Cybersécurité - Innovations digitales et numériques

Le patron du FBI est formel : les cyberattaques chinoises contre les entreprises américaines sont "impossibles à dénombrer", mais leur coûtent chaque année plusieurs "milliards" de dollars. Interviewé le 5 octobre pendant l'émission 60 minutes sur la chaine de télévision CBS, James Comey refuse d'énumérer l'ensemble des pays qui attaquent l'industrie aux USA, mais il garantit que l'Empire du Milieu est en tête de la liste.

Cependant, et avant de se réjouir d'une tendance incertaine pour le moment, il convient de préciser sinon de marteler une chose toute simple. La meilleure des technologies ne remplacera jamais le respect des fondamentaux et des bonnes pratiques. Et avant de miser donc d'investir sur de coûteux produits qui réclament de coûteux services et de coûteuses compétences, il vaudrait peut-être mieux connaître précisément son système d'information (8), ce qui représente sa valeur (7)(9) et être "orthodoxe" dans l'application de certaines règles. Comme, notamment, le cloisonnement des réseaux ou l'attribution des droits au plus juste qui tendent vers une situation plus saine donc une réduction sensible de la surface d'attaque. Dans le cas inverse, l'on restera en situation d'appliquer une cautère, certes technologique et incroyablement complexe, sur une jambe de bois gangrénée.

En France, plus qu'ailleurs, la tolérance au risque cybersécuritaire est très faible. Une entreprise perd en moyenne 4,5 % de ses clients lorsqu'il est découvert qu'un incident a touché l'intégrité de ses données. En Allemagne, ce chiffre est égal à 3,2 %.

Il s'agit d'un des enseignements d'une étude Ponemon pour IBM menée auprès de 314 entreprises issues de 10 pays (Brésil, Etats-Unis, Italie, France, Allemagne, Inde, Arabie Sahoudite, Emirat Arabe-Uni, Royaume-Uni, Japon, Australie).

Le programme se divise en trois entités. D’abord, le projet Box@PME réunissant Airbus et quatre PMI et ETI de sa supply chain, dont CGX Aero. Un programme labellisé par le pôle de compétitivité Aerospace Valley début mars 2014. Ensuite, une entité de veille fédérant plusieurs laboratoires de recherche haut-garonnais. Enfin, une entité travaillant à la structuration de l’offre de formation dans le secteur de la cybersécurité. Deux diplômes universitaires sont ainsi en train d’émerger à Toulouse : l’un à l’IRIS dès la rentrée 2014 et l’autre au sein de l’Université Toulouse 1 - Capitole qui ouvrira en 2015. En résumé, il s’agit de mettre en commun les moyens pour répondre à des attaques de mieux en mieux organisées, que mènent des réseaux structurés. "Les donneurs d’ordre des cyber-attaques font appel à des experts en fonction du secteur d’activité pour savoir exactement que chercher !" raconte Didier Bosque, responsable de l’innovation chez Steria.

utre l’évolution des attaques vers les mobiles et les tablettes, Symantec alerte également sur la cible que constituent les objets connectés: “on s’attend à une vague d’attaques, beaucoup de ces appareils ne sont pas ou peu sécurisés“, résume M. Heslault.

Face à ces cyberattaques parfois très sophistiquées, les entreprises doivent renforcer leur politique de sécurité (contrôle des accès et des identités, gestion des failles de sécurité, surveillance de toutes les connexions…). Autant d’impératifs difficiles à maitriser. Focus sur 10 technologies pour protéger ses données d'entreprise.

La cybercriminalité, fléau du 21ème siècle. Entre janvier et juin 2014, 751 000 cas d’ordinateurs hackés ont été signalés en Belgique au CERT. Selon un récent sondage de la FEB, 51 % des entreprises ont déjà été hackées. Le groupe ManPower en a fait les frais l’an dernier. " Ça s’est passé sur l’heure du midi, explique le porte-parole de ManPower, Marc Vandeleene, à un moment où notre site était très fréquenté par les demandeurs d’emploi. Notre site a été hacké par une image pédopornographique. Nous avons rapidement mis notre site offline. "

Le plus grand défi pour l’entreprise reste encore l’insuffisance de sensibilisation de l’ensemble des personnels face à l’ingéniosité des cyber-délinquants et au caractère protéiforme des cyberattaques. Notre principale recommandation à l’attention des DSI et des RSSI est de s’assurer qu’ils disposent bien d’une politique de sécurité connue de tous et dont l’application doit être régulièrement contrôlée et auditée. Il est également recommandé aux DSI et aux RSSI de s’assurer qu’ils ont bien mis en œuvre les « 40 règles d’hygiène informatique » disponible sur le site de l’ANSSI.

L’ANSSI met également à la disposition des DSI et RSSI un ensemble d’autres guides et recommandations qui sont très accessibles y compris aux TPE permettant de sécuriser les postes de travail et les serveurs, mais également la messagerie ou encore les liaisons sans fil dans l’entreprise.

Pour évaluer la capacité de résistance de son système informatique, on peut évidemment faire effectuer un test d'intrusion. A une petite entreprise, il en coûtera aux alentours de 7000 euros. Une facture qui peut paraître prohibitive. " Evidemment cela ne s'adresse pas à tout petit entrepreneur , se défend Philippe Humeau, dont la société propose de tels tests. Mais si l'on a des secrets de fabrication, la dépense est justifiée. Nos interventions se déroulent encore malheureusement trop souvent en post-mortem, nous faisons peu de prévention. "

Heartbleed prouve que dans le monde numérique d’aujourd’hui, il est devenu impossible d’être en sécurité si vous n’utilisez pas un gestionnaire de mots de passe comme Dashlane. Premièrement car c’est la seule façon d’avoir des mots de passe forts et uniques sur chaque site web et d’être capable de les changer rapidement et sans effort. Deuxièmement parce que les gestionnaires de mots de passe sont conçus de telle manière que les données de leur utilisateurs ne peuvent pas être compromises par ce type de vulnérabilité, car les gestionnaires de mots de passe de qualité comme Dashlane n’ont pas accès aux clés de chiffrement de leurs utilisateurs.

Disponible sur https://qualys.com/top4, ce nouveau service permettra aux entreprises de déterminer rapidement si les ordinateurs personnels ont correctement déployé les 4 principaux contrôles de sécurité critiques. Selon le Conseil sur la cyber-sécurité, ce déploiement peut aider les entreprises à prévenir 85% des cyber-attaques.