Après quelques heures passées au cœur des Riams, rendez vous confidentiel des RSSI des plus grandes organisations françaises, la perspective de maîtriser rapidement la situation face à la virulence des ransomwares ou (rançongiciels en Français dans le texte) demeure assez sombre. Les RSSI cherchent des coupables - Frédéric Simottel
Attaque lente et silencieuse, le ransomware est perçu par les RSSI comme un poison à action rapide, une fois son dispositif armé. Poison d’autant plus efficace que les cybercriminels se révèlent de plus en plus compétents dans la maîtrise des techniques et dans la conception de logiciels malveillants. Un expert du domaine qui les étudie de près m’explique que les cyberpirates savent parfaitement doser la charge utile du poison en évitant le périmètre du réseau sécurisé et en contournant les méthodes de détection et de prévention, situés notamment sur les terminaux. Les cybercriminels savent également exploiter à la fois la psychologie des utilisateurs ainsi que l’absence de contrôles de protection du SI, des objets ou des machines connectées industrielles.
A la ruse des attaquants se mêle les menaces internes bien réelles
Issues d’employés malveillants ou d’anciens collaborateurs mécontents. Une situation qui perdurera tant que la séparation dynamique des tâches ne sera pas effective, tant que les processus d'autorisation n’impliqueront pas plusieurs personnes, ou tant que les auteurs de logiciels malveillants sauront « militariser » leurs méthodes de chiffrement.
Certains évoquent une première parade avec des sauvegardes méticuleuses et régulières du système. Certes, mais cela ne suffit pas ; les dommages causés par une attaque par ransomware dépassent souvent la réussite même de l’opération de restauration. Une fois l’attaque identifiée, l'intégrité bafouée des appareils concernés nécessite en effet une analyse médico-légale approfondie mais surtout… coûteuse (surtout à grande échelle). Or, si coté fournisseurs, la détection, la prévention et l'analyse médico-légale représentent un marché de plusieurs milliards de dollars, côté clients, les dispositifs de renforcement et la protection de la chaîne d'approvisionnement sont toujours perçus (à tort) comme un centre de coûts (et il n'existe aucune réglementation pour motiver l'innovation).
C’est pourquoi la cyberprotection doit commencer à l'usine et persister sur le terrain tout au long du cycle de vie opérationnel de l'appareil. Et ce n’est pas le correctif posé sur le réseau qui résoudra grand-chose.
Alors que les fournisseurs de chipsets en silicium ont intensifié leurs innovations en matière de sécurité, la chaîne de confiance n'a pas réussi à remonter efficacement jusqu’à la plate-forme de l'appareil.
C’est le terminal le problème. C’est lui qui contient le mot de passe du collaborateur potentiellement indélicat ou trop crédule. Les RSSI que j’ai rencontrés lancent une sorte d’appel à l'action pour les fabricants d'appareils et les fournisseurs de services de sécurité. Ce sont eux qui sont en première ligne.
Chiffres et Ă©tudes
L’Association pour le Management des Risques et des Assurances de l’Entreprise (AMRAE).
Publie l’édition 2023 de son étude objective et exhaustive sur le risque cyber et sa couverture assurantielle. Un rapport pour comprendre pourquoi e marché français gagne en maturité et pourquoi les dirigeants d’entreprise doivent se saisir du sujet.
...
