Tendance de sécurité 2022 Gartner #1: Expansion de la surface d’attaque

En mars dernier, Gartner a publié un nouveau rapport intitulé « Top Trends in Cybersecurity 2022 » (Grandes tendances 2022 de la cybersécurité). Disponible uniquement pour ses clients, le rapport identifie sept tendances importantes qui, selon le cabinet d'études, transforment fondamentalement la façon dont les CISO doivent envisager la cybersécurité et leur rôle au sein de leurs entreprises.

Aujourd'hui, dans le premier article d'une série de sept sur le blog Journey Notes, nous faisons part de notre perspective sur la première tendance identifiée par le Gartner : l'expansion de la surface d'attaque.

Un environnement qui ne manque pas de cibles

Ces dernières années, la plupart des entreprises ont vu leur surface d'attaque – c'est-à-dire l'ensemble des vecteurs que les pirates peuvent exploiter pour pénétrer les réseaux – radicalement augmenter.

Les facteurs à l'origine de cette expansion incluent :

• L'utilisation accrue de multiples plateformes cloud et services SaaS. À mesure que les entreprises améliorent leur productivité et leur agilité en migrant les workloads vers des services cloud, tout en remplaçant les logiciels sur site et autogérés par des applications et des services SaaS, elles s'exposent à des cyber risques qu'elles ne contrôlent pas directement. Toute vulnérabilité existant sur ces plateformes et ces services peut être exploitée pour pénétrer dans les réseaux de leurs clients.
• L'essor des applications destinées à des utilisateurs externes. Aujourd'hui, il est indéniable que chaque entreprise est une entreprise de développement d'applications. Pour rester compétitif, dans presque tous les secteurs, il est essentiel de développer, déployer et mettre à jour des applications qui favorisent et simplifient l'engagement avec les clients, les fournisseurs, les partenaires et d'autres parties, le tout à une vitesse effrénée. Les cybercriminels surveillent en permanence ces applications destinées à des parties externes, à la recherche de vulnérabilités, qui sont plus susceptibles d'émerger dans un environnement DevOps accéléré.
• Le recours rapide au télétravail. La pandémie de COVID-19 a entraîné le recours massif et soudain au télétravail et la majorité des CISO admettent qu'au moins une partie de la sécurité a été sacrifiée afin de prendre en charge l'augmentation considérable du nombre d'employés et d'autres utilisateurs devant accéder régulièrement aux ressources numériques à distance. Cette augmentation du nombre d'utilisateurs s'est accompagnée d'une augmentation radicale du nombre d'appareils connectés, dont beaucoup ne font pas partie de l'inventaire connu de l'entreprise.
• La dépendance croissante des DevOps au code open source extérieur. La nécessité de développer et de déployer des applications rapidement signifie que les équipes DevOps créent de plus en plus de bibliothèques tierces, de sous-routines et d'autres codes exécutables dans leurs applications. Nombre de ces éléments sont en open-source et, dans la plupart des cas, l’application ne les appelle et les exécute qu’après le chargement sur le navigateur Web client. N'importe lequel de ces éléments, s'il venait à être compromis, pourrait peut être exploité pour lancer des attaques dites de « chaîne logistique » ou « côté client ». Évidemment, les développeurs tiers qui créent ces éléments externes exploitent également d'autres éléments externes dans leur travail, créant ainsi une chaîne de risques potentiels en série.
• L'utilisation croissante des réseaux sociaux et d'autres canaux d'acquisition client. Étant donné que de plus en plus d'employés sont chargés d'interagir directement avec les clients et les prospects via des canaux accessibles au public tels que les comptes de réseaux sociaux, la possibilité de révéler involontairement des informations pouvant être utilisées pour créer des attaques ciblées de phishing ou autres augmente également.

De nouvelles initiatives stratégiques

Répondre à l'expansion de la surface d'attaque nécessite une nouvelle façon d'envisager les impératifs de cybersécurité. Il faut s'éloigner de l'approche traditionnelle consistant à définir un périmètre et à protéger tout ce qui se trouve à l'intérieur de ce périmètre : ce qui revient à penser de l'intérieur vers l'extérieur.

Au contraire, il faut considérer la surface d'attaque de l'extérieur vers l'intérieur ; en d'autres termes, se mettre à la place des pirates pour voir toutes vos vulnérabilités potentielles. Pour soutenir cette approche, le Gartner cite l'émergence d'un nouvel ensemble de disciplines et de fonctions de cybersécurité de haut niveau :

• Les services de protection contre les risques numériques (DRPS ou Digital risk protection services) sont un terme générique désignant les services qui combinent une analyse avancée de renseignements en temps réel sur les menaces mondiales à une évaluation détaillée des risques spécifiques pour les entreprises clientes. Cela comprend également des recommandations sur les mesures que les clients peuvent prendre pour atténuer des risques en question.
• La gestion de la surface d'attaque externe (EASM ou External attack surface management) fait référence à la pratique consistant à référencer tous les actifs numériques externes, tels que les applications Web, les API et les portails, à les surveiller pour détecter une vulnérabilité potentielle et à gérer activement ces vulnérabilités pour réduire les risques.
• La gestion de la surface d'attaque des actifs numériques (CAASM ou Cyber asset attack surface management) est étroitement liée à la fonction précédente, mais son objectif principal est de consolider les informations sur les actifs numériques internes et externes, afin de donner aux équipes de sécurité une visibilité concrète sur l'ensemble de leur surface d'attaque.

Repenser le rôle du CISO

Au fur et à mesure que nous passerons en vue les autres tendances du rapport du Gartner dans nos prochains articles, nous reviendrons également sur la question du rôle du CISO et en quoi il est amené à évoluer. Mais, au vu de ce qui précède, il est indéniable que les CISO ne peuvent plus se considérer comme des experts en la matière qui exercent une fonction unique et centralisée de cybersécurité. La surface d’attaque est tout simplement trop vaste pour cela.

Les CISO devraient plutôt se considérer comme des gestionnaires du risque exécutifs, qui permettent à de nombreux autres membres de l'entreprise de prendre des décisions éclairées en matière de risque.

Abonnez-vous à Journey Notes