Archives par mot-clé : rssi

Communiqué de presse, Cybersécurité

86 % des RSSI estiment que les failles de sécurité dans les réseaux d’entreprise sont inévitables

Les responsables de la sécurité des systèmes d’information des entreprises (RSSI) à travers le monde se retrouvent démunis lorsqu’il s’agit de combattre la cybercriminalité. Ils manquent d’influence auprès de la direction et éprouvent des difficultés à justifier les budgets dont ils ont besoin, ce qui conduit inévitablement à rendre leur entreprise plus vulnérable. C’est l’un des enseignements d’une nouvelle étude de Kaspersky Lab, révélant que 86 % (80% en Europe) des RSSI jugent aujourd’hui les failles de cybersécurité inévitables, les groupes cybercriminels à motivations financières étant leur principale préoccupation.

La montée des cybermenaces, conjuguée à la transformation numérique qu’opèrent actuellement de nombreuses entreprises, rend le rôle du RSSI de plus en plus important dans l’entreprise moderne. L’étude de Kaspersky Lab révèle que les RSSI sont aujourd’hui soumis à une pression sans précédent : 57 % d’entre eux estiment que les infrastructures complexes liées au cloud et à la mobilité représentent un défi majeur et 50 % s’inquiètent de la recrudescence continue des cyberattaques.

Les RSSI pensent que les bandes cybercriminelles à motivations financières (40 %) et les attaques venant de l’intérieur (29 %) constituent les principaux risques pour leur entreprise. Or il s’agit de menaces extrêmement difficiles à prévenir, soit car elles émanent de cybercriminels « professionnels », soit parce qu’elles bénéficient de l’aide d’employés indélicats.

Les difficultés à justifier les budgets mettent les RSSI en concurrence avec les autres départements de l’entreprise

Les budgets affectés à la cybersécurité tendent à croitre. Un peu plus de la moitié (56 %) des RSSI interrogés prévoient une augmentation de leur budget à l’avenir (seuls 49% en Europe), tandis que 38 % (49% en Europe) s’attendent à ce qu’il demeure stable.

Néanmoins, les RSSI se heurtent à des obstacles budgétaires majeurs car il leur est quasi impossible de garantir un retour clair sur investissement (ROI) ou une protection à 100 % contre les cyberattaques.

Par exemple, plus d’un tiers (36 %) des RSSI se disent dans l’incapacité d’obtenir le budget nécessaire en matière de sécurité informatique, faute de pouvoir garantir l’absence de faille. En outre, lorsque le budget de la sécurité s’inscrit dans les dépenses informatiques globales, les RSSI doivent rivaliser avec les autres départements. Le deuxième obstacle le plus fréquent à l’obtention d’un budget est en effet l’intégration de la sécurité dans l’ensemble des dépenses informatiques. En outre, un tiers des RSSI (33 %) indiquent que le budget qu’ils pourraient se voir attribuer va en priorité au numérique, au cloud ou à d’autres projets informatiques susceptibles de démontrer un ROI plus clair.

Les RSSI ont besoin d’une audience au sein de la direction à mesure que la transformation numérique se déroule

Les cyberattaques peuvent avoir des conséquences catastrophiques pour les entreprises : plus d’un quart des participants à l’enquête de Kaspersky Lab citent les atteintes à la réputation (28 %) et les préjudices financiers (25 %) comme effets les plus critiques d’une cyberattaque.

Cependant, en dépit de l’impact négatif d’une cyberattaque, seuls 26 % des responsables de la sécurité informatique sont membres de la direction de leur entreprise. Parmi ceux qui n’en font pas partie, un sur quatre (41% en Europe) pense que ce devrait être le cas.

La majorité des responsables de la sécurité informatique (58 %) s’estiment suffisamment associés aux prises de décisions dans leur entreprise à l’heure actuelle. Cependant, à mesure que la transformation numérique devient essentielle pour l’orientation stratégique des grandes entreprises, il doit en aller de même pour la cybersécurité. Le rôle du RSSI doit évoluer afin de refléter ces changements et de le mettre en capacité d’influer sur ces décisions.

Budget et cybersécurité

Maxim Frolov, Vice-président des ventes mondiales de Kaspersky Lab, commente : « Traditionnellement, les budgets de la cybersécurité étaient perçus comme des dépenses informatiques moins prioritaires mais ce n’est plus tellement le cas. Il est en effet temps d’éduquer les équipes dirigeantes des entreprises de la nécessité d’investir dans la cybersécurité. Il ne s’agit pas de garantir la prévention complète des incidents de sécurité, il s’agit surtout d’augmenter le coût d’une cyberattaque pour un attaquant. L’objectif est de rendre une attaque hors de portée financièrement, et de décourager les attaquants, faute de rentabilité. »

Plus important encore, il s’agit de permettre à l’équipe de sécurité de contrer immédiatement toute tentative de compromission des systèmes et réseaux de l’entreprise. Une faille majeure coûte en moyenne 1,08 millions d’euros à une grande entreprise, mais en prenant les mesures de sécurité nécessaires, ce montant peut décroître, voir disparaître. Ce qui ressemble alors à une décision business pertinente.

Cybersécurité, Entreprise, Fuite de données, Mise à jour, Patch, Propriété Industrielle, ransomware, Securite informatique

Failles de sécurité : responsables de la sécurité des systèmes d’information, pourquoi faire l’aveugle ?

Selon une enquête réalisée par ServiceNow, 90 % des responsables de la sécurité des systèmes d’information français déclarent que les failles de données dont ils ont connaissance ne sont pas traitées. Les RSSI augmentent l’efficacité de leur réponse aux incidents de sécurité en automatisant les tâches de sécurité et en hiérarchisant les menaces en fonction du risque pour l’entreprise.

Une nouvelle enquête menée par ServiceNow, the enterprise Cloud company, auprès de 300 responsables de la sécurité des systèmes d’information (RSSI — Chief Information Security Officer, CISO) du monde entier souligne la nécessité d’adopter une nouvelle approche pour répondre à l’augmentation du nombre de menaces qui pèsent sur la sécurité des données, ainsi qu’à la hausse de leur coût. Selon cette étude intitulée « The Global RSSI Study: How Leading Organizations Respond to Security Threats and Keep Data Safe », 90 % des RSSI français indiquent que les failles de données détectées ne sont pas traitées (80 % au niveau mondial) et 68 % déclarent pour leur part éprouver des difficultés à hiérarchiser les menaces en fonction du risque qu’elles représentent pour l’entreprise.

Ces lacunes ont un coût : 14 % des RSSI français (13 % au plan mondial) déclarent avoir vécu au cours des trois dernières années une importante faille de sécurité ayant eu un impact important sur l’image ou les finances de leur entreprise. Les processus manuels, le manque de ressources et de talents, ainsi que l’impossibilité de hiérarchiser les menaces grèvent l’efficacité de la réponse aux incidents de sécurité. Résultat, les RSSI augmentent l’automatisation des tâches de sécurité pour répondre et remédier aux failles de sécurité avec une plus grande efficacité.

« En France, les RSSI consacrent de plus en plus de temps à prévenir et détecter des failles de sécurité, mais notre étude souligne que c’est sur la réponse à apporter qu’ils devraient se concentrer », a déclaré Matthieu de Montvallon, Directeur Technique de ServiceNow France. « L’automatisation et l’orchestration de la réponse aux incidents de sécurité constituent le chaînon manquant qui empêche les RSSI d’accroitre de façon significative l’efficacité de leurs programmes de sécurité ».

Principales conclusions de l’étude menée en France via la réponse de responsables de la sécurité des systèmes d’information

· seulement 18 % des RSSI interrogés considèrent que leur entreprise lutte très efficacement contre les failles de sécurité (19 % à l’échelle mondiale) ;

· ce sont les clients qui souffrent le plus de ces lacunes : seulement 38 % des RSSI — en France et dans le monde — pensent protéger les données de leurs clients de façon très efficace contre les failles de sécurité ;

· environ un cinquième des RSSI français (22 %) déclare que les processus manuels entravent la capacité de leur entreprise à détecter des failles de sécurité et à y faire face ; 26 % d’entre eux imputent cette difficulté au manque de ressources ;

· seulement 4 % des RSSI français estiment que leurs employés disposent des compétences nécessaires pour hiérarchiser avec succès les menaces qui pèsent sur la sécurité, contre 7 % au plan mondial.

Au sein du panel couvert par cette enquête, un petit groupe (11 % à l’échelle mondiale et 14 % en France) de « leaders dans la lutte contre les incidents de sécurité » affiche une tendance différente en ce sens où ils souhaitent :

· automatiser un pourcentage supérieur d’activités de sécurité, en incluant des tâches plus avancées telles que les rapports de tendances ;

· hiérarchiser les réponses aux alertes de sécurité en fonction du niveau de risque pour l’entreprise ;

· et nouer des relations plus étroites avec la DSI et autres services de l’entreprise.

Communiqué de presse

WannaCry un coup de semonce mondial à moindre frais pour les RSSI ?

RSSI versus pirate ! La propagation mondiale d’une rapidité sans précédent de WannaCry et de ses variantes qui exploitent une vulnérabilité d’exécution de code à distance, a fortement mobilisé les RSSI (Responsables Sécurité des Systèmes d’Information) et les équipes en charge de la cybersécurité des entreprises et des administrations durant le week-end du 13 mai et des jours qui ont suivis. Le baromètre annuel Cesin-Opinionway situait cette année encore le ransomware au premier rang des menaces pour la sécurité des systèmes d’information, le Cesin a fait un point dès le début de la semaine avec ses membres sur l’impact de ce malware particulièrement virulent.

Le Club des Experts de la Sécurité de l’Information et du Numérique (CESIN)  dresse le bilan d’une semaine agitée. Un sondage flash effectué auprès des RSSI, membres de l’association, apporte un éclairage sur l’incidence de cette attaque. Même si la majorité des entreprises interrogées avait, au moins partiellement, déjà déployé les correctifs de sécurité pour la faille de sécurité Microsoft adressée par un correctif disponible dès le mois d’avril 2017, une grande partie d’entre elles a mis en place une cellule de crise, ou une cellule de vigilance renforcée dès le soir du vendredi 12 mai, voire durant le week-end, afin d’apprécier l’évolution de la situation opérationnelle sur la planète et d’effectuer les actions préventives nécessaires.

De larges campagnes de communication ont été réalisées auprès des utilisateurs mais aussi auprès des équipes de support, indiquant notamment comment se présente un poste infecté ainsi que la marche à suivre en cas de détection d’une infection. Un déploiement massif du correctif de sécurité a été entrepris pour les entreprises et administrations qui n’étaient pas à jour. Des mesures d’urgence ont consisté en la mise en œuvre de campagnes spécifiques de mises à jour complémentaires pour les plates-formes qui ne sont plus maintenues par Microsoft comme Windows XP ou Windows 8. Certaines machines ne pouvant recevoir de correctifs de sécurité ont même été arrêtées. Ces campagnes de mises à jour ont créé des sollicitations fortes auprès des sociétés d’infogérance pour ceux qui y recours qui ont dû répondre à une très forte demande de leurs clients. Les entreprises ont mis en œuvre des filtrages réseaux afin de limiter les flux entrant sur les ports vecteurs de l’infection. Des mises à jour des antivirus et règles de surveillance de SOC ont été établies, ainsi qu’une surveillance accrue des connexions aux botnets et domaines douteux et de l’apparition éventuelle d’extensions de fichiers indiquant le démarrage d’une infection. Les dispositifs de sauvegarde ont été vérifiés afin de s’assurer de l’efficacité des restaurations si une infection survenait.

Au cours de la semaine, deux attaques exploitant la même faille de sécurité que WannaCry ont été identifiées, entrainant de nouvelles actions de filtrage, de recherche de compromissions éventuelles et de monitoring.

La menace reste élevée et une veille constante est assurée par l’ensemble des organisations. Le CERT-FR publie d’ailleurs régulièrement de nouvelles informations. D’autres failles de sécurité ainsi que des outils exploitant ces vulnérabilités ont été divulgués et sont en mesure d’entraîner à court terme de nouveaux épisodes de cyber-attaques à grande échelle. La crise étant encore en cours, il est trop tôt pour en tirer toutes les conclusions. On peut néanmoins s’interroger sur la nécessité de créer des circuits de communication particuliers afin d’échanger avec les agences étatiques autour des vulnérabilités les plus dangereuses non encore publiques. Le CESIN réfléchit quant à lui sur la mise en place d’un tel circuit d’échange d’information réservé à ses membres. De même, les failles étant exploitées par les agences de renseignements, il apparait opportun de déployer des systèmes de sécurité différents de ceux qui sont présents dans les systèmes d’information de leurs cibles.

Le CESIN n’ignore pas les relations particulières entre les services étatiques et les éditeurs. En l’espèce, il déplore le manque de transparence de Microsoft quant à la dangerosité effective de la faille MS17-010, qui semble par ailleurs avoir été utilisée par certains services de renseignement, mais apprécie sa fourniture rapide de correctif pour des environnements plus supportés tels que Windows XP.

Par ailleurs, le Cesin salue le travail indépendant des trois chercheurs français qui ont œuvré à la création du logiciel nommé Wanakiwi (Benjamin Delpy, Matthieu Suiche et Adrien Guinet), une solution validée par l’office de Police européenne Europol, permettant de récupérer l’accès aux données verrouillées (à la condition toutefois que ces machines n’aient pas subi de redémarrage). Cette solution développée dans l’urgence fonctionne, dans le périmètre de la version actuelle du malware, sur Windows XP, Windows Vista et Windows 7.

Cette crise a, une fois de plus, démontré que le RSSI qui est au centre de la protection du patrimoine informationnel de l’entreprise par temps calme, se retrouve en première ligne de la cyber défense dans la tourmente. Elle montre également que les principes parfois d’extrême précautions des entreprises qui ne patchent pas par crainte de dysfonctionnement des applications vont devoir désormais choisir entre le risque de subir de telles attaques ou s’en prémunir en appliquant les correctifs sans nécessairement faire des tests de non-régression complets.

Enfin le CESIN souligne l’impérieuse nécessité de la synergie entre toutes les parties prenantes de la cybersécurité.

Chiffrement, Communiqué de presse, Justice, loi, RGPD

RSSI, un métier qui bouge

La place et la perception de la sécurité du numérique sont en pleine évolution dans les entreprises. La transformation numérique est désormais stratégique pour elles. La conscience des cyber-risques, longtemps négligés par les dirigeants, augmente avec la nécessité de se mettre en conformité avec une réglementation sévère. Bien au-delà du Service Informatique, les cyber-menaces sont désormais des risques économiques, mais aussi d’image pour l’entreprise, touchant la Direction générale, la Direction financière et le marketing. Une vision globale qui fait bouger la fonction de Responsable de la Sécurité des Systèmes d’Information.

Le RSSI conserve bien sûr son rôle technique. Mais il est désormais au cœur d’un dispositif qui l’oblige à « communiquer » avec les métiers, à expliquer les mesures de sécurité adoptées et leurs contraintes. Il doit convaincre la Direction générale, de la nécessité d’investir dans certaines technologies. Le RSSI devient un partenaire et un conseiller pour chaque métier : la sécurité est l’affaire de tous.

La sécurité change de niveau

La culture numérique est inscrite dans la pratique quotidienne des générations des années 2010. La distinction entre les outils de la vie privée et ceux de la vie professionnelle s’estompe. Le RSSI doit adapter son action, devenir plus réactif et plus agile. L’écosystème des solutions de sécurité s’élargit, et avec lui le champ du métier. La mutation est plus qu’amorcée, elle est déjà inscrite, par exemple, dans la pratique des métiers marchands connectés. Le RSSI est devant d’énormes volumes de données complexes dont l’intégrité doit être conservée face aux cyber-attaques. Pour répondre à cette accélération des volumes et à cette complexité, il a besoin de disposer de capacités d’analyses de plus en plus performantes pour traiter et analyser ce que l’on nomme le Big Data. Les outils ont eux-mêmes évolué, intégrant des fonctionnalités plus riches et une souplesse toujours plus grande. Ses responsabilités ont donc très largement augmenté, tout en se diversifiant. Cette expertise très ouverte fait qu’il doit manier des outils qui élargissent son champ d’action tout en lui permettant de se concentrer sur son métier de garant de la sécurité.

Rssi : Des outils qui répondent à l’exigence

Les solutions à sa disposition doivent donc être très performantes tout en restant faciles à utiliser et simples à maintenir. Le SIEM (security information and event management) est l’unique moyen automatisé pour un RSSI de traiter les données des logs générés par le réseau et les outils de sécurité. Tout produit connecté générant des logs, ceux-ci sont collectés, corrélés et analysés pour détecter et bloquer les mouvements suspects ou les attaques et alerter sur les dysfonctionnements. Désormais, les solutions de SIEM agissent en agrégeant les informations internes et externes issues des bases de données de Threat intelligence ou de réputation.

Une plateforme de gestion des informations et des événements de sécurité doit être très flexible pour collecter, analyser et surveiller toutes les données, qu’elles viennent du réseau, des applications, des bases de données, des infrastructures, qu’elles concernent des actifs sensibles, des systèmes industriels ou des systèmes de sécurité.

Rssi : Faire sienne la réglementation

Des obligations comme le Règlement Général sur la Protection des Données ou la Loi de Programmation Militaire imposent en France de mettre en place une solution permettant à l’entreprise de respecter ces règlements, sous peine de pénalités financières. Le RSSI doit anticiper ces obligations, intégrant ainsi dans sa démarche la responsabilité de l’entreprise. Il a besoin de s’appuyer sur des expertises et des solutions qui s’adaptent facilement pour rester en phase avec ses besoins – anticipation des demandes de conformité, défense transparente contre la cybercriminalité et la fraude et optimisation des opérations IT… La tâche n’est pas mince pour relever ce challenge permanent de l’évolution des compétences, des connaissances et des risques. (par Frédéric Saulet, Directeur Régional Europe du Sud de LogPoint)

Chiffrement, cryptage, Cybersécurité, Emploi, Entreprise, Fuite de données, Propriété Industrielle

Le patron sourd aux attaques informatiques ?

Si les RSSI en Europe tiennent la forme au plan de la cybersécurité, les échanges avec leurs directions s’avèrent tendus s’agissant de la notification des attaques. L’étude commandée par Palo Alto Networks établit également que les responsables de la sécurité informatique accueillent favorablement la législation de l’UE, mais redoutent les coûts et contraintes opérationnelles.

Une idée reçue veut que les professionnels de la sécurité informatique en Europe soient sous la coupe de leurs adversaires en matière de cybersécurité. Pourtant, une nouvelle étude approfondie sur les mentalités actuelles, réalisée pour Palo Alto Networks par un cabinet indépendant, met en évidence une profession plus déterminée et sûre d’elle qu’on ne pourrait le croire.

Les véritables tensions ressenties par les responsables de la sécurité informatique dans leur vie professionnelle ont trait aux échanges difficiles qu’ils ont immanquablement avec leurs supérieurs hiérarchiques au sujet des conséquences de ces attaques. Le rapport met également en évidence la nécessité de muscler les systèmes et processus, dans la perspective de notification des failles de sécurité exigée par le Règlement général de l’Union européenne sur la protection des données (RGPD) et la Directive NIS sur la sécurité des réseaux et des systèmes d’information.

Par ailleurs, plusieurs années de cyberattaques n’ont pas fait chanceler les professionnels de la sécurité informatique, au contraire : ils sont encore plus expérimentés et résolus à les contrer. Interrogés sur la manière dont ils réagiraient face à un cyberincident, ils avouent, pour la majorité (60 %), qu’ils y verraient là l’occasion de tirer les leçons de cette expérience et de rebondir ; 9 % seulement songeraient à donner leur démission. En Europe, la stratégie dominante consiste à tout miser sur la prévention puisque, en moyenne, 65 % du budget de la sécurité informatique lui est consacrée.

Là où les professionnels de la sécurité informatique sont moins à l’aise, c’est dans leurs relations avec la direction de l’entreprise :

·    Perplexité des hauts responsables sur les questions de sécurité – Après une faille de sécurité, près du tiers (32 %) des professionnels de la sécurité informatique constatent le désarroi de leurs supérieurs hiérarchiques, totalement perplexes sur les causes réelles de cet incident ; si, pour près d’un professionnel interrogé sur cinq, la direction rejette la responsabilité sur l’équipe en charge de la sécurité informatique, elle adresse personnellement des reproches à un professionnel sur dix.

·    La sécurité est un sujet de conversation délicat – Si la moitié des professionnels de la sécurité informatique (51 %) ont bien du mal à attirer l’attention de leur direction sur les déficiences éventuelles des systèmes de sécurité, le reste (49 %) a davantage de difficultés à admettre que quelque chose n’a pas fonctionné et qu’une faille s’est produite. Le dialogue devient extrêmement compliqué lorsque l’erreur humaine est en cause (28 %), que la faute est imputable à un fournisseur (23 %) et que davantage d’investissements sont nécessaires pour limiter les risques à l’avenir (21 %).

·    Impliquer la direction risque de se retourner contre eux – Le tiers des professionnels de l’informatique estime qu’en associant la direction, ils ne font que compliquer les choses. À noter que la troisième raison la plus couramment avancée pour ne pas signaler un incident tient au fait que la personne à l’origine de celui-ci faisait partie de l’équipe dirigeante.

·    La législation européenne ne fait qu’accroître les tensions managériales en interne – Près de la moitié des professionnels de l’informatique (47 %) s’attendent à des échanges « corsés » avec leur direction concernant ces nouvelles exigences de notification en matière de failles de sécurité. Même si la majorité (63 %) voit d’un bon œil l’impact de cette législation, les participants à l’étude s’inquiètent des coûts et complications supplémentaires induits ainsi que des contraintes opérationnelles que les nouveaux textes risquent d’entraîner (56 %). Si la principale raison avancée aujourd’hui pour ne pas faire état d’une faille de sécurité a trait au caractère insignifiant de celle-ci (30 % des cas) ou au manque de temps du professionnel de l’informatique (27 %), il est évident que d’immense défis restent à relever.

« Tensions et méconnaissance sont manifestes, au vu de cette étude. Dans mes échanges avec les acteurs en région EMEA, je consacre énormément de temps à les aider à déterminer dans quelle mesure les professionnels de la sécurité informatique et le reste des équipes dirigeantes peuvent se rapprocher sur des questions de cybersécurité aussi complexes et stratégiques. La technologie peut contribuer à simplifier les processus en jeu, en prévenant les incidents et en automatisant les réponses à apporter. Mais, à l’évidence, un dialogue plus ouvert s’impose au sein même de l’équipe dirigeante afin de mettre en œuvre et perfectionner perpétuellement les stratégies de prévention des cyberattaques »,  Greg Day, vice-président et directeur régional de la sécurité EMEA, Palo Alto Networks

Réussir à parler un même langage : Nombre de hauts responsables ont des difficultés à appréhender le cyber-risque. Faites en sorte qu’ils parviennent à le maîtriser en définissant des indicateurs clairs en matière de cybersécurité :

·    Dans le cadre de votre stratégie de prévention, associez ces dirigeants à un exercice de préparation destiné à tester les processus de cybersécurité ; ils pourront ainsi mesurer pleinement les problématiques et les risques.

·    Insistez sur le fait qu’avec les nouvelles réglementations, comme le RGPD et la Directive NIS, les responsabilités de l’entreprise sont accrues. Même si la nécessité d’une cybersécurité de pointe n’a jamais été aussi forte, gardez à l’esprit que le parcours de l’équipe de direction n’a rien d’un long fleuve tranquille.

Les incidents sont inévitables, alors préparez-vous à les affronter. Sachez néanmoins que vous pouvez éviter nombre d’entre eux en vous recentrant sur certains principes clés, en tirant parti de l’automatisation, en misant sur la formation et en privilégiant la prévention.

Cloud, Cybersécurité, Entreprise

Cloud : 10 recommandations pour maîtriser les risques

Face à l’adoption massive des offres Cloud, le Club des Experts de la Sécurité de l’Information et du Numérique se mobilise et entend diffuser quelques bonnes pratiques avant de « confier les clés ».

Le Cesin a mobilisé 130 de ses membres, soit la moitié de ses adhérents autour de la thématique du Cloud et des bonnes pratiques en matière de sécurité. Face à l’explosion du phénomène d’externalisation des données, il est fondamental pour le Cesin d’adopter une gestion des risques et de sécurité adaptée pour continuer d’assurer une protection efficace et cohérente des données de l’entreprise.

Selon les résultats du baromètre Cesin-OpinionWay 2016, 85% des entreprises stockent des données dans un Cloud. Si la pratique tend à se banaliser, face aux enjeux induits par l’émergence des offres disponibles sur le marché, le Cesin met en garde les dirigeants d’entreprises contre certaines dérives. L’association a confronté ses membres et un panel de spécialistes, dont l’Anssi, la CNIL et des juristes spécialisés, afin d’élaborer 10 recommandations issues de la réflexion et du partage d’expériences.

Longtemps cantonné aux recours ponctuels à des services SaaS, parfois directement par les métiers sans passer par la DSI, les grandes décisions désormais d’actualité en matière d’externalisation massives de données dans le Cloud entrainent une profonde évolution du SI de l’entreprise et des métiers qui le gèrent. Une des grandes tendances constatées ces derniers mois par le Cesin, concerne les projets de migration vers Office 365. En cas de recours à l’option Cloud, cette migration pose des interrogations cruciales puisqu’elle modifie à la fois les usages, une partie de la stratégie de la DSI, les politiques de sécurité des systèmes d’information (PSSI) et leurs modes de contrôle.

Alain Bouillé, Président du Cesin, indique que : « L’arbitrage des opportunités versus risques doit être pris au niveau le plus haut de l’entreprise car les données concernées sont bel et bien des données cœur de métier. »

Les débats ont amené plusieurs pistes de réflexion portant sur la localisation des données, qui se heurte aux réglementations européennes, leur protection liée à une exposition nouvelle dans des clouds publics, le niveau de sécurité proposé par l’éditeur pas toujours à la hauteur des enjeux des plus exigeants, la perte de maitrise en matière de traçabilité des actions, la négociation des contrats avec les géants de cette industrie, qui nécessite une véritable expertise, les difficultés voire l’impossibilité d’auditer les solutions, ou encore les risques d’enfermement et donc l’irréversibilité de certaines solutions. Même si l’effet Snowden s’efface des mémoires avec le temps, il est utile de rappeler les risques pour certaines entreprises liées aux obligations des entreprises américaines vis-à-vis du Patriot Act.

Charles Schulz, membre du bureau de la politique industrielle à l’Anssi évoque les travaux en cours sur le référentiel «secure cloud» qui aboutira à la certification des offreurs libres d’en faire la demande. Quant aux accords commerciaux, il précise : « Si vous êtes dans une société multinationale évitez les contrats locaux et négociez un contrat global groupe, cela donne plus de poids à la négociation ; en outre exigez un contrat rédigé en français et signé dans un pays européen. Les phrases du type « seule la version anglaise fera foi » n’ont pas de valeur légale et doivent être supprimées. »

La version publique du référentiel de l’ANSSI et les recommandations pour maîtriser le Cloud est prévue pour le second trimestre 2016.

Garance Mathias, Avocat à la Cour, ajoute que : « l’externalisation reste un choix stratégique pour les entreprises et les administrations, et qu’il convient d’être accompagné dans la mise en œuvre de ce choix. » En effet, indépendamment de la négociation des contrats, les réglementations sectorielles doivent être intégrées, et les bonnes pratiques juridiques opérationnelles prises en compte dès le début du projet (localisation des données, politique de sous-traitance, quelle protection de la propriété intellectuelle, du patrimoine informationnel ? Quelles sont les mesures de protection des données personnelles ?…). Garance Mathias, précise en outre qu’ « Il est important d’évoquer la sortie du contrat, terme ou résiliation, avec les impacts opérationnels ainsi que le traitement des données personnelles. A la suite de la conclusion du contrat, ce dernier peut, compte tenu de l’évolution des textes ou du secteur d’activité, faire l’objet d’avenant, comme à la suite de l’invalidation du safe harbor. »

In fine, un contrat ne doit pas rester figé, il doit refléter l’accord des parties tout au long de son éxécution, d’autant que sa durée peut être longue, notamment dans le cadre des renouvellements par tacite reconduction.

Les 10 recommandations pour maîtriser ses projets Cloud
Estimez la valeur des données que vous comptez externaliser ainsi que leur attractivité en termes de cybercriminalité.
S’il s’agit de données sensibles voire stratégiques pour l’entreprise, faites valider par la DG le principe de leur externalisation.
Evaluez le niveau de protection de ces données en place avant externalisation.
Adaptez vos exigences de sécurité dans le cahier des charges de votre appel d’offre en fonction du résultat du point 1.
Effectuez une analyse de risque du projet en considérant les risques inhérents au cloud comme la localisation des données, les sujets de conformité et de maintien de la conformité, la ségrégation ou l’isolement des environnements et des données par rapport aux autres clients, la perte des données liée aux incidents fournisseur, l’usurpation d’identité démultipliée du fait d’une accessibilité des informations via le web, la malveillance ou erreur dans l’utilisation, etc. Sans oublier les risques plus directement liés à la production informatique : la réversibilité de la solution et la dépendance technologique au fournisseur, la perte de maîtrise du système d’information et enfin l’accessibilité et la disponibilité du service directement lié au lien Internet avec l’entreprise.
Outre ces sujets, exigez un droit d’audit ou de test d’intrusion de la solution proposée.
A la réception des offres analysez les écarts entre les réponses et vos exigences.
Négociez, négociez.
Faites valider votre contrat par un juriste. Si vous êtes une entreprise française, ce contrat doit être rédigé en français et en droit français.
Faites un audit ou un test d’intrusion avant démarrage du service (si cela est possible) et assurez-vous du maintien du niveau de sécurité de l’offre dans le temps.

Cyber-attaque, Cybersécurité, Emploi, Leak

Equipes de sécurité – l’humain au cœur du dispositif de défense

Fin de règne pour les produits magiques de sécurité – Retour aux travaux manuels ? Les 15 dernières années ont vu fleurir un nombre incroyable de produits « magiques » de sécurité informatique. Leur point commun étant leur capacité à opérer sans ou avec très peu de ressources humaines impliquées. Le meilleur exemple de cette évolution est probablement l’avènement de l’IPS, pensé pour remplacer le bon vieil outil IDS trop consommateur de ressources dans l’analyse des évènements de sécurité. « Si on peut détecter, autant décider de bloquer automatiquement ! ».

Seulement, de nos jours, la majorité des attaques sérieuses et ciblées, commanditées et réalisées sur mesure sont détectées à posteriori par l’entreprise et souvent grâce à un signal faible, voire même un coup de chance (comportement étrange, remontée utilisateur, nouveau flux détecté, etc.). Ces attaques ne peuvent donc pas être bloquées à priori car elles sont pensées pour passer au travers (ou à coté) des outils de détection classiques. Ces outils continuent de détecter et de stopper une majorité d’attaques non ciblées ou non sophistiquées générant des signaux forts (exploit frontal de vulnérabilités réseau par exemple).

Pour adresser le risque lié aux attaques ciblées commanditées et hautement financées, il est nécessaire de changer de posture de défense et de repositionner l’humain au centre des décisions.

Ainsi, on demande aujourd’hui aux IPS de nouvelle génération (NGIPS) d’être capables de remonter des Indicateurs de Compromission. Ceux-ci sont des évènements de sécurité qui, une fois corrélés et enrichis par le contexte local du réseau, font apparaître des soupçons forts de compromission pour telle ou telle machine du réseau. Comme il s’agit de soupçons et uniquement de soupçons, l’IPS Next-Generation ne peut pas décider de bloquer sans l’avis expert d’un analyste de sécurité.

Ne serait-ce pas un retour à la détection d’intrusion ? Quoi qu’il en soit, les Indicateurs de Compromission et l’expertise de l’équipe qui analyse ces indicateurs sont clés dans la capacité de détection de la présence d’une attaque ciblée sur un réseau.

Un nouveau métier pour les analystes et un besoin pour de nouveaux processus et outils : le Forensic et la remédiation
La découverte d’une attaque ciblée ouvre un chantier nouveau et ardu qui doit faire partie intégrante de la nouvelle posture de défense de l’entreprise. L’attaque est réelle, il faut être capable d’en définir le scope, d’en comprendre la dynamique complète avant de décider de se découvrir en reprenant le contrôle et en l’annihilant.

De nouveaux processus et outils sont nécessaires à cette tâche. Il faut de réelles capacités de Forensic et de retour en arrière. La capacité de remonter le temps pour comprendre le scénario d’attaque et son niveau de déploiement est nécessaire pour décider de la « bascule » (reprise du contrôle et suppression des codes ennemis déployés).

Pour la « bascule » également, il faut adopter de nouvelles capacités techniques et opérationnelles. Souvent, une telle attaque a permis de déployer un écosystème de malwares avancés sur un grand nombre de machines du réseau. Une bascule efficace doit être brutale et globale. Or, ces capacités n’étaient que très rarement intégrées dans les postures de sécurité historiquement adoptées dans les entreprises.

Encore une fois, que ce soit sur les tâches de recherche et de compréhension de l’attaque ciblée sophistiquée et sur les tâches de « bascule » et de reprise de contrôle, la compétence des ingénieurs sécurité en charge du sujet est la clé pour le succès de l’opération. (Par Cyrille Badeau, Directeur Europe du Sud, Sourcefire pour DataSecurityBreach.fr)

Chiffrement, cryptage, Cyber-attaque, Entreprise, Fuite de données, Leak, Linkedin, Patch, Propriété Industrielle, Sauvegarde, Sécurité

Les responsables informatiques aveugles face aux failles de sécurité des réseaux d’entreprise ?

Dimension Data, le fournisseur mondial de services et de solutions informatiques, a déclaré à Data Security Breach que le nombre de périphériques vulnérables sur les réseaux informatiques d’entreprise a chuté entre 2011 et 2012, passant de 75 % à 67 %. Même s’il s’agit du chiffre le plus bas en deux ans, cette tendance met en évidence l’approche laxiste en matière de sécurité actuellement adoptée par les gestionnaires de réseau.

Telle est l’une des conclusions tirées dans le Baromètre des réseaux 2013 publié aujourd’hui par Dimension Data. Depuis son lancement en 2009, le Baromètre des réseaux informe de l’état des réseaux à l’échelle mondiale, en compilant des données en provenance des entreprises et les résultats des audits Technology Lifecycle Management (TLM) réalisés par Dimension Data dans le monde au cours de l’année écoulée. Ce rapport analyse la capacité opérationnelle des réseaux en évaluant la présence de failles de sécurité, le statut en fin de vie et le respect des bonnes pratiques de configuration des périphériques réseau. Aujourd’hui, Dimension Data affiche au compteur plus de 1 200 audits réalisés ces cinq dernières années, grâce à la solution Technology Lifecycle Management (TLM), auprès d’entreprises de toutes tailles et opérant dans tous les secteurs d’activités.

Comme l’explique à datasecuritybreach.fr Raoul Tecala, directeur du développement commercial de l’activité Intégration réseau chez Dimension Data : « Certaines failles de sécurité présentes depuis des années n’ont toujours pas été corrigées — et ce, malgré la proactivité dont font preuve certains fournisseurs comme Cisco Systems avec l’envoi d’alertes en cas de correctifs et les constantes mises à niveaux de leurs logiciels et systèmes. (…) « L’élimination de toutes les failles de sécurité peut constituer un défi de taille dans le cas d’environnements complexes d’envergure. Il convient toutefois de mettre en balance les perturbations subies et les efforts nécessaires, d’une part, avec les répercussions potentielles et les mesures qui s’avèrent indispensables. Bien que les réseaux semblent actuellement moins en proie aux failles de sécurité, la proportion importante de périphériques vulnérables se maintiendra jusqu’à l’application d’un correctif logiciel ou à la mise à niveau vers une nouvelle version plus sécurisée du code. »

Data security breach conseille aux entreprises de concentrer leurs efforts sur les failles de sécurité qui représentent le plus grand danger. « Plus le périphérique est proche d’Internet, plus le risque est important. Par conséquent, les entreprises doivent se montrer vigilantes et nous leur recommandons de mettre en place un système visant à évaluer, à hiérarchiser et à corriger en permanence les failles de sécurité des réseaux. termine Raoul Tecala, Même si les réseaux informatiques paraissent aujourd’hui moins vulnérables, bon nombre des failles de sécurité restantes sont difficiles à supprimer complètement et on en identifie de nouvelles chaque année. Il serait donc malvenu de se reposer sur ses lauriers ».