10 octobre 2019

2020 et la cybersécurité …

2020 et la cybersécurité …

On sait que 8 entreprises sur 10 ont subi une attaque informatique en 2019 et que ce chiffre est constant depuis 2017. Sachant que les budgets alloués à la cybersécurité sont en augmentation croissante et qu’il y a une prise de conscience à tous les niveaux (législateur, régulateur, chef d’entreprise, utilisateur, etc.), quelles conclusions devons-nous en tirer pour nous projeter en 2020 ?

Les moyens investis ne sont pas suffisants pour se protéger ? Les mesures mises en place ne sont pas suffisamment efficaces ? Les attaques évoluent rapidement et contournent les nouveaux mécanismes de protection ? Il y a plusieurs éléments de réponses à ces interrogations.

Dans plus de 50% des cas, les attaques qui ont fonctionné sont passées par une arnaque classique (Phishing, faux président, etc.). Ces arnaques existent depuis la nuit des temps, mais se sont complètement adaptées au monde cyber. Preuve en est, les dernières attaques « faux président » ou les attaquants sont allés jusqu’à utiliser un synthétiseur de voix pour l’imiter (https://www.zataz.com/fraude-patron-imitation-voix-pirate/). Ces synthétiseurs se retrouvent facilement sur Internet pour quelques euros. Ces attaques sont très difficiles à contrer, en effet une personne ayant un accès légitime va faire une opération qu’elle croit légitime sur le Système d’Information. Pour mener à bien son arnaque, l’attaquant se doit de comprendre les processus de l’entreprise pour les contourner et arriver à ses fins. On a souvent tendance à pointer du doigt l’utilisateur qui est en fait également une victime. La sensibilisation est une réponse, mais elle doit s’accompagner de la mise en place de processus, de contrôles et d’outils informatiques pour limiter ce risque à un niveau acceptable.

Les grandes multinationales ont élevé leur niveau de sécurité. Il est très tentant pour les groupes d’attaquant de rebondir à travers les sous-traitants réputés comme étant moins protégés. Cette tendance sera renforcée en 2020.  Il deviendra donc nécessaire de maîtriser le niveau de sécurité des sous-traitants.

Les sources de menace à prendre en compte en 2020 resteront :

  • Le shadow IT

Les utilisateurs vont utiliser des plateformes et des outils en dehors du périmètre de contrôle de l’entreprise entraînant un risque de perte et de fuite de données.

  • Les vulnérabilités (connues et inconnues)

Les vulnérabilités connues et inconnues sont détectées voir exploitées massivement par des plateformes automatisées.

  • L’erreur humaine

Les utilisateurs ou administrateurs vont être piégés par un attaquant et porter atteinte aux actifs de l’entreprise.

En 2020, les vecteurs d’attaque suivants continueront :

  • Le Phishing et l’attaque au président.
  • Les attaques automatisées via les plateformes « hack as a service ».
  • Les attaques massives à destination des infrastructures cloud.

Les attaques via les objets connectés devraient également progresser. Les cycles de développement n’intègrent pas la sécurité dans les développements et de nombreuses vulnérabilités sont présentes dans ces outils. Le risque étant qu’ils puissent être utilisés pour rebondir sur les SI internes ou qu’ils deviennent des machines zombies utilisés pour des attaques de grande ampleur sur différentes cibles à travers le Web.

La recherche en vulnérabilité continuera à remonter de nombreuses failles, notamment à travers les bug Bounty. Cela rentre dans une problématique globale où le marché paye de plus en plus la découverte de vulnérabilités triviales, plutôt que de se concentrer sur le génie logiciel et un développement sécurisé d’application.

En conclusion, les attaques se professionnalisent, mais sont facilitées par le partage de plateforme et de pratiques à travers le net. L’augmentation des moyens et des mesures de protection permet de limiter les dégâts dans un monde de plus en plus ouvert et interconnecté. Les nouvelles technologies et pratiques sont autant d’opportunités pour un attaquant. Les utilisateurs doivent rester vigilants dans leurs actions quotidiennes, mais l’entreprise doit continuer à se protéger pour répondre à ses enjeux métiers et s’adapter à la menace.

Erwan Brouder

Erwan BROUDER : Directeur BSSI

Laisser un commentaire

Votre adresse de messagerie ne sera pas publiée. Les champs obligatoires sont indiqués avec *