Cybersécurité - Sujets d’inquiétude et vigilance accrue

La cybersécurité figure au sommet de l’agenda des entreprises et des organisations. Une place justifiée. Car les cybercriminels ne restent pas inactifs. Il faut donc s’attendre continuellement à devoir affronter de nouveaux dangers. Malgré la prise de conscience de la sensibilité des données, la vigilance s’impose plus que jamais. (Dries Van Damme)

Les entreprises voient d’un mauvais œil des développements macro-économiques tels que l’inflation, la volatilité des marchés financiers et le risque de récession. Mais c’est surtout l’éventualité d’un cyberincident ou d’une interruption de leurs activités qui leur fait perdre le sommeil aujourd’hui, comme le montre le Baromètre des risques établi chaque année par l’assureur Allianz. Désormais, les grandes entreprises savent qu’elles constituent une cible et elles disposent d’une cybersécurité adéquate pour repousser la plupart des attaques. Mais de plus en plus souvent, la cybercriminalité cible aussi les petites et moyennes entreprises. Et ces dernières sous-estiment encore trop le danger, affirme Allianz.

Les grandes entreprises ont beau avoir pris l’essentiel des mesures possibles, il reste des raisons de s’inquiéter et de renforcer la vigilance. La cybersécurité évolue à grands pas, mais les cybermenaces aussi. L’univers numérique connaît une expansion rapide et les cybercriminels l’accompagnent. Ils ne cessent de développer de nouvelles méthodes et techniques pour dérober ou détruire des informations sensibles.

Ransomware-as-a-Service

Dans son rapport annuel, la société de cybersécurité Sophos décrit comment la cybercriminalité va toujours plus loin en termes de professionnalisation et de commercialisation. Ainsi, il est désormais plus aisé pour des cybercriminels d’étendre leurs activités via le cybercrime-as-a-service. Les cybercriminels n’ont même plus à se spécialiser dans l’IT et la sécurité ; ils peuvent acheter en ligne des attaques prêtes à l’emploi, avec parfois même le support d’un helpdesk. De quoi faciliter l’accès à ces armes pour ceux qui veulent s’essayer à la cybercriminalité.

Les signes de cette évolution sont déjà visibles aujourd’hui en cas d’attaque par ransomware. Ces attaques s’appuient sur des logiciels malveillants qui cryptent les données de la victime. Les criminels ne libèrent les données qu’après le paiement d’une rançon. Ces logiciels rançonneurs constituent actuellement l’une des plus grandes menaces pour les entreprises. En plus d’un dommage financier important, ces attaques par ransomware nuisent souvent gravement à la réputation des victimes. D’après Sophos, le modèle as-a-service va s’étendre à pratiquement tous les aspects de l’arsenal des cybercriminels. Une offre qui facilitera toujours plus l’accès à des logiciels malveillants, non seulement pour contaminer des réseaux, mais par exemple aussi pour empêcher la détection de l’infection.

Inutile de préciser que cette évolution change complètement la donne dans le paysage de la cybersécurité. Le ransomware, c’est du big busi- ness. LockBit 3.0, l’un des plus grands fournisseurs de ransomware-as-a-service, a déjà fortement diversifié ses activités. L’organisation criminelle crée sans cesse de nouvelles méthodes innovantes pour racketter ses victimes. D’autres groupes criminels proposent des formules d’abonnement permettant aux cybercriminels d’accéder à des données d’entreprises et de personnes, ou ils mettent ces données en vente.

Menace accrue

Les événements géopolitiques de 2022 (notamment la guerre en Ukraine) mettent en exergue le danger des Advanced Persistent Threats (APT). Avec une APT, les cybercriminels, souvent financés alors par un État, un régime ou un service public, visent des organisations ou des personnes précises pour dérober des informations sensibles. Dans ce contexte, il faut surtout regarder du côté de la Russie et des collectifs de hackers qu’elle soutient. Les APT permettent des attaques très élaborées, souvent actives pendant des mois voire des années avant d’apparaître sur les radars. Ce sont surtout les organisations et les infrastructures critiques qui sont confrontées à une menace accrue.

Ceci nous amène à l’inévitable question de la confidentialité des données et du traitement par les entreprises et les organisations des données communiquées en ligne par leurs clients ou leurs utilisateurs. Où les sauvegardent-elles, par exemple, et qu’en font-elles ensuite ? Le modèle économique des cybercriminels a non seulement favorisé le développement du ransomware-as-a-service mais également, dans son sillage, la demande de vol de données personnelles et de connexion. En effet, elles permettent aux cybercriminels de mettre un pied dans toutes sortes de réseaux d’entreprise. Très souvent, ils parviennent même ainsi à contourner une authentification à facteurs multiples (MFA). Dans un avenir proche, l’entreprise de cybersécurité SANS Institute s’attend à une explosion des attaques visant à contourner des méthodes MFA, notamment avec le recours aux stalkerware. Il s’agit de logiciels malveillants qui enregistrent les touches et les interactions sur des téléphones portables, par exemple sur les appareils de managers et d’administrateurs de société.

De plus, il faut également s’attendre à une augmentation des attaques par ransomware ciblant les back-ups de données des entreprises. Bizarrement, ces derniers sont moins contrôlés ou ils sont protégés par des systèmes qui ne sont pas infaillibles. Alors que les logiciels rançonneurs représentent un risque majeur, l’importance d’un bon back-up ne cesse pourtant de grandir. Lorsque des cybercriminels rendent les données d’une entreprise inutilisables avec un ransomware, un bon back-up offre souvent la seule issue. Mais les cybercriminels l’ont évidemment compris, eux aussi. C’est pourquoi il est de plus en plus fréquent qu’ils attaquent d’abord les systèmes de back-up. Il est donc crucial pour les entreprises et les organisations de mieux protéger leurs back-ups et de veiller à ce qu’il soit possible de les mobiliser aisément (et de garantir ainsi la continuité des activités) lorsque des cybercriminels parviennent à crypter des données d’entreprise avec un logiciel malveillant. 

5 ans de RGPD

La protection des données n’est pas seulement essentielle pour le fonctionnement d’une organisation. Dans le cas des données personnelles, elle répond aussi à une obligation légale. Le Règlement européen sur la protection des données (mieux connu sous le nom de RGPD) existe déjà depuis cinq ans et veille à la standardisation des règles pour le traitement des données personnelles par les entreprises, les organisations et les pouvoirs publics dans l’Union européenne. Sophie Angenot, Managing Partner chez QuaData et spécialiste de la gestion et la protection des données, note que de nombreuses entreprises et organisations (petites et grandes) n’ont toujours pas correctement réglé un certain nombre de processus de base nécessaires pour appliquer le RGPD. « C’est facile à déduire des amendes qui sont établies par l’Autorité de protection des données », dit-elle.

Bien que la cybersécurité et le RGPD soient liés, il s’agit en réalité de deux choses différentes. « Les entreprises qui ont bien organisé leur cybersécurité parviennent plus aisément à respecter le RGPD. Mais l’inverse ne se vérifie pas. » Sous l’angle du RGPD, la question de la cybersécurité s’envisage tout à fait différemment pour de grandes entreprises et organisations qui collectent d’énormes volumes de données détaillées, parmi lesquelles des données sensibles.

Évaluer et ajuster en permanence

Le RGPD vise à déployer les processus de base nécessaires pour la gestion des données, et notamment aussi la procédure à suivre en cas de fuite de données. De plus, le RGPD comporte un volet important sur l’intégrité et la fiabilité des données. Il prescrit que les entreprises et les organisations doivent prendre des mesures pour favoriser leur cybersécurité, telles que la mise en œuvre du chiffrement, de l’authentification et de l’autorisation. « L’aspect technique de ces mesures est relativement simple », dit Sophie Angenot, « mais les collaborateurs doivent évidemment pouvoir les utiliser. Et c’est souvent plus difficile. Les organisations doivent encourager une culture de la confidentialité et la sécurité, dans laquelle elles s’évaluent et s’ajustent jour après jour. Nous n’y sommes pas encore. »

Cet article est paru dans le Top ICT, qui est disponible en PDF.