Tous les articles par Damien Bancal

Damien Bancal, expert reconnu en cybersécurité Damien Bancal est une figure incontournable de la cybersécurité, reconnu à l’international pour son expertise et son engagement depuis plus de 30 ans. Fondateur de ZATAZ.com en 1989 (et DataSecurityBreach.fr en 2015), il a fait de ce média une référence majeure en matière de veille, d’alertes et d’analyses sur les cybermenaces. Auteur de 17 ouvrages et de plusieurs centaines d’articles pour des médias comme Le Monde, France Info ou 01net, il vulgarise les enjeux du piratage informatique et de la protection des données personnelles. Lauréat du prix spécial du livre au FIC/InCyber 2022, finaliste du premier CTF Social Engineering nord-américain (2023), et vainqueur du CTF Social Engineering du HackFest Canada (2024), il est reconnu pour sa capacité à allier pratique du terrain et transmission pédagogique. Le New York Times ou encore Le Big Data ont salué son parcours, et l’agence Tyto PR l’a classé parmi les 500 personnalités tech les plus influentes en 2023. Il est aujourd’hui 9ᵉ influenceur cyber en Europe. Chroniqueur à la radio et à la télévision (France Info, RTL, M6, Medi1...), il est également réserviste citoyen au sein de la Gendarmerie Nationale (Lieutenant-Colonel - Unité Nationale Cyber) et de l'Éducation Nationale (Hauts-de-France). Médaillé de la Défense Nationale (Marine) et des réservistes volontaires, il poursuit son engagement au travers de son entreprise veillezataz.com, lancée en 2022.
famille, ID, Identité numérique, loi, Particuliers

Identité numérique européenne : Le futur de la vie privée en ligne

En 2024, tous les pays européens devront mettre à la disposition de leurs citoyens un Digital ID Wallet. Grace à ce portefeuille électronique, ils pourront, depuis leurs terminaux électroniques, stocker et gérer leur identité numérique, et partager leurs attributs personnels vérifiés. Utilisable partout en Europe, il placera les citoyens au centre du contrôle de leurs données personnelles et garantira un très haut niveau de sécurité.

Louer un appartement, acheter une voiture, ouvrir un compte en banque, contracter un prêt bancaire, donner son consentement pour un acte médical, s’inscrire dans une université… Des démarches aujourd’hui dématérialisées qui nécessitent de renseigner des dizaines de formulaires, de prouver son identité, de s’authentifier sur une multitude de services numériques (site e-commerce, services publics…) et parfois de transmettre des captures de justificatifs papier par email, sans sécurité particulière, lors de la transmission puis du stockage, et contenant souvent beaucoup plus d’informations que nécessaire. Autant d’opérations complexes et chronophages pour tous les usagers, notamment ceux pour qui la protection des droits et données personnelles et la maitrise des outils numériques et solutions de sécurité ne coulent pas de source.

C’est pourquoi l’Union européenne, dans sa politique de la « Décennie numérique« , a notamment demandé aux États membres de proposer un Digital ID Wallet. Elle souhaite offrir à tous les citoyens les moyens de stocker et gérer leurs identité numérique, identifiants et attributs personnels depuis un portefeuille électronique hébergé sur leurs terminaux personnels (smartphone, tablette, portable).

Disponible à partir de 2024, ce portefeuille électronique pourra contenir les éléments vérifiés de la carte d’identité nationale biométrique (empreintes digitales, photographies, informations textuelles), des attributs personnels authentifiés et certifiés (permis de conduire, acte de naissance, carte bancaire, justificatif de domicile, fiche d’imposition, diplômes, feuilles de paie, documents de santé…).

Reprendre le contrôle de ses données personnelles

En deux décennies, nos usages se sont profondément numérisés. Les données personnelles qui permettent d’identifier tout ou partie d’une personne – données d’état civil, adresse email ou postale, mots de passe, fiches d’impôt, salaire, facture EDF, sans oublier la transmission de données personnelles qui ne sont pas encore numérisées, telles que diplômes, factures et justificatifs en tout genre – sont communiquées à des tiers (services publics, entreprises privées) et stockées dans d’immenses et innombrables bases de données. Une centralisation de données personnelles qui présente des risques de cyberattaques, des risques d’utilisation peu scrupuleuse de données personnelles à des fins commerciales mais aussi des problématiques énergétiques de stockage.

En demandant aux États membres de proposer à leurs résidents un tel portefeuille numérique, l’UE permet à chaque citoyen de reprendre le contrôle et l’utilisation de son identité. Ainsi, il pourra, grâce aux technologies du wallet, circonscrire le partage de ses données aux seules nécessaires à la délivrance du service. Il pourra par exemple donner accès à son revenu d’imposition sans être contraint, comme c’est le cas actuellement, de délivrer l’intégralité de sa feuille d’impôts. Le citoyen pourra aussi récupérer ses données créées et vérifiées par des tiers sous forme d’attestations (Qualified Electronic Attribute Attestation – QEAA), les stocker dans son wallet, et les communiquer lorsque nécessaire. Via ce dispositif « zero knowledge proof », il pourra par exemple prouver sa majorité sans pour autant fournir sa date de naissance, car l’utilisation de son wallet garantira que l’information a été vérifiée par ailleurs.

Faire des citoyens les maîtres de leurs données d’identité

A l’heure actuelle, toutes les données personnelles de chaque citoyen sont stockées dans des bases de données privées et publiques. Elles seront, grâce à ce wallet, décentralisées et gérées individuellement par chaque citoyen européen. En devenant souverain de ses données, il pourra donc consciemment choisir de les partager sans peur et en toute sécurité. Il reprendra ainsi le contrôle de sa vie numérique, maitrisera ses données personnelles et la manière dont elles circuleront.

Prévu pour 2024, ce wallet sera fourni aux citoyens par leurs pays de domiciliation. Proposé par chaque État membre, il pourra être délivré par des établissements publics ou privés. Simple d’utilisation et interopérable, ce wallet devra répondre à des normes et spécifications techniques garantissant un haut niveau de sécurité. Si aucune obligation d’utilisation de ce portefeuille électronique européen n’est exigée, l’UE mise sur la fluidité et la simplicité d’un tel dispositif pour convertir tous les européens. (Par Stéphane Mavel, en charge de la stratégie Identité Numérique d’IDnow)

Cybersécurité, Mise à jour, Patch, Wordpress

Une vulnérabilité corrigée dans le plug-in Advanced Custom Fields pour WordPress

Une faille de sécurité a été identifiée dans le plug-in Advanced Custom Fields pour WordPress, permettant l’insertion de code malveillant sur approximativement deux millions de sites web. Cela pourrait causer des préjudices aux sites eux-mêmes et à leurs utilisateurs.

Cette faille concerne spécifiquement les plug-ins Advanced Custom Fields et Advanced Custom Fields Pro, développés par Delicious Brains. Ces outils offrent aux administrateurs de sites WordPress une plus grande maîtrise sur leur contenu et leurs données.

Patchstack a révélé le 5 février qu’une attaque XSS (cross-site scripting) pouvait être menée via ces plug-ins. En termes simples, une attaque XSS consiste pour un agresseur à insérer du code, généralement dans une zone de texte sur un site web. Ce code est ensuite exécuté par le site. Bien que ce type d’attaque soit moins fréquent qu’il y a une décennie, il existe toujours des exceptions.

En exploitant cette faille, il serait possible d’exécuter du JavaScript à l’insu des visiteurs du site. Cela pourrait conduire au vol de données des visiteurs ou à la prise de contrôle du site entier, si l’utilisateur affecté est un administrateur du site.

Un correctif a été publié début avril pour résoudre ce problème. Depuis le 5 mai, Patchstack et Rafie Muhammad, le chercheur de Patchstack qui a identifié la faille, ont été autorisés à partager publiquement leurs découvertes. Pour remédier à la situation, les utilisateurs d’Advanced Custom Fields doivent mettre à jour leur version vers la 6.1.6 ou une version ultérieure. Cette vulnérabilité a été enregistrée sous le code CVE-2023-30777.

Banque, Cybersécurité

Les banques russes mécontentes des nouvelles règles liées au VPN

Les banques russes sont mécontentes des nouvelles règles imposées par le gouvernement de Poutine, selon lesquelles les informations sur les services VPN doivent être transmises par courrier électronique.

Saviez-vous que Poutine se met de plus en plus de monde à dos dans son pays ? Dernier exemple en date, et pas des moindres, les banques russes. Ces dernières sont mécontentes des nouvelles exigences de la Banque centrale de la Fédération de Russie concernant le transfert d’informations sur l’utilisation des services VPN.

Les institutions financières ont une attitude négative envers les nouvelles exigences du régulateur local, l’autorité fédérale russe chargée de la supervision et du contrôle des médias, des communications et des technologies de l’information. Pourquoi ? Les informations liées aux VPN utilisés doivent être transmises à Roskomnadzor via un canal non sécurisé par courriel.

Selon les nouvelles exigences, les institutions financières russes sont tenues de fournir à Roskomnadzor des informations sur les services VPN utilisés pour automatiser les processus technologiques d’ici le 2 juin 2023. Ceci est fait dans le but « d’éliminer les risques du fonctionnement des systèmes d’information de l’industrie » écrivent les fonctionnaires.

Envoyer des informations sensibles, par courriel !

Il ne faut pas être une lumière pour comprendre et savoir que la transmission d’informations aussi sensibles par courrier électronique comporte d’énormes risques de fuite de données. Si ces informations tombent entre les mains de cybercriminels, ils disposeront de données sur toutes les adresses IP des services VPN exploités dans des bureaux bancaires, par exemple. De quoi lancée des attaques DDoS contre le siège social d’une banque russe particulière, mais également contre ses succursales. De quoi couper les clients des services bancaires pendant une longue période.

Le Roskomnadzor (en russe : Роскомнадзор) est l’autorité fédérale russe chargée de la supervision et du contrôle des médias, des communications et des technologies de l’information. Son nom complet est « Service fédéral de supervision dans le domaine des communications, des technologies de l’information et des médias de masse ». Il a été créé en 2008 et est subordonné au gouvernement russe.

Les principales responsabilités du Roskomnadzor incluent la régulation des médias, la censure de l’internet, la protection des données personnelles, la surveillance des télécommunications et la délivrance de licences pour les activités de médias et de communication. Le Roskomnadzor est également chargé de faire respecter les lois sur la protection des droits des consommateurs et de la concurrence loyale dans le domaine des communications.

Dans le cadre de ses fonctions, le Roskomnadzor a souvent été critiqué pour sa censure d’Internet et la suppression de contenus en ligne. Il a également bloqué l’accès à plusieurs sites web, y compris des plateformes de médias sociaux et des services de messagerie, en raison de préoccupations liées à la sécurité nationale, à la désinformation ou à la violation des lois russes.

APT, backdoor, Cybersécurité

Le FBI a annoncé avoir neutralisé un virus du FSB

Le Bureau fédéral d’enquête des États-Unis annonce la neutralisation d’un code malveillant du nom de Snake. Le malware serait une arme numérique du FSB, le service de sécurité russe.

Dernièrement, une l’alerte lancée dans un blackmarket russe de la tentative du service de renseignement russe FSB d’intercepter des informations du pirate auteur de stealer (logiciel voleur de données), Titan Stealer, affichait les nombreux fronts cyber de ce service de renseignement russe.

Le Département de la Justice explique comment le FBI venait de mettre fin à la vie de Snake, un présumé code malveillant exploité par le FSB. Selon le Bureau Fédéral d’Investigation, Snake aurait exploité un réseau P2P pour les basses besognes de ses exploitants. Selon le communiqué officiel de l’agence, la gestion de ce réseau était assurée par le « Centre 16 » du Service fédéral de sécurité russe (FSB). Snake est connu sous un autre nom, Turla.

Le FBI estime que cette division a utilisé différentes versions du malware Snake pendant près de 20 ans pour voler des documents confidentiels provenant de centaines de systèmes informatiques dans au moins 50 pays membres de l’OTAN.

Lors de l’opération baptisée Medusa [le même nom qu’un groupe de pirates utilisateurs de ransomwares], le malware a été désactivé sur les appareils compromis faisant partie du réseau unifié à l’aide de l’outil Perseus développé par le FBI. Le processus impliquait un contact physique avec les ordinateurs infectés. Des appareils provenant d’autres pays ont également été découverts dans le réseau, et les autorités américaines ont envoyé toutes les recommandations nécessaires à leur égard.

« Le ministère de la Justice, en collaboration avec nos partenaires internationaux, a démantelé un réseau mondial d’ordinateurs infectés par des malwares utilisés par le gouvernement russe pendant près de deux décennies pour mener des cyber espionnages, y compris contre nos alliés de l’OTAN« , a déclaré le procureur général des États-Unis, Merrick Garland. Nous continuerons à renforcer notre défense collective contre les efforts de déstabilisation de la Russie, visant à compromettre la sécurité des États-Unis et de nos alliés ».

Le DOJ affirme que le gouvernement américain « contrôlait des agents du FSB » affectés à l’utilisation de Turla. Ces agents auraient mené des opérations quotidiennes en utilisant Snake à partir d’une institution du FSB à Ryazan. Le virus lui-même est qualifié de « logiciel malveillant à long terme le plus complexe du FSB pour le cyber espionnage ».

Snake permet à ses opérateurs de déployer à distance des outils malveillants supplémentaires pour étendre les fonctionnalités du logiciel afin de détecter et de voler des informations confidentielles et des documents stockés sur un appareil spécifique. Un voleur 2.0 comme Titan Stealer.

De plus, le réseau mondial d’ordinateurs compromis par Snake fonctionne comme un réseau P2P caché, utilisant des protocoles de communication spéciaux conçus pour rendre l’identification, la surveillance et la collecte de données difficiles pour les services de renseignement occidentaux et d’autres services de renseignement radio. Après le vol de données, une routage en cascade est utilisé pour les livrer aux opérateurs à Ryazan.

Cybersécurité, Microsoft, Mise à jour, Patch

Vulnérabilités : trois 0day à corriger d’urgence

Microsoft élimine trois 0days dans Windows, deux sont utilisés dans des cyber attaques.

Microsoft a publié de nombreux correctifs en ce mois de mai pour Windows. Au total, les développeurs ont corrigé 38 problèmes, dont trois vulnérabilités zero-day (0day).

Six vulnérabilités ont reçu le statut de critiques, car elles permettent l’exécution de code à distance.

Huit vulnérabilités d’escalade de privilèges. Quatre façons de contourner les fonctions de sécurité. 12 trous menant à l’exécution de code à distance. Huit problèmes de divulgation. Cinq vulnérabilités DoS. Une possibilité de spoofing.

Quant aux trois 0days que Microsoft a fermé ce mois-ci : deux d’entre eux sont déjà activement utilisés dans de véritables cyberattaques, et le reste attend dans les coulisses, puisque les détails techniques sont sur le Web.

CVE-2023-29336 est l’une des vulnérabilités exploitées. Provoque une élévation et affecte Win32k. Avec son aide, les pirates peuvent obtenir des privilèges de niveau SYSTEM dans le système d’exploitation.

CVE-2023-24932 est une autre vulnérabilité exploitable qui pourrait conduire à des contournements de sécurité. C’est ce 0day qui est utilisé pour installer le bootkit BlackLotus UEFI .

CVE-2023-29325 est le dernier 0day affectant Windows OLE qui pourrait conduire à l’exécution de code à distance. Il peut être utilisé avec un e-mail spécialement conçu.

Début 2023, les responsables ukrainiens du CERT-UA avaient signalé une vulnérabilité à l’équipe de réponse aux incidents de Microsoft après que des pirates basés en Russie avaient utilisé une vulnérabilité dans le service de messagerie Outlook de Microsoft (CVE-2023-23397). L’attaque aurait visé quelques organisations des secteurs gouvernemental, des transports, de l’énergie et militaire en Europe selon le CERT-UA.

Bien que le problème ait été corrigé en mars 2023, le chercheur d’Akamai, Ben Barnea, découvrait un moyen de contourner le correctif. Il permettrait à un pirate d’utiliser la vulnérabilité pour contraindre un client Outlook à se connecter à un serveur contrôlé par l’attaquant. Une vulnérabilité sans clic – ce qui signifie qu’elle peut être déclenchée sans interaction de l’utilisateur – et que toutes les versions de Windows étaient affectées. Faille corrigée ce mardi 9 mai via la CVE 29324.

backdoor, Cybersécurité, Téléphonie

Des millions de smartphone à petit prix infectés par du code malveillant

Selon des spécialistes présents lors de l’événement Black Hat Asia, des développeurs peu scrupuleux ont réussi à infecter des millions de smartphones Android avec des micrologiciels malveillants avant même que les appareils ne soient mis en vente.

Des experts ont souligné, lors du rendez-vous Black Hat Asia, que cela affectait principalement les modèles d’appareils Android moins chers. Le problème réside dans l’externalisation, qui permet aux acteurs de la chaîne de production, tels que les développeurs de micrologiciels, d’introduire clandestinement du code malveillant.

Les spécialistes de Trend Micro ont qualifié ce problème de « croissant » pour les utilisateurs et les entreprises. Fedor Yarochkin de Trend Micro explique la situation de la manière suivante : « Quel est le moyen le plus simple d’infecter des millions d’appareils mobiles ? Faites-le à l’usine. Cela peut être comparé à un arbre qui absorbe un liquide : si vous apportez l’infection à la racine, elle se propagera partout, y compris chaque branche et chaque feuille.« 

Selon Yarochkin, cette pré-installation de logiciels malveillants a commencé à se répandre après la baisse des prix des smartphones. La concurrence entre les développeurs de micrologiciels est devenue si intense qu’ils ne pouvaient plus demander des sommes importantes pour leurs produits.

Cependant, il n’y a rien de gratuit dans cette situation. Par conséquent, les développeurs ont commencé à introduire des plug-ins appelés « silencieux« . L’équipe de recherche de Trend Micro a étudié plus d’une douzaine d’images de micrologiciels et a découvert plus de 80 de ces plug-ins. Leur fonction est de voler des données et de fournir certaines informations, ce qui aide les développeurs à générer des revenus. Les logiciels malveillants préinstallés en usine transforment les appareils mobiles en proxy utilisés pour voler des SMS et accéder aux comptes de réseaux sociaux. Ils facilitent également la fraude au clic.

50 fournisseurs de téléphones montrés du doigt !

Les experts ont souligné qu’ils ont pu détecter des logiciels malveillants préinstallés sur les téléphones d’au moins dix fournisseurs, et il est présumé qu’environ 40 autres fabricants pourraient être confrontés à une situation similaire. L’équipe de Yarochkin recommande aux utilisateurs de choisir des smartphones Android de marques connues (donc plus chers) afin de ne pas être victimes de logiciels malveillants préinstallés.

Cette situation est principalement observée sur les modèles d’appareils Android moins chers. Les acteurs de la chaîne de production, tels que les développeurs de micrologiciels, exploitent l’externalisation pour introduire clandestinement du code malveillant. Ces logiciels malveillants préinstallés en usine transforment les smartphones en outils de vol de données, d’accès aux comptes de réseaux sociaux et de fraude au clic. ZATAZ vous alertait de cette situation concernant des claviers d’ordinateurs, ainsi que les boîtiers vidéos vendus sur des plateformes telles qu’Amazon ou AliBaba.

Bien qu’aucun appareil ne soit totalement immunisé contre les menaces, investir dans un smartphone de meilleure qualité peut réduire le risque d’infection par des logiciels malveillants préinstallés. Il est également important de prendre d’autres mesures de sécurité pour protéger son appareil. Les utilisateurs doivent être prudents lors du téléchargement et de l’installation d’applications, en vérifiant leur source et en lisant les avis des utilisateurs. Il est recommandé de garder son système d’exploitation et ses applications à jour en installant régulièrement les mises à jour de sécurité fournies par le fabricant. De plus, l’utilisation d’une solution antivirus fiable sur son appareil peut contribuer à détecter et à bloquer les logiciels malveillants.

cyberattaque, Cybersécurité

Des entreprises tardent à corriger la vulnérabilité GoAnywhere MFT même après les attaques du rançongiciel Cl0p

Des dizaines d’organisations sont toujours exposées à des cyberattaques via une vulnérabilité largement exploitée dans GoAnywhere MFT, un outil Web qui aide les organisations à transférer des fichiers.

Depuis février 2023, les groupes de rançongiciels Cl0p et Blackcat ont cyber attaqués des dizaines de grandes entreprises et gouvernements du monde via une vulnérabilité zero-day GoAnywhere (CVE-2023-0669).

Les gouvernements de Toronto et de Tasmanie ont été touchés par l’incident aux côtés de géants comme Proctor & Gamble, Virgin et Hitachi comme avait pu vous le révéler le blog dédié à l’actualité de la cybersécurité ZATAZ, à l’époque.

Un correctif pour la vulnérabilité avait été publié en février, ce qui n’a pas empêché Cl0p de compromettre plus de 130 organisations.

Il y a quelques jours, une société de cybersécurité a pris son abonnement chez Shodan est a regardé les machines encore connectées. Plus de 2 mois après la divulgation de ce 0Day, 179 hôtes affichaient encore des panneaux d’administration GoAnywhere MFT ! 30% d’entre eux montraient qu’ils n’étaient pas encore mis à jour.

Android, backdoor, Cybersécurité, Mise à jour

Fleckpe, le nouveau malware Android au 600 000 victimes

Un nouveau logiciel malveillant du nom de FleckPe aurait déjà infiltré plus de 620 000 appareils Android.

Des experts ont identifié un nouveau malware appelé Fleckpe. Il aurait infiltré plus de 620 000 appareils Android via le Google Play Store. Ce malware, se faisant passer pour un logiciel légitime, a pour objectif de générer des paiements non autorisés et d’inscrire les utilisateurs à des services payants.

Les contributeurs de Fleckpe gagnent de l’argent en prélevant un pourcentage des frais d’abonnement mensuels ou uniques des propriétaires d’Android qui ont été infectés.

Les experts de la société Kaspersky notent que le logiciel malveillant est actif depuis 2022, mais qu’il n’a été détecté que récemment. Les chercheurs ont identifié 11 applications transformées en cheval de Troie dans le Google Play Store se faisant passer pour des éditeurs d’images, des photothèques, des fonds d’écran, etc.

Toutes ces applications ont été supprimées de la boutique officielle. Cependant, les attaquants pourraient héberger d’autres programmes qui n’ont pas encore été détectés. Lorsque Fleckpe est lancé, il décode une charge utile cachée contenant du code malveillant et communique avec un serveur de commande et de contrôle (C&C) pour envoyer des données sur l’appareil infecté.

Les développeurs ont récemment modifié la bibliothèque native pour déplacer le code d’abonnement, laissant la charge utile pour interagir avec les notifications et modifier l’affichage des pages Web.

Cybersécurité, Entreprise

L’indice mondial de risque cybernétique a connu une amélioration

Pas de quoi faire la fête, mais il semble que les entreprises se préparent mieux aux cyber attaques.

D’après le Cyber Risk Index (CRI) semestriel de Trend Micro, une entreprise de cybersécurité, les organisations sont mieux préparées aux attaques et le niveau de risque cybernétique a baissé de « élevé » à « modéré ». Toutefois, malgré cette amélioration, les organisations continuent de craindre les cyberattaques, 78 % d’entre elles craignant de subir une attaque réussie cette année encore.

Selon Jon Clay, le VP of Threat Intelligence chez Trend Micro, l’indice mondial de risque cybernétique a connu une amélioration de +0,01, ce qui est une première depuis le lancement de l’enquête il y a trois ans, indiquant que les organisations prennent des mesures pour améliorer leur préparation contre les cybermenaces. Cependant, Clay souligne que des efforts supplémentaires sont nécessaires, notamment en ce qui concerne la formation du personnel, qui représente un risque majeur pour les organisations.

Bien que le niveau de menace ait diminué en Europe et dans la zone APAC, il en est autrement en Amérique du Nord et du Sud. En Europe, le score du CRI s’est amélioré de +0,12 au S2 2022, mais malgré cette baisse de la menace, la majorité des organisations européennes restent pessimistes quant à leurs prévisions. En effet, 78 % des participants à l’enquête estiment qu’il est « probable », voire « très probable », qu’ils subissent une cyberattaque réussie cette année. Les cinq principales menaces redoutées par les entreprises sont le détournement de clics, le vol de données de connexion, le rançongiciel, les botnets et la crypto-extraction.

Le personnel est identifié comme le principal risque pour l’infrastructure des entreprises, apparaissant deux fois dans le top cinq des risques. Cette situation n’est pas surprenante selon Trend Micro, car le travail hybride est de plus en plus courant. Les autres risques identifiés par les entreprises sont l’informatique dans le nuage et les fournisseurs, les employés mobiles, les appareils et applications IoT, ainsi que les ordinateurs de bureau et portables.

Hacking

La directive NIS 2, bientôt dans vos écrans

Octobre 2024, les pays membres de l’Union Européenne auront voté leur loi respective se calant sur la Directive NIS 2, la Network and Information Security.

On l’a connait sous le nom de Network and Information Security (NIS) ou encore, dans sa version francophone, la SRI, pour Sécurité des Réseaux et de l’Information. En raison de la transformation digitale en cours, notre monde bénéficie d’une connectivité améliorée et d’une plus grande agilité des entreprises. Cependant, cette dépendance accrue à la technologie digitale expose les entreprises, en particulier dans des secteurs critiques tels que les transports, l’énergie, les soins de santé ou la finance, à des vulnérabilités accrues face aux cybermenaces de plus en plus sophistiquées.

Face à ce défi, le Conseil de l’Union européenne (UE) a adopté la directive NIS2 comme un bouclier contre les cybermenaces, en élargissant son champ d’application et en définissant des mesures de sécurité et des exigences en matière de notification des incidents, applicables dans l’ensemble de l’UE. De plus, elle encourage la coopération entre les États membres pour favoriser le partage d’informations sur les menaces et les bonnes pratiques de sécurité. La directive NIS2 est une nouvelle version de la directive NIS de 2016, et les États membres ont jusqu’au 18 octobre 2024 pour transposer ses exigences réglementaires en droit national.

Renforcer la posture et la résilience des entreprises

Cette initiative fait partie d’un effort plus large de l’UE visant à renforcer la posture et la résilience des entreprises face aux risques cybernétiques. En plus de la directive NIS2, l’UE a également introduit la loi sur la cyber-résilience (CRA), qui s’applique aux produits matériels et logiciels comportant des éléments numériques. Cette loi vise à améliorer la sécurité des produits dès les phases de conception et de développement, puis tout au long de leur cycle de vie, ainsi qu’à créer un cadre de cybersécurité cohérent et à améliorer la transparence des critères de sécurité.

Le Royaume-Uni a également adopté le Telecommunications Security Act (TSA) pour renforcer la sécurité et la résilience des réseaux et services de communications électroniques sur son territoire, témoignant ainsi d’un meilleur alignement des normes de cybersécurité entre le Royaume-Uni et l’UE.

Il est essentiel de se préparer à la mise en œuvre de la directive NIS2 pour garantir un environnement numérique plus sûr et résilient dans l’ensemble de l’UE. Les implications de la directive NIS2 peuvent inclure la nécessité de se conformer aux mesures de sécurité et d’exigences de notification des incidents, ainsi que la participation à la coopération entre les États membres pour le partage d’informations sur les menaces et les bonnes pratiques de sécurité.

Un monde numérique en pleine transformation

L’impact de la directive NIS2 sur le paysage numérique en Europe est significatif. La directive clarifie certaines ambigüités et élargit son champ d’application pour inclure de nouveaux secteurs d’activité tels que les fournisseurs d’infrastructures numériques. Elle divise également les entités en deux catégories : « essentielles » et « importantes ». Selon cette réglementation, toute entité opérant dans un ou plusieurs des secteurs spécifiés, dont l’effectif est supérieur à 50 collaborateurs et qui réalise un chiffre d’affaires supérieur à 10 millions d’euros, relèvera automatiquement de son champ d’application en tant qu’entité essentielle ou importante. On estime que le nombre d’entités qui seront incluses dans le champ d’application de NIS2 pourrait être multiplié par dix par rapport à NIS.

La directive NIS2 introduit également un processus de notification d’incidents de sécurité plus précis. Les entreprises sont tenues de soumettre un rapport d’alerte dans les 24 heures suivant la connaissance d’un incident, suivi d’une évaluation initiale dans les 72 heures et d’un rapport final dans un délai d’un mois.

En outre, la nouvelle directive impose des sanctions financières plus sévères en cas de non-conformité, pouvant aller jusqu’à 10 millions d’euros ou 2% du chiffre d’affaires mondial annuel de l’entreprise, le montant le plus élevé étant retenu.

Bien que les entités essentielles et importantes soient assujetties aux mêmes dispositions, les entreprises classées comme importantes bénéficieront d’une application relativement moins contraignante. La directive NIS2 s’appuie sur les meilleures pratiques de cybersécurité, notamment l’évaluation continue des risques et des vulnérabilités à chaque étape du cycle de vie opérationnel, la maîtrise proactive des risques identifiés grâce à des mesures pertinentes de prévention, de détection et de réponse aux menaces, la définition de procédures efficaces de gestion de crise pour assurer la continuité des activités en cas d’incident, et le partage rapide, ouvert et transparent des informations sur les vulnérabilités et incidents avec les autorités de surveillance nationales et toutes les parties potentiellement impactées, directement ou indirectement.

Renforcer et sécuriser

Les principes clés de NIS2 visent à renforcer la sécurité des réseaux et de l’information. Cette directive adopte une approche inclusive des risques en considérant les menaces potentielles de sources diverses telles que les cambriolages, les incendies, les catastrophes naturelles, les pannes d’électricité, les télécommunications et les cyberattaques. Pour évaluer les risques, les entités doivent dresser l’inventaire de leurs ressources, services et vulnérabilités potentielles. Les politiques de sécurité des systèmes d’information doivent être élaborées en se basant sur des lignes directrices nationales ou supranationales et sur des principes d’évaluation des risques spécifiques à chaque secteur d’activité. L’ENISA est chargée de l’élaboration et de la promotion de ces recommandations.

Les mesures de prévention, de détection et de riposte aux incidents doivent être prises en compte après une évaluation exhaustive des risques. Il est nécessaire d’assurer l’application des mesures de sécurité de base telles que le déploiement de correctifs et de mises à jour de sécurité dans des délais raisonnables, un contrôle des accès et la formation des collaborateurs aux bonnes pratiques de sécurité. Les entreprises peuvent se conformer aux exigences de NIS2 et aux meilleures pratiques stipulées par le NIST en utilisant des solutions de sécurité conformes au framework de cybersécurité (CSF). Il est également recommandé d’utiliser des technologies innovantes, y compris l’intelligence artificielle, pour améliorer la détection et la prévention des cyberattaques.

Enfin, il est important de prévoir un plan détaillé pour une réaction immédiate face à des incidents inévitables. Les entreprises doivent disposer d’une architecture hautement disponible, avec des processus automatisés de failover et des sauvegardes hors site de toutes les données critiques, ainsi que d’une connectivité fiable, sécurisée et efficace entre les sites en utilisant la technologie SD-WAN pour assurer la continuité de leurs activités. La directive NIS2 souligne également l’importance d’un échange d’informations couvrant plusieurs domaines tels que les cybermenaces, les incidents, les vulnérabilités, les outils et méthodes en place, les tactiques, techniques et procédures, les exercices de simulation de gestion de crises, la formation et les processus permettant de renforcer le niveau de confiance.

La sécurité des tiers et de la chaîne d’approvisionnement est cruciale pour garantir la posture de sécurité d’une entreprise, comme l’ont récemment démontré les exploits exploitant la vulnérabilité Log4j. Pour se conformer à la directive NIS2, les entreprises doivent prendre en compte les recommandations formulées lors des discussions sur le Cybersecurity Framework (CSF) 2.0 et adhérer à des normes de sécurité de l’information éprouvées, telles que l’ISO 27001.

Les professionnels qui utilisent le cadre de CSF 2.0 soulignent l’importance de différencier les chaînes d’approvisionnement selon le type de fournisseur (éditeurs de logiciels, constructeurs, etc.). Cette approche permet d’adapter les mesures de sécurité à chaque profil, notamment face à la prolifération d’appareils IoT, de processus basés sur des logiciels (SaaS, bibliothèques open source, etc.) et d’éditeurs fournissant des logiciels grand public (applications, sites Web, etc.).

Les phases du cycle de vie du système d’information

La sécurité des réseaux et des systèmes d’information doit être prise en compte à toutes les phases du cycle de vie du système d’information, de l’achat à la maintenance. La directive NIS2 insiste sur l’identification, le traitement et la divulgation en temps opportun des vulnérabilités, conformément aux normes internationales telles que l’annexe A.14 de la norme ISO 27001, ISO/IEC 30111 et ISO/IEC 29147. L’utilisation d’un framework tel que le CSF du NIST permet d’améliorer les pratiques de sécurité et de garantir une approche globale et résiliente.

L’intégration d’une plateforme de sécurité avec le système de gestion de la sécurité des informations est essentielle pour simplifier et automatiser les processus de sécurité. Cette intégration permet aux entreprises d’avoir une gestion cohérente et intégrale des risques liés à la sécurité de l’information.

La directive NIS2 exige une évaluation régulière des mesures de gestion des risques de cybersécurité. L’utilisation d’un cadre comme PolicyOps permet de simplifier ce processus d’évaluation et de gestion des politiques et procédures de sécurité de l’entreprise. PolicyOps automatise l’évaluation des politiques de sécurité, permet un suivi de la conformité et assure que la gestion des risques est conforme aux normes de sécurité en vigueur, y compris la directive NIS2.

La directive encourage également l’application pleine et entière des principes de protection des données et de la vie privée, tels que l’utilisation de pseudonymes et le chiffrement, pour sécuriser les données à caractère personnel. Pour certains fournisseurs, l’utilisation d’un chiffrement de bout en bout peut être obligatoire.