Archives par mot-clé : informatique

Hacking

4 entreprises sur 10 touchées par de l’extraction pirate de cryptomonnaie

37 % des entreprises ont été touchées par des attaques d’extraction de cryptomonnaie au cours de l’année écoulée, selon le Rapport Sécurité 2019 de Check Point. Le nouveau rapport précise que 20 % des entreprises dans le monde continuent d’être victimes d’attaques d’extraction de cryptomonnaie chaque semaine. 33 % des entreprises ont été touchées par des logiciels malveillants mobiles et 4 % par des logiciels rançonneurs au cours des 12 derniers mois

 

La société Check Point Software Technologies Ltd., un fournisseurs de solutions de cybersécurité, vient de publier la première partie de son Rapport Sécurité 2019. Le rapport met en évidence les principales tactiques utilisées par les cybercriminels pour attaquer des entreprises dans le monde entier et dans tous les secteurs. Il fournit aux professionnels de la cybersécurité et aux cadres dirigeants les informations nécessaires pour protéger leur entreprise des cyberattaques et menaces de cinquième génération.

La première partie du Rapport Sécurité 2019 révèle les principales tendances et techniques des logiciels malveillants observées par les chercheurs de Check Point au cours de l’année précédente.

  • Les extracteurs de cryptomonnaie ont dominé le paysage des logiciels malveillants : Les extracteurs de cryptomonnaie étaient les quatre principaux types de logiciels malveillants qui ont touché 37 % des entreprises dans le monde en 2018. Malgré la baisse de la valeur de toutes les cryptomonnaies, 20 % des entreprises continuent d’être victimes d’attaques d’extracteurs de cryptomonnaie chaque semaine. Les extracteurs de cryptomonnaie ont également récemment évolué pour exploiter des vulnérabilités et contourner les bacs à sable et les produits de sécurité afin d’améliorer leurs taux d’infection.

Les mobiles, en tête de ligne

  • Les mobiles sont une cible mouvante : 33 % des entreprises dans le monde ont été touchées par des logiciels malveillants mobiles, et les trois principaux types de logiciels malveillants ciblaient le système d’exploitation Android. En 2018, des logiciels malveillants mobiles ont été préinstallés dans des appareils, et des applications disponibles dans les boutiques d’applications étaient en réalité des logiciels malveillants déguisés.

 

  • Des botnets multifonctions lancent différents types d’attaques : Les bots sont le troisième type de logiciel malveillant le plus répandu, avec 18 % des entreprises touchées par des bots, qui sont utilisés pour lancer des attaques DDoS et propager d’autres logiciels malveillants. Les infections de bots ont joué un rôle déterminant auprès de la moitié (49 %) des entreprises touchées par des attaques DDoS en 2018.

 

  • Déclin des attaques de logiciels rançonneurs : En 2018, l’utilisation des logiciels rançonneurs a fortement chuté, touchant à peine 4 % des entreprises dans le monde.

 

« Entre la montée en puissance des extracteurs de cryptomonnaie, les fuites massives de données et les attaques DDoS, les perturbations causées aux entreprises n’ont pas manqué au cours de l’année précédente. Les pirates disposent d’un large éventail d’options pour cibler des entreprises de tous les secteurs et en extraire des revenus. La première partie du Rapport Sécurité 2019 met en évidence les approches de plus en plus furtives qu’ils utilisent actuellement, » déclare Peter Alexander, directeur marketing chez Check Point Software Technologies. « Ces attaques de 5e génération, multivecteurs, rapides et à grande échelle, sont de plus en plus fréquentes. Les entreprises doivent adopter une stratégie de cybersécurité multicouche pour empêcher ces attaques de s’introduire dans leurs réseaux et dérober leurs données. Le Rapport Sécurité 2019 fournit des connaissances, des renseignements et des recommandations pour stopper ces attaques. »

Hacking

Baies informatiques : Êtes-vous prêt pour la prochaine cyber-attaque ?

Il y a un peu plus d’un an, Wannacry frappait des centaines d’entreprises et services publics. Une cyber-attaque provoquée par une absence de mise à jour et de l’exploitation de failles radicales. Mais il pourrait ne s’agir que d’une période de calme avant la tempête. Il est indispensable pour toutes les organisations de gérer l’obsolescence de leurs applications mais plus généralement, des risques IT, afin d’être moins vulnérables aux potentielles cyber-attaques.

Derrière ces attaques visant votre infrastructure informatique ne doit pas faire oublier un autre espace de sécurisation de votre numérique, les baies informatiques. Les actes malveillants peuvent aussi s’attaquer à ces structures physiques. Selon des données de la Commission européenne, 80% des entreprises de la zone UE ont déjà été touchées au moins une fois par une attaque informatique depuis 2016. Vol de données, actes frauduleux, déstabilisations. Pourtant, les organisations n’ont pas toujours conscience du danger d’une cyber-attaque. Et c’est seulement lorsqu’elles y sont confrontées qu’elles développent une culture de gestion des risques. Qu’il s’agisse de systèmes d’exploitation ou d’applications, les solutions informatiques peuvent comporter des failles qui ne sont pas toujours corrigées suffisamment rapidement par leurs éditeurs. Il en va de même pour vos baies informatiques. Avant de corriger les problèmes, il est évidemment indispensable de les identifier. Informatique, physique, humaine … Créer un référentiel de toutes les applications, les technologies, le matériel, leur stockage, leur sécurisation physique face au éléments naturels (eau, feu, …) et humaine (erreur, piratage, …).

Bref, maîtriser l’obsolescence. La société Schroff propose par exemple une plate-forme de baies très flexible qui offre une grande capacité de charge, des options complètes de gestion du câblage, une sécurité d’accès et de nombreux systèmes de refroidissement éco énergétiques qui répondent aux exigences les plus pointues. Pour avoir croisé l’une de ses baies, les poignées et options de fermeture peuvent transformer votre espace informatique en baie qui ferait pâlir de jalousie 007 : poignées électroniques et surveillance de ces dernières à distance. Je vous passe les portes pleines et blindées et câblage spécial et protégé (une base obligatoire). Pour en savoir plus cliquez ici.

Android, Chiffrement, Cybersécurité, double authentification, ios, IOT, Sécurité, Securite informatique, Smartphone, Téléphonie, VPN, Windows phone

Conseils avisés pour un été et des vacances en toute sécurité

Un commentaire

Vacances en toute sécurité ! Nous voilà déjà en été, une période propice à la famille, à la détente et aux voyages.  Que vous choisissiez de faire le tour de votre région ou un tour du monde, il est probable que votre fidèle PC portable vous accompagne (on ne sait jamais…), tout comme votre smartphone bien sûr. Vous aurez peut-être envie de vérifier vos emails via le Wi-Fi public de votre hôtel. Ou vos enfants auront peut-être envie de s’adonner à des jeux vidéo sur votre portable. Cependant, si votre cybersécurité est défaillante, vous pourriez bien subir quelques mauvaises surprises …

Car c’est une réalité, des vacances en toute sécurité pour votre informatique n’est pas à négliger : si vous n’avez pas pris le temps de sécuriser vos dispositifs connectés, vous risquez d’en pâtir. Les malwares comme WannaCry se propagent rapidement. Ils exploitent des vulnérabilités logicielles connues, que les entreprises ou individus ne prennent pas toujours le temps de patcher. Le botnet Mirai a ainsi utilisé environ 100 000 équipements connectés non–sécurisés, à l’instar de caméras de sécurité, pour submerger le fournisseur de services Dyn, entraînant une panne gigantesque qui a mis hors ligne nombre de sites Web.

Il faut faire le parallèle entre les cyberattaques et, d’autre part, les virus ou bactéries. Ce n’est que lorsque l’origine des maladies a été identifié que les bonnes mesures d’hygiène personnelle se sont imposées auprès du grand public. Auparavant, les chirurgiens ne se lavaient pas forcément les mains avant d’opérer. Même constat chez les cuisiniers avant de se mettre aux fourneaux. Les maladies se propageaient alors rapidement d’une personne à l’autre. Lorsque les recherches médicales ont pu établir le rôle d’organismes microscopiques dans les maladies, et l’importance d’une bonne hygiène pour s’en débarrasser, se laver les mains est devenu une habitude  et donc un frein aux épidémies.

En clair, WannaCry et  Mirai ont pu se propager grâce à une hygiène technologique défaillante de la part des utilisateurs.

D’autre part, n’oublions pas les équipements mobiles : si les malwares s’en prennent principalement aux ordinateurs de bureau et portables, les cybercriminels ne se sont pas pour autant désintéressés du mobile, ce qui invite les utilisateurs à en faire de même. Pour le grand public, la cybersecurité est, pour l’essentiel, liée à leur PC et le puissant concentré de technologie qui tient dans la paume de la main est souvent négligé. Pourtant, les smartphones connaissent des vulnérabilités et les bonnes pratiques s’imposent pour pouvoir les neutraliser.

Soyez en charge de votre sécurité

Les dispositifs connectés ne sont pas tenus légalement d’être protégés contre les cybercriminels. Il est donc de la responsabilité des consommateurs, en tant que citoyens responsables, de sécuriser leurs équipements.

Voici quatre bonnes pratiques de cybersécurité à adopter pour garder la main sur vos équipements et sécuriser les applications et données qui y sont hébergées.

1. Vacances en toute sécurité : sachez éviter les pièges du Wi-Fi 

Les hotspots WiFi publics sont sources de risques. Vos connexions en ligne sont susceptibles d’être interceptées de différentes façons, par une attaque de type man-in-the-middle notamment. Imaginons un individu malveillant présent dans un lieu public, à la terrasse d’un café par exemple et qu’il ait nommé  son équipement « Café-WiFi gratuit ». Lorsque vous vous y connectez, il vous connecte à Internet via son équipement mais il est aussi capable de détourner l’ensemble du trafic entre vous et votre site de shopping par exemple. Il obtient ainsi le détail de vos paiements, votre adresse, vos identifiants de connexion, etc.

Pour éviter que vos données sensibles ne soient interceptées, vous devez utiliser un service de VPN de confiance lorsque vous accédez à un réseau WiFi public. Si vous avez l’habitude de vous connecter à des hotspots publics, sachez qu’il existe de nombreux services de VPN économiques, peu onéreux ou gratuit, qui sauront sécuriser vos transactions. Une des règles d’or est d’éviter de se connecter aux réseaux Wi-Fi inconnus, par exemple dans un café où vous n’avez pas vos habitudes. Un WiFi gratuit dans un hôtel où vous séjournez a plus de chance d’être sécurisé. Vous pouvez également utiliser les hotspots mobiles de votre fournisseur d’accès à Internet pour y connecter votre smartphone.

Une autre bonne pratique consiste à s’assurer que votre connexion est sécurisée ou chiffrée lorsque vous vous connectez en ligne à partir d’un lieu public, ou que vous réalisez une transaction bancaire ou commerciale. Vérifiez dans la barre d’adresse de votre navigateur que l’adresse débute par https:// plutôt que http://, pour valider qu’un chiffrement par SSL protège vos transactions. L’activation de SSL est essentielle, mais ce protocole ne sécurise que les flux de communication et non vos données, ces dernières étant vulnérables en cas de connexion à un point d’accès malveillant. Ainsi, si vous vous connectez à un réseau Wi-Fi, assurez-vous de sa légitimité.

Enfin, ce petit conseil en bonus : désactivez les connexions Wi-Fi automatiques sur votre dispositif. Dans le cas contraire, si vous vous connectez à un point d’accès malveillant, votre équipement pourrait bien s’en souvenir et s’y reconnecter automatiquement lorsque ce point d’accès sera de nouveau à portée de connexion.

Dernier point, utilisez IMPÉRATIVEMENT un VPN dès que vous souhaitez utiliser une connexion wifi dans un hôtel, camping, commerce, … Il vous protégera et chiffrera vos connexions.

2. Vacances en toute sécurité : renforcez vos mots de passe

Une des principales raisons pour laquelle il est souvent simple de pirater les comptes personnels est que nombre d’utilisateurs se contentent d’un même mot de passe pour différents comptes : une telle pratique est évidemment dangereuse ! Certes, il n’est pas forcément simple de se souvenir de 50 mots de passe différents, si ce n’est plus. Et pourtant, différencier ses mots de passe est un gage de sécurité. Il existe des services de gestion de mots de passe en ligne, comme LastPass, qui peuvent vous aider, car il vous suffit de ne vous souvenir que d’un seul mot de passe principal. De tels services peuvent également créer des mots de passe forts et aléatoires pour chaque application à laquelle vous accéder, pour ensuite les stocker dans un format chiffré.

3. Vacances en toute sécurité : privilégiez une authentification à deux facteurs

Les applications sont de plus en plus nombreuses à imposer deux ou plusieurs étapes pour authentifier leurs utilisateurs. Cette approche est pertinente, même si certains la considèrent comme fastidieuse : elle lutte efficacement contre le détournement d’identité ou les ransomwares. Il ne vous en prendra que quelques secondes supplémentaires avant que votre code de sécurité ne s’affiche sur votre smartphone et que vous puissiez le saisir pour vous authentifier. Ces quelques secondes d’attente vous aideront à vous protéger, ainsi que vos comptes en ligne et vos données. Rappelons que la sécurité est une fonctionnalité et non un bug…

4. Vacances en toute sécurité : Identifiez les virus et les malwares

Installez les antivirus et antimalwares, tenez-les à jour et exécutez-les régulièrement. Mais assurez-vous de choisir le bon outil. Il existe en effet nombre de produits qui affirment être des outils de sécurité, mais qui sont, en réalité et quelque peu ironiquement, des malwares. Aucun antimalware ne peut être efficace à 100% et il est important de programmer l’exécution régulière – une fois par mois à minima – d’un second ou troisième outil de sécurité pour analyser votre équipement ou votre réseau. Nombre d’éditeurs proposent des versions en ligne gratuites de leurs outils ou vous les offrent pendant une période d’essai. La majorité des antimalwares dispose d’un pare-feu et vous devez donc vous activer cette protection supplémentaire.

Planifiez et soyez vigilant !

Ne vous laissez pas piéger pendant cet été. Vous êtes seul en charge de votre sécurité. Prenez les mesures nécessaires avant de partir en vacances et restez vigilants tout au long. En prenant quelques mesures de bon sens et d’hygiène, vous aurez bien plus de chances de vous tenir à l’écart de toute catastrophe digitale. (Christophe Auberger, Directeur Technique France, Fortinet)

Cybersécurité, IOT, Particuliers, Vie privée

Pirater une maison connectée, facile ?

Pirater une maison connectée, facile ?  Une nouvelle étude expose les risques dans un foyer via l’analyse de quatre objets connectés très populaires. 

C’est devenu très « mode » de sortir une étude sur les objets connectés. J’avoue ne rien n’y apprendre, mais cela à le mérite de rappeler que le problème est encore trop négligé par les constructeurs et les consommateurs. Les chercheurs des Bitdefender Labs ont réalisé une étude sur quatre périphériques de l’Internet des Objets (IdO) destinés au grand public, afin d’en savoir plus sur la sécurisation des données de l’utilisateur et les risques dans un foyer connecté. La question est de savoir si pirater une maison connectée est facile.

Les produits sont l’interrupteur connecté WeMo Switch qui utilise le réseau WiFi existant pour contrôler les appareils électroniques (télévisions, lampes, chauffages, ventilateurs, etc.), quel que soit l’endroit où vous vous trouvez ; l’ampoule LED Lifx Bulb connectée via WiFi, compatible avec Nest ; le kit LinkHub, incluant des ampoules GE Link et un hub pour gérer à distance les lampes, individuellement ou par groupes, les synchroniser avec d’autres périphériques connectés et automatiser l’éclairage selon l’emploi du temps et le récepteur audio Wifi Cobblestone de Muzo pour diffuser de la musique depuis son smartphone ou sa tablette, via le réseau WiFi.

L’analyse révèle que les mécanismes d’authentification de ces objets connectés peuvent être contournés et donc exposer potentiellement les foyers et leurs occupants à une violation de leur vie privée. Les chercheurs sont parvenus à découvrir le mot de passe pour accéder à l’objet connecté et à intercepter les identifiant et mot de passe WiFi de l’utilisateur. Les failles identifiées par l’équipe de recherche concernent des protocoles non protégés et donc vulnérables, des autorisations et authentifications insuffisantes, un manque de chiffrement lors de la configuration via le hotspot (données envoyées en clair) ou encore des identifiants faibles.

L’IdO pose des problèmes de sécurité spécifiques, et par conséquent, nécessite une nouvelle approche intégrée de la cyber-sécurité domestique, qui passe de la sécurité centrée sur le périphérique à une solution capable de protéger un nombre illimité d’appareils et d’intercepter les attaques là où elles se produisent : sur le réseau. Si des marques comme Philips et Apple ont créé un écosystème verrouillé, l’interopérabilité reste essentielle à ce stade du développement des nouveaux objets connectés. Il est donc plus que temps que les constructeurs prennent en compte nativement la sécurité dans le développement de leurs différents appareils.

Pirater une maison connectée : pour maîtriser nos terminaux, commençons par comprendre leurs données
Tandis que se développent toutes sortes d’objets connectés et que les prix des différents capteurs baissent, l’Internet des Objets (ou IoT) fait son entrée triomphale dans nos quotidiens hyperconnectés. Et si beaucoup ont déjà prédit des milliards de dollars d’investissements et de profits pour ces objets qui intégreront pleinement nos vies d’ici 2050, on a tendance à oublier l’inflation inévitable des bases de données liées à de tels terminaux. Le véritable enjeu réside pourtant dans ces stocks d’informations. Car s’il faut sans doute s’attendre à des problèmes de connectivité des objets eux-mêmes, ce seront surtout les données qui en émaneront qu’il faudra savoir gérer pour tirer le meilleur de l’IoT.

Cela va de l’extraction des données à partir des terminaux, des machines et des plates-formes distantes à l’interprétation des données afin de stimuler la productivité et d’accroître les performances. Que ce soit pour une maison connectée, un terminal portatif ou une solution industrielle, il existe souvent un décalage entre la collecte des nouvelles données et la présentation des informations analysées de manière à ce qu’elles puissent être comprises et explorées dans les moindres détails.

Il existe trois éléments clés pour franchir ces obstacles et apprivoiser l’IoT, comme le confirme Edouard Beaucourt, Directeur Régional France, Suisse Romande et Afrique du Nord de la société Tableau Software..

Pirater une maison connectée : L’IoT doit être souple et intéractif
En matière d’analyse de données, chaque question que nous nous posons par rapport aux données nécessite son propre graphique et sa propre perspective visuelle. Cela est particulièrement vrai pour l’explosion de données provenant des capteurs qui constituent la base de l’IoT. Malheureusement, la plupart des applications de l’IoT sont fournies avec des vues « uniformisées ». Elles répondent à un ensemble de questions prédéterminées, jugées dignes d’obtenir une réponse par un petit groupe « d’experts », que ce soient les spécialistes de la santé à l’origine de FitBit ou les ingénieurs qui ont créé la plate-forme Predix de GE.

Pour exploiter pleinement le potentiel de l’IoT, les outils doivent être bien plus souples et doivent permettre aux utilisateurs de façonner et d’adapter les données de différentes façons, en fonction de leurs besoins ou de ceux de leur organisation. L’interactivité, l’exploration en détail et le partage sont fondamentaux pour rendre les données de l’IoT utiles, sans que cela nécessite un énorme projet autour de ces données. Idéalement, les utilisateurs seront en mesure d’avoir des conversations informelles et approfondies avec leurs données, tout en explorant d’autres données afin de découvrir toutes sortes de changement. Ils pourront parfois même dévoiler des tendances jusqu’alors inconnues.

Par exemple, vous disposez peut-être d’une application IoT qui analyse les données historiques de l’activité d’un moteur, d’une turbine à gaz ou d’une locomotive en panne, et qui détermine les conditions qui provoquent les dysfonctionnements ainsi que la fréquence à laquelle ils sont susceptibles de se produire. Mais comment savoir quelles pièces sont les plus fragiles ? Quelles usines les ont fabriquées ? Et quelle est la date de fabrication ? Ou encore quels fournisseurs ont causé le plus de problèmes ? L’interactivité et la possibilité de partager des informations sont fondamentales pour trouver les réponses à ces questions.

Pirater une maison connectée : L’IoT doit pouvoir intégrer et s’associer à d’autres données
Pour obtenir des réponses, les analyses de données interactives ne suffisent pas : il faut également associer les données IoT à un contexte supplémentaire. Commençons par un exemple concret : vous souhaitez combiner vos données Fitbit pour éventuellement trouver un lien entre votre programme d’exercices et vos cycles de sommeil. Vous vous posez les questions suivantes : Dans quelle mesure mon activité physique de la journée influence-t-elle mes cycles de sommeil ? Mes performances sont-elles meilleures lorsque je dors beaucoup ? Les tableaux de bord natifs de Fitbit vous permettent seulement d’analyser les données d’exercices de façon isolée. Cependant, si vous exportez les données, vous pouvez associer ces informations à d’autres informations, telles que le suivi de vos activités physiques et de vos apports alimentaires, vos mensurations et vos cycles de sommeil. L’exportation des données n’est pas forcément la méthode idéale, mais c’est parfois le seul moyen d’élargir la portée de l’analyse.

Imaginez maintenant que vous fusionnez des données disparates pour obtenir des informations exploitables pour votre entreprise. Les capteurs intégrés aux réacteurs d’avion peuvent aider à déterminer le moment où une opération de maintenance est nécessaire. Cela permettrait d’anticiper les éventuelles défaillances et d’économiser des milliards de dollars. De plus, l’intégration des données de ces capteurs dans d’autres informations peut également révéler les économies réalisées par rapport aux budgets prévus par produit et par région, par exemple.

Pirater une maison connectée : L’IoT doit pouvoir apprendre et se renouveler
L’exportation de données (sachant que ce n’est pas la méthode idéale), nous amène à un dernier point important : nous vivons dans un monde où il est de plus en plus utopique d’avoir des « données parfaites ». Vos données, aussi organisées soient-elles, sont susceptibles d’être stockées dans une source à laquelle vous n’avez pas accès. Elles peuvent également ne pas inclure certains éléments clés qui sont nécessaires pour répondre à vos questions, ou être formatées de telle sorte que leur analyse approfondie devient complexe. Les applications IoT souffrent des mêmes inconvénients, surtout lorsqu’il n’existe aucun consensus sur les normes et les protocoles pour la prise en charge de l’interopérabilité des terminaux.

Toutefois, plutôt que de laisser des données incomplètes ou de mauvaise qualité paralyser notre entreprise, nous devons utiliser ce dont nous disposons et procéder par itération jusqu’à trouver les bonnes solutions. Au fur et à mesure des itérations, vous apprenez à distinguer les données « acceptables » de celles dont la qualité est mauvaise. Les données acceptables suffisent en général à répondre à la plupart des questions, sinon toutes. De plus, comprendre les lacunes de certaines données permet d’améliorer le processus pour les collecter et les traiter. Cela vous aidera à résoudre les problèmes liés aux processus de collecte et d’intégration de vos données. Au final, cela nous aidera tous à apprivoiser l’IoT plus rapidement.

Base de données, Chiffrement, cryptage, Cybersécurité, Entreprise, Justice, loi

Concours Correspondants Informatique et Libertés

L’AFCDP (Association française des Correspondants à la protection des Données à caractère Personnel) lance un concours destiné à récompenser le meilleur mémoire réalisé sur un sujet qui intéresse les Correspondants Informatique et Libertés – destinés à devenir les futurs DPO (Data Protection Officer) et, plus largement, tout professionnel de la conformité à la loi Informatique et Libertés et à la protection des données personnelles. Ce prix est dénommé « Meilleur Mémoire AFCDP ».

Pour cette première édition du Prix du Meilleur Mémoire AFCDP, le thème porte sur les moyens et techniques permettant de rendre « inintelligibles » les données personnelles afin de mieux les protéger et d’éviter à avoir à notifier les personnes concernées en cas de violation à un traitement de données. Ce thème s’inscrit dans la préparation des responsables de traitements au futur règlement européen sur les données personnelles.

L’objectif du mémoire est donc de vulgariser et de montrer, de façon opérationnelle, les apports de techniques telles que le chiffrement, le hachage, la tokenisation, la pseudonymisation pour éviter la notification des violations de données aux personnes concernées. Le règlement de ce concours est librement accessible ICI.

Cybersécurité, Emploi, Entreprise, Fuite de données, Mise à jour, Patch, ransomware, Sauvegarde

Les équipes de sécurité sont dépassées par le nombre d’alertes de sécurité quotidiennes

76% des professionnels de sécurité interrogés par Rapid7 déclarent ne pas arriver à gérer plus de 25 alertes par jour alors que 29% d’entre eux reçoivent quotidiennement plus de 75 alertes de sécurité.

Rapid7, éditeur de solutions de sécurité analytique des données, dévoile les résultats de son étude 2015 sur la détection des menaces et la réponse aux incidents de sécurité. Face aux enjeux cruciaux de la protection des données de l’entreprise dans des contextes de réseaux étendus, les équipes de sécurité augmentent progressivement leurs capacités de détection des menaces et de réponses à incidents.

A travers une étude menée auprès de 271 professionnels de sécurité dans 20 pays, Rapid7 a cherché à analyser et à mieux comprendre le contexte et les problématiques auxquelles sont confrontées les équipes de sécurité en entreprise – leurs initiatives, les outils utilisés et leurs défis au quotidien – en matière de détection des menaces et de réponses aux incidents de sécurité.

Les équipes sécurité dépassées par le nombre d’alertes de sécurité générées par les équipements
Parmi les enseignements importants de cette étude, il ressort que les équipes de sécurité sont submergées par un volume d’alertes de sécurité trop important et pour lesquelles elles ne peuvent procéder à des recherches approfondies :

–       Les professionnels de la sécurité signalent un écart entre le nombre d’alertes générées par leurs systèmes de détection et le nombre de ces alertes que leurs équipes sont capables de gérer – c’est à dire de consulter, d’enquêter et de remédier.

–       76% des personnes interrogées n’arrivent pas à gérer plus de 25 alertes par jour, alors que 29% d’entres elles reçoivent plus de 75 alertes de sécurité par jour

La détection du vol d’identifiants : le problème majeur des équipes sécurité
Bien que cela souligne la nécessité d’une meilleure contextualisation, corrélation et hiérarchisation des alertes, les entreprises ne sont toujours pas satisfaites de leur capacité à détecter le premier vecteur d’attaque à l’origine des failles de sécurité : le vol d’identifiants.

–       90% des professionnels interrogés s’inquiètent des attaques utilisant des identifiants dérobés, et 60% déclarent ne pas bénéficier de solutions adaptées pour détecter le vol d’identifiants.

Concrètement, les équipes de sécurité ont toutes le même défi : elles doivent gérer trop d’alertes de sécurité ; les enquêtes sur chaque alerte prennent trop de temps ; elles ont trop peu de visibilité contextuelle sur les utilisateurs et les risques sur leur réseau.

Face à ces problématiques, les professionnels interrogés ont mis en place trois grandes initiatives en 2015, (dans l’ordre) :
1)    Le déploiement et le maintien d’une solution SIEM
2)    Le développement de leur programme de gestion des vulnérabilités
3)    L’amélioration ou le remplacement de leur réseau de pare-feu

L’étude rapporte également que 52% des entreprises interrogées utilisaient déjà un SIEM en 2015 alors que 21% prévoyaient de s’équiper dans le futur. Alors que la capacité flexible à agréger et corréler les logs permet aux entreprises de surveiller simultanément les données issues de pare-feu, de terminaux et des DNS, les professionnels estiment qu’il subsiste toujours un manque à ce niveau pour les services Cloud, des protocoles DHCP et des honeypots.

Les services Cloud, une surface d’attaque à risque
Les services Cloud sont une surface d’attaque importante et à risque, puisque 79% des personnes sondées dans le cadre de l’étude Rapid7 déclarent utiliser au moins un service Cloud, particulièrement Office 365, Google Apps et Salesforce. Pour les cybercriminels, il s’agit de voler les identifiants pour accéder aux dossiers confidentiels placés dans ces services. Et à ce sujet, les professionnels sont 59% à signaler un manque de visibilité au niveau de la sécurité des services Cloud.

Léonard Dahan, Regional Sales Manager pour la région Europe du Sud de Rapid7 indique à DataSecurityBreach.fr que « les enseignements de cette étude démontrent que les équipes de sécurité doivent prioriser la détection des identifiants compromis et les comportements suspicieux, non seulement sur le réseau mais également en local sur les postes de travail, tout comme autour des services Cloud. Le point positif est que les entreprises continuent de s’équiper et de mettre en place des programmes de détection et de réponse à incidents. Mais les équipes de sécurité doivent également s’appuyer sur une approche qui leur permettra d’améliorer la précision des alertes détectées, d’accélérer les enquêtes post-incidents et de mettre en évidence les risques liés aux utilisateurs de leur terminal jusqu’au Cloud ».

Chiffrement, Cloud, cryptage, Cybersécurité, Entreprise, Mise à jour, Patch

Quelles sont les nouvelles missions de la DSI à l’ère du cloud ?

Ce n’est plus une surprise aujourd’hui que le recours au cloud représente une transformation importante et stratégique pour les entreprises et va parfois de pair avec certaines inquiétudes concernant la place de la DSI. Les questions qui découlent de cette stratégie technologiques sont nombreuses : la DSI a-t-elle encore un rôle à jouer à l’ère du cloud ? Ce rôle doit-il évoluer et si oui, dans quelle(s) direction(s) ?

Dans de nombreuses entreprises, la DSI cherche avant tout à créer un socle informatique commun à l’ensemble des salariés : ce dernier doit être stable, afin d’éviter les interruptions de l’activité et permettre à chacun d’acquérir une excellente maîtrise des outils ; il doit aussi être sécurisé, afin de garantir une confidentialité optimale des données. De ces impératifs résultent des cycles informatiques longs, pouvant durer entre 3 et 5 ans avant que l’on n’envisage de changements significatifs des outils utilisés. Aujourd’hui, ce cycle long montre ses limites face à une économie toujours plus réactive où le time-to-market se réduit et où l’on recherche une plus grande agilité. Les entreprises doivent souvent faire preuve de rapidité pour répondre aux besoins du marché, une rapidité à laquelle leur infrastructure n’est pas toujours adaptée.

La DSI est donc confrontée à un paradoxe : d’un côté, offrir à l’entreprise de la stabilité afin qu’elle gagne en productivité et en sécurité ; de l’autre, s’adapter à de nouveaux usages dans un contexte où tout concorde pour que l’environnement soit instable. Un paradoxe d’autant plus présent dans les secteurs où les entreprises traditionnelles sont concurrencées par des start-up très agiles.

Mais alors, quelles craintes font naître ces évolutions ?
Tout d’abord il y a le « shadow IT ». La DSI y est confrontée de manière quasi récurrente : les salariés souhaitent décider eux-mêmes des outils les plus appropriés pour accomplir leurs missions ; il leur arrive ainsi d’en adopter certains sans l’aval des services informatiques, créant alors une véritable «informatique de l’ombre». Par conséquent, la DSI hérite souvent de la maintenance de ces dispositifs qu’elle n’a pas choisis et de la gestion des problèmes de compatibilité.

Puis vient la perte d’influence. Pendant longtemps, seule la DSI a eu le pouvoir sur les outils utilisés dans l’entreprise lui permettant de s’opposer à l’utilisation d’un logiciel si elle estimait qu’il ne répondait pas aux critères établis. Aujourd’hui, comme l’illustre la présence du shadow IT, les entreprises sont beaucoup plus ouvertes sur l’extérieur. Les directions métier, par exemple, ont accès à un large panel d’applications web qu’elles peuvent mettre en place en quelques clics. Le processus de décision est donc souvent plus rapide que la chronologie traditionnelle (évaluation des ressources techniques et budgétaires nécessaires, étude des risques, prise de décision, planification, déploiement) qui exigeait souvent plusieurs semaines voire plusieurs mois. En conséquence, la DSI peut craindre une certaine perte d’influence.

Enfin, reste l’automatisation. La plupart du temps, les logiciels basés sur le cloud hébergent les données au sein d’un datacenter extérieur à l’entreprise, dont la gestion est donc assurée par des tiers. De même, ces logiciels permettent souvent d’automatiser ou de simplifier des tâches autrefois placées sous le contrôle de la DSI : l’allocation des ressources, la configuration de chaque poste, le déploiement de nouvelles applications, etc. Ainsi, bien souvent, la DSI n’est plus la seule à impulser des décisions quant aux choix technologiques de l’entreprise. Les directions métier s’invitent aussi dans le débat, suggérant l’adoption de nouveaux outils. C’est sur ce type de projet que la DSI est la plus susceptible de ressentir une perte d’influence. Le risque est moindre lorsque les projets concernent l’entreprise dans son ensemble car la DSI conserve alors son pouvoir de prescription et de décision.

DSI, métiers, vers un juste équilibre ?
La situation actuelle entre DSI et directions métier n’est pas si préoccupante que l’on pourrait le croire. En effet, une étude menée par Verizon a démontré que seules 16% des entreprises étaient prêtes à investir dans le cloud sans l’aval de la DSI. A l’inverse, pour 43% d’entre elles, ce type de décision implique toujours une validation préalable de la DSI tandis que 39% prennent une décision collégiale associant directions métier et DSI. Le fait d’associer la DSI aux décisions ne se résume pas à valider la sécurité des choix technologiques, au contraire. La DSI permet, pour plus de la moitié des entreprises interrogées, d’optimiser les coûts et de réduire la complexité du processus. En réalité, il ne s’agit pas de créer un clivage entre DSI et directions métier mais de les réunir autour d’un objectif qui les rapproche : assurer la croissance de l’entreprise. Cela passe souvent par la mise en place de nouveaux business models permettant de développer le portefeuille clients ou de fidéliser les clients existants. Dans la poursuite de cet objectif, le cloud apporte une agilité accrue.

Le fait de solliciter l’IT offre à toute entreprise des bénéfices qui restent indéniables :
La DSI se porte garante du bon fonctionnement du système – Si le téléchargement d’un logiciel classique peut se faire à l’insu de l’IT, le cloud implique nécessairement de se pencher sur des questions comme la sécurité, la bande passante, l’interopérabilité. Sur ces sujets pointus, seule la DSI est en mesure d’intervenir afin de mettre en place de nouvelles fonctionnalités tout en préservant la cohérence du système d’information. Elle a en effet la maîtrise des questions de gouvernance : proposer de nouveaux produits et services, améliorer les processus et la fluidité des échanges…

La DSI peut apporter un accompagnement – Tout changement fait naître des inquiétudes et de manière générale, les utilisateurs n’acceptent un nouveau système que lorsque celui-ci apporte une amélioration significative de leurs conditions de travail. A l’inverse, si ce système se révèle plus complexe que le précédent, on accroît le risque de shadow IT. Il est donc primordial de faire coopérer la DSI et les métiers.

La DSI a un réel pouvoir de prescription – elle n’a pas pour seule mission de répondre à des besoins exprimés par les directions métier. Elle cherche aussi à les anticiper. Sa position la place à l’écoute des évolutions technologiques, elle est aussi gardienne de la mémoire des systèmes d’information de l’entreprise et peut donc impulser des innovations pour que l’entreprise gagne en modernité et en efficacité.

En conclusion, il ressort de ces constats que la DSI, loin d’être menacée par le développement du cloud, peut au contraire tirer profit de sa maîtrise technologique pour accompagner les directions métier et leur proposer des solutions à forte valeur ajoutée. Elle retrouve ainsi toute sa place dans la stratégie de l’entreprise. (Par Philippe Motet – Directeur Technique chez Oodrive)

Argent, Banque, Base de données, Chiffrement, cryptage, Cybersécurité, Emploi, Entreprise, Espionnae, Fuite de données, ID, Identité numérique, Justice, Paiement en ligne, Particuliers, Phishing, Social engineering

Chantage informatique saveur Macaron

Une entreprise de Montmorillon piratée. Sa base de données volée. Les pirates ont tenté de faire chanter la PME spécialisée dans les Macarons.

Les amateurs de Macarons connaissent l’artisan Rannou-Métivier. Cette entreprise familiale basée à Montmorillon, dans la région de Poitiers, est spécialisée dans cette petite gâterie sucrée qu’est le macaron. Des pirates informatiques ont jeté leur dévolu sur le site Internet de la société. Une faille SQL plus tard et les malveillants sont repartis avec la base de données [BDD].

Une BDD comprenant les informations clients : mails et mots de passe. « Notre service informatique a immédiatement réagi pour renforcer la sécurité du site. Cependant, des données ont déjà été volées » souligne dans le courriel envoyé aux clients de Rannou-Métivier. Les pirates ont réclamé de l’argent à la société. En contre partie, les voyous du web ne diffuseraient pas les informations collectées. Depuis, le chiffrement des sésames a été instauré, espérons juste que cela n’est pas un modeste format MD5 et que les pirates ne diffuserons pas les informations volées.

Une attaque qui démontre une fois de plus l’intérêt des base de données pour le blackmarket. Si cette derniére ne peut-être vendue, ce qui ne veut pas dire  que les données n’ont pas été diffusés dans le BM, les pirates n’hésitent plus à contacter les victimes pour « dealer » une rançon. L’année derniére, le groupe Rex Mundi s’était spécialisé dans ce type de chantage à la base de données clients. [La Nouvelle république]

Base de données, BYOD, Chiffrement, Cloud, cryptage, Cybersécurité, Emploi, Entreprise, Fuite de données, IOT, Social engineering

L’employés, le vilain petit canard de la données sensibles

Selon une étude réalisée par Kaspersky Lab et B2B International en 2015, 73 % des entreprises auraient été touchées par des incidents internes de sécurité informatique. La principale cause de fuites de données confidentielles reste les employés (42 %).

À mesure que l’infrastructure informatique d’une entreprise s’étend, il en va de même pour le paysage des menaces : à nouveaux composants, nouvelles vulnérabilités. La situation est aggravée par le fait que les employés – en particulier ceux ne possédant pas de connaissances spécialisées – ne sont pas tous en mesure de suivre les évolutions rapides de l’environnement informatique. C’est ce que confirme une récente enquête, révélant que 21 % des entreprises touchées par des menaces internes ont perdu de précieuses données, avec à la clé des conséquences sur leur activité. Il est utile de préciser que l’étude recense les cas de fuites accidentelles (28 %) et intentionnelles (14 %).

Les incidents internes, pas toujours des accidents
En dehors des fuites de données, les menaces internes concernent principalement la perte ou le vol des équipements mobiles des employés. 19 % des responsables interrogés reconnaissent égarer au moins une fois par an un mobile contenant certaines données de leur entreprise. Un autre facteur important concerne les fraudes au sein du personnel. 15 % des participants à l’enquête se sont retrouvés face à des situations où certaines ressources de leur société, notamment financières, ont été utilisées par des employés à des fins personnelles. Si ce pourcentage paraît faible, les pertes causées par ces incidents sont supérieures aux dommages résultant des fuites de données confidentielles dans les grandes entreprises. Les PME perdent jusqu’à 40 000$ euros en moyenne en raison d’activités frauduleuses de leurs employés, tandis que ce chiffre dépasse 1,3 million de dollars pour les grandes entreprises.

« Une solution de sécurité à elle seule ne suffit pas pour protéger les données d’une entreprise. Et c’est ce que confirment les résultats de cette étude », commente à DataSecurityBreach.fr Konstantin Voronkov, responsable des produits pour les postes de travail chez Kaspersky Lab. « Les entreprises ont besoin d’une approche intégrée à plusieurs niveaux, s’appuyant sur une veille de sécurité et d’autres mesures complémentaires. Ces mesures peuvent comprendre l’utilisation de solutions spécialisées et l’instauration de règles de sécurité, portant par exemple sur une restriction des droits d’accès. »

Etude menée auprès de 5500 spécialistes dans plus de 25 pays à travers le monde.

Banque, Base de données, Cyber-attaque, Cybersécurité, DDoS, Entreprise, Fuite de données, Hacking, Leak, Mise à jour, Piratage, Social engineering

Sécurité informatique : 2015, année difficile

La division sécurité d’IBM publie son rapport trimestriel IBM X-force faisant état du Top 4 des tendances liées aux cyber-menaces en 2015. Dans l’ensemble, 2015 a été une année difficile en matière de menaces internes, de logiciels malveillants, ainsi que d’attaques persistantes et évolutives touchant les entreprises.

Les pirates amateurs exposent les criminels expérimentés lors d’attaques « Onion Layered ». Alors que 80% des cyber attaques sont générées par des réseaux de criminels en ligne hautement organisés et sophistiqués, ce sont souvent des pirates inexpérimentés – « script kiddies » – qui inconsciemment poussent les entreprises à être attentives à ces pirates plus nombreux et expérimentés qui rôdent sur un réseau en ligne ou à l’intérieur d’une entreprise. Les pirates amateurs laissent des indices tels que des dossiers inhabituels ou des fichiers dans un répertoire temporaire, altèrent des pages web d’entreprises, et plus encore. Lorsque les entreprises se penchent sur ces attaques malveillantes, ils découvrent souvent des attaques beaucoup plus complexes.

Accroissement des rançongiciels (Ransomwares)
2015 était l’année des rançongiciels, se classant comme l’infection la plus fréquemment rencontrée. En fait, le FBI a signalé des attaques du rançongiciel CryptoWall qui ont permis aux pirates de collecter plus de 18 millions de dollars entre 2014 et 2015. Les chercheurs d’IBM pensent que cela restera une menace fréquente et un business rentable en 2016, migrant également vers les appareils mobiles.

La plus grande menace peut venir de l’intérieur
Le rapport (tiré de l’étude Identifying How Firms Manage Cybersecurity Investment de Tyler Moore, Scott Dynes, Frederick R. Chang, Darwin Deason de l’Institute for Cyber Security Southern Methodist University – Dallas) indique également le danger permanent des attaques malveillantes à l’intérieur même d’une entreprise. Ceci est la continuation d’une tendance observée en 2014 lorsque l’index IBM 2015 lié à la Cyber Security Intelligence révélait que 55% de toutes les attaques de 2014 avaient été réalisées en interne ou par des individus ayant eu par le passé accès au système d’informations de l’entreprise – sciemment ou par accident.

Le C-Suite Cares
En 2015, la cybersécurité est devenue une priorité au plus haut niveau de l’entreprise, avec de plus en plus de responsables qui s’interrogent sur la sécurité de leur organisation. En fait, un récent sondage questionnant les responsables de la sécurité des systèmes d’information (RSSI), réalisé par SMU et IBM, a révélé que 85% des RSSI indiquent que la gestion des problèmes informatiques a augmenté, et 88% ont déclaré que leurs budgets de sécurité se sont accrus.

Vous pouvez télécharger le rapport complet ici : http://ibm.co/1OJkd8N.

Base de données, BYOD, Cloud, Cybersécurité, Entreprise, Fraude au président, Mise à jour, Patch, Social engineering

Prévisions en matière de menaces informatiques à l’horizon 2020

Les prévisions d’Intel Security fournissent également des perspectives précieuses aux entreprises dans le cadre de la définition de leurs stratégies de sécurité informatique à court et à long terme.

Le nouveau rapport d’Intel Security intitulé ‘McAfee Labs Threat Predictions Report’ prédit les principales tendances à anticiper en 2016 en matière de menaces informatiques. Il fournit également un aperçu prédictif unique de ce paysage jusqu’à l’horizon 2020 et livre les potentielles réponses de l’industrie de la sécurité informatique face à l’évolution des cyber-menaces.

« A l’image des joueurs de foot qui savent saisir les opportunités et anticiper le jeu, il est important que les entreprises puissent garder une longueur d’avance sur les tendances business et technologiques mais également sur l’environnement des menaces informatiques. Le rôle de l’industrie informatique est de les accompagner dans cette bataille en mettant à leur disposition des technologies performantes pour les soutenir dans leurs activités et leur permettre de comprendre à quels types de menaces elles seront confrontées demain », commente Vincent Weafer, Vice-Président de McAfee Labs d’Intel Security.

Les menaces à venir en 2016

L’éventail des risques à anticiper en 2016 s’étend des probables attaques de ransomware, aux risques d’attaques contre les véhicules connectés, en passant par des attaques contre des infrastructures, ou encore la vente de données volées, etc. Différents types d’attaques en matière de menaces sont à prévoir :

Matérielle. Les attaques sur tous les types de matériel et de firmware vont encore continuer l’année prochaine et se traduire par le développement et la croissance du marché noir liés aux outils d’exécution de ce type d’attaque. Les machines virtuelles seront également ciblées avec des rootkits de firmware.

Ransomware. L’anonymisation des réseaux et des modalités de paiement continuera à alimenter le risque de ransomwares. En 2016, un plus grand nombre de cybercriminels novices devrait exploiter les offres de Ransomware-as-a-Service et accélérer ainsi la croissance de ce marché.

Ciblées sur les accessoires connectés. Bien que la plupart des accessoires connectés stocke une quantité relativement faible de renseignements personnels, les plates-formes sur lesquelles fonctionnent ces devices pourront s’avérer la cible des cybercriminels afin d’en compromettre les smartphones associés. L’industrie devra s’atteler à la protection des potentielles surfaces d’attaques tels que les noyaux des systèmes d’exploitation, les logiciels de gestion de réseau et de WiFi, les interfaces utilisateur, la mémoire, les fichiers locaux et les systèmes de stockage, les machines virtuelles, les applications Web, les logiciels de sécurité et de contrôle d’accès.

Par des OS des salariés. Les entreprises devront continuer à rester vigilantes et à renforcer leurs mesures de sécurité via notamment la mise en place des dernières technologies de sécurité disponibles, l’embauche de personnel expérimenté pour assurer la protection de son IT et de ses données, et la définition de politiques de sécurité efficaces. En revanche, les hackers essayeront de nouveau de détourner ces mécanismes de protection en passant par les systèmes d’exploitation des salariés et en tirant profit notamment de la faible protection des systèmes qu’ils utilisent chez eux pour accéder aux réseaux de leur entreprise.

Services Cloud. La protection des services Cloud est encore souvent négligée par les entreprises. Cela devrait pousser les cybercriminels à profiter de la faiblesse, voire de l’inexistence, de certaines politiques de sécurité d’entreprises. Le Cloud rassemble une quantité croissante d’informations confidentielles d’entreprises, le vol des données stockées par ces services pourrait compromettre toute la stratégie d’une entreprise, y compris le développement de son portefeuille de produits, ses futures innovations, ses services financiers, les données de ses employés, etc.

Voitures. Les experts en sécurité continueront à étudier les potentielles menaces auxquelles sont exposés les systèmes d’exploitation des voitures connectées dépourvus des capacités de sécurité embarquée ou non conformes aux best practices des politiques de sécurité établies. Les fournisseurs de solutions de sécurité informatique et les constructeurs automobiles devront coopérer de manière proactive afin d’élaborer des directives, des normes et des solutions techniques pour protéger les surfaces d’attaques potentielles que représentent par exemple les unités de commande électronique (Engine Control Unit ou ECU) des systèmes d’accès du véhicule, les ECU relatifs au moteur et à la transmission, au système avancé d’assistance au conducteur, les systèmes de verrouillage du véhicule à distance, le télé-déverrouillage passif, le récepteur V2X, les clés USB, le diagnostic embarqué, les applications de type RemoteLink et l’accès smartphone.

Stockage de données volées. Les blocs d’informations personnelles qui permettent une identification sont aujourd’hui reliés entre eux dans de grandes bases de données, où l’ensemble des éléments volés font ainsi augmenter la valeur des dossiers compilés. L’année prochaine verra le développement d’un marché noir encore plus robuste qui offrira davantage d’informations personnelles (date d’anniversaire, adresse, etc.) associées à des identifiants en ligne et à des mots de passe.

Contre l’intégrité de système. Les attaques sélectives compromettant l’intégrité des systèmes et des données seront l’un des plus importants nouveaux vecteurs d’attaques. L’objectif de ces attaques consiste à saisir et à modifier des transactions ou des données en faveur des attaquants. Par exemple, un cybercriminel peut parvenir à modifier des paramètres de dépôt direct de versement de salaires pour verser l’argent sur son propre compte bancaire. En 2016, McAfee Labs prévoit une possible attaque contre l’intégrité de système dans le domaine financier, secteur dans lequel des millions de dollars pourraient être dérobés par des cybercriminels.

Partage de renseignements sur les menaces. Le partage de renseignements sur les menaces entre les entreprises et les fournisseurs de solutions de sécurité devrait croître rapidement. Des mesures législatives seront prises afin de faciliter les échanges d’informations entre les entreprises et les gouvernements. Le développement accéléré de best practices devrait favoriser l’identification de métriques permettant de mesurer l’amélioration des niveaux de protection.

Les prévisions à l’horizon 2020

La vision prédictive de McAfee Labs tend à identifier la manière dont les différents acteurs du cyber-crime vont évoluer, comment vont changer à la fois les comportements et les objectifs des attaquants, mais aussi de prédire la façon dont l’industrie répondra à ces défis au cours des 5 prochaines années.

Attaques sous l’OS. Alors que les applications et les systèmes d’exploitation seront de plus en plus protégés, les attaquants chercheront des faiblesses dans le firmware et le matériel informatique. Ce type d’attaque pourrait éventuellement offrir aux hackers le contrôle total des systèmes. En effet, ils seraient théoriquement en mesure d’accéder à un nombre illimité de ressources et de fonctionnalités de gestion et de contrôle au sein des systèmes.

Contournement de détection. Les assaillants chercheront à contourner les technologies de détection de cyber-menaces en ciblant de nouvelles surfaces d’attaques et en utilisant des méthodes d’attaques toujours plus sophistiquées. Cela signifie qu’il faudra dès lors anticiper des malwares sans fichier, des infiltrations cryptées, des malwares en mesure de contourner les sandbox, des exploits à distance des protocoles RSH et des protocoles de contrôle, ainsi que des attaques sous l’OS ciblant et exploitant les Master Boot Records (MBR), le BIOS et le firmware.

Appareils connectés : de nouvelles surfaces d’attaques. D’ici 2020, ces dispositifs devraient atteindre un niveau de pénétration du marché assez conséquent pour attirer les cybercriminels. Les fournisseurs de technologie et de solutions verticales seront amenés à collaborer afin de définir des conseils de sécurité pour les utilisateurs et des best practices pour l’industrie. De plus, les fabricants d’objets connectés chercheront, de plus en plus, à intégrer les mécanismes de contrôle de sécurité dès la phase de conception de leurs produits.

Pénétration du cyber-espionnage dans les entreprises. Jusqu’alors, les logiciels de cyber-espionnage ciblaient davantage le secteur public. McAfee Labs prévoit que, d’ici 2020, le marché noir des malwares et des services de piratage pourrait rendre possible leur utilisation pour exécuter des attaques contre les entreprises afin de collecter des renseignements financiers et de manipuler les marchés en faveur des attaquants.

Enjeux et opportunités de la confidentialité. Le volume et la valeur des données personnelles sur le Web vont continuer de croître. Pour répondre à la menace constante du vol de ces informations, de nouvelles réglementations sur la confidentialité vont être élaborées et mises en oeuvre à travers le monde. En parallèle, les utilisateurs devront commencer à exiger des compensations pour le partage de leurs données. Ce mouvement donnera probablement naissance à un nouveau marché d’« échange de valeur» qui pourrait profondément changer la façon dont les individus et les entreprises gèrent leurs vies privées numériques.

Réponse de l’industrie de la sécurité. Les industriels développeront des outils plus efficaces pour détecter et remédier aux attaques sophistiquées. Les nouvelles technologies devront s’appuyer sur une analyse de comportement prédictive pour repérer les activités irrégulières et détecter les comptes compromis. La protection des systèmes deviendra plus rapide et efficace grâce au partage des renseignements sur les menaces entre les parties prenantes. La sécurité intégrée avec le Cloud va améliorer la visibilité et le contrôle des systèmes et des données. Finalement, les technologies de détection et de correction automatiques assureront la protection des entreprises contre les attaques les plus courantes, en permettant aux responsables de sécurité informatique de se concentrer sur les incidents de sécurité plus critiques.

« Afin d’avoir une longueur d’avance sur des menaces en constante évolution et pourvoir devancer ses adversaires, l’industrie informatique a besoin de s’appuyer sur les mêmes ‘armes’ que les cybercriminels. Il lui faudra ainsi associer le partage des renseignements liés aux cyber-risques entre ses différents acteurs à la puissance technologique, dont le Cloud computing et l’agilité de plates-formes, mais aussi aux compétences humaines », conclut Vincent Weafer. « Ainsi, pour gagner des batailles contre les futures menaces, les entreprises doivent avoir une meilleure visibilité et une meilleure connaissance des risques potentiels. Elles doivent également être en mesure de détecter et de répondre plus rapidement et d’utiliser pleinement à la fois les ressources humaines et techniques à leur disposition. »

Cybersécurité

Les DSI se sentent plus vulnérables aujourd’hui qu’ils ne l’étaient en 2010

L’étude met en avant le sentiment de prises de risques personnels ressentis par les DSI lors d’une prise de décision.

L’étude ‘Moments that Matter’, commanditée par Colt, révèle qu’aujourd’hui en étant intégrés à une direction informatique de plus en plus stratégique, près de 76 % des responsables informatiques européens interrogés estiment se mettre plus en danger lors d’une prise de décision qu’il y a 5 ans. Elle indique également que 77 % des DSI soulignent le fait que les instants décisifs dans la vie de l’entreprise ont davantage d’impacts sur l’évolution de leur carrière que les activités du quotidien. Cela influe notamment sur le sentiment de vulnérabilité que les responsables informatiques ressentent lors de la criticité de certaines prises de décision.

Risque personnel VS risque entrepreneurial
L’étude ‘Moments that Matter’ montre également une divergence de points de vue de la part des DSI entre vie personnelle/vie professionnelle et les risques de l’entreprise. Travailler à un changement IT est plus important et impactant pour la société que pour la carrière du DSI. Le risque est estimé à hauteur de 35 % pour l’entreprise contre 28 % à titre personnel ; Sélectionner une équipe performante et des compétences est considéré comme la clé d’un succès personnel dont la hauteur du risque s’élève à 39 % pour la société contre 48 % à titre personnel ; Communiquer en interne et en externe avec les parties prenantes est sous-évaluée. Le taux de risque associé est estimé à 27 % pour la société contre 19 % pour l’individu.

Par ailleurs, 73 % des DSI consultés admettent que le risque personnel qu’ils ressentent est atténué dès lors qu’ils travaillent avec une équipe en toute confiance. Ils évoquent également l’importance de la confiance dans le cadre de leurs collaborations avec des fournisseurs extérieurs. Un partenaire comprend les impacts d’une interruption de service et va agir en conséquence, prouvant ainsi sa réelle valeur lorsque les choses tournent mal. Pour 85 % des DSI interrogés, les considérations techniques d’un prestataire sont parfois obligatoires.

« La digitalisation des entreprises et les mutations de l’informatique vont indéniablement affecter le sentiment de risque personnel éprouvé par les responsables informatiques », souligne Carl Grivner à DataSecurityBreach.fr, Carl Grivner, EVP Network services chez Colt. « Dans la mesure où ils jouent dorénavant un rôle central dans la réussite globale de l’entreprise, les DSI savent qu’ils sont attendus par le Comité de Direction lors des phases critiques et que la gestion de ces événements clés sera déterminante de leur succès. Plus de responsabilité implique également plus de vulnérabilité pour eux », ajoute Carl Grivner. « Ils doivent être en mesure d’innover et de faire face à de nouveaux défis qui peuvent impacter, positivement ou négativement, leurs carrières. La constitution d’une équipe performante et le travail avec des fournisseurs de confiance devraient leur permettre de jouer un rôle majeur avec des décisions plus importantes pour leurs carrières. »

A propos de la méthodologie
Cette étude s’appuie sur la consultation en août 2015 de 301 décisionnaires dans le secteur IT comprenant principalement des responsables informatiques en France, en Allemagne et au Royaume-Uni. Les entreprises interrogées ont un chiffre d’affaires compris entre 10 millions et 5 milliards d’euros, avec une majorité de sociétés oscillant entre 100 et 500 millions de chiffre d’affaires. Cette étude a été réalisée par Loudhouse, une agence indépendante basée à Londres (Royaume-Uni).

Base de données, Chiffrement, cryptage, Cybersécurité, Entreprise, Fuite de données, Mise à jour, Paiement en ligne, Patch, Propriété Industrielle

10 règles à respecter pour sécuriser l’informatique de votre PME

Si le numérique a envahi l’essentiel des espaces professionnels, la sécurité n’est pas suffisamment prise en compte par les PME.

Avec l’explosion des usages, de nouveaux risques sont apparus : indisponibilité de l’informatique, vol et destruction des données, espionnage industriel (fichiers clients, contrats, projets en cours…), escroqueries financières, sabotage de sites d’e-commerce…Des données sensibles sont dérobées lors d’intrusions informatiques ou subtilisées avec le vol d’un smartphone, d’une tablette ou d’un ordinateur portable.

Les conséquences peuvent être lourdes, de l’atteinte à l’image jusqu’à la faillite, en passant par des pertes de clientèle. La complexité des menaces, le coût élevé, le manque de temps et de personnel dédié sont les arguments les plus souvent invoqués pour justifier le manque d’intérêt pour renforcer la sécurité informatique dans les PME.

Pourtant, ces risques peuvent être considérablement réduits par un ensemble de bonnes pratiques, peu onéreuses et faciles à implémenter. « Mieux prévenir que guérir »… La sensibilisation des collaborateurs de l’entreprise aux bonnes pratiques informatiques est essentielle et circonscrit largement les dangers. Parmi les règles à respecter pour sécuriser l’informatique des PME, nous en avons retenu 10 :

Imposer des règles pour les mots de passe
Outil d’authentification permettant d’accéder à ses données ou à ses équipements numériques, il constitue une mesure de sécurité évidente. Plus un mot de passe est long et se compose de caractères différents, plus il sera difficile à cracker, notamment par des outils automatisés. Certaines bonnes pratiques augmentent de manière exponentielle son efficacité :Définissez les règles de choix et de longueur des mots de passe, rappelez régulièrement aux collaborateurs de ne pas conserver les mots de passe dans des fichiers présents dans le système informatique, modifiez ou renouvelez les moyens d’authentification proposés par défaut sur les équipements ou par les services divers, changez les mots de passe régulièrement.

Créer une séparation entre usages professionnels et personnels
Il est courant aujourd’hui d’utiliser des outils « pro » à des fins privés et vice-versa. Ces pratiques de plus en plus répandues dans les PME posent de vrais problèmes en matière de sécurité des données. Ceci augmente considérablement les risques de d’intrusion ou de vol. Dans ce contexte : Ne faites pas suivre vos messages électroniques professionnels sur des services de messagerie utilisés à des fins personnelles, n’hébergez pas de données professionnelles sur les équipements personnels ou sur les services de stockage en ligne personnels, et vice-versa.

Analyser régulièrement ses infrastructures
Avant d’enregistrer le contenu d’un support USB sur un ordinateur, prenez le temps de l’analyser avec un anti-virus … On ne sait jamais ! Ce geste simple et basique est souvent négligé et permet de protéger votre ordinateur des programmes malveillants pouvant endommager vos logiciels et mener à la perte partielle ou totale de données.

Mettre en place des sauvegardes automatiques régulières
Ne misez pas sur la discipline de chacun pour gérer ses sauvegardes ni sur un système manuel pour les sauvegardes du système d’information. L’automatisation et le monitoring sont seuls vrais garants de la sécurité.

Utiliser des solutions de sécurité
Durcissez la configuration des ordinateurs et utilisez des solutions de sécurité éprouvées (pare-feu, antivirus, etc.). Ces moyens de sécurité sont indispensables pour protéger vos outils informatiques de divers programmes malveillants. Ils bloquent le contenu et les accès dont la source ne peut être vérifiée et protègent vos données des intrusions.

Protéger les données lors des déplacements
L’utilisation des équipements nomades (smartphone, ordinateur portable, tablette) facilite les déplacements professionnels, le transport et l’échange des données. En revanche, en cas de perte ou de vol de l’appareil, l’activité de l’entreprise peut être sérieusement mise en péril. Pendant vos déplacements, n’emportez que les données nécessaires à la mission en mode déconnecté. Le reste vous attend au bureau et vous pouvez y accéder à distance en toute sécurité !

Monitorer son système
Faites surveiller votre système, notamment en utilisant les journaux d’évènements, pour réagir aux actions suspectes (connexions hors des horaires habituels, transferts massif de données…). Déterminer les droits d’utilisation en créant des comptes « administrateur » et « utilisateur » et protéger l’accès aux modifications importantes du système informatique. De même, le système d’information doit avoir des droits d’accès bien définis en fonction du profil de chaque utilisateur.

Télécharger les logiciels officiels
Téléchargez vos logiciels sur les sites officiels des éditeurs. Avant l’installation désactivez les cases proposant d’installer des logiciels complémentaires et l’ouverture automatique des documents téléchargés. Une fois téléchargés, avant toute chose, effectuez une analyse antivirus. Chaque système d’exploitation, application ou logiciel contient des vulnérabilités. Découvertes, elles sont corrigées dans les mises à jour de sécurité qu’il est nécessaire d’installer. De nombreux utilisateurs n’effectuent pas ces mises à jour : les failles sont ensuite exploitées par des personnes malveillantes. La solution la plus simple est de mettre en place des mises à jour régulières et automatiques. Vous gagnerez en productivité par la délégation de ces tâches chronophages. Vous pouvez aussi faire appel à un service professionnel qui gèrera l’ensemble de vos mises à jour de façon automatique et sécurisée.

Rédiger une charte informatique
Rédigez une charte informatique pour déterminer les droits et les obligations d’utilisation du système informatique pour cadrer le comportement des utilisateurs et prévenir les abus.

Désigner un référent
Choisissez un référent pour l’informatique dans votre PME qui est sensible aux enjeux de la sécurité. La cybersécurité peut aller encore plus loin. Face à la complexité des menaces, chaque entreprise a intérêt à se doter d’une politique de sécurisation de ses systèmes d’information. Déployée par un professionnel, une politique de cybersécurité peut même devenir un facteur de productivité, de compétitivité et de croissance pour les PME. En attendant, éteignez votre ordinateur pendant les périodes d’inactivité prolongée (nuit, weekend, vacances,…), cela aussi réduit les risques ! (par Pedro Sousa, pdg de Plenium)

Android, Cybersécurité, Identité numérique, ios, Particuliers, Sécurité, Smartphone, Social engineering, Vie privée, Windows phone

Amnésie numérique : comment les smartphones nous font perdre la mémoire

L’« effet Google », ou l’impact sur notre mémoire de toujours trouver les informations sur Internet[i], s’étend aujourd’hui à nos informations personnelles essentielles conservées sur les mobiles, selon une nouvelle étude de Kaspersky Lab.

Cette étude révèle en effet que la majorité des consommateurs européens connectés, du moins ceux interrogés par l’éditeur de solution de sécurité informatique, ne connaissent pas par cœur des numéros de téléphone de première importance, tels que :

– ceux de leurs enfants 57 % (58 % pour la France) :
– de leur école, 90 % (même chiffre pour la France) ;
– de leur propre lieu de travail à 51 % (51,5% pour les Français).

« Près de la moitié (43 %) des 16-24 ans répondent en outre que leur smartphone contient à peu près tout ce qu’ils doivent savoir ou se rappeler »

Environ un tiers d’entre eux (français comme européens) ne se souviennent pas du numéro de la personne qui partage leur vie, alors même que seuls 4 sur 10 ont oublié celui de l’endroit où ils vivaient durant leur adolescence. 6 000 consommateurs âgés de 16 ans ou plus, dans six pays européens ont été interrogés. Les résultats de cette enquête révèlent notre incapacité à retenir des informations importantes compte tenu du fait que nous les enregistrons souvent sur nos smartphones. Près de la moitié (43 %) des 16-24 ans répondent en outre que leur smartphone contient à peu près tout ce qu’ils doivent savoir ou se rappeler. Les français sont 32 % à déclarer cela, toutes tranches d’âges confondues. Un phénomène qualifié d’amnésie numérique, c’est-à-dire le fait d’oublier les informations que nous conservons dans un appareil numérique.

L’étude fait apparaître l’existence de cette amnésie numérique parmi toutes les tranches d’âge et sa répartition est uniforme entre les deux sexes. Ainsi, 42 % des Français seraient vraiment dévastés de perdre les données de leurs appareils mobiles car ils ne pourraient plus avoir accès à tous leurs souvenirs stockés dessus – 17,6 % seraient complètement paniqués par une telle éventualité. En outre, 71,9 % des Français déclarent utiliser Internet comme une extension de leur cerveau, ce chiffre atteignant même 83 % chez les jeunes européens âgés de 16 à 24 ans. Pour Laurence Allard, Maître de conférences et Sociologue des usages innovant à l’Université Lille 3/IRCAV-Paris 3 : « le smartphone est également le support d’usages mémoriels et fait pour certains office de « prothèse cérébrale ». Selon la sociologue, cette tendance devient presque paradoxale puisqu’elle « suppose d’user de fonctionnalités ou de services numériques pour actionner une mémorisation par la technologie »

Autre résultat guère surprenant, l’étude révèle que la perte ou le piratage de données stockées sur les appareils numériques, en particulier les smartphones, aurait des conséquences dévastatrices pour de nombreux utilisateurs :

– 17 % des français avouent ainsi que leur terminal mobile est le seul endroit où ils mémorisent leurs photos et leur carnet d’adresses et qu’ils seraient catastrophés s’ils perdaient définitivement leurs souvenirs enregistrés sur leur appareil. Ce chiffre atteint 40 % chez les 16-24 ans interrogés.
Il est donc préoccupant qu’en dépit de la confiance croissante que les utilisateurs ont dans leurs appareils numériques, ils ne protègent pas suffisamment leurs équipements à l’aide de solutions de sécurité. C’est notamment le cas des smartphones et des tablettes :

– à peine 1 smartphone sur 3 (34 %) et un quart des tablettes (24 %) en sont équipés,
– tandis qu’1/5e (21 %) de ces appareils n’est pas du tout protégé.

« Les appareils connectés nous apporte beaucoup au quotidien mais ils engendrent aussi une amnésie numérique. Nous devons en saisir les conséquences à long terme sur la façon dont nous conservons et protégeons nos mémoires. Les numéros de téléphone de nos proches étant désormais accessibles d’un simple clic, nous ne nous donnons plus la peine de les mémoriser. En outre, une majorité écrasante (86 %) des personnes interrogées estime que, dans un monde de plus en plus hyper-connecté, nous avons bien trop de numéros, d’adresses, de codes, etc. à connaître que notre mémoire ne peut en retenir. Nous avons découvert que la perte ou le piratage de ces précieuses informations ne serait pas seulement une gêne, mais une source de profonde détresse pour bon nombre d’entre nous. Kaspersky Lab s’engage à aider les utilisateurs à comprendre les risques auxquels leurs données pourraient être exposées, et à leur fournir les moyens de maîtriser ces risques, en installant par exemple des logiciels de sécurité afin de protéger leurs équipements et leurs contenus », commente à datasecuritybreach.fr David Emm, chercheur principal en sécurité chez Kaspersky Lab.

« Le fait d’oublier n’est pas en soi une mauvaise chose. Nous disposons d’une formidable faculté d’adaptation et nous ne nous souvenons pas de tout car ce n’est pas dans notre intérêt. L’oubli devient cependant un handicap lorsqu’il porte sur des informations qu’il nous faut impérativement retenir », souligne le Dr Kathryn Mills de l’UCL Institute of Cognitive Neuroscience de Londres. « L’une des raisons pour lesquelles les consommateurs se soucient moins de retenir les informations s’explique par le fait qu’ils les confient trop souvent à des appareils connectés. En effet, dans de nombreuses sociétés, l’accès à Internet paraît aussi stable que celui au réseau d’électricité ou d’eau. »

Argent, Cybersécurité, Entreprise, Fuite de données, ID, Identité numérique, Paiement en ligne, Particuliers, Propriété Industrielle, Vie privée

Sécurité en ligne, il faut s’inspirer de la prévention routière !

L’utilisation des mots de passe sur internet ressemble étrangement aux comportements des automobilistes dans les années soixante, heureusement depuis, ils se sont améliorés grâce aux campagnes de sensibilisation. Il serait temps que tous les acteurs qui gèrent les mots de passe prennent exemple sur la sécurité routière, y compris l’état.

Il y a vingt ans, nous n’utilisions pas Internet. Aujourd’hui, nous passons en moyenne quatre heures par jour à surfer sur le web (étude wearesocial). C’est un nouveau territoire que nous découvrons souvent avec enthousiasme car il nous permet de gagner en productivité, de rencontrer des gens, de voyager plus facilement…Mais il y a des risques associés à ces usages. Nous nous identifions et stockons des données sur des dizaines de sites souvent sans prendre de précautions particulières. Selon une étude Dashlane/IFOP, seuls 9% des français ont ainsi conscience de prendre des risques en utilisant le même mot de passe sur plusieurs sites ! Nous prêtons donc le flanc à l’industrie du piratage qui se développe aussi vite que les technologies de l’information. Une étude menée par un éditeur de logiciels antivirus a estimé que l’industrie de la cybercriminalité représentait 0.8% du PIB mondial, soit à peu près autant que le trafic de drogue. En France, le CREDOC avait estimé en 2009 que 210 000 personnes par an étaient victimes d’un vol d’identité, pour un coût total de 414M d’€.

Notre comportement sur le web est assez similaire à celui des automobilistes dans les années 60. A cette époque, une grande partie de la population découvrait la voiture, qui était alors d’abord perçue comme un instrument de liberté et d’évasion. Les risques n’étaient pas pris en compte à leur juste mesure. On roulait très vite, sans ceinture, dans des voitures peu sécurisées, avec des conséquences néfastes : en 1972, on comptait plus de 16 000 morts par an sur les routes en France.  Heureusement des progrès considérables ont été réalisés depuis. En 2014, il y a eu 3 103 morts sur les routes de France. L’État a joué son rôle en menant de nombreuses et coûteuses campagnes de sensibilisation pour le port de la ceinture et contre l’alcool au volant. Les industriels ont construit des voitures plus sûres. Et les particuliers ont pris conscience du danger et modifié leurs comportements.

Nous circulons aujourd’hui sur Internet sans ceinture de sécurité et cela nous met en danger. Il faut s’inspirer de la prévention routière. Quand de nouveaux risques émergent, il faut une action concertée de la part de l’État, des industriels et des particuliers. Si le budget de l’Agence Nationale de la Sécurité des Systèmes d’Information (ANSSI) a été récemment augmenté, ses missions restent encore très focalisées sur la protection des administrations et des entreprises d’intérêt vital, les fameux OIV. On peut le regretter car certains de nos voisins ont une approche plus ambitieuse. Au Royaume-Uni, la sensibilisation des consommateurs est au cœur de la politique de cyber sécurité. Les programmes Get Safe Online et Cyber Street Wise, financés par le gouvernement britannique, mènent des campagnes de communication pour rappeler les règles de base de la sécurité en ligne, comme l’utilisation de mots de passe forts (composés d’au moins huit caractères alphanumériques) et différents pour chaque site. Les écoliers britanniques sont aussi sensibilisés à la sécurité en ligne grâce à des kits pédagogiques réalisés par le gouvernement. L’État doit financer des campagnes importantes de sensibilisation aux règles de base de la sécurité en ligne et être exemplaire sur l’ensemble des services publics en ligne. Aujourd’hui il n’est par exemple pas possible d’utiliser un mot de passe fort sur le site ameli.fr de la sécurité sociale…

Les sites qui vendent des biens ou services en ligne doivent également s’assurer que leurs clients se connectent de manière sécurisée et utilisent des mots de passe forts. L’étude menée par Dashlane en janvier 2014 avait montré que certains d’entre eux acceptent des mots de passe très peu sécurisés ou les envoient en clair par mail, ce qui est évidemment très dangereux. Enfin, les utilisateurs doivent également se prendre en main. Nous sommes nombreux à savoir que le seul moyen d’éviter à coup sûr les piratages est d’utiliser des mots de passe forts, différents pour chaque site, mais nous ne le faisons pas toujours car nous trouvons cela trop compliqué.

« Quand on peut prévenir c’est faiblesse d’attendre » disait Jean de Rotrou. Nos sociétés modernes ont montré qu’elles pouvaient être fortes faces à certains risques et œuvrer efficacement à les prévenir. Utilisons les mêmes méthodes et attaquons nous sérieusement au problème de la sécurité en ligne ! (Par Guillaume Desnoes, Responsable des marchés européens de Dashlane.)

BYOD, Chiffrement, Cloud, cryptage, Cyber-attaque, Cybersécurité, Entreprise, Fuite de données, Leak, Mise à jour, Patch, Piratage

Sécurisation des données à l’heure du cloud

La sécurisation des données est un enjeu colossal à l’heure du cloud, notamment pour les entreprises et collectivités locales. Quatre choses essentielles doivent absolument être prises en compte.

Ces choses essentielles sont la sauvegarde, la sécurité des données personnelle et professionnelle, les usages de l’informatique et de l’importance de l’information/formation.

Sauvegarde
Les entreprises et les collectivités doivent faire face à un environnement toujours plus hétérogène et l’utilisation de plus en plus fréquente de l’informatique dématérialisée en fait partie. De nombreuses entreprises gèrent donc aujourd’hui des environnements physiques, des environnements virtuels ainsi que des environnements Cloud. De nombreuses entreprises recherchent une méthode efficace pour simplifier leurs processus de sauvegarde. Il peut être intéressant de penser la préservation des données au cœur même des logiciels ou avec les services Cloud. Mesures : Possibilité de revenir à une situation antérieure, si erreur lors d’une procédure lourde telle que la préparation du budget.

« Scheduler » : messages de recommandations au cœur des logiciels lors d’opérations particulières (ex. avant de commencer le budget, « nous vous conseillons de faire un archivage »).

Sécurité des données
Un exemple : 19.000 attaques de sites web suite aux attentats de Charlie Hebdo, y compris ceux des collectivités locales. Les collectivités et les entreprises ont souvent peu conscience des enjeux liés à la sécurité des données. Mais la sécurité est un travail d’équipe et il faut que les prestataires de Cloud ou de logiciels et leurs clients travaillent main dans la main pour proposer une sécurité optimum. Ce n’est pas au fournisseur de gérer la sécurité de son client, car ce dernier en est en fait le seul maître. Le fournisseur de Cloud met à disposition des outils permettant la mise œuvre d’une politique de sécurité, mais c’est au client de les utiliser à bon escient et de prendre conscience de la dangerosité de mettre à disposition des données informatiques, y compris en interne. 60% des piratages trouvent leur source en interne.

Mesures : Mettre en place des droits d’accès aux données restreints, gérer finement les profils d’utilisateurs ; mettre en place une charte informatique pour éduquer en interne et informer sur ce qu’il est possible de faire ou non ; ne pas hésiter à prendre conseil auprès de son prestataire informatique.

Usages de l’informatique
Les risques viennent souvent d’une méconnaissance de l’informatique et du web. Il faut être vigilant et ne pas « sortir » n’importe quelles données de la collectivité ou de l’entreprise. Attention également à ne pas télécharger n’importe quoi. Bien souvent, les entreprises et les communes ne savent pas si leurs sauvegardes sont bonnes. Elles sont formées par leur prestataire, mais elles ne se soucient pas vraiment, ne vérifient pas. Il n’y a pas de test de restauration, ce qui engendre parfois de mauvaises surprises …

Mesures : Formation, « éducation », aider à faire prendre conscience. Rappeler que les données ne doivent pas être sauvegardées que sur le poste mais aussi et surtout sur le serveur.

Importance de l’information/formation
Avant de sécuriser les réseaux, il faut éduquer les utilisateurs, mais aussi les cadres sur les enjeux, risques et bonnes pratiques. Par exemple, méconnaissance de la différence entre un virus et un malware. Un virus s’installe à votre insu sur votre machine et vient corrompre un programme existant. En revanche, un malware est interprété par le système comme un programme installé par l’utilisateur : en cliquant sur une PJ, en installant un petit programme, etc. Ainsi les antivirus sont inutiles face à cette menace ! Seule la vigilance de l’utilisateur peut le protéger.

Mesures : Etre vigilant sur l’ouverture de PJ quand on ne sait pas de qui vient le courriel. Se méfier des mails étrangers. Ne pas aller sur n’importe quel site et installer n’importe quel programme et ne pas hésiter à se tourner vers son prestataire informatique en cas de question.

BYOD, Chiffrement, Cloud, cryptage, Cybersécurité, Entreprise, Fuite de données, Leak, Piratage, Propriété Industrielle, Sauvegarde, Social engineering

Cyber-sécurité : éviter la menace interne en surveillant les portes du royaume

Les récentes cyberattaques de grande envergure telles que le récent « cyber hold-up » via le malware Carbanak à l’encontre des établissements bancaires ou encore celle qui a permis la révélation de la fraude fiscale HSBC par son ex-informaticien Hervé Falciani, rappellent que les menaces internes sont de plus en plus présentes. Les hackers ne cessent d’affiner leurs techniques de piratage pour garder une longueur d’avance sur les mesures mises en place par les organisations. Leur atout majeur : le manque manifeste de vigilance autour des pratiques en interne de la plupart des organisations. La tâche des hackers s’en trouve donc simplifiée, puisque des techniques simples et classiques pour infiltrer les comptes à hauts pouvoirs de l’entreprise suffisent à bouleverser toute une structure.

Aujourd’hui, les pirates s’infiltrent insidieusement dans les systèmes et s’y installent aussi longtemps que nécessaire pour récolter les données qu’ils convoitent. Les techniques varient et si elles se renouvellent, les vieux schémas restent de mise. Dans le cas de HSBC par exemple, très semblable à l’affaire Snowden, la révélation des Swissleaks a été perpétrée par un ex-informaticien de la banque hongkongaise ayant eu accès aux données des clients en situation de fraude fiscale. Au-delà des clauses de confidentialité auxquelles sont soumis les employés d’une entreprise, ce cas de figure rappelle la nécessité de surveiller les accès des employés aux données de l’entreprise, et notamment à celles qui ne dépendent pas de leur champ d’intervention. Il en est de même pour tout individu extérieur à l’organisation.

De plus, une surveillance accrue de l’activité en interne peut permettre de détecter des tentatives d’intrusion en cours. En effet, l’attaquant motivé trouvera coûte que coûte un moyen de s’infiltrer dans le système et un minimum d’attention permet parfois aux employés d’identifier ces tentatives qui ne sont pas toujours discrètes. La récente cyberattaque relative au malware Carbanak confirme que les hackers développent des méthodes de plus en plus sophistiquées pour rendre leurs faux emails aussi crédibles que possibles. Dans le cas de Carbanak, les attaquants ont pu copier un ver informatique inséré dans la pièce jointe de mails personnalisés et se frayer un chemin jusqu’aux caméras de sécurité des banques visées. Ils ont ainsi pu visionner les vidéos et copier l’ensemble des démarches des employés pour accéder aux comptes des clients.

La sensibilisation des équipes internes permet d’éviter ce type de situations comme cela a été récemment le cas pour Le Monde où les employés ont détecté plusieurs tentatives d’intrusion conduites via des techniques de phishing, de mails de spams et de dénis de services ; leur mobilisation combinée à un système de sécurité efficace ont contribué à détecter les signes précurseurs d’une attaque et à stopper les hackers avant qu’il ne soit trop tard. Car une fois à l’intérieur du système, les hackers se concentrent sur le détournement et l’exploitation des comptes utilisateurs. Ils se tournent notamment vers les comptes administrateurs détenant des accès privilégiés aux données critiques, qui sont en général encore moins bien surveillés que les comptes des employés, constituant ainsi une zone d’ombre privilégiée par les hackers pour agir sur le long terme en toute discrétion. Ils peuvent ainsi se déplacer à travers le réseau, accéder aux systèmes critiques et exfiltrer les données préalablement volées.

Aujourd’hui, les employés tendent à devenir un point d’entrée incontournable pour les attaques ciblées, il est donc indispensable que les organisations tiennent compte de la menace interne et surveillent à la fois les points d’entrées sensibles, respectent les bonnes pratiques et restent en alerte face aux signaux précurseurs d’attaques. Quel que soit l’objectif final d’une cyberattaque, les chemins empruntés sont souvent les mêmes, sachant que les hackers visent la plupart du temps la voie royale que sont les comptes à privilèges pour parvenir à leurs fins. (Par Olivier Mélis, Country Manager France chez CyberArk pour DataSecurityBreach.fr)

Argent, Arnaque, BYOD, Chiffrement, Cloud, cryptage, Cybersécurité, Entreprise, escroquerie, Fuite de données, Mise à jour, Paiement en ligne, Particuliers, Propriété Industrielle

La sécurité informatique : un enjeu méconnu et sous-estimé

Un commentaire

Avec l’actualité de ce début 2015, la sécurité informatique devient un sujet dont beaucoup de monde parle. Cependant, l’immense majorité des entreprises ne connaissent pas l’étendue des risques liés à la sécurité de leur site. (Par NBS System pour DataSecurityBreach.fr)

Elles ne savent pas, à proprement parler, ce qu’implique le terme de « piratage ». Beaucoup d’entre elles s’imaginent, à tort, être à l’abri car leur site n’est pas très connu, ou qu’il ne contient pas de données sensibles…

Mais ce qu’il faut bien comprendre, c’est que la sécurité concerne tout le monde et que les attaques n’arrivent pas qu’aux autres. Si certaines sont ciblées (par exemple celle de Sony en 2014), la majorité des pirates fonctionnent par pur opportunisme.

On peut faire l’analogie suivante : l’Internet est un gigantesque parking, où chaque site est une voiture. Les personnes mal intentionnées n’ont qu’à passer parmi elles et essayer d’ouvrir les portières pour en trouver une qui ne soit pas fermée afin de la voler. Peu d’entre eux vont utiliser des outils pour cibler une voiture en particulier ; ils n’ont pas besoin de connaissances techniques pour essayer d’ouvrir des portières. Ils voleront toutes les voitures ouvertes à leur disposition, quelle que soient leur marque ou leur prix.

Les pirates informatiques fonctionnent de la même manière. Ils vont passer en revue tous les sites web en espérant trouver une faille sur l’un d’eux pour investir le site.

  • Ils n’ont pas nécessairement besoin de compétences techniques.
  • Il existe de nombreux outils informatiques (légaux ou non) leur permettant de scanner la toile et de repérer très facilement des vulnérabilités.
  • Ils visent large pour être sûrs de toucher le plus de cibles possible.

C’est également pourquoi la taille ou la renommée du site importent peu ; s’il y a une faille sur votre site, il sera piraté un jour ou l’autre.

Il est important que les entreprises se rendent compte qu’on ne peut jamais garantir la sécurité de son site à 100% et encore moins la qualité de son code. En effet, même si le code est écrit par des professionnels très doués, ces derniers sont rarement experts en sécurité et restent, malgré tout, des humains : des êtres faillibles. Il faut donc rester humble ; il n’existe pas de code parfait et tous les développeurs sont voués à faire des erreurs. Par exemple, en 1996, la fusée Ariane a explosé en vol à cause d’une erreur de programmation, autrement dit une erreur de code. C’est la preuve que même l’ESA (Agence Spatiale Européenne), dont les membres sont très compétents et parmi les meilleurs mondiaux, n’est pas infaillible. Votre développeur peut-il se targuer d’avoir le même niveau de compétences ?

Aujourd’hui sur Internet il y a des millions, voire des milliards, de failles existantes et pas encore découvertes ; c’est une certitude ! L’une, voire plusieurs d’entre elles est peut-être sur votre site, ou bien sur l’un de ceux que vous consultez régulièrement… L’enjeu est donc de prendre conscience de cette situation, et de se protéger afin d’éviter les attaques qui, nous le rappelons, peuvent toucher tous les types de sites, et ont des répercussions importantes sur l’image de l’entreprise et ses bénéfices.

  1. Le piratage, comment ça marche ?

Il peut être très facile d’accéder aux données d’un site web via une faille. Or, accéder aux données, c’est accéder au serveur sur lequel est hébergé le site, c’est-à-dire la machine contenant toutes les informations et ressources utilisées pour le fonctionnement du site. Il existe de très nombreux moyens d’y arriver ; nous allons ici détailler l’un de ces moyens, très simple, appelé l’énumération d’identifiants.

Imaginons le site web « http://www.monsiteweb.com », site web d’une compagnie d’assurance. Pour pouvoir utiliser l’interface, le visiteur doit s’identifier et créer un compte, comprenant ses informations (telles que nom, prénom, adresse, etc…). La base de données lui administrera alors un identifiant : 12345678 par exemple.

Une fois identifié, si le visiteur souhaite modifier son adresse suite à un déménagement, il se rendra sur la page des paramètres de son compte. Dans de nombreux cas, peut-être le vôtre, le site affiche dans son URL l’identifiant du client :

Imaginons maintenant que le visiteur soit un pirate. Grâce à la présence de l’identifiant dans l’URL, il trouvera sur cette page uniquement les informations le concernant ; il comprend donc que pour les autres utilisateurs, le fonctionnement est identique. S’il modifie l’identifiant dans la barre d’adresse, en remplaçant le 8 à la fin par un 9 par exemple, et que le code source du site contient une faille et ne bloque pas sa requête, il aura accès aux informations correspondant au compte n°12345679.

Mais s’il a accès à ce compte, cela signifie qu’il a potentiellement accès à tous les autres comptes et donc à la base de données du site toute entière. Rien qu’avec la barre d’adresse, il est donc possible d’accéder à un serveur et de contourner sa sécurité. Cela peut être aussi simple que cela. Un adolescent aujourd’hui peut avoir les compétences suffisantes pour mettre en œuvre cette attaque ! De nombreux tutoriels existent même sur Youtube permettant à n’importe qui d’acquérir les connaissances de base pour mettre en place des attaques simples de ce genre.

Bien qu’il existe de nombreuses autres techniques plus complexes, celle décrite ci-dessus fait partie d’un grand nombre de méthodes triviales et à la portée de tous…

Il est important de comprendre cela car une fois que le pirate a accès à la machine, il peut élever ses privilèges et obtenir autant de pouvoir que l’administrateur de celle-ci. C’est-à-dire qu’il pourra littéralement faire tout ce qu’il souhaite avec les informations et les ressources à sa disposition. Il existe plusieurs types d’attaques, chacune avec des objectifs et des impacts différents, mais aux conséquences toujours graves.

  1. Les différents types d’attaque
    • Défiguration d’un site web

C’est le type d’attaque le plus visible, même si c’est techniquement le moins dangereux. La défiguration ou défacement de site web (defacing en anglais) consiste à modifier une ou plusieurs pages d’un site, par exemple la page d’accueil, en la remplaçant par une image, du texte…

Ces attaques sont plutôt simples à réaliser et ne nécessitent pas de compétences techniques très développées. Les pirates utilisent simplement un outil scannant les sites un par un et repérant des vulnérabilités afin de les exploiter grossièrement.

En général, la page de remplacement affichée pendant l’attaque contient le nom du pirate et un message. En effet, par ces défigurations les pirates cherchent uniquement leur visibilité. Ils souhaitent faire passer un message en général politique, ou bien veulent de la reconnaissance. Plus de 20 000 sites, dans le cadre de l’opération OpFrance, se sont fait pirater de cette manière. L’opération a commencé le 18 janvier mais aujourd’hui encore, certains sites affectés sont toujours en maintenance. Si ces attaques ne sont pas dangereuses sur le long terme, elles ont un gros impact en termes d’image pour le site attaqué.
 

  • L’exploitation des ressources d’un site web

Les attaques que nous allons décrire dans ce point et les points suivants sont beaucoup plus dangereuses, notamment parce qu’elles ne sont pas facilement repérables par le site attaqué. Si vous subissez une attaque, dans 90% des cas vous en serez informé par un tiers (source : 2012 data breach investigations report, Verizon, 2012) ; ce sont soit les autorités, soit un client, partenaire ou prestataire qui aura été une victime indirecte de l’attaque subie. Cela cause en général une énorme chute de confiance en l’entreprise. C’est d’ailleurs une des raisons pour laquelle, comme montré sur la figure 1 le délai de découverte de plus de la moitié des attaques se compte en mois.

Dans le cas de l’exploitation des ressources d’un site web, tout est dans le titre. Le pirate, ayant gagné accès au serveur du site, va utiliser les ressources de la machine correspondante (processeur, mémoire, bande passante) pour son propre compte. Il pourra cependant rester dans l’anonymat et se prémunir des risques légaux, puisque c’est le site web piraté qui sera légalement responsable des actions effectuées avec ses ressources.

En l’occurrence, le pirate va souvent les revendre, pour plusieurs usages : l’envoi de SPAM, les DoS (attaque par déni de service, empêchant l’accès à un site), le déchiffrement de données et les boutiques fantôme.

  • L’envoi de SPAM

Il faut savoir que chaque machine possède une adresse IP qui lui est propre, et que l’on fait correspondre au(x) site(s) web hébergés dessus. Quand trop d’e-mails sont envoyés depuis une machine, celle-ci est « marquée » comme malveillante et les envois sont bloqués. En envoyant les courriers SPAM depuis l’adresse IP du/des sites piratés, l’envoi se fera sans blocage. Ainsi, utiliser l’IP d’une autre machine en achetant ses ressources est un moyen de contourner cela, jusqu’à ce que la/les machine(s) piratée(s) soit elle aussi considérée comme malveillante…

Si cela vous arrive, vous ne pourrez plus envoyer aucun e-mail depuis votre nom de domaine ou votre adresse IP. Votre hébergeur aura également la possibilité de clôturer votre compte.

De plus, légalement, le spamming peut être puni de 5 ans d’emprisonnement et de 300 000 euros d’amende (Article 226-18-1 du Code Pénal).

  • Les DoS

Dans le cas des DoS, l’utilisation d’une machine infectée permet l’anonymat de la personne ayant commandé une attaque DoS vers une cible tierce, ou de multiplier la puissance de l’attaque en y ajoutant les ressources d’un ou plusieurs autres ordinateurs. Ici, le but est purement lucratif. Là encore, les sanctions légales sont importantes : selon l’article 323-2 du Code Pénal, « le fait d’entraver ou de fausser le fonctionnement d’un système de traitement automatisé de données est puni de 5 ans d’emprisonnement et de 75 000 euros d’amende ».

  • Le déchiffrement de données ou mots de passe

Il est également possible d’utiliser les ressources du serveur infecté comme puissance de calcul afin de deviner des mots de passe ou déchiffrer des données, via la méthode bruteforce. Il s’agit de faire tester à une machine toutes les combinaisons possibles jusqu’à tomber sur la bonne. Plus le nombre de machines utilisées augmente, plus les ressources sont importantes, et donc plus le temps de résolution sera court. Ici, le but est majoritairement la récupération de données, pour les utiliser ou les revendre (ce type d’attaque sera traité plus tard dans l’article).

Dans les trois cas cités, le but du pirate est de prendre le contrôle d’un maximum de machines pour monnayer ces ressources.

Partie II : La sécurité informatique : un enjeu méconnu et sous-estimé.

 

BYOD, Cloud, Entreprise, Fuite de données, Propriété Industrielle

La difficulté croissante des directions informatiques à protéger leur entreprise

90% (81% en France) des DSI et Directeurs Informatiques estiment que la protection de leurs entreprises est une mission de plus en plus difficile, selon une nouvelle étude de Fortinet.

La forte pression émanant des directions générales pour sécuriser leur entreprise a augmenté au cours des 12 derniers mois (de près d’un tiers pour le panel mondial et de 11% en France), faisant de la sécurité une priorité et une préoccupation clé sur les autres projets de l’entreprise. Cet état des lieux résulte d’une enquête indépendante commanditée par Fortinet sur plus de 1600 décideurs informatiques, en grande partie d’entreprises de plus de 500 collaborateurs. Toutes les personnes interrogées provenaient du panel en ligne de l’entreprise d’étude de marché Lightspeed GMI.

Parmi les décideurs IT qui subissent la pression la plus élevée de la part de leur direction, 63% (52% en France) déclarent avoir abandonné ou retardé au moins un nouveau projet métier en raison des préoccupations liées à la sécurité informatique.

Les plus grands défis rencontrés par les décideurs IT pour garder leurs entreprises sécurisées sont les menaces toujours plus complexes et fréquentes (citées par 88% du panel mondial) et les nouveaux besoins liés aux technologies émergentes de type Internet des Objets et biométrie (88% du panel mondial). En France, les menaces toujours plus complexes et fréquentes (85%) et les besoins liés au BYOD et à la mobilité des salariés (82%) sont les plus grands défis rencontrés par les décideurs IT français.

La majorité des décideurs IT a été incitée à prendre des mesures pour assurer la confidentialité des données (90% au niveau mondial et français) et sécuriser le Big Data (89% du panel mondial et 88% en France). Dans la majorité des cas, ces initiatives ont abouti à de nouveaux investissements en sécurité au niveau mondial tandis qu’en France, cela conduit à repenser la stratégie de sécurité de l’entreprise.

Les directions générales donnent la priorité à la sécurité
La prise de conscience qui s’opère au niveau des directions générales vis-à-vis de la sécurité informatique – et les pressions et implications qui en découlent – est citée comme important vecteur de complexité dans le travail des décideurs IT. Les trois-quarts des personnes interrogées (77% en France) évaluent la prise de conscience de leurs dirigeants comme “élevée” ou “très élevée”, contre seulement 50% (51% en France) il y a un an.

L’enquête révèle également que 53% (45% en France) des décideurs IT interrogés déclarent avoir ralenti ou abandonné un projet de nouvelle application, de nouveau service ou autre, par crainte de cyber-menaces. Ce chiffre monte à 63% (52% en France) pour ceux qui déclarent subir une très forte pression de leur direction générale en matière de sécurité IT.

Les applications et stratégies de mobilité sont les initiatives qui sont estimées comme les plus problématiques, suivies par celles liées au cloud au niveau mondial et en France.

Les préoccupations en matière de sécurité s’intensifient avec les technologies émergentes
Pour 88% du panel mondial, la mission des décideurs IT devient plus difficile du fait de la complexité et la recrudescence des menaces APT, attaques DDoS et autres cyber menaces, ainsi que des nouvelles tendances technologiques telles que l’Internet des Objets (Internet of Things ou IoT) et la biométrie. En France, les menaces toujours plus complexes et fréquentes (85%) et les besoins liés au BYOD et la mobilité des salariés (82%) sont les plus grands défis rencontrés par les décideurs IT français.

Les attentes sont fortes, dans tous les secteurs d’activité, vis-à-vis de la biométrie, avec 46% des répondants qui déclarent que cette technologie est déjà d’actualité dans leur entreprise, ou le sera au cours des 12 prochains mois contre seulement 29% en France. Deux tiers des personnes interrogées estiment déjà disposer des outils qui permettront de gérer la biométrie en toute sécurité (contre 56% en France). Parmi le tiers (44% en France) des répondants qui estiment aujourd’hui ne pas avoir les outils prêts pour sécuriser la biométrie, un tiers du panel mondial et français estime qu’ils rencontreront des difficultés pour le sécuriser dans le futur.

La sécurité du Big Data  et la confidentialité des données conduisent à une autre approche
Les problématiques en matière de confidentialité des données incitent à un plan d’actions, avec 90% des décideurs IT mondiaux et français qui pensent faire évoluer leur approche en matière de stratégie de sécurité. Parmi eux, 56% (50% en France) sont enclins à investir davantage en ressources financières et humaines pour répondre à ces défis, tandis que 44% (50% en France) déclarent plutôt vouloir repenser leur stratégie existante.

Le Big Data et le traitement analytique des données sont considérés par 89% des répondants comme un facteur de changement d’approche en matière de stratégie de sécurité informatique, et incitent 50% des répondants à planifier de nouveaux investissements. En France, 88% des répondants pensent que le Big Data est un facteur de changement d’approche en matière de stratégie de sécurité informatique, incitant 40% à prévoir de nouveaux investissements.

Les secteurs d’activité les plus enclins à investir dans la sécurité informatique sont les services financiers (53%) et celui des technologies/télécommunications (59%). En France, les entreprises issues des technologies/télécommunications (75%) et de la distribution (67%) sont les secteurs d’activité les plus enclins à investir dans la sécurité informatique. L’étude souligne également que ce sont les plus grandes organisations qui sont les plus susceptibles d’investir.

Interrogés sur le fait d’avoir obtenu suffisamment de ressources humaines et financières pour la sécurité informatique au cours des 12 derniers mois, quatre décideurs sur 5 répondent positivement (75% en France). D’autre part, 83% (73% en France) des répondants estiment que ces ressources seront suffisantes au cours des 12 prochains mois. La majorité des secteurs d’activité s’inscrit dans cette tendance, avec, par exemple : 74% (au cours des 12 derniers mois) et 77% (pour l’année à venir) dans le secteur public et respectivement 80% et 81% dans la distribution. Les services financiers sont les mieux lotis (87% pour les 12 prochains mois), en dépit d’un léger fléchissement (89% au cours des 12 mois précédents) au niveau mondial.

En France, seul le secteur de la construction et de l’industrie s’inscrit dans cette tendance passant de 66% (au cours des 12 derniers mois)  à 74% (pour l’année à venir). Les secteurs des technologies/télécommunications, de la distribution et des services financiers s’attendent à avoir autant de ressources financières et humaines qu’au cours des 12 derniers mois. Le secteur public ainsi que celui de la grande consommation sont en déclins en passant respectivement de 73% à 53% et de 100% à 50%.

Un réel besoin de cyber-résilience
« Alors que la sécurité IT devient une priorité pour les dirigeants, elle reste néanmoins associée à d’autres challenges qui pèsent lourdement sur les professionnels de l’informatique et remettent en cause la capacité de certaines organisations à innover tout en assurant leur sécurité », explique Patrice Perche, Senior Vice Président, en charge des opérations commerciales et de support à l’international chez Fortinet. « Ces organisations doivent agir dès aujourd’hui pour maîtriser l’impact de menaces en forte croissance et se focaliser davantage sur la sécurité IT afin de renforcer leur résilience face aux cybermenaces ».

L’étude Fortinet Security Census 2014 a été menée par Lightspeed GMI, un acteur indépendant des études de marché. Cette opération a porté sur un panel de 1,610 décideurs informatiques, essentiellement des DSI, Directeurs Techniques, Directeurs/Responsables informatique, évoluant en grande partie dans des entreprises de plus de 500 collaborateurs. *8% des personnes interrogées proviennent d’entreprises comptant de 100 à 500 collaborateurs. 15 pays ont participé à cette enquête : Australie, Allemagne, Brésil, Canada, Chine, Colombie, Corée, Espagne, Etats-Unis, France, Inde, Italie, Japon, Mexique et Royaume-Uni.

Cyber-attaque, Entreprise, Espionnae, Fuite de données, Leak, Propriété Industrielle

8 incidents informatiques sur 10 seraient dus au facteur humain

84 % des incidents de sécurité informatique sont liés au facteur humain, alors que seulement la moitié des budgets est consacrée à ce type de menaces.

Voilà les premiers chiffres de l’étude menée lors de la RSA Conference et présentée lors du Gartner Identity & Access Management Summit 2014 par BalaBit. L’étude eCSI de BalaBit souligne le fait qu’il est désormais nécessaire d’ajuster le budget sécurité à hauteur des menaces liées au facteur humain.

BalaBit IT Security, acteur sur le marché des solutions dédiées à la gestion de logs et à la surveillance des comptes à privilèges, a présenté les résultats de son dernier rapport eCSI lors du Gartner Identity & Access Management Summit 2014. L’étude a été menée auprès de 300 participants lors de la récente RSA Conference à San Francisco. Les résultats de cette enquête montrent que 84 % des incidents de sécurité informatique sont liés au facteur humain (erreur humaine, attaques sophistiquées internes ou externes, etc.). En terme de budget, l’étude souligne également que les dépenses sont assez équilibrées entre : les 55 % du budget consacrés à la gestion du risque humain et les 45 % consacrés à l’infrastructure.

Ainsi, les entreprises concentrent toujours leurs ressources dédiées à la sécurité informatique à la sécurité des infrastructures et aux facteurs de risque externe. Les personnes interrogées ont classé les principaux facteurs de risque, en fonction du budget consacré : 30 % privilégient la menace externe, au-dessus de tous les autres risques ; 28 % ont déclaré que les dysfonctionnements du système sont parmi les risques les plus importants ; 17 % ont cité les attaques automatiques (injection SQL, DDoS, …) Alors que la protection dédiée aux erreurs humaines et aux hackers internes est une priorité budgétaire absolue pour seulement une petite minorité des personnes interrogées : respectivement 13 % et 12 %. Pourtant, en terme d’évaluation du coût potentiel de la menace, les résultats sont différents : 51 % des personnes interrogées ont déclaré que les erreurs humaines provoquent la plus grande perte financière ; Seulement 18 % pour la menace externe ; 15 % pour la menace interne et 9 % pour les dysfonctionnements du système et 7 % pour les attaques automatiques.

« La plus grande incohérence que notre étude ai permis de révéler est que les professionnels de l’IT savent clairement que les erreurs humaines causent 51 % de leurs pertes alors qu’en terme de budget, seulement 13 % d’entre eux placent le risque lié au facteur humain en haut de la liste et 40 % des personnes interrogées placent les erreurs humaines comme la menace la moins importante. Si les entreprises souhaitent dépenser leur budget de sécurité informatique de manière logique, il est temps de palier à cette contradiction », commente Zoltán Györko, CEO de BalaBit IT Security. BalaBit a également demandé aux participants de la RSA Conference d’estimer, jusqu’à combien le niveau de la sécurité informatique de leur entreprise pouvait être réduit pour satisfaire les besoins des utilisateurs à privilèges : 83 % des personnes interrogées ont répondu que leur niveau de sécurité était réduit (19 % fortement, notablement à 32 % et modérément à 32 %), pour satisfaire les utilisateurs privilégiés.

« En raison de leur manque de flexibilité, les solutions de contrôle d’accès ne sont souvent pas en mesure de prévenir les incidents mais empêchent les utilisateurs de travailler efficacement. La surveillance peut être un outil efficace contre les risques de sécurité liés au facteur humain, que la source soit interne ou externe. Les risques liés au facteur humain peuvent être considérablement diminués par la détection et le blocage des activités suspicieuses des utilisateurs. Les alertes et la surveillance en temps réel sont inévitables pour les comptes à privilèges, qui disposent de droits d’accès, de modification ou de suppression des informations sensibles de l’entreprise. Il n’est pas étonnant que leurs profils soient la cible principale des hackers. Un taux plus élevé de détection est plus dissuasif que le contrôle passif et plus favorable aux entreprises  », ajoute Zoltán Györko.

Chiffrement, cryptage, Cyber-attaque, Cybersécurité, DDoS, Fuite de données, Leak

Les vulnérabilités et menaces informatiques atteignent un niveau record depuis 2000

Le Rapport Annuel sur la Sécurité 2014 de Cisco révèle que le nombre total de vulnérabilités et de menaces a atteint un niveau record depuis le début de leur recensement en mai 2000. En octobre 2013, le nombre total d’alertes cumulées a augmenté de 14% en glissement annuel par rapport à 2012. Les conclusions du rapport offrent un tableau saisissant de l’évolution rapide des enjeux de sécurité auxquels sont confrontés les entreprises, les départements informatiques, et les particuliers. Les méthodes employées par les cybercriminels sont multiples : ingénierie sociale visant à dérober les mots de passe et identifiants d’utilisateurs, infiltrations « hide-in-plain-sight » (si évidentes qu’elles passent inaperçues), ou encore l’exploitation de la confiance que les internautes accordent nécessairement lorsqu’ils effectuent des transactions financières, utilisent les services publics, ou échangent sur les réseaux sociaux.

Principales conclusions du rapport :
·         Une pénurie de spécialistes de la sécurité informatique à prévoir en 2014
Le rapport souligne que l’année 2014 sera marquée par une pénurie de plus d’un million de professionnels spécialisés dans le domaine de la sécurité, ce qui pourrait mettre à mal les capacités des entreprises à contrôler et sécuriser les réseaux. Du fait de leur sophistication, les technologies et tactiques employées par les criminels en ligne – et leurs tentatives incessantes d’infiltration dans les réseaux et de vol de données – ont désormais pris de vitesse les professionnels de l’informatique et de la sécurité. La plupart des entreprises ne bénéficient pas de personnel ou de systèmes dédiés en permanence à la surveillance des réseaux étendus et à la détection des menaces. Pourtant, ces investissements sont les seuls capables d’appliquer des mesures de protection efficaces en temps voulu.

·         99% des malware mobiles ont ciblé les appareils Android en 2013
Avec 43,8 % des occurrences recensées, Andr/Qdplugin-A représente le logiciel malveillant le plus fréquemment détecté. Le malware transite habituellement via des versions dupliquées d’applications légitimes distribuées par des plateformes commerciales non-officielles.

·         Les industries chimiques et pharmaceutiques, ainsi que le secteur de la fabrication électronique, principales victimes des infections malveillantes.
En 2012 et en 2013, les malwares ont connu une recrudescence notable au sein des secteurs de l’agriculture et de l’exploitation minière, auparavant considérés comme des industries à faible risque. Les occurrences de malwares continuent de croître dans les secteurs de l’énergie ainsi que dans les industries gazière et pétrolière.

·         Les grandes entreprises, passerelles vers les sites web piratés
L’étude d’un échantillon de 30 entreprises issues du classement Fortune 500 a révélé que 100 % des réseaux de ces entreprises avaient généré un trafic visiteurs vers des pages Web hébergeant des logiciels malveillants. En effet, 96% des réseaux étudiés ont dirigé du trafic vers des serveurs piratés, alors que 92 % d’entre eux ont généré du trafic vers des pages vierges, qui hébergent généralement des activités malveillantes.

·         La recrudescence et le renforcement des attaques DDoS (par déni de service)
Les attaques DDoS (par déni de service) perturbent le trafic depuis et en direction de sites Internet ciblés, et sont capables de paralyser les FAI.  Elles ont progressé à la fois en termes de volume et de gravité. Certaines attaques DDoS ont pour objectif de dissimuler d’autres activités néfastes, telles que des fraudes électroniques perpétrées avant, pendant ou après une campagne DDoS, volontairement déstabilisantes et retentissantes.

·         Les chevaux de Troie multi-cibles constituent les attaques malveillantes les plus fréquemment repérées sur le Web
Les attaques des chevaux de Troie multi-cibles représentent 27 % de l’ensemble des attaques enregistrées en 2013. Les scripts malicieux, notamment les exploits ou les iframes malveillants, constituent la deuxième catégorie d’attaques la plus courante, avec 23 %. Les chevaux de Troie destinés au vol de données, tels que les password stealers et portes dérobées, représentent quant à eux 22 % des actes malveillants recensés sur la toile. Le déclin régulier du nombre d’adresses IP et hébergeurs de malware uniques – qui a chuté de 30 % entre janvier et septembre 2013 – laisse à penser que les activités malveillantes se concentrent désormais sur un nombre plus restreint d’adresses IP et d’hébergeurs.

·         Java demeure le langage de programmation le plus fréquemment visé par les cybercriminels.
D’après les données fournies par Sourcefire, société désormais détenue par Cisco, les exploits Java constituent la vaste majorité (91 %) des corruptions recensées par les indicateurs IOC (Indicators Of Compromise).

Tendances majeures de la cybercriminalité :
·         Une expansion et une sophistication croissantes de l’univers des menaces. Les simples attaques aux conséquences limitées ont été remplacées par des opérations de cybercriminalité minutieusement orchestrées et financées, capables d’occasionner des dommages économiques considérables et d’affecter la réputation de leurs victimes, qu’elles appartiennent au secteur privé ou à la sphère publique.

·         La complexité accrue des menaces et des technologies, qui résulte de l’adoption de plus en plus massive des Smartphones et du Cloud, permet d’étendre le champ d’attaques comme jamais auparavant. Les nouvelles catégories d’appareils et les architectures d’infrastructure les plus innovantes offrent aux pirates la possibilité d’exploiter des faiblesses jusqu’alors insoupçonnées et de s’attaquer à des composants mal protégés.

·         Les cybercriminels ont conscience qu’il est nettement plus rentable d’exploiter la puissance de l’infrastructure d’Internet que de simplement infiltrer les appareils et ordinateurs de particuliers. Ces attaques à l’échelle de l’infrastructure ciblent des serveurs d’hébergement en ligne bénéficiant d’un positionnement stratégique, des serveurs de nom de domaine ou des datacenters. Leur objectif est de multiplier les attaques sur les très nombreux systèmes individuels hébergés par ces serveurs. En ciblant l’infrastructure Internet, les pirates ébranlent la confiance des utilisateurs dans les terminaux qui y sont connectés ou qui y ont accès. (Le rapport)

Cyber-attaque, Cybersécurité, Emploi, Leak

Equipes de sécurité – l’humain au cœur du dispositif de défense

Fin de règne pour les produits magiques de sécurité – Retour aux travaux manuels ? Les 15 dernières années ont vu fleurir un nombre incroyable de produits « magiques » de sécurité informatique. Leur point commun étant leur capacité à opérer sans ou avec très peu de ressources humaines impliquées. Le meilleur exemple de cette évolution est probablement l’avènement de l’IPS, pensé pour remplacer le bon vieil outil IDS trop consommateur de ressources dans l’analyse des évènements de sécurité. « Si on peut détecter, autant décider de bloquer automatiquement ! ».

Seulement, de nos jours, la majorité des attaques sérieuses et ciblées, commanditées et réalisées sur mesure sont détectées à posteriori par l’entreprise et souvent grâce à un signal faible, voire même un coup de chance (comportement étrange, remontée utilisateur, nouveau flux détecté, etc.). Ces attaques ne peuvent donc pas être bloquées à priori car elles sont pensées pour passer au travers (ou à coté) des outils de détection classiques. Ces outils continuent de détecter et de stopper une majorité d’attaques non ciblées ou non sophistiquées générant des signaux forts (exploit frontal de vulnérabilités réseau par exemple).

Pour adresser le risque lié aux attaques ciblées commanditées et hautement financées, il est nécessaire de changer de posture de défense et de repositionner l’humain au centre des décisions.

Ainsi, on demande aujourd’hui aux IPS de nouvelle génération (NGIPS) d’être capables de remonter des Indicateurs de Compromission. Ceux-ci sont des évènements de sécurité qui, une fois corrélés et enrichis par le contexte local du réseau, font apparaître des soupçons forts de compromission pour telle ou telle machine du réseau. Comme il s’agit de soupçons et uniquement de soupçons, l’IPS Next-Generation ne peut pas décider de bloquer sans l’avis expert d’un analyste de sécurité.

Ne serait-ce pas un retour à la détection d’intrusion ? Quoi qu’il en soit, les Indicateurs de Compromission et l’expertise de l’équipe qui analyse ces indicateurs sont clés dans la capacité de détection de la présence d’une attaque ciblée sur un réseau.

Un nouveau métier pour les analystes et un besoin pour de nouveaux processus et outils : le Forensic et la remédiation
La découverte d’une attaque ciblée ouvre un chantier nouveau et ardu qui doit faire partie intégrante de la nouvelle posture de défense de l’entreprise. L’attaque est réelle, il faut être capable d’en définir le scope, d’en comprendre la dynamique complète avant de décider de se découvrir en reprenant le contrôle et en l’annihilant.

De nouveaux processus et outils sont nécessaires à cette tâche. Il faut de réelles capacités de Forensic et de retour en arrière. La capacité de remonter le temps pour comprendre le scénario d’attaque et son niveau de déploiement est nécessaire pour décider de la « bascule » (reprise du contrôle et suppression des codes ennemis déployés).

Pour la « bascule » également, il faut adopter de nouvelles capacités techniques et opérationnelles. Souvent, une telle attaque a permis de déployer un écosystème de malwares avancés sur un grand nombre de machines du réseau. Une bascule efficace doit être brutale et globale. Or, ces capacités n’étaient que très rarement intégrées dans les postures de sécurité historiquement adoptées dans les entreprises.

Encore une fois, que ce soit sur les tâches de recherche et de compréhension de l’attaque ciblée sophistiquée et sur les tâches de « bascule » et de reprise de contrôle, la compétence des ingénieurs sécurité en charge du sujet est la clé pour le succès de l’opération. (Par Cyrille Badeau, Directeur Europe du Sud, Sourcefire pour DataSecurityBreach.fr)

Cyber-attaque, Piratage

Une multiplication des cyber-attaques pour les fêtes de fin d’année ?

Des experts révèlent une vague soutenue de sites de phishing utilisant la marque Apple et une recrudescence des malware ciblant les services de banque en ligne. Alors que les fêtes de fin d’année approchent à grands pas, le rapport de sécurité de Trend Micro pour le troisième trimestre 2013 révèle une prolifération inquiétante de sites de phishing visant iOS, ainsi qu’une forte augmentation du nombre de malware ciblant les services de banque en ligne. Des découvertes qui appellent les consommateurs à davantage de prudence au cours de cette période de fêtes souvent synonyme de shopping intensif, afin de protéger leurs données personnelles et financières contre d’éventuels piratages.

« Les consommateurs étant de plus en plus attirés par l’aspect pratique des banques en ligne, les cybercriminels conçoivent de nouveaux outils à un rythme effréné afin de tirer profit du manque de vigilance ambiant », explique JD Sherry à DataSecurityBreach.fr, Vice-President of Technology and Solutions chez Trend Micro. « Par ailleurs, si Apple a toujours été perçu comme un gage de sécurité face aux menaces, nos dernières découvertes montrent que les campagnes de phishing ciblant iOS continuent de se multiplier, mettant en péril les données personnelles des utilisateurs. Ces deux tendances augurent une potentielle explosion du nombre d‘attaques pour cette fin d’année, notamment parce que le mobile sera un élément clé des achats de Noël, tant pour les commerçants que pour les consommateurs. »

Après le pic constaté au second trimestre (5 800 en mai), le nombre de sites de phishing utilisant la marque Apple est resté stable sur le troisième trimestre, avec 4 100 sites identifiés en juillet, 1 900 en août et 2 500 en septembre. L’inquiétude est cependant d’actualité pour le quatrième trimestre, les analystes tablant sur la vente de 31 millions d’iPhones et de 15 millions d’iPads sur cette période.

Les chercheurs de Trend Micro ont également identifié plus de 200 000 infections par des malware ciblant les services de banque en ligne sur le troisième trimestre. Trois pays ont été pris plus particulièrement pour cible : les Etats-Unis qui représentent près du quart (23%) de l’ensemble des infections dans le monde, suivis par le Brésil (16 %) et le Japon (12 %). L’Allemagne et la France, les pays les plus touchés en Europe, ne représentent chacun que 3 % des infections. Ce chiffre bas est sans doute le résultat des hauts niveaux d’exigence en termes d’authentification à facteurs multiples pour les transactions bancaires dans la région. A noter également que les cybercriminels font appel à des techniques d’obfuscation* de plus en plus sophistiquées. Les chercheurs ont ainsi identifié des routines visant à bloquer les debuggueurs et à empêcher toute analyse dans le cheval de Troie KINS.

Entreprise, Fuite de données, Sécurité

9 entreprise sur 10 ont connu un problème de sécurité en 2013

3 commentaires

A l’occasion de l’ouverture des Assises de la Sécurité à Monaco, Kaspersky Lab a présenté les principaux résultats de son étude « Global Corporate IT Security Risks 2013 », réalisée par B2B International en avril 2013 auprès de plus de 2800 entreprises à travers le monde. L’étude explique que 91% des entreprises ont connu au moins un incident de sécurité externe et 85% un incident interne au cours des 12 derniers mois, avec les conséquences financières que cela implique parfois. Ces chiffres élevés peuvent s’expliquer par un manque de connaissance des risques, exprimé par les professionnels. Un quart des répondants considèrent que les problèmes de sécurité informatique « n’arrivent qu’aux autres ». 28% des entreprises pensent à tort que s’équiper d’une solution de sécurité informatique représente un investissement plus élevé que les coûts liés à une attaque.

Près 60% des responsables informatiques ne disposent pas des ressources de temps et d’argent nécessaires à la mise en place de règles de sécurité informatique. En conséquence, seule 1 entreprise sur 2 pense disposer des processus automatisés et organisés nécessaires à la gestion des menaces. La situation est particulièrement critique dans le secteur de l’éducation, où 28% des organisations confirment disposer de règles de sécurité suffisantes. Plus inquiétant encore, 34% seulement des organisations gouvernementales ou travaillant dans le secteur de la défense au niveau mondial disposent des ressources nécessaires pour développer des règles de sécurité. Les autres, elles, sont exposées au danger permanent de perdre des informations gouvernementales confidentielles.

Pourtant, il suffit parfois d’une seule mesure, comme la mise en place d’une stratégie de sécurité mobile, associée à de la pédagogie, pour réduire de manière significative les risques liés à l’utilisation des smartphones et des tablettes en entreprise, qu’il s’agisse de flottes professionnelles ou dans le cadre du BYOD. Ainsi, l’étude révèle que près de la moitié des répondants ne disposent pas de ce type protection. Même les entreprises qui disposent d’une stratégie de sécurité mobile ne peuvent y attribuer les ressources associées : près de la moitié déplorent des augmentations de budgets insuffisantes, et 16% n’ont enregistré aucun accroissement budgétaire.

Chiffrement, cryptage, Cyber-attaque, Cybersécurité, Fuite de données, Leak, Patch, Sauvegarde

Les gens prennent soin de protéger leurs données mais négligent certaines mesures élémentaires

Un commentaire

Une étude que datasecuritybreach.fr a pu consulter, réalisée par Varonis, leader des logiciels complets de gouvernance des données, indique que la grande majorité des gens comptent que les entreprises protègent leurs données, malgré le nombre élevé de brèches de sécurité signalées. L’étude montre que la plupart des personnes interrogées ont généralement de bonnes pratiques de sécurité, mais ont néanmoins des comportements à risque qui pourraient permettre à des pirates d’accéder à leurs données.

La recherche révèle qu’une majorité écrasante de 91 % des personnes interrogées supposent que les entreprises protègent leurs données personnelles et leurs identités en ligne, et cela en dépit du fait que 93 % des grandes entreprises et 87 % des petites entreprises ont connu en 2013 des failles de sécurité des données. D’une façon générale, l’étude montre que la sécurité des données a une grande valeur : 97 % des répondants préfèrent faire affaire avec une entreprise qui protège leurs données et 54 % se déclarent prêts à payer plus cher s’ils pensent qu’une entreprise protège efficacement leurs données.

Les participants à l’enquête ont fait état de plusieurs habitudes de sécurité en ligne qui seraient mises en évidence dans n’importe quel rapport de sécurité. L’étude a établi que 71 % regardent les dispositions en petits caractères des accords de licence d’utilisation et autres conditions générales.

La sécurité mobile est également prioritaire : plus des trois quarts (77 %) protègent leur téléphone par un mot de passe, et près de la moitié (47 %) utilisent une authentification à deux facteurs pour protéger leur email personnel et leurs services en ligne.

Malheureusement, Varonis a aussi découvert quelques mauvaises habitudes troublantes. Si les participants protègent avec soin leur téléphone par un mot de passe, 61 % utilisent toujours ou fréquemment le même mot de passe sur des sites web ou des applications différents, mettant ainsi leurs informations personnelles en danger. Les deux tiers des participants (67 %) reconnaissent ou soupçonnent qu’ils ont envoyé par email des informations personnelles non cryptées à une entreprise.

« Il est encourageant de constater que les gens recherchent les entreprises qui parviennent mieux à sécuriser leurs données », explique David Gibson à Data Security Breach, vice-président de Varonis. « Cependant, le grand nombre de piratages qui se produisent presque tous les jours indique que les entreprises, comme les individus, ont encore du mal à mettre en oeuvre les bases nécessaires à la sécurisation de leurs données. »

Les personnes doivent se concentrer sur l’élimination de mauvaises habitudes numériques et prendre davantage le contrôle de leur sécurité. Les entreprises ont leur part à jouer pour s’assurer que les départements informatiques mettent en œuvre les bonnes pratiques élémentaires de sécurité.

Quelques recommandations de DataSecrityBreach.fr

.    Sachez où se trouvent vos informations, qui peut y accéder, et comprenez ce que les fournisseurs de service peuvent faire de vos données sans votre consentement explicite

.    N’envoyez jamais par email de données personnelles ou autres données sensibles non cryptées, spécialement les numéros de compte, de carte de crédit et de sécurité sociale, ainsi que les informations ayant trait à la santé 3.    Choisissez des mots de passe forts — mélangeant majuscules et minuscules, chiffres et symboles spéciaux — et utilisez un mot de passe unique pour chaque site. Les gestionnaires de mots de passe sont d’un grand secours dans ce but.

·      Authentification : vérifiez que toute personne accédant à un compte soit vraiment qui elle prétend être ; l’utilisation de plusieurs facteurs est préférable

·      Autorisation : assurez-vous que les employés ont exclusivement accès aux données dont ils ont besoin

·      Audit : surveillez tous les accès

·      Alerte : analysez l’activité à la recherche d’abus potentiels

.     Assurez-vous que les employés utilisent des plateformes sécurisées et autorisées

.     Concentrez-vous sur l’équilibre entre productivité et sécurité : les employés ont besoin d’une expérience de travail moderne qui ne fasse pas courir de risques aux données de l’entreprise.

L’occasion pour les particuliers de faire de même. Voici 6 conseils pratiques pour mettre en ordre son ordinateur et faire le grand ménage de printemps.

.            Sauvegarde des fichiers. Les utilisateurs ont tendance à conserver des fichiers importants et en grande quantité sur leur système sans jamais les stocker. Or, si le système « crash », toutes ces données seront perdues.  La solution la plus simple et efficace est alors de stocker les données les plus sensibles sur un disque dur externe.

.            Nettoyage du registre du système. Le système accumule de nombreux fichiers temporaires au cours de sa vie, surtout en surfant sur Internet.

Pour qu’il fonctionne plus rapidement, la suppression de ces fichiers est alors indispensable. Il existe plusieurs outils pour supprimer les anciennes entrées de registre (sur les PC) comme le fait de vider sa corbeille régulièrement, de supprimer les fichiers temporaires Internet et les cookies, ainsi que son historique de navigation. CCleaner est un outil connu gratuit qui peut effectuer ces tâches, néanmoins une plateforme de sécurité complète telle que Kaspersky PURE 3.0 contient des outils pour nettoyer son PC qui pourront réaliser la même opération tout en protégeant également le système.

.            Défragmentation du disque dur. Il s’agit d’une option sur les systèmes Windows qui augmente la vitesse et l’efficacité du système. Sur Windows 8, cette fonctionnalité se trouve dans « Fichiers » en cherchant « défragmenteur », sur une ancienne version de Windows dans « Programme », «Accessoires », et ensuite « Outils système ». L’utilisation du défragmenteur de disque prend un certain temps et oblige de laisser son PC « au repos ». Il est donc préférable de lancer la défragmentation quand l’utilisateur est absent de chez lui ou lorsque qu’il effectue d’autres activités.

.            Suppression des programmes inconnus.  Il y a de grandes chances pour qu’au fil du temps, les programmes inutilisés s’accumulent sur le système. Mais ces programmes occupent de l’espace sur le disque et ralentissent tout le système. Sur Windows, l’opération à suivre est la suivante : cliquer dans le panneau de configuration, puis sélectionner « Ajouter/supprimer des programmes ». Examiner la liste – sélectionner les programmes inutilisés cette année pour les supprimer. Sur Mac, ouvrir le LaunchPad, et déplacer les icônes des applications inutilisées dans la corbeille.

.            Changement des  mots de passe. Il s’agit d’une étape importante à effectuer régulièrement qui peut-être couplée à la mise à jour du système. Le mot de passe idéal doit être long et compliqué : le mélange des lettres et symboles non-alphanumériques permet de complexifier les mots de passe. Le classique « 123456 » est à éviter ! L’accumulation de mots de passe différents et complexes rend difficile leur mémorisation, l’utilisation d’un gestionnaire de mots de passe facilite grandement cette tâche.

.            Installation des mises à jour des programmes. Il est nécessaire de réaliser régulièrement les mises à jour car celles-ci contiennent les derniers patchs de sécurité. Les versions plus anciennes ont plus de risque d’être exploitées par des pirates informatiques qui trouvent des faiblesses dans les programmes dépassés. Sur Windows, cliquer sur le bouton « démarrer » puis se rendre dans le panneau de configuration, cliquer sur « tous les programmes » et ensuite sur « Windows Update ». C’est ici que se trouvent l’ensemble des mises à jour pour l’ordinateur. La dernière étape est de cliquer sur « rechercher des mises à jour » afin de savoir si l’ordinateur est bien à jour.

Cybersécurité, Entreprise, Logiciels, Particuliers, Piratage, Virus

Etude mondiale sur la sécurité de l’information

Alors que 71% des entreprises affirment avoir toute confiance dans leur système de sécurité de l’information, seules 8% d’entre elles disposent d’une organisation adaptée aux nouvelles menaces informatiques.

Selon la 15ème étude « Global State of Information Security Survey 2013 »  de PwC et CIO Magazine, la sécurité de l’information reste un enjeu majeur pour les entreprises à travers le monde. Les cyberattaques sont même plus redoutées par les dirigeants que l’éclatement de la zone euro ou les catastrophes naturelles.

2012 a ainsi vu s’accroître le nombre d’incidents dans ce domaine. 27% des dirigeants interrogés en France affirment avoir connu plus de 10 incidents de sécurité l’an passé, contre 21% en 2011.  Au total, 62% des répondants français déclarent avoir connu au moins un incident de sécurité en 2012.

Avec l’émergence de nouvelles technologies, les menaces liées à la sécurité de l’information ne cessent de croître. PwC estime à 500 milliards de dollars la fourchette basse des dépenses mondiales de sécurité dans le monde. Si les budgets des entreprises françaises sont en hausse – 45% des entreprises françaises prévoient d’augmenter leurs dépenses en sécurité de l’information (vs 41% en 2011), ils ne permettent pas de proposer une réponse adaptée à ces nouvelles menaces informatiques.

Les nouvelles technologies augmentent les risques à gérer pour les entreprises…

Cloud computing, réseaux sociaux, 3G, appareils mobiles… Les nouveaux outils technologiques se sont multipliés et complexifiés lors de ces dernières années. En effet, entre 2007 et 2011, Facebook a multiplié par 115% son nombre d’utilisateurs, quand Twitter l’a vu croître de 151% sur la même période[1]. Le cloud computing devrait continuer sa progression : le marché global du Cloud computing sera 20 fois plus important en 2020 qu’en 2008.

Avec ces nouvelles pratiques, deux nouveaux risques émergent pour les entreprises, notamment le Bring Your Own Device (BYOD), qui consiste pour les salariés à utiliser leurs outils personnels au travail, et les réseaux sociaux, sur lesquels de plus en plus de collaborateurs postent des informations concernant leur entreprise.

Et parmi les menaces les plus redoutées des dirigeants, les cyberattaques sont considérées comme le troisième scénario ayant le plus d’impact sur leur organisation, bien avant le potentiel éclatement de la zone euro ou une catastrophe naturelle, selon l’étude annuelle de PwC « CEO Survey » lancée à Davos.

… mais celles-ci ne savent pas sécuriser ces nouvelles menaces.

Si l’adoption des nouveaux outils technologiques croît de manière exponentielle, leur sécurisation est beaucoup plus lente : seules 30% des entreprises françaises interrogées possèdent une stratégie de sécurité pour le Cloud, et seules 35%  ont mis en place une stratégie de sécurité spécifique à l’utilisation des appareils personnels (BYOD).

L’enquête de PwC révèle la difficulté des entreprises à gérer l’utilisation de leurs données. Si 80% des directeurs de sécurité interrogés affirment que la protection des données de leurs clients et de leurs salariés est un enjeu important pour leur entreprise, ils ne sont que 31%  à savoir exactement où les données personnelles de leurs clients et collaborateurs sont collectées, transmises et stockées – et seulement 23% en France. Ce décalage est d’autant plus risqué que selon une étude récente[2] de PwC, 73% des consommateurs interrogés affirment être prêts à partager des informations personnelles avec des entreprises mais 87% souhaitent contrôler la quantité d’information partagée.

 « Le “combat” des entreprises pour la sécurité de l’information est devenu complètement asymétrique.  La surface d’exposition des entreprises aux attaques informatiques ne cesse de croître, et il suffit à un attaquant de trouver une faille – le maillon le plus faible dans la surface exposée –  pour pénétrer dans les systèmes d’information et dérober des informations sensibles. Les règles ont changé, et les adversaires – anciens et nouveaux – se sont armés de compétences d’experts en technologie. Les risques encourus n’ont jamais été aussi élevés pour les entreprises » explique à Datasecuritybreach.fr Philippe Trouchaud, associé PwC, spécialiste de la sécurité informatique.

Un niveau de confiance des entreprises démesuré par rapport à la faiblesse des moyens mis en œuvre

Paradoxalement, alors que les menaces n’ont jamais été aussi fortes pour les entreprises, les dirigeants interrogés restent extrêmement confiants en France et dans le monde. En 2012, 63% des sondés en France, et 71% dans le monde affirment ainsi avoir toute confiance en l’efficacité de leurs systèmes de sécurité de l’information. Or, PwC n’a identifié que 8% des entreprises interrogées comme « leader », celles ayant su s’adapter, mettre en place la stratégie et les savoir-faire adaptés pour vaincre les nouvelles menaces.

L’étude montre aussi que seules 49% des entreprises réalisent une évaluation des menaces et des vulnérabilités.

« Cette confiance des entreprises dans leur système de protection semble démesurée. » commente à Data Security Breach Philippe Trouchaud. « Etant donné l’environnement actuel de menace élevée, les entreprises ne peuvent plus se permettre de jouer à un jeu de hasard. Elles doivent s’adapter à de nouvelles règles du jeu, qui exigent des niveaux de compétences plus élevés, des outils plus performants et une nouvelle stratégie pour gagner. »

Les budgets dédiés à la sécurité de l’information sont en faible hausse

Les budgets dédiés à la sécurité de l’information augmentent en France, mais faiblement. En 2011, 41% des entreprises françaises interrogées prévoyaient d’augmenter leur budget, elles sont 45% à le prévoir en 2012. Les entreprises françaises ont ainsi rattrapé le niveau mondial, qui lui accuse un net retrait, passant de 51% de dirigeants anticipant une hausse de leur budget sécurité en 2011 à 45% en 2012. Ce recul s’explique en grande partie par le contexte économique tendu.

En effet, presque la moitié des répondants (46%) classent les conditions économiques comme le principal facteur orientant les dépenses de sécurité. En France, le poids comparatif des conditions économiques dans l’orientation des budgets est encore plus net, puisque 44% des dirigeants interrogés expliquent que leur choix budgétaire en matière de sécurité de l’information est réalisé en fonction des conditions économiques, loin devant le risque pour l’image de l’entreprise – 27%.

Méthodologie « Global State of Information Security Survey 2013

L’Enquête « Global State of Information Security Survey 2013 » sur l’état général la sécurité de l’information a été publiée par PwC, CIO magazine et CSO magazine. Elle a été réalisée via internet du 1er février 2012 au 15 avril 2012. Plus de 9 300 CEO, CFO, CISO, CIO, CSO, vice présidents, et directeurs des technologies et sécurité de l’information de 128 pays étaient invités par mail à répondre à l’enquête.