLICATIONS

RECHERCHEZ UN AUTEUR

Archive

Système d'information

Quelles tendances pour la cybersécurité en 2018 ?

À retrouver dans la revue

Paiements

Chahuté, Worldline se bouge

Macro-économie

Dette et déficit publics : comment éviter le précipice

Paiements

DeluPay, une appli alternative aux cartes de paiement

Services financiers spécialisés

Le leasing, notre meilleur atout pour une mobilité décarbonée

Archive

Panorama réglementaire des actifs numériques

Archive

Sberbank : une valeur anéantie à zéro en fonds de portefeuille

Archive

La transformation repose sur des directions responsables et des équipes pluridisciplinaires

Suivez-nous