Pourquoi une approche impliquant l’ensemble de la société est-elle nécessaire pour lutter contre les cybermenaces ?

Pendant une grande partie du 21^e siècle, les acteurs malveillants nous ont mis en difficulté. Alors, quand les forces de l’ordre annoncent des arrestations et des démantèlements d’envergure, il est facile de croire que la bataille est gagnée. À titre d’exemple, Interpol a récemment salué la capture d’une figure importante présumée du gang OPERA1ER. En réalité, il s’agit généralement de victoires isolées dans un paysage par ailleurs inchangé. Nos adversaires ont toujours le dessus.

Mais la prochaine décennie peut être différente. Avec un engagement gouvernemental accru, une plus grande attention portée à la cyberhygiène et davantage de partenariats public-privé, il y a une réelle opportunité de relancer l’initiative.

La nouvelle frontière de la cybercriminalité

La plupart des entreprises adoptent le cloud. Gartner estime que les dépenses mondiales liées aux services de cloud public augmenteront de près de 21 % pour atteindre 592 milliards de dollars cette année. Des données distinctes de Flexera révèlent que 72 % des entreprises internationales ont une stratégie hybride et que 87 % investissent dans des environnements multicloud. Mais là où il y a des données et des utilisateurs, il y a des acteurs malveillants.

C’est ce que montre une récente enquête menée auprès de 3 000 professionnels de l’informatique et de la sécurité dans 18 pays. Elle révèle une augmentation spectaculaire du volume de données sensibles stockées dans le cloud l’année dernière. Plus précisément, 75 % des personnes interrogées déclarent que plus de 40 % des données stockées dans ces environnements sont « sensibles » contre 39 % l’année précédente. Parallèlement, la part qui admet avoir subi une violation de données dans le cloud en 2022 est de 39 %, contre 35 % en 2021.

Le défi est à la fois humain et technique. La principale cause de ces violations de données est l’erreur humaine (55 %), suivie en deuxième position par l’exploitation des vulnérabilités (21 %).

Avoir un impact

Les acteurs malveillants qui ciblent ces environnements et les environnements sur site bénéficient de l’effet de surprise. En outre, ils disposent de plus en plus de ressources, car ils utilisent des offres de services disponibles gratuitement sur le Dark Web qui réduisent les obstacles pour de nombreuses attaques. Mais certaines entreprises continuent de faciliter la tâche à leurs adversaires en ligne.

Il existe plusieurs mesures basiques de cyberhygiène qui, adoptées à grande échelle, peuvent avoir un impact significatif sur le niveau de sécurité. Certains outils comme l’authentification multifacteur (MFA), le chiffrement des données sensibles, des formations régulières de sensibilisation à la sécurité avec des simulations de phishing et les programmes de gestion continue des vulnérabilités et des correctifs peuvent tous être considérés comme des solutions avantageuses à court terme. Le National Cyber Security Centre (NCSC) du Royaume-Uni les a répertoriés dans un document pratique en 10 étapes, tandis que les guides Cyber Essentials de la CISA sont disponibles aux États-Unis.

Si chaque entreprise prenait le temps de suivre au moins une partie de ces étapes, la monétisation des attaques deviendrait beaucoup plus difficile pour de nombreux cybercriminels qui se trouvent au bas de l’échelle de sophistication. Ajoutez des contrôles supplémentaires comme les Web Application Firewalls (WAF) et l’accès réseau Zero Trust (ZTNA), et vous disposerez d’une base solide pour atténuer les nombreux risques liés au cloud décrits dans le rapport ci-dessus.

Le rôle du gouvernement

Mais nous pouvons faire mieux. Les défenseurs des réseaux ne doivent pas être les seuls à supporter toute la pression. Ceux qui travaillent dans les PME manquent notamment souvent de ressources et sont surchargés. C’est là que le gouvernement peut jouer un rôle. L’un des rares domaines où le Royaume-Uni est véritablement leader dans le monde à cet égard est l’initiative Active Cyber Defence (ACD) du NCSC. Au cours de sa sixième année, le programme s’est étendu au-delà de son objectif initial de sécurité du secteur public pour protéger l’ensemble de la communauté des entreprises et des consommateurs du pays. Le principe est d’utiliser l’expertise informatique de l’État et d’exploiter l’automatisation pour obtenir davantage de résultats rapides. Le programme comprend notamment les éléments suivants :

• Un service de signalement des e-mails suspects (SERS) qui a permis au NCSC de supprimer près d’un quart de million de liens vers des sites Web malveillants depuis avril 2020
• Un service de vérification des emails conçu pour améliorer la conformité avec la norme DMARC et d’autres contrôles anti-spoofing d’emails et de confidentialité
• Un service de vérification Web qui analyse automatiquement les sites des participants pour détecter les vulnérabilités et les erreurs de configuration connues
• Un service de protection de nom de domaine (PDNS) qui bloque les requêtes DNS pour les domaines suspects
• Un service d’alerte précoce qui analyse les réseaux des entreprises pour détecter les signes de malwares, de vulnérabilités et les hôtes suspects

Une question de sécurité nationale

Les pertes liées à la cybercriminalité dans les crimes signalés au FBI se sont élevées à plus de 10 milliards de dollars l’an dernier. L’ampleur de ces pertes et le risque que représentent les ransomwares pour les services d’infrastructure critiques en ont fait une question urgente pour la sécurité nationale et l’économie. Il est donc logique que les gouvernements exploitent davantage leur expertise dans la défense contre les menaces (cas du NCSC) pour améliorer la sécurité en général. En cas de lacunes, par exemple en matière d’application de la loi, le secteur privé doit être considéré comme un partenaire volontaire et compétent. Europol collabore déjà avec plusieurs fournisseurs de solutions de sécurité, dont Barracuda, dans le cadre de son initiative No More Ransom. Il faut davantage de partenariats de ce genre.

Les acteurs malveillants se multiplient. Mais ce n’est pas une fatalité. Avec une approche impliquant l’ensemble de la société, c’est-à-dire les forces de l’ordre, les fournisseurs de solutions de sécurité, les équipes de sécurité et les consommateurs, nous pourrons avoir un impact positif. Le chemin sera long, mais les bénéfices potentiels sont trop importants pour être ignorés.