Transformation digitale et sécurité informatique Il est temps d'agir

« Cette journée est faite pour sensibiliser tout le monde au problème de la cybercriminalité et pour cette année, cette journée a pour thème principal ‘‘ la PME – PMI ‘’ et en plus générique ‘’ l’entreprise ‘’ », nous dit en substance Abdelaziz Derdouri dans une des pauses de la journée. En d’autres termes, les entreprises ont besoin de comprendre leurs adversaires, connaître leurs motivations et leurs méthodes, se préparer et s’adapter. Sensibiliser et vulgariser semblent être le but essentiel de cette journée qui a vu le sponsoring des trois opérateurs mobiles ainsi que la compagnie d’aviation nationale.
Le monde change et Internet aussi. L’Internet devient plus social, plus mobile et plus profondément intégré dans nos vies. Si l’on veut comprendre notre retard dans le domaine des TIC, CyberSec nous le montre directement. CyberSec est une initiative « citoyenne » de deux entreprises, IT2S et SSri, qui ont organisé à Alger une journée de sensibilisation à la cybercriminalité sous le haut patronage du ministre de l’Industrie, de la PME et de la Promotion de l’Investissement. C’est très rare mais la salle est restée bondée du matin jusqu’à la fin et l’on remarque qu’il y a autant de femmes que d’hommes. De plus, de nombreux experts venant de l’étranger ont animé des conférences axées sur le thème de la journée.
De plus, il y a avait la présence de représentants de grands éditeurs de solutions de défense à l’image de Cisco, Sourcefire, Crypto et autre Milestone.
Dans son discours inaugural, Abdelaziz Derdouri donne le ton : « Le coût financier de la cybercriminalité a atteint en 2012 les 110 milliards de dollars » ; mais ce n’est pas tout. Il montrera une compilation de textes, images et vidéos de ce que peut être la cybercriminalité tout en disant qu’« avec l’entrée de la 3G ; ce sera encore plus difficile ».
En effet, Hans Vestberg, PDG d’Ericsson, dira lors de la conférence du MWC 2013, que « 50 milliards d’objets devraient être connectés à l’Internet en 2020 », soit autant de points d’entrée ouvrant potentiellement la voie à des intrusions malveillantes vers les systèmes informatiques des entreprises.
Pour Abdelaziz Derdouri, « il n’existe pas de prise de conscience des risques au niveau des entreprises sur la sécurité de l’information et la protection des données » tout en donnant des chiffres de ce qui se passe dans le monde. Il ajoute que « très peu d’entreprises disposent d’une organisation adaptée aux nouvelles menaces informatiques ».
Les possibilités sont encore incalculables. On ne parle pas ici d’un petit piratage de mail, ou d’un vol de vos photos, mais bien d’attaques informatiques pouvant déstabiliser une multinationale, voire un pays entier comme cela s’est passé en Estonie en 2007. Pour l’orateur, « les cyberattaques sont de plus en plus sophistiquées, et les entreprises sont de plus en plus vulnérables ».
Avec l’avènement d’Internet, presque tout se fait maintenant online. Les machines et les serveurs ont remplacé les tiroirs et autre armoire.
Et un cheval de Troie a remplacé la clef croche-tout. Il évoquera pour cela l’attaque contre Saudi Aramco qui a obligé cette entreprise à arrêter ses 30 000 ordinateurs.
L’exemple le plus parlant donné par l’orateur sur la capacité offensive utilisée par des Etats par l’utilisation de Stuxnet où il dira que « différentes enquêtes tendent à montrer qu’il a été créé et utilisé par les Etats-Unis et Israël pour s’attaquer aux capacités industrielles en Iran, plus particulièrement au domaine de l’énergie nucléaire.
Cela a retardé le processus iranien de 2 années ».
Stuxnet est un ver informatique d’un nouveau genre extrêmement puissant et dangereux et qui a été découvert en 2010. Il terminera en disant que « la prévention peut être défensive mais aussi offensive ».
En effet, les attaques doivent être contrées en dissuadant les attaquants par la puissance offensive que l’on peut développer.
La journée commence après une visite dans les deux espaces de démonstration. Apres le passage de plusieurs experts qui ont déroulé leurs expertises, nous aboutissons à cette question : « Comment bien se protéger ? ». La réponse n’est pas donnée directement mais par bribes. Pour bien se protéger, il faut avoir non seulement les outils mais aussi savoir où, quand, pourquoi et comment les attaques sont susceptibles d’arriver et qui en sont les auteurs.
Un expert dira en résumé qu’il faut savoir qu’une cyberattaque n’est pas un grand et unique événement, mais qu’elle s’inscrit le plus souvent dans une série d’événements du même genre.
C’est pour cela qu’il faut recueillir, étudier et échanger des renseignements tactiques sur les menaces, notamment les indicateurs IOC (Indicators of Compromise). Il devient donc impératif que les entreprises implémentent des mesures de sécurité essentielles sur l’ensemble de leur infrastructure. Cela vaut pour le secteur privé comme pour le secteur public et les gouvernements.
Et la révolution samrtphone ne fait que commencer.
Les appareils portatifs, qui, il y a quelques années étaient considérés comme des symboles de statut technologique, sont maintenant pour la première fois dans les mains d’une majorité d’Algériens.
L’entreprise se doit de revoir ses méthodes de production et l’organisation du travail qui ont ou vont être transformées par le numérique.
Et donc de ce fait, les entreprises disposent d’un patrimoine informationnel qui nécessite une mise en place de nouveaux codes capables de garantir sa souveraineté.
En effet, le numérique sous-entend des problématiques de souveraineté, de protocole, de droit, d’indépendance et d’autres choses encore.
Lorsque le patrimoine de l’entreprise n’est plus matériel mais numérique et que l’on peut vous le prendre par une simple commande HTML tout votre patrimoine, il faut nécessairement imaginer autre chose et il devient nécessaire d’établir de nouveaux codes.
Et tout le monde sait que la seule volonté de l’entreprise ne suffira pas et que ce sont les pays qui allie la gouvernance politique et l’entreprise qui seront les mieux armés pour profiter du formidable potentiel du numérique.
Quid des cybermenaces visant le vol de propriété intellectuelle, les informations classifiées, les secrets commerciaux et les ressources techniques ?
On y apprend que mettre en place une politique interne de gestion du risque contre les cyberattaques coûte cher, ce qui rend la démarche moins accessible aux TPE/ PME. Or, il s’avère qu’en 2012, la moitié des cyberattaques a concerné précisément les entreprises de petite et moyenne taille.
D’un autre côté, à l’échelle mondiale, les éditeurs de logiciels de sécurité ont généré 19,2 milliards de dollars de revenus en 2012. Soit une croissance de 7,9% par rapport à 2011, d’après les estimations de Gartner. L’évolution des menaces et la montée en puissance du BYOD (Bring your own device), qui a fait l’objet d’une session, ont influencé l’augmentation des dépenses dans le secteur. Et quand on sait que le trafic Internet global va progresser de 23% d’ici 2017, selon Cisco, pour atteindre les 120 milliards de milliards d’octets par mois, il va falloir se prendre en charge. En effet, Le trafic IP des entreprises va tripler d’ici 2017 (plus exactement entre 2013 et 2017).
Il devrait alors atteindre les 21,7 exaoctets (Eo, soit 21,7 milliards de milliards d’octets) par mois, selon le Visual Networking Index (VNI) de Cisco.
Soit une évolution de 21% de consommation de la data par rapport aux 43,6 Eo consommés en 2012.
Concernant l’accès, toutes les études montrent que la consommation sans fil (wifi et mobile) dépassera celle des réseaux fixes et occupera 55% du trafic contre 41% l’année dernière.
Le trafic des réseaux métropolitains (nationaux) dépassera (avec 58%) celui des réseaux longue distance (long-haul) du fait du rapprochement de la diffusion de contenu des consommateurs locaux.
Les serveurs CDN (Content Delivery Networks) traiteront d’ailleurs 51% de l’ensemble du trafic Internet en 2017. (source : étude Cisco) mais il ne faut pas oublier que l’entreprise a besoin de répondre au besoin d’accès, de partage et d’impression des fichiers.
Malheureusement, aujourd’hui comme hier, aucune organisation n’est à l’abri d’une violation de données.
La cybercriminalité est une réalité quotidienne et universelle. Tant qu’il y aura production, diffusion et stockage de données critiques d’entreprise, les organisations seront ciblées par les criminels désireux d’obtenir des informations et d’en tirer profit.
Toutes les organisations, grandes ou petites, sont concernées, car les tactiques utilisées par les cybercriminels évoluent constamment. Lorsqu’une porte se ferme et que des programmes de sécurité renforcés sont mis en œuvre, les criminels prennent un autre chemin et le cycle recommence. Toutefois, les entreprises peuvent se protéger et se préparer à d’éventuelles attaques car tout l’enjeu est de restituer les moyens de sa souveraineté en matière de sécurité informatique.
Une journée pleine ou beaucoup de choses ont été dite. La sensibilisation a semble-t-il pris mais il reste toutefois la partie juridique qui devrait avoir sa place lors du CyberSec 2.
A Savoir
DBIR 2013
La cybercriminalité financière à grande échelle et l’espionnage pour le compte d’un État ont dominé le paysage de la sécurité l’an dernier. Ainsi, la cybercriminalité financièrement motivée constitue la majorité des infractions (75%) étudiées dans le cadre du DBIR 2013, suivie des campagnes d’espionnage d’État (20%). Ces dernières incluent les cybermenaces visant le vol de propriété intellectuelle – comme les informations classifiées, les secrets commerciaux et les ressources techniques – pour servir des intérêts économiques et nationaux.
Le DBDIR 2013 constate également que la proportion d’incidents impliquant des « hacktivistes » – qui agissent en fonction de motivations idéologiques ou simplement pour le plaisir – est restée stable. En revanche, la quantité de données volées a diminué, car de nombreux activistes se sont tournés vers d’autres pratiques telles que les attaques par déni de service distribué (DDoS). Ces attaques, qui visent à paralyser ou perturber les systèmes, ont également des coûts importants car elles nuisent aux entreprises comme à leurs opérations.
En 2012, les victimes étaient issues d’un large panel d’industries. Ainsi, 37% des intrusions ont concerné des organismes financiers, 24% des commerces et restaurants, 20% la production, les transports et les services publics et, dans la même proportion, les sociétés de services et médias. Globalement, 37% des cyberattaques ont ciblé de grandes structures et impliqué 27 pays différents.
D’autres résultats intéressants : 92% des violations de données sont le fruit d’attaques externes, 14% sont commises par des initiés. Cette catégorie comprend : les membres du crime organisé, les groupes d’activistes, les anciens employés, les pirates isolés et les organisations parrainées par des gouvernements étrangers. Comme lors de la précédente édition du DBIR, nous constatons que les partenaires commerciaux sont responsables d’environ 1% de ces infractions.
Par ailleurs, le piratage est à l’origine de 52% des violations de données. 70% des intrusions réseau exploitent des informations d’identification « faibles » ou volés (mots de passe, noms d’utilisateurs, etc.) ; 40% incluent des malwares (logiciels malveillants, scripts ou code utilisés pour compromettre des informations) ; 35% sont associées à des attaques physiques (par exemple, devant les automates et terminaux de paiement) et 29% des pratiques comme le phishing (quatre fois plus qu’en 2011).
Enfin, le délai entre la violation de données initiale et la découverte de l’infraction continue à se mesurer en mois, voire en années. Cependant, les infractions finissent, dans leur majorité (69%), par être détectées.
 
La NSA « pompe » la data
C’est peut-être un hasard, mais le CyberSec tombe pile avec la sortie au Etats-Unis de l’affaire Prism. Si on consulte le monde, on y apprend que la NSA -National Security Agency- et le FBI puisent directement dans les serveurs centraux de neuf grandes sociétés américaines de l’Internet selon un document secret obtenu par le Washington Post qui précise que l’extraction des conversations audio et vidéo, des photographies, des e-mails, documents et journaux de connexion permettent aux analystes de suivre des cibles . Tout cela est fait par un programme qui a pour nom de code PRISM, et qui n’a pas été rendu public jusqu’à présent. Selon toujours le Washington Post « 98% de la production de PRISM est basé sur Yahoo, Google et Microsoft ». Google, et d’autre entreprises ont immédiatement réagi et ont nié qu’elle permettait l’accès direct du gouvernement à leurs serveurs.