PS-CyberSecurity, expert en cybersécurité à Rennes
Menaces et entreprises
L'instabilité mondiale se retrouve sur internet, avec des attaques ciblées contre les entreprises occidentales, et françaises en particulier. Les décisions et propos de l'Etat français sur des sujets comme la guerre en Ukraine, ou au Moyen-Orient, pour ne citer que ceux-là, sont des raisons suffisantes pour des activistes et hackers d'état de lancer régulièrement des tentatives pour identifier les faiblesses des organismes dans le but de cibler une attaque efficace.
Malheureusement, ces menaces idéologiques ne sont pas les seules. Nombre de "coups" ont eu un retentissement médiatique non négligeable ces trois dernières années, comme certains ministères, hôpitaux, ou autres grandes entreprises de renom. Cette menace se fait de plus en plus prégnante, avec des moyens mis à disposition, comme la livraison de kits complets, maintenance incluse, par des cybercriminels organisés comme des entreprises, et ayant même pignons sur rue pour certains d’entre eux. Ces kits sont utilisés comme vecteurs d'attaque par d'autres hackers afin de bloquer les systèmes d'information des entreprises pour mettre en œuvre une tentative d'escroquerie ou une demande de rançon par exemple. Ces kits sont construits autour de plusieurs technologies croisées pour permettre à ces hackeurs d’arriver à leurs fins sans que ces derniers ne soient des experts de la cybersécurité. Les motivations de ces derniers sont souvent liées à l'argent, la renommée,voire l'"exploit" pour un site particulièrement important.
A cela, il faut ajouter, les erreurs de collaborateurs pas toujours bien informés, ou un collaborateur interne mécontent d'un traitement particulier. Ces menaces internes, sont à considérer avec le plus grand soin. Statistiquement, ce sont parmi les plus génératrices d'incidents réels avec des conséquences souvent non-négligeables (vol de données, espionnage, escroquerie financière, perte de production, etc.…). Les causes sont multiples avec en particulier, l'usage de moyens informatiques personnels non maîtrisés, des sensibilisations inadaptées, etc...
Est-ce tout ?
Certains diront que cela fait déjà beaucoup, mais pour autant, une autre menace tend à se faire jour. L'IA, avec ces capacités pas toujours comprises, occasionne des pas de géants. Ce qui est vrai pour la création de valeurs et de contenus, l'est tout autant, pour générer de la menace sur les données sensibles ou confidentielles et des moyens pour la mettre en oeuvre. Des agents non officiels, et donc non maîtrisés, des permissions non contrôlées font de ces outils des sources de risques importantes. Les entreprises doivent garder ces outils sous surveillance afin d'en prendre toute la mesure, et par conséquent, dans un premier temps, commencer à les identifier...
Toutes ces menaces sont bien sûr présentes chez les fournisseurs, ou Tierces Parties, qui deviennent une menace à part entière selon les accès octroyés et/ou traitements sous-traités. Ceci doit donc engendrer une réflexion appropriée à sa juste valeur pour maîtriser les risques correspondants.
Les contraintes réglementaires
Nombre de réglementations est applicable à ce jour, tout en sachant que certaines le seront encore prochainement. En fonction des domaines d'activités, du patrimoine informationnel, et des lieux d'exécution de ces activités, toutes les entreprises ne sont pas soumises à la même enseigne. Citons celles, sans prétendre être exhaustif, identifiées à ce jour avec le Règlement Général de Protection des Données (RGPD) pour tous organismes traitant de données personnelles en Europe, la Directive Network and Information Security 2 (NIS2) pour les entités qualifiées d'Essentielles ou Importantes transposable, en théorie, dans la Loi Résilience, Digital Operational Resilience Act (DORA) concernant les organismes financiers, Cyber Resilience Act (CRA) concernant les produits du numérique, la Loi de Programmation Militaire (LPM) concernant les Organismes d'Importance Vitale identifiés et le Référentiel Général de Sécurité (RGS) concernant les administrations. Le plus important à retenir en la matière, à l'exception du RGS, c'est que le non-respect de ces réglementations peut amener à des amendes pouvant être particulièrement élevées. Il est donc important pour toute entité de bien identifier les lois applicables et s'assurer de sa conformité en la matière.
A titre d’exemple, une amende pour non-respect du RGPD peut coûter jusqu’à 4% du chiffre d’affaires mondial du Groupe concerné, même si c’est une filiale de ce groupe qui est à l'origine de l'amende.
Les mesures
Chaque menace ou réglementation, telles que présentées ci-dessus, doit être bien identifiée dans le contexte de l’entreprise. Ceci permettra de cibler les mesures de protection appropriées, comme le design et/ou le déploiement de solutions : de détection de fuites de données (DLP), de défense périmétrique à plusieurs niveaux, d'authentification forte (OTP, PKI...), de détection de vulnérabilités, de maîtrise des risques fournisseurs, de sécurisation des données sensibles, de sensibilisation des utilisateurs et fournisseurs à la cybersécurité, etc...
Des analyses de risques aideront à sélectionner les contremesures appropriées pour maîtriser les risques dans le contexte financier et de production de la cible à protéger. Cette activité est nécessaire et pourra se révéler vitale pour la survie de l’activité concernée. Que ce soit pour l’analyse des risques, le déploiement d’une solution de cybersécurité, de veiller à la sécurité des Systèmes d'Information ou l’assistance à RSSI, PS-CyberSecurity peut vous accompagner et vous permettre de protéger au mieux l’activité et les données d’une organisation ou d’un projet.
Contactez-nous pour une étude au meilleur coût de votre besoin en matière de cybersécurité, nous sommes en mesure de vous accompagner sur toute la France.
