de la valeur stratégique de la sécurité

La mediaTICnews est une newsletter bimensuelle composée des meilleurs articles des blogs Orange Business : si vous souhaitez recevoir par email, le meilleur de nos articles, infographies etc. Abonnez-vous à la newsletter ici, c’est gratuit !

Comme la plupart des technologies, le domaine de la sécurité traverse différentes phases et cycles. Que ce soit le hardware ou le software, les applications ou les méthodologies, tous se standardisent au point de devenir invisibles avant de revenir sur le devant de la scène dans une forme évoluée. Nouvelles plateformes ou nouveaux terminaux, ils amènent de nouvelles opportunités et de nouvelles menaces. Et c’est aussi valable pour la sécurité.

Cloud Computing: le terrain de jeux pour de nouvelles menaces

Les menaces sécurité évoluent et s’adaptent aux nouveaux environnement IT. Pendant que les usages (personnels comme corporate) changent, le domaine de la sécurité a dû suivre la cadence. Le cloud propose aux utilisateurs finaux des bénéfices tels qu’une mobilité et une flexibilité accrue, ou encore une meilleure productivité, mais aussi de nouvelles routes pour des tiers aux intentions douteuses, augmentant ainsi les risques. En bref, si le cloud a beaucoup apporté aux utilisateurs, il a aussi entièrement créé un terrain de jeu pour les hackers et autres virus.

La montée en puissance des usages mobiles du cloud a obligé les attaquants à changer leurs approches. Des services de cloud, des média sociaux, des OS comme Androïd… tous sont devenus de (nouvelles) cibles sans pour autant laisser les données plus traditionnelles (notamment via les sites Web) intactes.

Les exemples récents en Asie Pacifique incluent la perte de 20 000 mots de passe pour la marque de vêtements de surf Billabong ou alors le piratage du système de contrôle des bâtiments australien de Google. Il a aussi été révélé que la Reserve Bank of Australia a été infiltrée via une attaque en phishing. Une autre banque, la Commonwealth Bank of Australia, a aussi admis qu’à la lumière des attaques envers les renseignements australien, la cyber sécurité était leur top priorités.

Ces risques n'ont pas disparu avec le cloud, ils ont simplement évolué.

la nature changeante des menaces en matière de sécurité

Les attaques et leurs résultats (que ce soit sur les individus ou les organisations) sont toujours en évolution. Du moment que l'on trouve la solution à un problème, on trouve du côté obscur de la force une nouvelle ficelle sur laquelle tirer.

Donc même si le cloud a joué son rôle de facilitateur pour les autres technologies, des pirates s'en sont aussi servis. Les menaces principales (à la fois pour les organisations et les individus) sont les fuites de données. Les entreprises ont peur de voir leurs données sensibles atterir dans les mains de concurrents, les individus ont peur que leurs données bancaires soient mal utilisées. Ce ne sont pas de nouvelles failles en soi, mais le cloud en propose de nouvelles : des machines virtuelles aux bases de données, etc.

En plus des fuites et pertes de données, le cloud permet des attaques DDoS renouvelées. Les API sont encore un autre outil à la disposition des pirates : elles permettent de lancer des attaques DDoS, faire monter la facture d’une victime, etc.

cyber security: un problème d'ordre vital

Donc même si la nature des menaces restent similaires, les (auto)routes pour y arriver se sont élargies. Ce que ça signifie ? il est temps pour les entreprises de placer la sécurité à un niveau stratégique.

Les menaces et attaques envers les données d’entreprises sont des passages obligés pour être « à la norme », quelle que soit l’industrie à laquelle l’entreprise appartient. Ne pas répondre à ces standards de protection (pour les données d’entreprises et de ses clients) est une pensée terrifiante pour tout directeur d’entreprises : la cyber sécurité doit maintenant être au sommet de leur « to do list ».

mais n'oubliez pas les utilisateurs finaux !

Sur le plan individuel, le Cloud a aidé à banaliser le phishing comme menace cyber. Les attaques en phishing étaient auparavant des tactiques insidieuses elles sont maintenant devenues courantes, surtout en situation de mobilité. Les gens utilisant leurs terminaux mobiles à chaque instant, souvent en tapant leurs mots de passe à la volée plusieurs fois par jour, on ne peut pas leur en vouloir d’être un poil moins vigilant.

On estime qu’un utilisateur mobile se sert de son terminal jusqu’à 150 fois par jour, quelle que soit la raison. Alors taper son code sur un site ou un autre (malicieux), par inadvertance, rien d’étonnant.

qui dit évolution des menaces dit évolution de la stratégie

Au final, s’adapter à ces « nouvelles » menaces nécessite de changer de perspective. Pendant plusieurs années, les entreprises et les entités gouvernementales ont reconnu le besoin que représentait la sécurité IT mais étaient très passives. Le changement mental nécessaire ne peut plus considérer la sécurité comme un autre problème IT. Il faut rendre la dimension stratégique au cyberspace, ce dernier a besoin d’au moins autant de sécurité que le monde physique et ses barrières.

Le gouvernement australien a récemment pris des mesures (proactives) d’investigation du cyberspace, l’élevant au rang de menace stratégique qui affecte non pas uniquement le Web mais l’économie du pays tout entier, les infrastructures et prospérité future du pays. On estime qu’en  2012, 5 millions d’australiens ont été affectés via le cyberspace, représentant un coup pour le pays de 1,6 milliards de Dollars. On ne peut donc que se réjouir que le gouvernement, malgré les périodes électorales, ait pris en compte le sujet et investi dans la cyber sécurité.

gérer les risques

Les évolutions des menaces en termes de cyber sécurité signifient que les menaces existent à trois niveaux différents :

• individuel
• organisationnel
• étatique

A chacun de ces niveaux, les conséquences peuvent être dramatiques et anticiper, gérer et répondre à ces risques est vital.

Gordon

Cet article a été publié dans sa version originale (en anglais) ici.

Crédit photo : © DURIS Guillaume - Fotolia.com