Lors d’un incident de sécurité, les impacts financiers et métiers peuvent être considérables, au point, parfois, de forcer l’entreprise à mettre la clé sous la porte. Parmi les principaux impacts, on peut énumérer les suivants :
Personnelles : Que l’attaque concerne un simple forum, un site d’e-commerce ou le système d’information complet de l’entreprise, les hackers sont bien souvent en mesure de récupérer des données personnelles des clients, des employés, des candidats, etc.
La fuite de données doit être déclarée par l’entreprise victime, qui peut se voir infliger une amende par la CNIL allant jusqu’à 4% de son chiffre d’affaires mondial. Exemple : Fuite de données de santé : sanction de 1,5 million d’euros à l’encontre de la société DEDALUS BIOLOGIE
Métier : Dans le cadre d’espionnage industriel ou pour revendre les données volées au marché noir, ce type de fuite de donnée peut faire perdre un avantage concurrentiel important.
Les données volées peuvent également contenir des informations compromettantes pour l’entreprise (plan de licenciement, acquisition future, données financières confidentielles) dont la divulgation pourrait avoir des conséquences graves.
En France, une fuite de données personnelles doit obligatoirement être déclarée. On imagine facilement que les utilisateurs d’une plateforme puissent décider de boycotter cette dernière si elle a démontré qu’elle n’était pas capable de protéger leurs données personnelles.
C’est d’autant plus le cas lorsqu’il s’agit d’une entreprise réputée pour traiter des données particulièrement confidentielles (banque, gestionnaire de mot de passe, hébergeur,...). Exemple : Hackers hit authentication firm Okta, customers 'may have been impacted’
Toujours sur le plan de l’atteinte à l’image de marque, le site peut également être défacé (son contenu est remplacé par l’attaquant) pour promouvoir une idéologie en désaccord avec les valeurs de l’entreprise (terrorisme, propagande...)
L’indisponibilité, causée par une attaque par déni de service (DOS) ou un ransomware peut entraîner des manques à gagner élevés, au-delà même parfois de la rançon demandée par les pirates, notamment dans le cas d’une plateforme d’e-commerce.
Sur le terrain, nous avons pu observer que les attaquants utilisent 2 types d'approche :
On comprend alors qu’il n’y a pas “un” profil type d’attaquant. Les entreprises sont confrontées à une population hétérogène d’attaques, menées parfois par de véritables organisations cybercriminelles, par un simple adolescent en quête de reconnaissance ou par un concurrent peu scrupuleux. Au même titre, les motivations de ces personnes sont donc multiples. En résumé nous pouvons hiérarchiser les motivations suivantes :
Dans le monde de la cybersécurité, il est courant d’opposer d’un côté les défenseurs (aussi parfois appelés Blue Team), et les attaquants (Red Team).
Le travail de la blue team est rendu bien plus difficile que celui de la red team en raison d’une inégalité bien connue dans l’informatique :
Le niveau de sécurité d’un système d’information est donné par celui de son maillon le plus faible.
Cela signifie que la sécurisation d’une infrastructure ne doit rien omettre, car il suffit d’un seul élément vulnérable pour permettre aux attaquants de s’engouffrer dans la brèche et ainsi prendre le contrôle de l’ensemble du système d’information.
Dans la pratique il existe des façons de mitiger ces impacts et d’éviter de se retrouver dans ce genre de situations, notamment via le principe de défense en profondeur.
Si le concept de piratage est presque aussi vieux que l’informatique elle-même, le domaine de la cybersécurité a connu un véritable engouement ces dernières années. Cela est dû notamment à la médiatisation de nombreux incidents de sécurité et à l’augmentation constante de ces derniers au cours du temps.
Ces incidents ne sont pas le fruit du hasard, ils s’expliquent au travers des 3 constats suivants faits lors d’audits de sécurité :
Lorsque l’on analyse l’ensemble des dysfonctionnements et causes évoqués précédemment, on peut identifier une cause initiale, directement à l’origine de l’explosion du nombre d’incident de sécurité aujourd’hui : le manque de visibilité et de connaissances dans ce domaine.
En effet, pour rappeler en quelques mots ce qui a été dit dans les parties précédentes, nous avons fait le constat que les entreprises ne connaissent souvent pas :
Ce manque de visibilité induit un manque de moyens dédiés à la sécurité, ce qui induit a son tour :
Ce qui, dans le même temps contribue à maintenir une visibilité et une connaissance cyber faible chez les entreprises. La boucle est bouclée.
Il existe deux façons principales de briser ce cercle vicieux :
Un audit de sécurité consiste à faire vérifier par des experts le niveau de sécurité de tout, ou partie d’un système d’information.
Un audit de sécurité peut être conduit via 3 approches différentes :
Un audit de sécurité peut avoir plusieurs formes et cibler des éléments très hétérogènes. Voici quelques-uns des audits qui sont les plus courants :
Après un audit de sécurité, un rapport de vulnérabilités est remis au client avec une liste d’actions à réaliser pour corriger ces vulnérabilités. Certaines entreprises comme Padok proposent également de prendre en charge l’implémentation des correctifs à l’issue de l’audit.
Il faut garder à l’esprit qu’un audit représente une photo, prise à un instant donné du périmètre audité. Ainsi, afin de tirer le maximum de profit d’un audit, il est primordial d’enclencher les chantiers de sécurisation sans tarder et de tirer le plus de leçons possibles de l’audit lors des opérations futures ayant lieu sur le Système d’information.
Des dizaines de vulnérabilités sont découvertes et enregistrées chaque jour. À titre d’exemple, en 2021, 20 171 vulnérabilités ont été enregistrées dans la base de CVE (Common Vulnerabilities and Exposures) et ce chiffre augmentera de 30% en 2022. Le monde de la sécurité informatique évolue rapidement et nous l’avons évoqué dans la première partie de cet article, la cybersécurité est un métier à part entière. A ce titre, il est primordial pour les entreprises, même de petite taille, de se mettre dans une démarche de sécurisation de leur système d’information et de s’entourer de professionnels de la cybersécurité.
Du point de vue macroscopique, cette démarche consiste à :
L’hygiène de sécurité consiste pour une entreprise à intégrer ces démarches d’audit et de sécurisation régulières au sein de ses processus. Avoir une bonne hygiène de sécurité permet de maîtriser au mieux les risques liés à la sécurité informatique.
Depuis sa création, Padok a su s’imposer comme une référence pour toutes les problématiques liées au cloud (migration vers le cloud, optimisation des coûts, infogérance, ...). Nos méthodes de travail nous amènent chaque jour à travailler directement avec nos clients, ce qui nous a permis de prendre conscience de la valeur ajoutée que nous pouvions apporter sur les thématiques de cybersécurité.
C’est de ce besoin identifié qu’est né Padok Security, avec une ambition double :
Padok Security propose un accompagnement complet dans la démarche de sécurisation de ses clients, sur tout ou partie de leur système d’information.
Alors qu’il n’y a jamais eu autant de cyberattaques signalées dans le monde, les entreprises peinent encore à combler leur retard en matière de défense et de sécurisation de leur infrastructure.
Ces lacunes s’expliquent par un manque global de visibilité sur leur système d’information et de connaissances dans le domaine de la sécurité informatique, qui implique mécaniquement une mauvaise appréciation des risques et un manque de chantiers de sécurisations pourtant nécessaires.
Obtenir de la visibilité sur son niveau de sécurité passe inévitablement par la réalisation d’audits de sécurité qui permettront d’identifier les vulnérabilités et les chantiers prioritaires, de qualifier le risque et donc d’assurer la pérennité de son entreprise.
N’attendez plus, identifiez les faiblesses de votre système d’information, de votre site web, de votre application mobile ou de n’importe lequel de vos assets métier parmi les plus critiques. Réalisez un audit de sécurité et mettez en place une véritable hygiène de sécurité afin de maîtriser le risque cyber !