Cybersécurité : lorsque la mesure augmente le risque

Seulement, il arrive que les mesures choisies réduisent le risque de prime abord mais en induisent de nouveaux. En cybersécurité, il est de ce fait impératif de s’assurer que les solutions mises en œuvre pour s’en protéger garantissent un niveau de sécurité absolu. Et ce d’autant plus lorsque l’on parle de systèmes critiques.

Les faits d’actualité relatant de médicaments aux effets secondaires désastreux, d’Airbag s’avérant finalement dangereux ou tout autres exemples sont malheureusement monnaie courante. Au niveau industriel, l’un des cas les plus frappants est le problème de fiabilité du système de contrôle du Boeing 737 Max, ayant causé deux catastrophes aériennes. Sans rentrer dans les détails techniques, ce problème de fiabilité était dû à une mesure logicielle destinée à réduire un risque conceptuel, qui s’est finalement avérée dangereuse pour les avions et leurs occupants, mais également pour l’ensemble de l’entreprise Boeing. N’oublions pas qu’au-delà de l’impact humain, le plus dramatique, un tel événement a également pour conséquence des enjeux de réputation, financiers et technologiques importants.

Les solutions de cybersécurité n’échappent pas à cet état de fait. Elles sont elles-mêmes vulnérables, ce qui est d’ailleurs tout à fait normal, et peuvent induire un risque alors même qu’elles sont une contre-mesure. Malheureusement, ces risques liés aux solutions de cybersécurité par elles-mêmes sont très rarement pris en compte lors de la réalisation d’une analyse de risque de type EBIOS ou Mehari. Généralement, nous nous contentons de prendre en compte les biens essentiels et supports d’un système, puis d’évaluer la pertinence des mesures et contre-mesures appliquées.

>> Retrouvez le replay du webinaire de 30 minutes sur le sujet <<

Un rapide parcours des CVE  (Common Vulnerabilities and Exposures) impactant des éditeurs reconnus donne un aperçu du problème. Ces vulnérabilités sont nombreuses, documentées et les impacts peuvent aller du simple déni de service sur une fonction, jusqu’au gain de privilège ou d’accès. Voire même jusqu’à la prise en main à distance de la solution de sécurité. On parle ici d’injection DLL, de buffer overflow, ou même simplement de manipulation de fichier par lien symbolique.

Il est également de notoriété publique que certaines vulnérabilités, ou « backdoor » dans le cas présent, sont délibérément implémentées dans les systèmes, par des Etats ou des organisations malveillantes. Autre exemple conceptuellement parlant, le simple fait d’ajouter un élément, qu’il soit logiciel ou matériel, sur une chaîne d’un système diminue automatiquement sa disponibilité moyenne et augmente parallèlement son exposition au risque.

Au vu de tous ces exemples, nous le constatons dans les faits, les actualités récentes montrent en conséquence une recrudescence de l’utilisation des solutions de sécurité pour pénétrer un système. Pour exemples récents, Mitsubishi a été piraté via une vulnérabilité de son antivirus en début d’année, le gouvernement américain a publié plusieurs alertes de piratage via des solutions de VPN SSL et CyberArk a démontré l’existence de failles importantes sur la plupart des anti-virus du marché.

Quelles solutions adopter

Alors que faire ? Ne soyons pas manichéen et adoptons une approche raisonnée et raisonnable. Bien évidemment les solutions de cybersécurité resteront indispensables, aussi longtemps que les systèmes et applicatifs seront vulnérables ou que leurs usages pourront être détournés. Il convient alors de les rendre les plus sûrs possible et c’est aux éditeurs de solution de sécurité de s’appliquer à introduire toutes les meilleures pratiques et tous les outils pour y parvenir dans leurs cycles de développement, en appliquant le concept de Security By Design.

Dès la conception, il est impératif de prévoir l’ensemble des exigences de sécurité applicables aux produits et de réaliser une analyse de risque. Ainsi, le choix d’une architecture logicielle de type micro-service par exemple offrira une résilience supérieure à une solution monolithique. Ensuite, en phase de développement, il faut utiliser des outils de contrôle de code et faire appel à des sociétés de BugBounty qui apporteront un regard extérieur à la recherche des potentielles vulnérabilités. Et enfin, avant la mise sur le marché, les solutions ainsi que leurs codes source doivent être décortiqués par des tiers souverains afin de garantir l’absence de backdoor et de failles structurelles.

L’ensemble de ces précautions ne garantira jamais l’absence de bug, c’est impossible. Mais elles apporteront cependant un gage de robustesse et de capacité de la solution à se protéger elle-même, minimisant ainsi l’impact d’une éventuelle corruption.

C’est pourquoi, la meilleure des solutions à adopter est de privilégier des technologies de confiance, telles que celles proposées par Stormshield, qui garantiront un niveau de sécurité global et optimal du système d’information à protéger. Et cette confiance doit être placée bien au-delà d’une image de marque.

Mais surtout, nous devons garder en tête qu’une solution de sécurité n’est qu’un outil qui, au-delà d’être bien choisi, doit aussi être bien utilisé et bien entretenu. Nous en arrivons inévitablement à l’humain, élément clé d’un système résilient. Cela peut sembler être une évidence mais comme tout composant informatique, les solutions doivent être mises à jour systématiquement lorsque des correctifs sont proposés. D’où l’importance d’avoir un support technique et une cellule de formation de qualité pour que les exploitants puissent tirer le meilleur parti de ces solutions.

Ce sujet vous intéresse ?

Découvrez comment la solution Stormshield Endpoint Security Evolution assure une protection optimale sans crainte des faiblesses cachées.

>> Retrouvez le replay du webinaire de 30 minutes sur le sujet <<