Archives quotidiennes :

Banque, BYOD, Chiffrement, Cloud, cryptage, Cybersécurité, Emploi, Entreprise, Fuite de données, Propriété Industrielle

Cybersécurité des PME : smartphones et tablettes au cœur de l’enjeu

« J’ai d’autres priorités ». Telle est encore la réaction de nombreux dirigeants de Petites et Moyennes entreprises (PME) lorsqu’est évoqué le sujet de la sécurité des données professionnelles qui transitent sur les smartphones et tablettes de leurs cadres. Par Florian Bienvenu, Vice-président Europe centrale et Europe du sud de Good Technology pour datasecuritybreach.fr

Cela se comprend. En cette période de difficultés économiques, les investissements sont avant tout orientés vers le cœur de métier de l’entreprise. Sans la présence et les explications d’un Directeur des Services d’Information (DSI), un poste encore largement réservé aux grandes structures, difficile par ailleurs de penser que les chiffres inquiétants qui circulent sur la cybersécurité des PME puissent se transformer un jour en une réalité concrète et coûteuse – en 2012, les entreprises de moins de 250 salariés auraient concentré 31% des attaques (3 fois plus qu’en 2011) d’après le dernier rapport annuel sur la sécurité de Symantec. Les maliciels sur mobile, eux, auraient progressé de 58%, 32% des attaques sur ce terrain visant à collecter des données telles que les adresses électroniques et les numéros de téléphone. Tous ces chiffres ont encore un air virtuel pour de nombreux dirigeants de PME – même si le Premier Ministre en personne, en ouverture de la sixième édition du Forum International de la Cybersécurité (FIC), en janvier dernier, avait détaillé le cas de deux petites structures victimes de cyberattaques, et les coûts associés (480 000 et 450 000 Euros).

L’ordre des priorités, pourtant, pourrait évoluer rapidement, et la sécurisation des données mobiles gagner quelques places dans l’échelle des urgences. Comme cela a été évoqué lors du dernier FIC, les grands groupes exigent en effet de plus en plus de rigueur numérique de la part de leurs prestataires – il s’agit d’éviter que ces derniers soient utilisés comme cheval de Troie pour accéder au système d’informations des donneurs d’ordres. Or, les supports mobiles sont une des portes d’entrée privilégiées par les pirates. Normal : il leur faut en général quelques minutes pour compromettre un mobile et accéder ainsi à l’ensemble du Système d’Information de l’entreprise – les données personnelles et professionnelles (emails, documents, …), mais aussi tous les accès et mots de passe serveurs, VPN, etc. stockés «en clair» sur le terminal deviennent accessibles.

Trois stratégies sont alors possibles pour les PME. La première consiste à se fier aux fonctionnalités «natives» du terminal (activation manuelle du mot de passe, éventuellement du chiffrement du terminal si la fonction est disponible) et à sensibiliser les cadres sur les règles basiques d’hygiène informatique. Une stratégie simple et gratuite – donc très répandue. Le souci est qu’elle a peu de chances de séduire les donneurs d’ordres : au-delà du fait que le mot de passe peut être déchiffré en moins d’une minute, les terminaux sont à la merci de malwares, virus et logiciels espions, les jailbreaks n’étant pas détectés. Deuxième stratégie : adopter une des nombreuses solutions de gestion centralisée des supports mobiles (MDM) – une option a priori un peu plus évoluée puisque qu’elle permet notamment d’activer les fonctionnalités basiques de sécurité du terminal (mot de passe et effacement à distance). Problème : il faut toujours quelques minutes pour déchiffrer ce mot de passe ! Au-delà, ces solutions posent la question de la confidentialité des données personnelles, dans la mesure où elles permettent à l’entreprise d’accéder à « toutes » les données du terminal mobile.

Reste alors la troisième stratégie, encore peu considérée par les dirigeants de PME, mais qui devrait rapidement les séduire : celle qui consiste à sécuriser à la fois les données professionnelles – dans un « conteneur » étanche (chiffré) du reste du terminal – et les accès aux serveurs de l’entreprise. Côté professionnel, les applications sont ainsi distribuées via un « Appstore » d’entreprise, les fonctions « Email », « Calendrier », « Documents », « Contacts », « Navigation Intranet/Internet » sont sécurisées, et la gestion de la flotte est centralisée. Côté personnel, chacun peut choisir le terminal qui lui plaît et y utiliser sans danger des applications non-professionnelles (Facebook, Twitter etc.). Les données privées sont par ailleurs protégées (confidentialité) et préservées en cas d’effacement à distance.

Une stratégie trop compliquée pour des petites et moyennes structures ? Erreur : un simple abonnement suffit, et aucun investissement en infrastructure n’est nécessaire. Le prix est quant à lui proportionnel à la taille des effectifs. « J’ai d’autres priorités » ? Voilà une réponse qui, dans les PME, ne devrait bientôt plus oser s’appliquer à la question de la sécurité des données mobiles.

BYOD, Chiffrement, Cloud, cryptage, Cyber-attaque, Cybersécurité, Entreprise, Fuite de données, Leak, Piratage

L’approche de la sécurité doit évoluer vers un modèle de défense rétrospectif

Dans les juridictions pénales, le principe de la double incrimination interdit à quiconque d’être jugé deux fois pour le même crime. Innocent ou coupable, le verdict ne change plus. Les procureurs sont obligés de recueillir autant de preuves que possible pour déterminer si la personne est coupable ou non. Ils ne peuvent revenir sur leur décision. (par Cyrille Badeau, Directeur Europe du Sud Cyber Security Group de Cisco pour DataSecurityBreach.fr).

Récemment encore, la sécurité fonctionnait également ainsi. En se basant sur la décision des outils de filtrage et de prévention, et des contrôles des politiques de sécurité, une seule fois et à un instant T, les professionnels de la sécurité disposaient d’une seule chance pour porter un jugement sur les fichiers qu’ils voyaient arriver, et soit les identifier comme étant sûrs et leur permettre d’entrer dans le réseau ou de les juger malicieux et de les bloquer. Avant, lorsque les menaces étaient moins sophistiquées et moins furtives, ces défenses étaient pour la plupart adéquates. Mais les attaques ont évolué et en se basant exclusivement sur les outils de défense à un instant T, cela n’est plus suffisant.

Les pirates d’aujourd’hui ont affiné leurs stratégies, souvent en utilisant des outils qui ont été spécifiquement développés pour contourner l’infrastructure de sécurité de l’entreprise ciblée. En effet, ils font de grands efforts pour passer inaperçu, en utilisant des technologies et des méthodes qui conduisent à des indicateurs de compromission quasi imperceptibles. Une fois que des logiciels malveillants, des attaques zero-day et des menaces persistantes avancées (APT) pénètrent un réseau, la plupart des RSSI n’ont aucun moyen pour continuer à surveiller ces fichiers et prendre des mesures lorsque ces fichiers présentent plus tard, des comportements malveillants.

Pour être efficace, l’approche de la sécurité doit évoluer afin que les RSSI puissent continuer à recueillir des informations pendant l’attaque et puissent analyser de nouveau un fichier, après un premier verdict. Cela nécessite un modèle de sécurité qui associe une architecture Big Data avec une approche continue pour fournir une protection et une visibilité dans le continuum d’attaque – du point d’entrée, pendant la propagation, et pendant la phase de remise en état après l’attaque. L’un des principes de ce modèle repose sur un examen rétrospectif – celui-ci consiste à surveiller en permanence les fichiers, le réseau et l’activité dans une parfaite connaissance du contexte en temps réel et de disposer d’algorithmes avancés sur le long terme, pas uniquement à un instant T.

Cela offre également des avantages significatifs sur la collecte des données des événements de sécurité ou des rapports planifiés sur les nouvelles données, car ce modèle permet de capter les attaques dès qu’elles se produisent. Ainsi, les fichiers inconnus, suspicieux et précédemment jugés « sûrs » peuvent de nouveau être analysés. Voici comment cela fonctionne :

  • Après une première analyse, l’examen rétrospectif continu de surveiller les fichiers sur une longue période en utilisant les dernières fonctionnalités de détection disponibles et une connaissance de la menace complète, autorisant un recours éventuel suite au jugement initial et une analyse approfondie, bien au-delà du point d’entrée où le fichier a été vu pour la première fois.
  • L’examen rétrospectif du réseau capte de façon continue la communication vers et depuis un poste de travail et les applications associées et les processus qui ont initié ou reçu la communication pour les données contextuelles ajoutées.
  • Similaire à l’examen rétrospectif lié aux fichiers, la rétrospection liée aux processus capte et analyse en continu les systèmes des entrées-sorties sur une longue période.

Les fichiers, le réseau et les processus sont liés pour créer un suivi de l’activité afin de mieux comprendre une attaque lorsqu’elle survient. Grâce à cela, les RSSI peuvent rapidement basculer de la détection vers une pleine compréhension de l’ampleur de la menace pour prendre les mesures qui s’imposent et faire face à des attaques à grande échelle. Les défenses sont automatiquement mises à jour afin que les professionnels de la sécurité puissent prendre la bonne décision, avant, pour prévenir de futures attaques similaires.

Si le principe de la double incrimination a tout lieu d’être dans les juridictions pénales, elle n’a pas sa place dans le monde de la sécurité. Les technologies ont évoluées au point où les RSSI ont plus de moyens que jamais pour détecter et arrêter les attaques. L’examen rétrospectif est l’une des techniques de sécurité les plus récentes que les RSSI peuvent utiliser pour délivrer le bon verdict et la sentence qui convient, au bon moment, et quelque soit le moment.