CISO Insider : Numéro 1

La crise du COVID-19 a obligé les organisations à disposer d’une meilleure flexibilité du lieu de travail et à accélérer la transformation numérique. Naturellement, ces changements ont également entraîné certaines modifications en termes de tactiques de sécurité. En plus de s’être élargi, le périmètre est de plus en plus hybride, couvrant plusieurs clouds et plateformes. Bien que les nouvelles technologies aient été une bénédiction pour de nombreuses organisations, permettant la productivité et la croissance même dans des périodes difficiles, les changements ont également offert une opportunité aux cybercriminels, qui s'efforcent d'exploiter les vulnérabilités trouvées dans des environnements numériques de plus en plus complexes.

La recrudescence des attaques par hameçonnage liées au télétravail est au cœur des préoccupations des professionnels de la sécurité avec lesquels je m'entretiens, et cela se reflète également dans nos recherches. Dans une enquête menée par Microsoft en 2020 auprès de responsables de la sécurité, 55 % d'entre eux ont déclaré que leur organisation avait détecté une augmentation des attaques par hameçonnage depuis le début de la pandémie et 88 % ont déclaré que les attaques par hameçonnage avaient eu un impact sur leur organisation. J'entends aussi régulièrement parler de l'augmentation des attaques par rançongiciels, du fait que les logiciels malveillants restent une menace constante et que la compromission de l'identité reste un défi majeur à relever pour les équipes de sécurité.

De plus, nous sommes conscients que les attaques des États-nations sont de plus en plus agressives et persistantes. L'attaque subie par la chaîne d'approvisionnement NOBELIUM, utilisant la plateforme SolarWinds, est l'une des nombreuses nouvelles attaques qui ont fait la une des journaux l'année dernière. Si les nouvelles techniques tape-à-l'œil font souvent la une des journaux, les RSSI m’affirment régulièrement que même ces acteurs de la menace avancés, comme la plupart des cybercriminels, ont tendance à se concentrer sur des attaques peu coûteuses, mais de grande valeur, en saisissant l’opportunité dès qu’elle se présente.

Pour illustrer davantage ce point, nous avons constaté une recrudescence du nombre d'offensives menées par des États-nations utilisant des attaques par pulvérisation de mots de passe. Être un responsable de la sécurité, c'est gérer les risques et établir des priorités. De nombreux responsables affirment que le renforcement de leur cyberhygiène pour prévenir les lignes d'attaque les plus courantes, en particulier au sein de leur empreinte numérique croissante, est leur priorité absolue. En effet, nos données et nos recherches donnent raison à cette impression : nous estimons que l'hygiène de sécurité de base protège encore contre 98 % des attaques (voir la page 124 du Rapport de défense numérique Microsoft d’octobre 2021).

Vous vous dites sûrement qu'il est facile de parler des mesures de sécurité fondamentales, mais qu'il est beaucoup plus difficile de les implémenter dans la vie réelle, en particulier lorsqu'une équipe est surchargée de travail et en sous-effectif. Mais je dirais qu'être un responsable de la sécurité, c'est gérer à la fois les risques et les priorités, ce qui fait de la concentration sur les principes fondamentaux une approche profondément pragmatique. Trop souvent, les incidents de sécurité ne sont pas une question de SI, mais plutôt de QUAND. Il existe de nombreuses statistiques alarmantes relatives à la cybersécurité, environ 4 000 attaques cybercriminelles sont commises chaque jour rien qu'aux États-Unis et plus de 30 000 sites web sont piratés chaque jour dans le monde.

Selon moi, la meilleure ligne de défense consiste à adopter une approche équilibrée et à investir dans la détection et la réponse aux incidents, parallèlement à la prévention.

Bien qu'il puisse sembler difficile d'investir dans de nouveaux niveaux de prévention tout en essayant de répondre aux exigences croissantes en matière de détection et de réaction, il est à la fois essentiel et bénéfique de trouver le bon équilibre entre ces deux éléments. Une étude de l'Institut Ponemon et d’IBM Security datant de 2021a révélé que les organisations ne disposant pas d'une équipe de réponse aux incidents ou d'un plan en place ont vu le coût moyen des violations de données augmenter de 55 %. Les équipes de sécurité qui parviennent à mêler prévention solide et stratégie comprenant une réponse aux incidents ainsi que des investissements dans des outils de détection et de correction seront bien placées pour faire face à l'inévitable.

Nous avons tous entendu parler de la Grande Démission. Plus de 40 % de la main-d'œuvre mondiale envisage de quitter l’entreprise de leur employeur cette année, alors que les responsables de la sécurité et leurs équipes se sentent déjà en sous-effectif. J’échange souvent avec des RSSI à propos de la situation générale, et l’une de leurs principales préoccupations est de s’octroyer les moyens de capter et de conserver les meilleurs talents. Si les meilleurs talents partent, ils sont donc contraints d’en trouver des nouveaux ou d’améliorer les compétences de ceux qui restent. Une technologie plus efficace, plus intégrée et plus automatisée peut aider, mais c’est loin d’être suffisant.

Les mots à la mode dans le domaine de la sécurité sont désormais rentrés dans le langage courant, car les cyberattaques font régulièrement la une de l'actualité, et ces attaques (ainsi que les nouvelles qu'elles suscitent) peuvent avoir un impact profond sur une entreprise. Mais devinez quoi ? Il n'y a pas que des mauvaises nouvelles. La cybersécurité étant devenue un sujet familier dans tous les secteurs d'une organisation, nous entendons dire que le concept « la sécurité est le travail de tous » commence à s’inscrire dans les organisations. En particulier avec les nouveaux modèles de travail hybrides et les périmètres de sécurité qui sont repoussés de toutes sortes de nouvelles façons, les responsables de la sécurité s'appuient de plus en plus sur des moyens innovants pour assurer la sécurité de tous, alors même qu'ils sont confrontés à des pénuries de talents et de compétences. Ne pas « faire plus avec moins », mais « faire plus différemment », c'est ce à quoi s'emploient aujourd'hui les responsables de la sécurité innovants.

Il est évident que la pénurie de talents et de compétences n'est pas une bonne chose, mais il y a tout de même une petite lueur d'espoir : la création d'une culture de la sécurité est progressivement en train de naître. De nombreux RSSI nous partagent que l'un des moyens les plus efficaces de relever leurs défis en matière de sécurité dans un contexte de pénurie de personnel consiste à instaurer une culture de la sécurité dans laquelle la sécurité est le travail de chacun. Les RSSI défendent de plus en plus l'idée que l'ensemble de l'organisation peut assumer la responsabilité de la sécurité, en particulier lorsqu'ils sont confrontés à des pénuries de personnel ou à des problèmes de financement.

Les équipes de développement, les administrateurs système et, bien sûr, les utilisateurs finaux doivent comprendre les stratégies de sécurité qui les concernent. Le partage de l'information est fondamental et les équipes de sécurité trouvent de plus en plus de nouvelles façons de travailler avec les développeurs, les administrateurs et les responsables des processus d'entreprise pour comprendre les risques et élaborer des stratégies et des procédures qui profitent à l'ensemble de l'organisation.

La pénurie de talents et les lacunes en matière de compétences (en particulier dans la profession de la cybersécurité, en constante évolution) amènent les RSSI à rechercher des moyens nouveaux et innovants pour rester à la pointe du progrès. L'une des stratégies dont nous continuons à entendre parler est la « délégation » évolutive d'employés extérieurs à l'équipe de sécurité. Les RSSI cherchent à impliquer l'ensemble de l'organisation, en mettant particulièrement l'accent sur la formation des utilisateurs finaux pour qu’ils fassent partie intégrante de la solution, et sur l’établissement d’un soutien des équipes adjacentes.

Le renforcement et l'amélioration des connaissances de l’utilisateur final sur les menaces de sécurité, en veillant à ce qu'ils soient informés sur les attaques par hameçonnage et les signes d'attaques subtiles, contribuent grandement à accroître la vigilance de l'équipe de sécurité, en particulier dans le cadre d'une stratégie de « pointe de la lance », où les utilisateurs finaux sont souvent le point d'entrée d'une attaque. Je ne dis pas que les utilisateurs finaux peuvent, comme par magie, être formés à tout détecter, mais le fait d'avoir des utilisateurs préparés et alertés peut réduire considérablement la charge de travail des équipes de sécurité.

Une autre stratégie consiste à intégrer le département informatique dans la sécurité. Le fait de maintenir le département informatique en contact étroit avec l'équipe de sécurité et de veiller à ce qu’il soit informé des stratégies de sécurité aide de nombreux responsables de la sécurité à étendre leur mission à tous les domaines de l'organisation.

Fournir des conseils et de l'aide en matière d'automatisation et d'autres stratégies proactives de gestion des flux de travail et des tâches est un moyen fondamental pour les RSSI d'élargir leurs équipes et de faire appel au département informatique pour contribuer à garantir un état de la sécurité solide.

Toutes les recherches Microsoft citées ont recours à des cabinets de recherche indépendants pour contacter des professionnels de la sécurité, tant pour des études quantitatives que qualitatives, assurant ainsi la protection de la vie privée et la rigueur analytique. Sauf indication contraire, les citations et les résultats figurant dans le présent document sont le fruit des études de Microsoft.