Cybersécurité en entreprise : comment faire face à l’industrialisation des attaques ?

L’industrialisation des attaques 

Aujourd’hui, on assiste à l’industrialisation des attaques qui peuvent être menées à très grande échelle de manière quasi automatique par des groupes organisés de cyber pirates. Il existe ainsi des places de marché illégales où l’on peut se procurer en kit le nécessaire pour déployer des ransomwares. Le fournisseur du kit prend un pourcentage sur chaque opération menée.  

Le phishing et l’exploitation des failles de sécurité sont les deux facteurs de risques majeurs pour les organisations. Les cyber pirates scannent les composants techniques vulnérables ou obsolètes pour compromettre le système d’information et un ransomware chiffre l'intégralité des informations présentes sur le serveur. Le groupe de cyber pirates présente ensuite une demande de rançon au propriétaire des données pour les lui restituer.  
 
La cybercriminalité semble être devenue un business « presque » comme les autres. Les activités de cybercriminalité génèrent un ROI important comparé à des investissements « classiques » et les risques sont minimes pour ces cybercriminels qui opèrent majoritairement dans une grande anonymité et impunité. 

La technologie est-elle une réponse à la cybercriminalité ? 

Selon les experts interrogés dans notre podcast « la Data dans tous ses états », il est bien sûr possible de mettre en place des technologies sophistiquées afin de tenter d’éviter ces attaques. Mais ils recommandent également de mettre en place des mesures basiques telles que des sauvegardes déconnectées, et restaurables rapidement, la gestion des accès des collaborateurs, et la double authentification. 

Et même si la technologie peut faciliter la vie de l'humain dans l'orchestration entre les différents départements par exemple ou sur la gestion de tickets elle ne fait pas tout. 

Le facteur humain est un point important dans la réussite d’une stratégie visant à lutter contre la cybercriminalité. Les experts interrogés dans notre podcast recommandent ainsi de co-construire la stratégie avec les collaborateurs, mais aussi de les sensibiliser et de les former au risque cyber. En effet, le maillon le plus faible de la chaine détermine la résistance de la chaine. 

Déléguer le risque est-il une solution ? 

La prévention est l’une des options dans la lutte contre les risques cyber, mais on peut aussi choisir de déléguer le risque. C’est ainsi que les services cloud permettent de déléguer la gestion du risque et du service informatique en lui-même. 
Le cloud ne se résume pas uniquement à l'hébergement des données, il fournit aussi toute une palette de services pour exploiter et valoriser les données. Il semble ainsi que le cloud, avec son infrastructure et ses applications mises à notre service génère moins de maintenance en interne, et plus de flexibilité.
Cependant, opter pour cette solution amène son lot de questionnements. Les acteurs américains du cloud sont soumis au CLOUD Act qui « permet aux administrations des États-Unis, disposant d’un mandat et de l'autorisation d’un juge, d'accéder aux données hébergées dans les serveurs informatiques situés dans d’autres pays, au nom de la protection de la sécurité publique aux États-Unis »*. Cela soulève évidemment la question de la sécurité et de la confidentialité des données. 

Les solutions proposées par certains grands acteurs du cloud peuvent aussi rendre les données difficilement transposables dans un autre environnement si l’on décide de changer de fournisseur cloud, car le code utilisé dans un environnement n’est pas compatible avec celui utilisé dans un autre. 

Le plan européen 

Les éléments ci-dessus ont poussé les acteurs européens à réagir. C’est ainsi qu’est né le projet Gaïa X. Cette initiative franco-allemande fondée à l’origine par 22 entreprises, dont des cloud service providers, a pour but d’assurer la réversibilité et l’interopérabilité parfaite des données afin d’éviter les écueils mentionnés ci-dessus. Il s’agit également de mettre en place des règles et des normes européennes pour assurer la souveraineté des données. 

Si l’on reprend les éléments ci-dessus, le risque cyber est un domaine complexe, le risque peut être interne ou externe, il peut être humain ou technologique. On constate qu’il existe aussi des risques liés à la législation de pays tiers. Il est difficile de parer à toutes les situations et l’accompagnement par un expert semble être une option idéale pour auditer, puis mettre en place les solutions adaptées pour son organisation. 

Pour en savoir plus sur le sujet de la cybersécurité, écoutez la saison 1 de notre podcast, « la Data dans tous ses états » consacrée à la cybersécurité en entreprise. 

🎤🙏 Merci aux invités de notre podcast pour leur éclairage sur ce sujet : Romain Willmann, Security & Shared Services Manager à La Fabrique du Crédit Agricole, Guillaume ALLIEL, Fondateur de Phinasoft & Professeurr à HEC Paris, Alexandre Andreini, Co-fondateur & CTO chez Stoïk (solution de cyber-insurtech), Laurent Heslault, Chief Everything Officer at Cyber-Résilience Consulting, Caroline Comet-Fraigneau, VP France & Benelux & Africa chez OVHcloud (cc Florian Senlecq ), Vincent Coudrin, Mission Cloud chez Direction interministérielle du numérique (DINUM), Théo Rouer, CEO de Elba (solution de cybersécurité pour les employés), Paul Molin, Web Application Security Evangelist chez Theodo et Yves Reding, ancien CEO d'EBRC -European Business Reliance Centre, spécialiste européen dans le domaine de la protection et de la gestion de la donnée sensible.

Source : * https://fr.wikipedia.org/wiki/CLOUD_Act