Combien faudra-t-il encore d’événements de ce type avant que les entreprises ne prennent conscience du danger et adoptent une approche stratégique ?

Aujourd’hui la question n’est plus de savoir si une entreprise sera victime de pirates informatiques mais quand elle le sera.
Il est primordial que chaque entreprise adopte une posture proactive dans le suivi de ces menaces de plus en plus ciblées et sophistiquées et des moyens à mettre en œuvre pour s’en prémunir.

2005, l’aube d’une nouvelle ère informatique

2005, a vu de nombreuses évolutions dans la façon de concevoir et de consommer l’IT. L’avènement des réseaux sociaux (Facebook, YouTube, Twitter, Instagram,…) et le lancement des premiers smartphones ont bouleversé le monde de l’IT et de la mobilité et ont eu un impact majeur sur nos vies personnelles et professionnelles. Ces dernières années, nombreuses sont les entreprises qui ont su saisir les opportunités offertes par cette révolution numérique que ce soit en termes d’agilité (pour lancer un nouveau produit, communiquer et partager des informations), de créativité, de relation client (via un Web plus interactif et collaboratif) et d’agilité dans les modes de travail ou les organisations (développement du télétravail, décloisonnement des entreprises).
La technologie est un moteur de changement rapide pour l’entreprise qui soulève tout autant de défis, entre d’un côté, le BYOB, la mobilité et l’évolution des services Cloud, et de l’autre, les évolutions des systèmes d’exploitation, comme la fin de XP, le lancement de Windows 10 et les mises à niveau annuelles iOS d’Apple, il faut trouver le juste équilibre entre sécurisation des actifs de l’entreprise et adoption des nouvelles technologies.

2015, l’aube d’une nouvelle cybercriminalité

Mais cette nouvelle ère a malheureusement sa part d’ombre. En effet, toutes ces évolutions ont également modifié le marché de la cybersécurité. Pendant 10 ans, la malveillance informatique s’est transformée et complexifiée, obligeant les sociétés de sécurité à se renouveler sans cesse.

Tout d’abord, c’est le profil des pirates qui a changé. Il y a quelques années, ils agissaient uniquement pour le défi technique et pour leur popularité, désormais ils sont le plus souvent motivés par l’argent, la souveraineté et la Puissance des Etats. L’objectif des hackers est aujourd’hui de déstabiliser une société, d’endommager des infrastructures, de faire passer un message ou de faire de l’espionnage industriel. Les entreprises vitales ou industrielles sont de plus en plus exposées et des attaques ont d’ailleurs déjà été réalisées entrainant des dégâts matériels importants (Stuxnet, BlackEnergy…).

Internet offre désormais toutes les conditions pour le développement d’une criminalité motivée par l’argent, via le chantage et l’extorsion de fond (ransomware, vol de donnée avec demande de rançon, menaces de DdoS etc…).

Le profil des victimes a également considérablement évolué. Aujourd’hui, plus aucune entreprise n’est à l’abri d’une cyberattaque. Même les plus petites structures peuvent avoir des données susceptibles de les intéresser (de la propriété intellectuelle, des données patients pour des structures médicales, des données financières de clients pour des cabinets comptables).

L’impact de ces attaques est très important en termes financier et peut vite virer au cauchemar, allant jusqu’à provoquer une faillite pure et simple de l’entreprise. Le principal changement est l’impact au niveau managérial. Le fait qu’un CIO puisse perdre son poste parce que les données de son entreprise ont été dérobées est véritablement nouveau. Il incombe à tout dirigeant d’informer et de former, par l’intermédiaire de son responsable informatique, tous les employés de son entreprise aux risques d’attaque. A défaut, il peut voir sa responsabilité engagée.

Les pirates ont également modifié leurs techniques d’attaques, désormais beaucoup plus ciblées et sophistiquées. A partir de 2005, les pirates ont, en effet, commencé à développer des malwares basés sur l’exploitation de vulnérabilités inconnues ou portant sur des logiciels utilisés par les salariés (Office, Flash, Acrobat Reader…) plutôt que de réaliser des exécutables, trop souvent bloqués par les systèmes de protection.

De nouveaux vecteurs de propagation leur permettent également de mieux dissimuler leurs actions (fichier envoyé par email, connexion de commande via HTTP,…) et de récupérer facilement des informations professionnelles ou personnelles précieuses via les réseaux sociaux. Enfin, les attaques basées sur l’internet des objets, sont passées du stade hypothétique à celui de risques bien réels.

Les scénarios sont multiples et les techniques varient selon la motivation des attaquants.

2015 : De nouvelles approches pour améliorer la protection de son entreprise
Dans ce contexte changeant, les entreprises et organisations doivent adopter de nouvelles attitudes pour améliorer leur protection et assurer la continuité de leurs activités.

La première démarche est d’accompagner les dirigeants d’entreprise ainsi que les salariés en les sensibilisant aux risques d’attaque et aux bonnes pratiques. Le point faible de toute stratégie est, en effet, très souvent lié au facteur humain et il faut que tous prennent conscience que le risque existe.

On trouve beaucoup de solutions technologiques performantes pour protéger son entreprise mais leur utilisation n’assurera jamais à 100% l’intégrité d’un système. Pour mettre au point des stratégies de sécurité performantes et durables, les entreprises doivent pouvoir compter sur des experts, capables de suivre l’évolution du paysage de la cybercriminalité, mais également de mobiliser les salariés.

Pour une gestion proactive de la menace, il est également primordial d’identifier, de classer et de prioriser les outils et données les plus sensibles. Pour cela, il faut améliorer le filtrage en dressant un White-listing dynamique, qui autorise uniquement les applications fiables et un black-listing qui répertorie tous les programmes malveillants.

Enfin, il faut mettre en place, des solutions de protection (pare-feu individuels, anti-virus, filtrages…) afin de bloquer la grande majorité des attaques puis installer des outils de détection soit dans l’entreprise, soit outsourcés chez des prestataires externes..

Actuellement, le nombre de menaces continue d’augmenter de façon exponentielle : 2 millions de malware étaient détectés en 2002, 46 en 2006 et 220 millions en 2014 et la tendance ne semble pas vouloir s’inverser, …

Une véritable stratégie de sécurité doit être mise en place dans toutes les entreprises, quel que soit leur taille ou leur secteur d’activité. Il s’agit d’une priorité, d’un réflexe que tout dirigeant d’entreprise doit désormais intégrer dans sa démarche.