Cybersécurité - Innovations digitales et numériques

add your insight...

add your insight...

« On a tendance à croire que les cyber-attaques ciblent uniquement des secteurs spécifiques. Or, en réalité, toute entreprise possédant des données est en danger. Aucun secteur n’est à l’abri. Les dirigeants se doivent donc de mieux comprendre les menaces et d’identifier les actifs les plus exposés — généralement ceux constituant leur cœur de métier » souligne Marc Ayadi, Associé responsable IT advisory chez Deloitte.

Le plus grand défi pour l’entreprise reste encore l’insuffisance de sensibilisation de l’ensemble des personnels face à l’ingéniosité des cyber-délinquants et au caractère protéiforme des cyberattaques. Notre principale recommandation à l’attention des DSI et des RSSI est de s’assurer qu’ils disposent bien d’une politique de sécurité connue de tous et dont l’application doit être régulièrement contrôlée et auditée. Il est également recommandé aux DSI et aux RSSI de s’assurer qu’ils ont bien mis en œuvre les « 40 règles d’hygiène informatique » disponible sur le site de l’ANSSI.

L’ANSSI met également à la disposition des DSI et RSSI un ensemble d’autres guides et recommandations qui sont très accessibles y compris aux TPE permettant de sécuriser les postes de travail et les serveurs, mais également la messagerie ou encore les liaisons sans fil dans l’entreprise.

L’entreprise Trend Micro confirme l’existence d’un fichier appelé «Jsc Sport Live + Brazil World Cup 2014 HD. rar», dont le nom suggère donc un fichier compressé lié à des retransmissions en direct. Mais en téléchargeant et ouvrant le fichier, l’utilisateur permet au virus d’infecter son ordinateur, alors à la merci d’un pirate qui peut en prendre le contrôle à distance. Si l’utilisateur reste connecté, les informations de son ordinateur sont à la merci des hackers, qui peuvent aussi utiliser son appareil pour envoyer des e-mails. Pour exploiter à fond la veine du foot, ceux qui chercheraient à télécharger un numéro de série pour faire marcher une copie piratée du jeu «Fifa 14» de Electronic Arts (et bien d’autres jeux) risquent l’invasion de leur ordinateur par des publicités pour des sites pour adultes, selon Trend Micros.

"Aujourd'hui, si un pirate a accès à ces données, il en a suffisamment pour lancer des arnaques comme le phishing. Plus grave, il a accès à un 'marché noir' qui lui permet de revendre ces données", prévient Damien Bancal. Changer les mots de passe, comme le recommande Ebay, ne sera jamais suffisant. "La sécurité à 100% n'existera jamais", affirme le spécialiste.

Cependant, et avant de se réjouir d'une tendance incertaine pour le moment, il convient de préciser sinon de marteler une chose toute simple. La meilleure des technologies ne remplacera jamais le respect des fondamentaux et des bonnes pratiques. Et avant de miser donc d'investir sur de coûteux produits qui réclament de coûteux services et de coûteuses compétences, il vaudrait peut-être mieux connaître précisément son système d'information (8), ce qui représente sa valeur (7)(9) et être "orthodoxe" dans l'application de certaines règles. Comme, notamment, le cloisonnement des réseaux ou l'attribution des droits au plus juste qui tendent vers une situation plus saine donc une réduction sensible de la surface d'attaque. Dans le cas inverse, l'on restera en situation d'appliquer une cautère, certes technologique et incroyablement complexe, sur une jambe de bois gangrénée.

Des offres de cyberassurance appliquées au vol de données

En France, parmi les règlementations contraignantes, certaines dispositions de la récente loi de programmation militaire vont imposer aux opérateurs d'importance vitale (OIV) des notifications en cas d'incidents de sécurité. Tous les périmètres identifiés comme étant vitaux au bon fonctionnement de la nation seront soumis à cette obligation.

« On voit donc arriver un certain nombre d'initiatives dans les entreprises pour mieux détecter les attaques des systèmes informatiques et pour y réagir », confirme Chadi Hantouche, du cabinet Solucom, en rappelant qu'un écosystème se crée en réaction à cette évolution. Il évoque notamment les produits de cyberassurance élaborés par de grands acteurs du secteur de l'assurance. En cas de vol de données, ces contrats peuvent, selon le cas, couvrir l'identification du problème, la remise en état des systèmes, la prise en charge des frais de notifications aux clients et aller jusqu'à la restauration de l'image de l'entreprise.

« Le risque zéro n’existe pas. Les entreprises doivent accroître leur cyber-défense en comprenant et en anticipant les menaces pour préparer une réponse appropriée, le renforcement de la sensibilisation aux cyber-attaque est indispensable.» conclut Marc Ayadi, Associé responsable IT advisory chez Deloitte.

L’étude est disponible ci-dessous (PDF 41 pages en anglais)  dttl-risk-Deloitte Global Cyber Executive Briefing-2014.pdf  (3.23 Mo)

Pour mettre en avant son service IPViking, l'entreprise américaine Norse, spécialisée en sécurité informatique, a créé une carte du monde interactive qui montre en temps réel les attaques que subit l'un de ses honeypots. Un honeypot, ou "pot de miel", est un leurre informatique dont le but est d'attirer des attaques sur des ressources (serveurs) préparées à l'avance afin d'identifier les attaquants et de pouvoir mieux les neutraliser. Ce seul honeypot ne représente évidemment qu'une infime fraction des cyberattaques sur Internet, mais ce microcosme permet néanmoins de se faire une idée du volume qu'elles représentent, ainsi que du caractère incessant de ces assauts.

Technologies, médias, télécoms, e-commerce, assurance, industrie et retail sont des secteurs particulièrement ciblés par les cyberattaques. Pour mieux gérer le risque, les DSI ont tout intérêt à identifier les actifs les plus exposés, observe le cabinet Deloitte. Celui-ci propose dans son étude « Global Cyber Executive Briefing » un panorama des menaces par secteur.

Subissant la double poussée d'Internet et de la mobilité, les Etats et les entreprises ouvrent grand leurs systèmes d'information, les uns à leurs citoyens, administrés et contribuables, les autres à leurs fournisseurs, clients, salariés... C'est bon pour la démocratie, les finances publiques et le développement des entreprises.

Mais, au fur et à mesure de cette ouverture, qui a d'abord porté sur les systèmes d'information de gestion, sont apparues des menaces, toujours plus sophistiquées : cybercriminalité et espionnage industriel. Dans son "Panorama de la Cybercriminalité pour l'année 2013", le Clusif, citant un autre rapport**, fait état d'un coût global des cyberattaques estimé à 300 milliards d'euros pour les entreprises en 2013. Soit l'équivalent du produit net annuel des impôts perçus par l'Etat français l'année dernière.