Archives de catégorie : Cloud

Base de données, Chiffrement, Cloud, cryptage, Cybersécurité, Entreprise, Fuite de données, ID, Identité numérique, Particuliers, Sauvegarde

Sécurité des données : une tour en équilibre précaire

Pendant les fêtes, j’ai eu l’occasion de voir « The Big Short : Le Casse du siècle », film inspiré du livre de Michael Lewis sur la bulle immobilière. Ou plus exactement sur la manière dont un groupe de parias de Wall Street voit clairement les signes d’effondrement prochain du marché hypothécaire. Il est intéressant de constater qu’aucun de ces indices financiers ne constituait un secret.

Cela m’a poussé à me demander s’il existe aussi des signes incroyablement évidents montrant que la sécurité des données d’entreprise ne se trouve qu’à un ou deux piratages d’une explosion complète.

En guise de pièce à conviction A, veuillez consulter l’article de Krebs sur les nouvelles méthodes d’authentification mises en œuvre par Google et Yahoo. Google essaie une ouverture de session Gmail sans mot de passe par l’envoi d’un e-mail d’approbation au smartphone associé à votre adresse électronique. Après avoir accepté la requête, vous pouvez utiliser Gmail. Aucun mot de passe n’est nécessaire !

En octobre dernier, Yahoo a commencé à offrir un service similaire appelé « mots de passe à la demande ». Dans ce système, Yahoo envoie un code aléatoire de quatre caractères à un périphérique séparé lorsqu’un abonné tente de se connecter. Yahoo exige ensuite que l’utilisateur saisisse ce code sur son site Web pour obtenir l’accès.

Phishing récréatif et lucratif
Que dit Krebs à propos de ces changements ? Améliorer l’authentification est une bonne idée, mais Krebs pense que ces approches mèneront à des attaques de phishing plus sophistiquées. Aïe !

En règle générale, ce type de modèle reste exposé aux attaques de l’intercepteur.  Toutefois, Krebs semble suggérer que les pirates profitant de ces services enverront des e-mails contrefaits pour demander plus d’informations aux abonnés. Les utilisateurs de Yahoo et de Google ayant probablement l’habitude d’accepter et de répondre à des e-mails de vérification réels, ils pourraient accidentellement révéler un mot de passe ou d’autres informations en réponse à une communication falsifiée.

Alors que d’autres grands services en ligne commencent à essayer leurs propres méthodes et que certaines entreprises font appel à des techniques à facteurs multiples, d’insidieuses failles de sécurité restent possibles.

Le Web caché
Ma pièce à conviction B est constituée de toutes les données piratées au cours de ces deux dernières années. Étant donné que les IPI et autres données sensibles sont à la portée des pirates au moyen du Web caché, les cybercriminels possèdent beaucoup plus d’informations pour exécuter leurs futures opérations de phishing et autres attaques d’ingénierie sociale.

À l’heure où j’écris ces lignes, les médias technologiques signalent la divulgation massive de plus de 190 millions d’enregistrements électoraux comprenant des dates de naissance, des adresses électroniques et des affinités politiques. Bien sûr, cela s’ajoute à la violation géante de l’OPM, la violation de l’IRS  et les gigantesques violations des compagnies d’assurance.

Récemment, j’ai écrit un article au sujet des énormes quantités de données de santé protégées (PHI) qui se trouvent dans les systèmes informatiques des grandes entreprises. Ces dernières ne sont pas toutes des entreprises de services de santé. Souvent mal sécurisées, les PHI ont été écrémées par les pirates au cours des quelques dernières années. Elles constituent une autre remarquable source d’informations pour de futures attaques.

Le Jenga de la sécurité des données
Revenons au film « The Big Short ». Je ne pense pas que nous en dirons trop en révélant cette scène du film, car elle a déjà été largement distribuée. Je fais ici référence à Ryan Gosling montrant à ses collègues de Wall Street les pieds d’argile du colossal marché hypothécaire.

Comme au Jenga, il a lentement retiré les blocs de base de sa tour infernale. Comme on peut s’y attendre, la structure entière, y compris les blocs représentant les hypothèques les plus sûres, finit par s’effondrer.

J’attends qu’un DSI retire ce genre de bloc de Jenga ! C’est-à-dire qu’un collaborateur (peut-être un individu imprégné de philosophie « red team ») explique aux cadres dirigeants en quoi la sécurité informatique est semblable à une tour de Jenga.

Au sommet se trouvent une défense de périmètre et un chiffrement des données forts. Mais il existe des données mal sécurisées sous cette première couche. Et plus profondément encore, on rencontre des techniques d’authentification peu efficaces, des mauvaises stratégies de mots de passe, une gestion tardive des correctifs et une supervision des données insuffisante.

Le pirate mène ses essais et ses attaques à travers la main de l’employé. Guidé par les données volées existantes et d’autres informations de vulnérabilité acquises sur le marché noir (logiciels malveillants, IPI, informations d’identification volées), il sait quels blocs retirer de la base pour faciliter son accès à la prochaine couche de données mal sécurisées.

L’ensemble de la structure informatique s’effondre ensuite en laissant les blocs de Jenga éparpillés sur le bureau du DSI.

Je ne pense pas qu’en 2016 nous verrons l’équivalent informatique d’un effondrement financier dans lequel le commerce électronique et la pornographie seraient soudainement bloqués. Mais il existe depuis quelques années des signaux d’alarme en direction de sérieux problèmes au niveau des fondations mêmes de la sécurité des données informatiques. (Par Norman Girard, Vice Président et directeur général Europe de Varonis)

BYOD, Cloud, Cybersécurité, Entreprise, IOT

Les prédictions 2016 de Blue Coat en matière de sécurité informatique

Cloud, Ransomware, DDoS. L’année 2015 a été très chargée. L’année 2016 s’annonce tout aussi chaude.

Bijoux dans le cloud ; Voleurs dans le cloud
Les clés du royaume sont maintenant dans le cloud. Puisque de plus en plus d’entreprises stockent leurs données les plus précieuses (données clients & employés, propriétés intellectuelles, etc.) dans le cloud, tôt ou tard les méchants trouveront bien un moyen d’accéder à ces données. En 2016, nous prévoyons de voir une augmentation des failles dans les services cloud, en effet les pirates utiliseront les identifiants liés aux services cloud comme principal vecteur d’attaque. Les tactiques de social engineering vont imiter les écrans d’authentification à ces services cloud pour récupérer les identifiants.

Ransomware Road trip !
Les menaces mobiles et particulièrement les ransomwares font gagner beaucoup d’argent aux cybercriminels, nous verrons donc augmenter les deux dans l’année à venir. Les appareils mobiles représentent une nouvelle cible, téléphones et tablettes connaissent déjà un regain d’attaques au ransomware. Les criminels ont déjà attaqué beaucoup de ces cibles faciles, et désormais ils ne visent plus seulement des individus mais aussi des entreprises qui n’ont pas correctement sauvegardé leurs données sensibles (telles que les images, les codes source et les documents). La découverte récente du « Linux.Encoder ransomware » (qui a déjà corrompu 2 000 sites web) est juste un exemple de plus qui montre que les ransomwares continuent à évoluer.

Trafic chiffré/le SSL comme moyen de dissimulation
Des services tels que Office 365, Google Drive, Dropbox et Box continuent à gagner en popularité ; les pirates aussi continueront de s’appuyer sur ces derniers. Ces services sont parfaits pour eux : ils sont gratuits, simple à installer, utilisent le chiffrement SSL, et ne sont généralement pas bloqués. Le trafic chiffré continuera à créer des angles morts pour les solutions de sécurité étant donné que les activistes de la vie privée tentent de chiffrer le web entier. Avec des adversaires se dissimulant, opérant et communiquant dans un trafic et des canaux chiffrés, il y aura un grand intérêt pour les réseaux chiffrés.

Une attaque ici, une attaque là
Il semble que chaque année soit jugée comme étant « l’Année de l’Attaque », et chaque année, de plus en plus de grandes entreprises sont victimes d’attaques. Aujourd’hui, les attaques sont monnaie courante et les utilisateurs y sont de moins en moins sensibles. Il en résulte que beaucoup se sentent impuissants contre ces menaces, ce qui pousserait les entreprises à privilégier leur capacité d’analyse et de réponse à ces piratages, de même que leur assurance en cas d’attaque.

IoT- Il est 10 heures, savez-vous où est votre thermostat ?
L’internet des Objet (IoT) est un nouveau champ vierge pour le piratage et l’apprentissage. Les piratages PoS de ces dernières années ne sont qu’un début. La prédominance des appareils connectés à Internet, qui sont souvent laissés sans surveillance ni sécurité, font d’eux un refuge idéal pour le contrôle et la manipulation. Le fait est que beaucoup d’appareils connectés manquent d’espace mémoire ou de fonctionnalités d’un système d’exploitation. Par conséquent, la stratégie consistant à les considérer comme des postes clients classiques échouera, et cela permettra à la communauté des pirates d’exploiter les vulnérabilités de l’IoT que ce soit pour faire les gros titres des journaux ou à des fins plus néfastes (simplement en allumant ou en éteignant l’appareil).

Aujourd’hui, les ransomwares ne sont pas encore répandus parmi les objets connectés (tels que les réfrigérateurs ou les FitBits), étant donné que ces appareils ne stockent pas les données importantes que les pirates recherchent. Mais, à mesure que l’IoT se développe, nous allons commencer à voir des attaques plus avancées nous affecter en 2016 et à l’avenir.

Le paysage des menaces internationales
Nous commençons à voir un développement important des attaques nationales sophistiquées. Quelques pays, comme le Nigéria, sont en train de rentrer dans la mêlée avec des attaques plus sophistiquées. D’un autre côté, la Chine et la Corée du Nord ont peu contribué à l’évolution de leurs attaques ces cinq dernières années. Quant à la Russie, elle a évolué de façon significative ces derniers temps, que ce soit en terme d’activité ou de sophistication, étant donné que le pays se préoccupe moins de faire profil bas. Les pirates russes sont maintenant plus vigoureux qu’avant dans leurs tentatives d’intrusion. Nous prévoyons que les conflits à travers le monde amèneront avec eux des attaques via du matériel connectés.

A la suite de la dénonciation du Safe Harbor, la signature du règlement général de protection de données européennes – et les peines encourues pour non-respect – forcera les entreprises à faire un état des lieux de la façon dont ils traitent les informations personnelles de leurs clients européens, ainsi que de leurs employés ; en attendant que cela ait un impact direct et considérable sur leur sécurité d’architecture et investissements.

Le recrutement
La défaillance des entreprises et des pays à développer un cyber talent deviendra un problème important dans les cinq prochaines années. La demande pour les compétences en sécurité informatique professionnelle devrait croitre de 53% d’ici 2018. De ce fait, les postes dans le domaine sécurité seront complétés par des MSSP (fournisseurs de services d’infogérance en sécurité), dont les prix ne baisseront pas. De plus, les produits devront être plus performants et plus intelligents pour pouvoir guider le changement et les organisations privées auront besoin de changer leurs habitudes et d’investir pour intéresser les candidats. (Par Dominique Loiselet, Directeur Général de Blue Coat France)

BYOD, Chiffrement, Cloud, cryptage, Cybersécurité, Entreprise, IOT

Quels changements se profilent dans le paysage de la sécurité pour 2016 ?

Le changement le plus important concerne la manière dont les équipes chargées de la sécurité traiteront « l’inflation » de données, d’équipements, de fonctionnalités et de menaces. La croissance rapide de l’Internet des Objets va ajouter énormément d’équipements et de capteurs sur les réseaux informatiques.

Nombre d’équipes chargées de la sécurité informatique se sentent dépassées par le traitement des données, la sécurité de leurs réseaux informatiques actuels ainsi que par les responsabilités associées. Se contenter d’ajouter des solutions de sécurité informatique n’aidera pas les entreprises à contrôler l’afflux de données qui se profile. Il serait plutôt intéressant de voir comment les équipes IT seraient capables de gérer dix fois plus d’équipements et de données en partant de zéro. Cela leur permettrait de réfléchir à une stratégie sur le long terme et à la manière adéquate de suivre ce rythme effréné.

Toujours plus d’entreprises ont conscience de l’importance de l’informatique dans les environnements Cloud pour leurs activités. Les services à faible valeur tels que l’infrastructure de messagerie évoluent de plus en plus vers le Cloud et sont de moins en moins gérés en interne. En effet, la plupart des entreprises ne sont pas contraintes de se soumettre à des obligations de conformité ou de sécurité à ce niveau. Après tout, la plupart des courriers électroniques sont envoyés via Internet sans être chiffrés. Alors à quoi bon héberger ces messages en interne ? Les ressources monopolisées pour ce faire pourraient être utilisées à meilleur escient, par exemple pour réfléchir à la manière dont l’équipe IT pourrait accompagner plus efficacement l’activité de l’entreprise.

Puisqu’un nombre toujours plus important d’applications et de services migrent vers le Cloud, le suivi des actifs peut également passer dans le Cloud. Les terminaux des utilisateurs sont plus mobiles qu’avant et l’environnement dans lequel les collaborateurs souhaitent ou doivent travailler peut changer à tout moment. Une liste précise d’actifs informatiques indiquant l’état de tous les équipements et logiciels autorisés, ainsi que ceux non autorisés à rejoindre le réseau, offre un meilleur point de départ à l’équipe informatique chargée de la sécurité. En parallèle, rechercher en permanence les failles possibles sur l’ensemble des points d’extrémité est désormais indispensable.

Comment évoluent les cibles ?
Contrairement à ce que peuvent prêcher la plupart des fournisseurs de solutions de sécurité informatique, le mobile sera sans doute la principale cible en termes de sécurité en 2016. Bien qu’ils aient aussi leurs problèmes, iOS et Android restent malgré tout mieux protégés contre les malware commerciaux que les traditionnels terminaux informatiques. Les équipements mobiles pourraient être la cible privilégiée d’une surveillance et d’attaques commanditées par un Etat. En effet, ces équipements nous localisent et nous transportons en permanence avec nous un micro et un appareil-photo activables à distance. Quant aux PC et ordinateurs portables, ils sont dans le viseur des éditeurs de malware commerciaux qui y voient un retour sur investissement.

L’informatique traditionnelle, en particulier les systèmes de contrôle industriels et les applications SCADA pour la production, est de plus en plus connectée à Internet. Cela représente un risque important dans la mesure où ces systèmes ont été conçus à une époque où les utilisateurs étaient des collaborateurs fiables et compétents. Connecter ces systèmes de contrôle industriels ou ces applications SCADA à l’Internet public peut les exposer facilement à des attaques externes lancées par des individus malveillants, non autorisés et hors du contrôle de l’entreprise. Des attaques continueront d’être lancées tant que ces vieux systèmes seront simplement « connectés » à Internet.

Comment évoluent les stratégies de prévention ?
Les stratégies évoluent de plus en plus car les traditionnelles approches en matière de sécurité informatique sont moins efficaces et plus problématiques qu’avant. Ces dernières ne sont plus à la hauteur et constituent un échec. Il faut plutôt s’intéresser à l’avenir de l’informatique et à la façon d’intégrer la sécurité partout et par défaut.

Par exemple, les utilisateurs consomment davantage d’applications dans le Cloud qu’auparavant. Les entreprises utilisent des solutions telles que SalesForce pour leurs systèmes CRM et Office 365 pour leur communication. Cette approche réduit le nombre d’applications tributaires du réseau interne et plus les applications et les services seront consommés auprès de fournisseurs opérant dans le Cloud public, plus la surface d’attaque des réseaux internes sera réduite.

Les équipes informatiques vont devoir réfléchir à la manière de concevoir la sécurité dans un monde où les utilisateurs s’appuient uniquement sur leur équipement plutôt que sur le réseau de l’entreprise. Chaque point d’extrémité doit pouvoir être fiable et sécurisé, peu importe où se trouvent les utilisateurs ou la façon dont ils souhaitent travailler.

Base de données, BYOD, Cloud, Cybersécurité, Entreprise, Fuite de données, ID, Identité numérique, IOT, Particuliers, Phishing, santé, Social engineering

Nagerfit, Plaquerfit, SauterFit, hackerFit !

Le piratage de données de clients des produits connectés FitBit se précise.

Pourquoi s’attaquer aux clients des montres et bracelets connectés FitBit ? Malheureusement, simple et facile. Une fois qu’un pirate a mis la main sur un compte, il peut tenter de piéger la société en se faisant envoyer un produit de remplacement encore sous garantie. Au pirate de trouver le moyen de se faire communiquer le produit qu’il revendra ensuite.

Depuis plusieurs semaines, la communauté Fitbit vibre. Des dizaines de clients font état d’une modification de leur page d’administration Fitbit. La société a confirmé le problème et annonce se pencher sur la chose. Des pirates qui ont, via cet accès, aux informations GPS, et toutes autres données sauvegardées sur les serveurs de la marque de produits high-tech pour sportifs.

Le pirate a changé les informations de connexion

D’après BuzzFeed, toujours le même pseudo caché derrière ces piratages annoncés : « threatable123 ». Un bot serait-il utilisé par le malveillant ou alors ce dernier est trop feignant pour se cacher ? Plusieurs clients reprochent à FitBit de faire la sourde oreille et de les accuser de ne pas avoir prêté attention à leurs identifiants de connexion. Alors attaque sur la base de données ou simple phishing ? A suivre…

Base de données, Chiffrement, Cloud, cryptage, Cybersécurité, Entreprise, Fuite de données, Mise à jour, Patch, Sauvegarde

Les Data Centers face aux risques : des menaces contrôlées

Le Cloud a réussi à convaincre de nombreux adeptes grâce à ses différents atouts : simplicité, adaptabilité, ou encore coûts contrôlés. Pour protéger au mieux les données qui leur sont confiées, les fournisseurs éthiques suivent une règle d’or : prévoir l’imprévisible pour pouvoir assurer la sécurité des données.  

En effet, les data centers – comme toute autre installation – sont confrontés à différents risques et cela peut effrayer les entreprises et les particuliers.  Cependant, les serveurs des centres de données sont souvent bien plus sécurisés que les propres structures informatiques des entreprises. Plusieurs menaces existent, et les fournisseurs de Cloud disposent de spécialistes afin d’analyser et d’anticiper chacun de ses risques.

Le risque physique et le vandalisme
Il s’agit du risque lié à une intrusion physique sur le lieu : vol de matériel contenant des données, incendies criminels, ou encore casse des serveurs. Pour répondre à ce risque, des systèmes de vidéosurveillance mais aussi de détection volumétrique de mouvements au sein du périmètre de sécurité sont mis en place.  De plus, l’entrée du bâtiment est sécurisée par un contrôle d’accès strict avec différents niveaux de droits selon les pièces.  En cas de problèmes, les droits d’accès peuvent être rapidement révoqués et les badges désactivés automatiquement. Le bâtiment est également équipé de portes blindées, de systèmes de détection des chocs sur les portes et les fenêtres. Toute cette installation vise à pouvoir réagir très rapidement en cas de tentative d’effraction, avec une prise en charge rapide par le personnel sur site présent 24h/24 7J/7 et par les forces de l’ordre.

Pour pallier la menace d’incendie, des détecteurs sont mis en place. Les Data Centers sont par ailleurs équipés de système d’extinction automatique par gaz, si un départ de feu est confirmé par 2 détections simultanées, des bouteilles seront percutées instantanément afin de remplir la salle informatique d’un gaz empêchant la réaction chimique de l’incendie et bloquer tout incendie en cours.

Le risque météorologique
Cette catégorie regroupe tous les dangers liés à des conditions climatiques extrêmes: inondation, foudre ou encore canicule. Afin de prévenir d’éventuels sinistres, ce risque est étudié avant même l’implantation du Data Center afin d’éviter la construction en zone inondable. Le bâtiment est également entouré par des paratonnerres, et les armoires électriques équipées de parafoudres pour protéger le lieu en cas de tempête. Les climatisations sont spécifiquement choisies afin de fonctionner même lorsqu’elles sont soumises à de très hautes températures.

Les risques intrinsèques et électriques
Pour la partie électrique, les onduleurs sont présents pour palier une éventuelle micro-coupure ; en cas de problème plus conséquents – comme une panne totale de l’arrivée électrique principale Haute Tension– les Data Centers sont équipés d’un groupe électrogène pouvant assurer leurs autonomies. Des audits annuels sont par ailleurs réalisés pour assurer une sécurité optimale du lieu. Une caméra thermique permet de vérifier qu’il n’y a pas de points chauds pouvant potentiellement créer un départ d’incendie et les câblages sont également vérifiés une fois par an. Enfin, en cas de fuite d’eau, un système automatisé permet de couper l’arrivée d’eau dans la salle informatique.

Le risque numérique
Les menaces numériques regroupent tous les risques liés au piratage informatique.  Pour cela, les serveurs peuvent—être équipés d’un antivirus, d’un firewall, mais aussi d’une solution visant à bloquer les attaques DDoS.  Ainsi, un large spectre de vecteurs d’attaques est contrôlé. Il s’agit là des précautions prises pour un unique Data Center par chaque fournisseur. La mise en place d’un deuxième Data Center, notamment s’il est utilisé pour effectuer des plans de reprises d’activité, exige également quelques bonnes pratiques. Les deux bâtiments ne doivent pas être éloignés de plus de 50 kms l’un de l’autre, dans l’idéal, afin d’avoir un délai de latence faible pour la synchronisation des données. Mais ils ne doivent pas non plus appartenir aux mêmes réseaux électriques, car si une longue coupure intervient, les deux seraient alors potentiellement impactés. (par Aurélien Poret, responsable Infrastructure – Ikoula)

Base de données, Chiffrement, Cloud, cryptage, Cybersécurité, Entreprise, Fuite de données, ID, Identité numérique, Particuliers, Sauvegarde

Clé USB perdue pour un hôpital, 29 000 patients concernés

La fuite de bases de données peut prendre de multiples formes. La perte d’un support de stockage contenant des informations sensibles médicaux par exemple.

– Ca n’arrive pas qu’aux autres – 29 000 patients de l’hôpital universitaire Arnett de l’Indianna viennent d’être alertés d’un problème concernant leurs dossiers médicaux. Le centre hospitalier a alerté la justice de l’Etat à la suite de la « perte » d’une clé USB. Dans le support de stockage de l’University Health Arnett Hospital, des informations de santé de milliers de patients. La clé n’était pas chiffrée, n’avait pas de mot de passe. Le document n’était pas protégé contre les lectures non autorisées. Plus grave encore, les données couraient de novembre 2014 à novembre 2015. Quid des autres sauvegardes et de la sécurité de ces dernières ?

A noter, qu’en France, ce mardi 11 janvier, un hébergeur Lillois a été attaqué par un pirate informatique Turc. Des cabinets dentaires, des sites d’infirmiers et infirmières Français ont été impactés par cette attaque. Impossible de savoir si des données sensibles ont été collectées par le malveillant.

Chiffrement, Cloud, cryptage, Cybersécurité, Entreprise, Mise à jour, Patch

Quelles sont les nouvelles missions de la DSI à l’ère du cloud ?

Ce n’est plus une surprise aujourd’hui que le recours au cloud représente une transformation importante et stratégique pour les entreprises et va parfois de pair avec certaines inquiétudes concernant la place de la DSI. Les questions qui découlent de cette stratégie technologiques sont nombreuses : la DSI a-t-elle encore un rôle à jouer à l’ère du cloud ? Ce rôle doit-il évoluer et si oui, dans quelle(s) direction(s) ?

Dans de nombreuses entreprises, la DSI cherche avant tout à créer un socle informatique commun à l’ensemble des salariés : ce dernier doit être stable, afin d’éviter les interruptions de l’activité et permettre à chacun d’acquérir une excellente maîtrise des outils ; il doit aussi être sécurisé, afin de garantir une confidentialité optimale des données. De ces impératifs résultent des cycles informatiques longs, pouvant durer entre 3 et 5 ans avant que l’on n’envisage de changements significatifs des outils utilisés. Aujourd’hui, ce cycle long montre ses limites face à une économie toujours plus réactive où le time-to-market se réduit et où l’on recherche une plus grande agilité. Les entreprises doivent souvent faire preuve de rapidité pour répondre aux besoins du marché, une rapidité à laquelle leur infrastructure n’est pas toujours adaptée.

La DSI est donc confrontée à un paradoxe : d’un côté, offrir à l’entreprise de la stabilité afin qu’elle gagne en productivité et en sécurité ; de l’autre, s’adapter à de nouveaux usages dans un contexte où tout concorde pour que l’environnement soit instable. Un paradoxe d’autant plus présent dans les secteurs où les entreprises traditionnelles sont concurrencées par des start-up très agiles.

Mais alors, quelles craintes font naître ces évolutions ?
Tout d’abord il y a le « shadow IT ». La DSI y est confrontée de manière quasi récurrente : les salariés souhaitent décider eux-mêmes des outils les plus appropriés pour accomplir leurs missions ; il leur arrive ainsi d’en adopter certains sans l’aval des services informatiques, créant alors une véritable «informatique de l’ombre». Par conséquent, la DSI hérite souvent de la maintenance de ces dispositifs qu’elle n’a pas choisis et de la gestion des problèmes de compatibilité.

Puis vient la perte d’influence. Pendant longtemps, seule la DSI a eu le pouvoir sur les outils utilisés dans l’entreprise lui permettant de s’opposer à l’utilisation d’un logiciel si elle estimait qu’il ne répondait pas aux critères établis. Aujourd’hui, comme l’illustre la présence du shadow IT, les entreprises sont beaucoup plus ouvertes sur l’extérieur. Les directions métier, par exemple, ont accès à un large panel d’applications web qu’elles peuvent mettre en place en quelques clics. Le processus de décision est donc souvent plus rapide que la chronologie traditionnelle (évaluation des ressources techniques et budgétaires nécessaires, étude des risques, prise de décision, planification, déploiement) qui exigeait souvent plusieurs semaines voire plusieurs mois. En conséquence, la DSI peut craindre une certaine perte d’influence.

Enfin, reste l’automatisation. La plupart du temps, les logiciels basés sur le cloud hébergent les données au sein d’un datacenter extérieur à l’entreprise, dont la gestion est donc assurée par des tiers. De même, ces logiciels permettent souvent d’automatiser ou de simplifier des tâches autrefois placées sous le contrôle de la DSI : l’allocation des ressources, la configuration de chaque poste, le déploiement de nouvelles applications, etc. Ainsi, bien souvent, la DSI n’est plus la seule à impulser des décisions quant aux choix technologiques de l’entreprise. Les directions métier s’invitent aussi dans le débat, suggérant l’adoption de nouveaux outils. C’est sur ce type de projet que la DSI est la plus susceptible de ressentir une perte d’influence. Le risque est moindre lorsque les projets concernent l’entreprise dans son ensemble car la DSI conserve alors son pouvoir de prescription et de décision.

DSI, métiers, vers un juste équilibre ?
La situation actuelle entre DSI et directions métier n’est pas si préoccupante que l’on pourrait le croire. En effet, une étude menée par Verizon a démontré que seules 16% des entreprises étaient prêtes à investir dans le cloud sans l’aval de la DSI. A l’inverse, pour 43% d’entre elles, ce type de décision implique toujours une validation préalable de la DSI tandis que 39% prennent une décision collégiale associant directions métier et DSI. Le fait d’associer la DSI aux décisions ne se résume pas à valider la sécurité des choix technologiques, au contraire. La DSI permet, pour plus de la moitié des entreprises interrogées, d’optimiser les coûts et de réduire la complexité du processus. En réalité, il ne s’agit pas de créer un clivage entre DSI et directions métier mais de les réunir autour d’un objectif qui les rapproche : assurer la croissance de l’entreprise. Cela passe souvent par la mise en place de nouveaux business models permettant de développer le portefeuille clients ou de fidéliser les clients existants. Dans la poursuite de cet objectif, le cloud apporte une agilité accrue.

Le fait de solliciter l’IT offre à toute entreprise des bénéfices qui restent indéniables :
La DSI se porte garante du bon fonctionnement du système – Si le téléchargement d’un logiciel classique peut se faire à l’insu de l’IT, le cloud implique nécessairement de se pencher sur des questions comme la sécurité, la bande passante, l’interopérabilité. Sur ces sujets pointus, seule la DSI est en mesure d’intervenir afin de mettre en place de nouvelles fonctionnalités tout en préservant la cohérence du système d’information. Elle a en effet la maîtrise des questions de gouvernance : proposer de nouveaux produits et services, améliorer les processus et la fluidité des échanges…

La DSI peut apporter un accompagnement – Tout changement fait naître des inquiétudes et de manière générale, les utilisateurs n’acceptent un nouveau système que lorsque celui-ci apporte une amélioration significative de leurs conditions de travail. A l’inverse, si ce système se révèle plus complexe que le précédent, on accroît le risque de shadow IT. Il est donc primordial de faire coopérer la DSI et les métiers.

La DSI a un réel pouvoir de prescription – elle n’a pas pour seule mission de répondre à des besoins exprimés par les directions métier. Elle cherche aussi à les anticiper. Sa position la place à l’écoute des évolutions technologiques, elle est aussi gardienne de la mémoire des systèmes d’information de l’entreprise et peut donc impulser des innovations pour que l’entreprise gagne en modernité et en efficacité.

En conclusion, il ressort de ces constats que la DSI, loin d’être menacée par le développement du cloud, peut au contraire tirer profit de sa maîtrise technologique pour accompagner les directions métier et leur proposer des solutions à forte valeur ajoutée. Elle retrouve ainsi toute sa place dans la stratégie de l’entreprise. (Par Philippe Motet – Directeur Technique chez Oodrive)

BYOD, Cloud, Cybersécurité, Entreprise, Social engineering

Que la sécurité du cloud soit avec vous : les conseils pour se protéger du côté obscur

Pour les entreprises, le cloud représente la puissance, la flexibilité, l’évolutivité et le contrôle. Cette énorme puissance de calcul est le fruit d’une infrastructure informatique interconnectée et mondiale. Elle englobe aussi bien les entreprises et que les individus, et leur donne plus de liberté. C’est un facteur de cohésion pour l’économie mondiale. De la même façon, la Force donne au Jedi sa puissance et lui permet d’accomplir de véritables exploits et de renforcer ses capacités. Il s’agit d’un champ d’énergie créé par tous les êtres vivants. Elle nous enveloppe et unit la galaxie tout entière.

Bien que la Force puisse être utilisée pour faire le bien, elle possède un côté obscur qui imprègne son utilisateur de malveillance et d’agressivité. On peut dire la même chose du cloud, qui offre de nombreux avantages, mais doit être sécurisé afin que sa puissance soit correctement utilisée. Quels sont les certifications et protocoles de sécurité des services cloud ? Où sont stockées les données des entreprises ? Comment sont-elles protégées ? Qui peut y accéder ? Combien de temps le fournisseur de service cloud conserve-t-il des copies des données ?

Trois méthodes afin de se protéger du côté obscur
La Force du mal : lorsqu’un ver, virus ou botnet communique avec son centre de commande et de contrôle afin d’envoyer des données dérobées à un ordinateur « maître », les criminels brouillent les communications. Les logiciels malveillants utilisent également le chiffrement afin de masquer les informations qu’ils transmettent à des serveurs cloud par le biais du réseau, y compris des mots de passe ou des données sensibles telles que des coordonnées bancaires volées. En effet, selon CGI Security1, il est plus facile de lancer une attaque contre une organisation par le biais d’applications chiffrant leurs communications. Ainsi, une tentative de phishing peut passer inaperçue, car le système de prévention des intrusions en place est incapable d’examiner le trafic SSL et d’identifier le malware, et parce que les pare-feu de l’entreprise n’alertent personne de la nécessiter de bloquer ces paquets. Les malwares tels que Zeus sont célèbres en raison de leur utilisation du chiffrement ainsi que d’autres astuces afin de rendre leurs communications avec leurs centres de commande et de contrôle (C&C) indétectables des équipements de sécurité.

Que faire : s’assurer de disposer d’une visibilité sur le trafic cloud chiffré par SSL. Il faut pour cela utiliser des outils dédiés mettant en œuvre des portails sécurisés et d’autres systèmes avancés de protection des réseaux en périphérie afin d’inspecter le trafic une fois celui-ci déchiffré.

La Force du mal : les criminels cherchent des failles en périphérie du cloud, comme des interfaces et des API non sécurisées. En effet, les administrateurs informatiques utilisent des interfaces pour le provisionnement, la gestion, l’orchestration et la supervision du cloud. En outre, les API sont essentielles à la sécurité et à la disponibilité des services cloud génériques. Des rapports publiés par la Cloud Security Alliance2 révèlent que plus des organisations et des tiers s’appuient sur ces interfaces pour créer des services supplémentaires, plus la complexité augmente, car les organisations peuvent être contraintes de soumettre leurs identifiants à des tiers afin de pouvoir utiliser leurs systèmes cloud. Cette complexité peut ouvrir des boulevards permettant le piratage de ces identifiants qui sont alors susceptibles d’être utilisés pour accéder à des données au sein de systèmes cloud

Que faire : chiffrer ou « tokeniser » les données avant qu’elles n’atteignent les systèmes cloud. Ainsi, si le côté obscur parvenait à infiltrer ces derniers, il n’y trouverait que des valeurs de remplacement inexploitables

La Force du mal : le côté obscur peut parfois pousser les utilisateurs à oublier les règles d’entreprise indiquant que les données réglementées et sensibles (comme celles de santé ou relatives à des cartes de paiement) ne peuvent pas être stockées dans des environnements de cloud public, ou que certains utilisateurs ne peuvent pas accéder à des systèmes cloud sensibles depuis certains emplacements.

Que faire : contrôler le Shadow IT et le Shadow Data (informatique fantôme). Déterminer quels services cloud sont utilisés, leurs risques relatifs, et quels types de données y sont envoyées. En partant de ces informations, utiliser des technologies telles que des courtiers d’accès sécurisé au cloud afin de superviser le comportement des utilisateurs et de repérer la moindre activité anormale. Prendre également des mesures en amont, telles que le chiffrement des données sensibles, afin d’assurer une utilisation sécurisée du cloud et de garantir longue vie et prospérité à votre entreprise (oups, ça c’est le slogan d’une autre franchise cinématographique).

Quelques mesures spécifiques :
Restreindre l’accès des employés à la variété de nouvelles applications cloud qui sont apparues au cours des 5 dernières années.  Tirer parti des flux d’informations sur le cloud : celles-ci peuvent permettre à votre organisation de comprendre les risques relatifs liés à l’utilisation de certaines applications cloud.

Définir des politiques afin d’empêcher certains types de données de quitter votre organisation grâce à des solutions de prévention contre la perte de données (DLP). Celles-ci effectuent des analyses en continu à la recherche de données de patientes, de cartes de crédit et des numéros de sécurité sociale.

Inspecter le contenu issu des applications cloud et allant vers l’entreprise ; effectuez des analyses de contenu approfondies afin d’empêcher les malwares et autres menaces complexes de pénétrer vos organisations.

Les entreprises peuvent et doivent bien connaître les menaces (internes comme externes) pesant sur leurs infrastructures et données cloud. Elles doivent également se servir des conseils susmentionnés comme d’un guide afin de faire face à ces menaces en adoptant les approches et technologies de sécurité informatique les plus efficaces qui soient. Seule une gestion proactive et sage des risques du cloud permettra de profiter de sa puissance sur les plans organisationnel et technologique.

Base de données, BYOD, Chiffrement, Cloud, cryptage, Cybersécurité, Entreprise, Fuite de données

Fuite de données pour les fans de Hello Kitty

Nouvelle fuite de données en raison d’un MongoDB ma configuré. Plus de 3 millions de fans de Hello Kitty peut-être dans les mains de pirates informatiques.

Le site sanriotown.com, la communauté en ligne officielle pour Hello Kitty, s’est retrouvé avec les données de 3.3 millions de clients accessibles sur la toile. La fuite, comme les dernières en dates révélées par Chris Vickery, sortent de Shodan et d’un serveur dont l’outil de gestion de base de données, MongoDB, était mal configuré.

Les documents exposés comprennent les noms et prénoms, les dates d’anniversaire, le sexe, le pays d’origine, les adresses électroniques, le mot de passe non chiffré/hashs, les questions secrètes et leurs réponses correspondantes. Bref, toutes les informations sauvegardées par les clients et sauvegardées dans la basse de données du site.

Une base de données qui desservaient aussi les sites hellokitty.com ; hellokitty.com.sg ; hellokitty.com.my ; hellokitty.in.th et mymelody.com. En avril 2015, Sanrio avait déjà eu une fuite de données visant cette fois ses actionnaires.

backdoor, Banque, BYOD, Chiffrement, Cloud, cryptage, Cybersécurité, Entreprise, Fuite de données, IOT, Propriété Industrielle

Cybercriminalité et libertés individuelles au cœur des préoccupations de sécurité en 2016

A l’aube de l’année 2016, l’heure est au bilan et le marché de la cyber sécurité a une nouvelle fois été secoué par des failles de grande ampleur qui n’ont épargné aucun secteur. De Vtech, en passant par Ashley Madison, le parlement allemand, Sony Pictures, TV5Monde ou encore le Bureau Américain du Personnel (OPM), le constat est sans appel : les organisations doivent renforcer leur pratiques de sécurité et les gouvernements doivent poursuivre leurs efforts en vue de mettre en place des réglementations plus claires en faveur de la lutte contre les cybermenaces.

Les équipes informatiques doivent garder une longueur d’avance sur les pirates informatiques et ressentent par conséquent une forte pression face aux menaces émergentes. Dans de nombreux cas, cela requiert des formations poussées, notamment au sein des industries concernées par l’Internet des Objets (IoT), ainsi que de nouvelles compétences dans les domaines prenant de plus en plus d’importance comme l’analyse comportementale. L’investissement dans des systèmes d’automatisation d’alertes relatives à des comportements inhabituels ou au blocage des menaces peut permettre de soulager les équipes d’une partie du fardeau. En outre, l’émergence de « réseau auto-protégé », capable d’apprendre à se protéger lui-même une fois qu’une attaque est détectée, peut également constituer une réponse à la problématique de manque de compétences.

La vie privée et l’IoT dans le collimateur des responsables de la sécurité
La violation de données chez Vtech pourrait marquer un tournant décisif en ce qui concerne la vie privée des consommateurs et l’IoT. Toutefois, selon le cabinet d’études Altimeter Group, 87% des consommateurs n’ont pas la moindre idée de ce que le terme « l’Internet des Objets » signifie et il est urgent d’y remédier. Au cours des prochaines années, les consommateurs devront être mieux informés de la manière dont leurs données sont collectées par les fournisseurs, et comprendre que ces informations peuvent être compromises si elles ne sont pas correctement sécurisées par le vendeur. Le risque de faille existe à partir d’un seul terminal connecté au réseau domestique ou à d’autres appareils. Ces risques sont encore plus élevés pour les entreprises où le déploiement d’objets connectés devient une réalité. Bien que ces appareils intelligents augurent une simplification du quotidien professionnel, ils ne sont la plupart du temps pas conçus avec le niveau de sécurité adapté, ce qui engendre un risque conséquent pour les entreprises. Cela devient d’autant plus critique avec la généralisation de leur utilisation et l’augmentation du nombre d’appareils.

L’entreprise devient la cible privilégiée de la cybercriminalité
2015 fût le théâtre de nombreuses extorsions de fonds menaçant les organisations victimes de voir leurs activités IT ou opérationnelles interrompues. En 2016, ces attaques seront plus agressives et viseront l’extraction d’informations financières, agitant la menace de divulgation d’informations compromettantes et d’augmentation des rançongiciels (ransomwares) à l’échelle de l’entreprise. Ce type d’attaques va en effet croitre à mesure que les pirates informatiques développeront des méthodes plus créatives de chantage envers les individus et les corporations ; les attaques continueront en outre de se transformer et de s’adapter aux environnements des entreprises ciblées, en utilisant des approches de type « caméléon » pour dérober les identifiants de connexion. Cette activité peut également donner un nouvel élan pour faire évoluer et affiner l’industrie mondiale de la cyber-assurance afin de renforcer la protection des entreprises. Aux Etats-Unis par exemple, les risques de cyberattaques et les mesures de préventions consenties devraient avoir des conséquences notables sur les analyses financière et la cote des entreprises.

La convergence des risques de terrorisme physique et cybernétique sur les infrastructures critiques
En 2015 des actes de terrorisme dévastateurs ont impacté la communauté internationale. En 2016, il y aura davantage de convergence entre les formes de terrorisme physiques et virtuelles. Nous avons déjà pu observer le piratage d’une compagnie aérienne : plutôt que de s’attaquer à l’avion directement, le pirate pourrait également utiliser une faille pour engendrer la confusion au sein de l’aéroport, en ciblant le système de billetterie par exemple. Ces deux catégories d’attaques devraient être plus coordonnées entre elles : utiliser une cyberattaque pour semer la confusion et l’attaque physique pour causer un maximum de dégâts. Au-delà des transports, ces attaques visant les infrastructures critiques pourront aussi concerner les systèmes de santé, les marchés financiers ou encore les réseaux d’énergies.

Les cyber-traités et la législation
Les pays mettent en place de nouvelles lois pour lutter contre la cybercriminalité ainsi que des accords plus larges pour développer des tactiques de cyberguerre. Cependant, ces réglementations risquent davantage de porter préjudice aux avancées technologiques que de diminuer les activités malveillantes. Définir la conformité et rendre responsables les organisations qui ne la respectent pas permettra également de déterminer la capacité d’engagement des gouvernements sur la question de la cyber-sécurité et la possibilité d’avoir une incidence réelle sur ce sujet.

Le chiffrement : existe-t-il un équilibre entre sécurité et libertés individuelles ?
Les récentes attaques terroristes perpétrées dans le monde ont relancé le débat initié lors des révélations de Snowden : les consommateurs lambda doivent-ils avoir accès aux technologies de chiffrement ? La nécessité de surveiller les activités terroristes prime-t-elle sur les droits à la vie privée des citoyens et de leurs communications ? En fin de compte, la population aura-t-elle droit à plus de chiffrement et de préservation de sa vie privée malgré les coûts de sécurité ou 2016 sera-t-elle l’année de limitation des libertés civiles ? Dans certains pays du monde, de nombreux citoyens ont déjà accepté de renoncer à la confidentialité de leurs données au nom d’une cyber sécurité renforcée.

Identifier les cyber-infiltrés
Au cours de ces trois dernières années, le gouvernement fédéral américain et les entreprises privées ont été la cible de fuites massives d’informations privées. Comme pour l’OPM américain ou les attaques ciblant les compagnies aériennes, la principale question est de savoir ce qui a été volé alors qu’il vaudrait mieux se demander si les pirates n’ont pas eux-mêmes introduit quelque chose dans les systèmes piratés. 2016 sera-t-elle l’année où l’on découvre que les espions, les terroristes ou autres acteurs gouvernementaux sont finalement des utilisateurs vérifiés et approuvés sur la base d’informations introduites au cours d’une cyberattaque ? (Par Jean-François Pruvot, Regional Director France chez CyberArk)