Cybersécurité : que nous réserve l’année 2022 ?

Travail hybride, pandémie, boom du Cloud, télétravail, émergence du DevSecOps et la menace cyber – ransomware, supply chain, DDoS, quadruple extorsion, IoT … pèse sur tous : entreprises, Etats, secteur public, particuliers. Raphaël Marichez, CSO Europe du Sud, Palo Alto Networks nous livre ses prédictions pour 2022. Alors à quoi faut-il s’attendre ?

Le problème posé par les ransomwares est évolutif = Ne vous y trompez pas

Alors que le montant moyen des demandes de rançons a grimpé pour passer à 5,3 M$ en 2021 (soit un bond de 518 % par rapport aux chiffres observés par l’Unit 42 sur l’ensemble de l’année 2020) et que la rançon moyenne versée s’élevait à 570 000 $, en hausse de 82 % par rapport à 2020, il est à noter que la signification du terme rançongiciel devient insaisissable, et englobe aujourd’hui une multitude de techniques d’attaques différentes en provenance d’un large éventail d’acteurs de la menace. Un exemple: pour les consultants de l’Unit 42 (unité de conseil et de recherches/analyse sur les menaces), « la quadruple extorsion » est en plein essor.

Ce phénomène désigne les quatre stratégies utilisées par les pirates pour convaincre leurs victimes de payer. Ce nouveau scénario marque une intensification de la pression exercée par les cybercriminels qui, en 2020, n’utilisaient que deux méthodes, et aujourd’hui, choisissent et adaptent les méthodes au regard de l’effet qu’ils cherchent à obtenir et des caractéristiques de leur cible.Les RSSI doivent former leurs collègues non-informaticiens aux effets des différents types d’attaques et aux ripostes stratégiques à adopter.

Rendez-moi mes données !

Les données irriguent nos économies, nos entreprises et nos vies quotidiennes. Les cybercriminels comprennent aujourd’hui mieux leur valeur et comment monétiser celle-ci. Ils continueront de les dérober et les exploiteront selon des stratégies variées et fonction de leur cible : menace de publication, pression sur les clients, chantage sur les salariés… . De ce fait, il ne suffit pas de rétablir le fonctionnement du système : les entreprises et les particuliers traquent les données qui leur ont été dérobées, comme de véritables détectives de la donnée.

Données personnelles = du global au local

L’infrastructure cloud continuera à se segmenter en s’imposant comme un enjeu géopolitique. On se demande même si, au final, les effectifs des équipes juridiques et de conformité en charge de la souveraineté des données ne deviendront pas supérieurs à ceux des équipes de sécurité ayant pour mission de sécuriser celles-ci.

Les mots de passe vont disparaître

Le nombre d’identifiants que possède chaque utilisateur explose. Les mots de passe faibles et mal gérés constituent une cible de choix pour les pirates informatiques. Pour éradiquer cette faille, les entreprises misent de plus en plus sur des applications à l’authentification sans mot de passe.

Le piratage chez soi

Le modèle de travail hybride étant là pour durer, le réseau de son domicile privé est aujourd’hui une cible privilégiée des pirates informatiques. Une récente étude de l’Unit 42 révèle d’ailleurs que 35% des répondants à l’étude ont convenu que leurs employés contournent ou désactivent délibérément les mesures de sécurité à distance qu’ils ont mises en œuvre (en France, 21% le déclarent). Moins sûrs en règle générale, les réseaux résidentiels abritent des appareils IoT grand public dépourvus de correctifs, et leurs mécanismes de défense ont été affaiblis encore davantage par le nécessaire assouplissement des contrôles de sécurité visant à faciliter la collaboration à distance.

L’enseignement de la cybersécurité = s’adapter aux nouvelles façons de travailler

Nous devons réfléchir aux moyens de pérenniser la cyberformation dans un univers numérique plus agile, moins binaire. Cela passe par des programmes de formation reposant sur des principes solides, à l’épreuve du temps, plutôt que de se focaliser sur des actions ou technologies du moment ou des principes fermés (se croire protégé parce que le mot de passe à la longueur prescrite par la règle). En France, L’ANSSI, CyberMalveillance.gouv.fr et bien d’autres organismes (ex: CESIN) participent activement, et doivent le renforcer, à ce travail d’éducation, de formation et d’évangélisation. La cybersécurité est l’affaire de tous. 

Cyber Hygiène = les choses vont-elles empirer avant d’aller mieux?

Tout change tellement vite dans le milieu de l’IT en entreprise. L’approche DevSecOps n’est pas encore parvenue à maturité et les « bonnes pratiques » sectorielles sont encore rares. Les RSSI doivent laisser le raisonnement tactique au profit d’une réflexion stratégique pour tirer avantage des réglementations et autres politiques. Ils doivent faire de la réglementation leur allié et non leur ennemi.

La cybersécurité doit faire sa mue 

Pour aller plus loin et passer à l’échelle, il sera obligatoire d’alléger et simplifier les dispositifs techniques en place. Mais, l’humain est attaché aux technologies dont il a l’habitude, même si elles sont compliquées à utiliser. Or, ce qui fonctionnait auparavant ne sera plus suffisant, et les équipes de cybersécurité ne pourront accomplir de miracles en étant corsetées par un écosystème de solutions propriétaires/héritées.

L’entreprise Zero Trust = la référence en matière de sécurité

Toujours vérifier avant d’accorder sa confiance. Dans un monde en quête de satisfaction immédiate, il est piégeux de chercher à déployer une solution “Zero Trust” de court terme. Ce serait ne pas avoir compris que l’approche Zero Trust est une stratégie, et non un produit ou un projet.