Cybersécurité - Innovations digitales et numériques

En définitive au delà du buzz, l’étude des stratégies militaire présente des opportunités d’ouverture et d’enseignement fondamentales pour les praticiens de la SSI. Ce n’était certes pas le cas il y en encore quelques années, mais les entreprises et leurs RSSI sont désormais confrontés à des adversaires organisés, équipés, mobiles, apprenants. Il paraît donc urgent qu’ils s’initient eux aussi à l’Art de la confrontation.

L’ANSSI a mis en place différentes phases pour le déploiement et la gestion de la sécurité. Il s’agit d’un processus continu qui demande des efforts permanent de la part des entreprises mais dont le retour sur investissement se verra positif.

1. Il s’agit tout d’abord de procéder à la sensibilisation des personnels afin de les informer des différents risques liés aux règles d’ « hygiène informatique ». Une sensibilisation qui doit être régulière car les risques évoluent en permanence.

2. Par la suite il convient d’établir une cartographie des installations et une analyse des risques pour en aboutir à la définition de mesures de sécurité adéquates, dont les efforts sont « proportionnés aux enjeux et adaptés aux besoins réels ».

3. La prévention est le troisième grand principe de la SSI selon l’ANSSI qui consiste à protéger les installations en les entourant de plusieurs barrières de protection « autonomes et successives », ce qui devrait permettre de se protéger face aux menaces encore non identifiées.

4. Aussi il est pertinent d’accomplir la surveillance des installations et la détection des incidents, cela n’empêchera pas les incidents de se produire, mais cela aura comme conséquence de limiter autant que possible les effets néfastes. Ainsi plus l’incident est détecter tôt, plus il sera envisageable de mettre en place des mesures pour en réduire les effets.

5. Le traitement des incidents va de pair avec sa détection car elle va permettre notamment d’intégrer une phase d’analyse post incident qui entraînera une amélioration de l’efficacité des mesures de SSI misent en œuvre au préalable.

6.    D’autant que « la SSI est une action continue nécessitant des efforts permanents », c’est pourquoi il faut instaurer une veille sur les menaces et les vulnérabilités pour but de rester informé sur l’évolution de ces dernières.

7.    Enfin le dernier grand principe que considère l’ANSSI est la préparation face à des évènements exceptionnels qui n’auraient pas été mesurés ou prévus, ainsi des plans de reprise et de continuité d’activité (PRA/PCA/DRP) minimisent les impacts pour pouvoir redémarrer l’activité le plus rapidement possible.

« La sécurité informatique n’est pas une science exacte et aucune organisation n’est à l’abri d’un incident de sécurité, parce que la protection absolue est devenue totalement inaccessible. En tant qu’assureur spécialiste, notre rôle est de permettre à l’entreprise de travailler sur un transfert de ces risques spécifiques face à des conséquences stratégiques pour la survie de l’entreprise », conclut François Brisson.

Deux grandes familles de solutions sont aujourd’hui très présentes sur le marché et commencent à être implémentées : des solutions de bastions et de centralisation. Toutefois, au-delà des aspects techniques, la gestion des comptes à privilèges ne peut être totalement maîtrisée sans dispositif organisationnel associé « (…) Il est nécessaire de traiter des points de gouvernance structurants comme la définition des profils administrateurs, la gestion du changement, le traitement des demandes d’accès rapides hors profils (exceptions), la supervision, etc. (…) ».

Entre autres dans le numéro 22 de Global Security Mag, mais aussi tout au long de l’année dans notre magazine et sur notre site Web, le thème des menaces est abordé. En 2013, nous avions pronostiqué une année noire pour les équipes sécurité, avec une multiplication des menaces sur les mobiles, tous les OS, des APT… Benoit Grunemwald, Directeur des opérations chez ESET, a en préambule commenté l’actualité au regard des révélations liées aux pratiques de la National Security Agency (NSA). Selon lui, le thème principal de cette année porte sur la préoccupation croissante exprimée par les utilisateurs concernant leur vie privée en ligne et donc sur le défi de préserver leur confidentialité sur Internet. La progression exponentielle des ventes de smartphones aiguise également les appétits des cybercriminels. Avec 79% de parts de marché des équipements mobiles, Android devient la cible privilégiée et par conséquent une montée significative des menaces sur Android est à prévoir.

En 2013, on a constaté une multiplication des acteurs sources de menaces, avec en particulier l’entrée dans ce tableau des Etats, qui viennent se greffer aux Hacktvistes, aux Script Kidies, sans compter les professionnels du piratage. En 2013, la mobilité a été une cible de prédilection pour les pirates, en particulier sur Androïd, mais aussi sur les autres OS. Ces attaques ont concerné le plus souvent des arnaques au numéro d’appel surtaxé.
Bien entendu, les navigateurs ont également fait l’objet d’attaques. Il a aussi cité les malwares chiffrés pour ne pas être détectés par les antivirus. On a vu arriver aussi des Ransomwares estampillés Gendarmerie Nationale qui rançonnaient les internautes par des amendes pour comportements non appropriés. Bien sûr, l’utilisateur reste toujours le maillon faible d’autant qu’il utilise de plus en plus d’outils de communication.

Benoit Grunemwald a rappelé que les moyens les plus efficaces de parer les menaces sont la sensibilisation des utilisateurs, le déploiement de Tokens à deux facteurs utilisant des téléphones portables et la mise en œuvre d’outils de sécurité classiques. Il a recommandé, en outre, d’avoir recours à des solutions de chiffrement, comme DESLock, qui utilisent un FIPS 140-2/AES 256Bits. Dans cette panoplie de solutions, il a aussi recommandé de faire du filtrage Internet, via par exemple le Module End Point Security, qui intègre antivirus, contrôle des médias amovibles et de tous les points d’entrée. Dans les versions évoluées, cette solution comprend un pare feu, du filtrage Web, avec une version pour les Smartphones. Les solutions bénéficient d’une console d’administration centralisée. Il a rappelé que les solutions ESET sont nommées depuis plusieurs années dans le Virus Bulletin.

La stratégie de sécurité de CA Technologies reste la même, mais appliquée à ce contexte différent : s’assurer que les bonnes personnes disposent des bons accès aux bonnes informations. Nous répondons ainsi aux questions « Qui ? » ; « Comment ? » (Par quels moyens ou équipement, confidentialité) ; ou « A quoi ? » (accès aux applications, clouds, services, etc.). Pour répondre à la question « Pour quoi ? », nous proposons des modèles (pattern) : tel utilisateur depuis ce type d’équipements ou d’environnement personnel, depuis telle localisation géographique… Si un écart est constaté par rapport au modèle rattaché à l’utilisateur (comme un accès depuis un  pays non listé), une question supplémentaire peut être demandée via SMS par exemple.