protection
IT

« Ne jamais avoir confiance et toujours vérifier »

03.02.2022
par Fokus Online

La numérisation croissante du monde dans lequel nous vivons et travaillons a donné lieu à un nombre croissant de cybermenaces et de risques informatiques. « Au cours des dernières années, nous avons assisté à une poussée énorme du nombre, de l’intensité et de la sophistication des attaques », déclare le professeur Yuri Bobbert.

Bobbert est directeur académique et professeur de gestion des systèmes d’information à l’Antwerp Management School : « Cependant, tout n’est pas sombre. » « Avec des solutions techniques appropriées telles que les pare-feu, les programmes antivirus, les sauvegardes et une attitude de confiance zéro, les entreprises sont à même de mieux se défendre. » 

Opportunités pour exploiter les maillons faibles

Les hackers rôdent constamment et partout et cherchent des opportunités pour exploiter les maillons faibles. « Le nombre et la variété des logiciels malveillants ont augmenté de façon exponentielle. Il y aurait actuellement bien plus d’un milliard de types connus », explique le professeur Bobbert. « Nous avons également constaté une augmentation du nombre de campagnes de phishing et d’attaques par ransomware ciblées, où les hackers prennent une entreprise en otage. Ils cryptent et menacent même de divulguer des informations confidentielles ou sensibles si la rançon n’est pas payée. Naturellement, de nombreuses entreprises cèdent à ces exigences.

Cependant, les coûts réels de la cybercriminalité sont souvent bien supérieurs aux demandes de rançon déjà considérables. Après tout, l’incapacité de protéger des données est souvent considérée comme une négligence et sanctionnée négativement par les organismes de réglementation. En plus des dommages financiers, les cyberattaques ternissent également la réputation des entreprises concernées. Car elles ont un impact négatif sur la confiance des clients, des fournisseurs et de la société en général. »

Les conséquences

« Souvent, les PME se sentent hors de danger face à la cybercriminalité. Et pourtant 60 % des PME victimes d’une attaque sont obligées de fermer boutique dans les six mois suivant l’attaque », précise Bobbert. « Dans une économie numérique interconnectée, toute entreprise peut être entraînée dans l’effet boule de neige d’une attaque. Sous forme d’un dommage collatéral. Les conséquences peuvent être dévastatrices pour tous ceux qui sont impliqués. Malheureusement, la plupart des entreprises après avoir traversé un événement aussi catastrophique ne font que mettre à niveau leurs défenses ».

Malheureusement, de nombreuses attaques ne sont pas signalées, même s'il s'agit de crimes en ligne.

La vente FUD

Et Bobbert de regretter que « l’asymétrie d’information en termes de protection ne rend pas les choses plus aisées ». « Les fabricants de logiciels de protection bombardent les organisations avec des solutions dont elles sont censées avoir besoin de toute urgence. Une tactique que nous appelons la vente FUD. Une technique qui joue sur la peur (Fear), l’incertitude (Uncertainty) et le doute (Doubt).  Les entreprises elles-mêmes ignorent souvent ce dont elles ont réellement besoin. Pourtant, la réponse est assez simple. Tout se résume à des mesures préventives qui peuvent le plus souvent être intégrées dans l’infrastructure du système existant. 

Principes

Selon Bobbert, le premier principe, et le plus fondamental, est l’adoption d’une attitude et d’une approche de « Zéro Confiance ». Ce qui implique que vous devez agir comme si vous ne pouviez avoir confiance en rien ni personne. Cela signifie que des étapes de vérification doivent être appliquées à tous les utilisateurs, serveurs et systèmes. Et que tout le trafic doit être inspecté, surveillé et enregistré. Ma devise est : « Ne jamais avoir confiance et toujours vérifier ».

«  L’un des principaux défauts de conception d’Internet est qu’il était basé sur la confiance et non sur la méfiance. Par la suite, plusieurs solutions ponctuelles et mesures de sécurité telles que les pare-feu, l’authentification multifacteur et les systèmes de détection d’intrusion ont été superposées pour élever le niveau de confiance. Mais en tant qu’ancien responsable de la sécurité des systèmes d’information d’une grande entreprise, je sais que la gestion d’environnements spaghetti avec un milliard de variétés de logiciels malveillants inondant nos organisations. Et entreprises n’est pas une méthode de travail durable. L’approche sécuritaire Zéro Confiance est la voie à suivre et c’est ce que nous recherchons et enseignons également à l’AMS. » 

Investir dans une équipe d’intervention

« Il vaut la peine d’investir dans une équipe d’intervention en cas d’incidents cybernétiques (CIRT), en interne ou en sous-traitance. C’est précisément la raison pour laquelle nous avons développé un cours à l’AMS sur Comment créer une équipe CIRT. Dans le cadre de l’Executive Master in IT Risk & Cyber Security Management ».

Même avec une protection, une catastrophe peut toujours survenir. En cas de piratage, Bobbert recommande d’agir rapidement et de manière appropriée. « Si vous avez un plan de réponse aux incidents à portée de main, il est maintenant temps de le déployer. » Bobbert exhorte également les victimes à porter plainte auprès des organes compétents afin que les autorités puissent ouvrir une enquête. « Malheureusement, de nombreuses attaques ne sont pas signalées, même s’il s’agit de crimes en ligne. Les entreprises sont souvent réticentes en raison de la honte ressentie ou du fardeau excessif d’une enquête. » Enfin, il recommande à toutes les victimes d’analyser et d’apprendre de leurs erreurs et de partager avec le public ce qui peut être appris. Comme l’Université de Maastricht l’a fait après avoir été victime d’un piratage. C’était un acte courageux de la part du CIO. Et c’était tout à son honneur d’avoir agi de cette manière. » 

Article précédent
Article suivant