Principales menaces en cybersécurité

Quelles sont les principales menaces en cybersécurité d’aujourd’hui?

Le paysage de la sécurité informatique évolue rapidement. Voici ce à quoi vous pouvez vous attendre.

Les pirates pirates vont bien au-delà de l’hameçonnage pour lancer des attaques sophistiquées contre des actifs critiques pour la mission. De vos applications critiques de planification des ressources d’entreprise (ERP) comme Oracle et SAP à vos systèmes de contrôle industriel, rien n’est interdit.

Pendant ce temps, des gouvernements comme l’Union européenne et l’État de Californie appliquent des réglementations strictes sur la protection des données. Cette nouvelle législation exerce une pression accrue sur les entreprises pour protéger leurs systèmes informatiques et assurer la confidentialité des données des clients, employés et fournisseurs.

Le non-respect peut entraîner des pénalités ayant un impact important sur votre entreprise. Par exemple, les amendes du Règlement général sur la protection des données (RGPD) peuvent s’élever à 20 millions d’euros ou jusqu’à 4% du chiffre d’affaires annuel mondial de votre exercice financier précédent, selon la valeur la plus élevée.

La plupart des entreprises se sentent mal préparées à faire face à ces changements. En fait, 51% des organisations ne croient pas qu’elles sont prêtes ou ne réagiraient pas bien à une faille de sécurité.

7 sujets de cybersécurité à aborder

En planifiant vos initiatives en cybersécurité, voici sept menaces à considérer dès aujourd’hui.

  1. Systèmes technologiques opérationnels

Les attaques contre la technologie opérationnelle (OT) — l’équipement qui alimente les systèmes de contrôle industriel — sont en hausse. Le rapport sur l’état de la technologie opérationnelle et de la cybersécurité4 a révélé que 74% des organisations d’OT ont subi une intrusion de logiciels malveillants au cours des 12 derniers mois.

Les répondants au sondage ont cité de nombreux impacts de ces brèches, notamment « une réduction de la sécurité, de la productivité et des revenus, la compromission de données critiques pour l’entreprise et une réputation de marque endommagée ». Le principal facteur de ces attaques est le manque de visibilité, puisque 78% des répondants n’ont qu’une connaissance partielle de la cybersécurité de leur environnement OT. Il est difficile pour les équipes TI d’obtenir une vision complète, car l’équipement OT — comme les vannes, moteurs et systèmes de production — peut sortir de leur domaine traditionnel.

  1. Vulnérabilités de l’Internet des objets (IoT)

Les dispositifs IoT d’entreprise et automobiles vont des robots sur les étages de fabrication aux micro-ondes connectés dans les cuisines de bureau. Ils incluent aussi des appareils personnels comme des traqueurs d’activité et des montres intelligentes.

En fait, 30% des entreprises ont même rapporté que des consoles de jeux, comme Xbox ou PlayStation, se connectent à leurs réseaux. À mesure que les appareils IdO s’étendent dans les organisations, les équipes TI ignorent souvent combien de personnes accèdent à leurs réseaux ni qui les utilise pour faire quoi.

Tous les répondants ont trouvé des appareils IdO malveillants, et 90% ont vu des réseaux sans fil IoT auparavant non détectés , distincts de leur infrastructure d’entreprise. L’IdO tiers présente aussi un risque, car les équipes TI ont souvent peu de contrôle sur ces appareils.

Une étude de l’Institut Ponemon a révélé que la plupart des organisations ne connaissent pas tous les appareils ou applications IoT tiers non sécurisés sur leur réseau. L’étude a révélé que 49% des entreprises ne scannent pas régulièrement les appareils IdO dans leur lieu de travail, tandis que seulement 8% disent qu’elles scannent en temps réel.

Avec l’IoT parallèle et la visibilité limitée, il n’est pas surprenant que 67% des entreprises aient subi un incident de sécurité avec des appareils IoT gérés. En fait, 84% des dirigeants TI disent à Forrester que leurs appareils IdO sont plus vulnérables que leurs ordinateurs gérés par l’entreprise.

  1. Rançongiciel sophistiqué

Les attaques par rançongiciel ont fortement augmenté, selon un rapport de Malwarebytes Labs. Le taux de détection dans les entreprises a augmenté de plus de 500% entre 2018 et 2019. En 2020, davantage d’acteurs menaçants lanceront des campagnes de rançongiciel en deux étapes contre les réseaux corporatifs pour exfiltrer des données sensibles.

Si votre entreprise est victime d’une attaque par ransomware, vous pouvez faire face à plusieurs conséquences. Vos risques incluent :

    • Perte de productivité et de revenus si les systèmes critiques tombent en panne lors d’une attaque.
    • Dommages à la marque et à la réputation après avoir informé les clients que leurs données ont été compromises.
    • Des coûts élevés. Le paiement moyen pour ransomware coûte 84 116 $ — en hausse par rapport à 41 198 $ il y a seulement un trimestre.

Beaucoup d’entreprises n’ont pas les bons outils et ressources pour bloquer les menaces.

Les experts croient que les solutions antivirus traditionnelles ne suffisent plus à vous protéger contre les attaques. Ces outils à l’ancienne ne peuvent pas suivre, surtout à mesure que les rançongiciels deviennent plus difficiles à détecter et que le nombre d’utilisateurs dans votre entreprise augmente de façon spectaculaire.

Un rapport de l’Institut SANS indique que les solutions antivirus ne détectent que 47% des points de terminaison compromis. Pour protéger vos données, cherchez une solution de protection des terminaux qui couvre toutes les zones de votre réseau et identifie les menaces en temps réel.

  1. Sécurité ERP

Saviez-vous que 64% des déploiements SAP et Oracle EBS ont subi des failles au cours des 24 derniers mois?

Les informations compromises lors de ces violations incluent les données de ventes, les ressources humaines, les renseignements personnels identifiables des clients, la propriété intellectuelle et les données financières. Le vol des données les plus sensibles de votre entreprise peut entraîner des conséquences graves — des violations de conformité aux pertes financières en passant par la faillite.

Cependant, de nombreuses entreprises ne sont pas préparées à une violation de l’ERP. Par exemple, ils peuvent faire fonctionner leurs systèmes ERP sur des technologies héritées dépassées qui ne sont pas sécurisées. En fait, 82% des cadres ont déclaré que la technologie héritée soutient des parties critiques de leur entreprise et s’intègre à leurs systèmes principaux, selon un sondage récent.

Contrairement à un bon whisky ou un bon vin, la technologie ne s’améliore pas avec l’âge.

Plus vous comptez longtemps sur les systèmes hérités, plus vous risquez de prendre. La plupart des technologies héritées sont tellement anciennes que le fabricant ne les supporte plus. Ils ne sont pas non plus mis à jour ou corrigés régulièrement. Cette négligence crée des lacunes de sécurité qui peuvent exposer vos données sensibles ERP aux cybercriminels.

  1. Insécurité du cloud

Chaque année, de plus en plus d’entreprises déplacent leurs charges de travail critiques vers le nuage et font face aux nouveaux défis de sécurité qui l’accompagnent. 19% des entreprises ont subi une faille cloud au cours de l’année précédente — une augmentation de 7% depuis 2017, selon l’Institut SANS.

Un rapport sur la sécurité cloud a révélé que les cinq principales menaces de sécurité cloud pour les entreprises incluent :

Les conséquences d’une violation de données cloud varient selon le type et la quantité de données volées par les pirates. Cependant, cela peut inclure la publication de données d’employés, de clients et de données propriétaires sur le dark web. Une fois que vos données échappent à votre contrôle, vous devez réagir rapidement pour limiter les dommages à votre marque et financiers.

Les services infonuagiques sont souvent plus sécuritaires que les systèmes hérités. Cependant, vous ne pouvez pas compter sur votre fournisseur pour gérer tous les aspects de votre sécurité dès le départ. Vous ne pouvez pas non plus faire confiance à vos outils de sécurité hérités pour fonctionner dans le cloud.

  1. Modèle de responsabilité partagée en sécurité cloud

Beaucoup d’organisations qui migrent leurs installations de stockage de données sur site vers le nuage tombent rapidement dans le vieux adage « loin des yeux, loin du cœur ». Bien que les fournisseurs de nuage assument certainement la majeure partie de la responsabilité en matière de sécurité de l’infrastructure, ils ne sont pas responsables de la protection des données dans le nuage. Cela peut sembler illogique aux entreprises qui utilisent les fournisseurs infonuagiques, mais le modèle de responsabilité partagée du nuage définit clairement les obligations de sécurité entre les deux parties. Lorsqu’il est bien maintenu, ce modèle devrait assurer la sécurité des entreprises plus que jamais.

Pourquoi a-t-on l’impression qu’une nouvelle fuite de données fait la une un jour sur deux?

Une mauvaise compréhension fondamentale des responsabilités en matière de sécurité — et de la manière de les gérer — rend les entreprises vulnérables aux cybermenaces. Dans ce modèle, les fournisseurs de nuage sont responsables de la sécurisation de l’infrastructure infonuagique, y compris le matériel, les logiciels, les réseaux et les installations. Les clients du cloud, quant à eux, sont responsables de sécuriser les données qu’ils mettent dans le cloud, ce qui inclut les points de terminaison, les comptes et la gestion des accès.

Pensez au modèle de responsabilité partagée dans le nuage comme envoyer votre enfant à l’école. Le système scolaire, qui représente le fournisseur infonuagique, est responsable de la sécurisation et de l’entretien du bâtiment que fréquente votre enfant. Mais en tant que parent (le client infonuagique), vous êtes quand même ultimement responsable de prendre soin de votre enfant. Si votre enfant (les données) se comporte mal ou contracte un virus, c’est votre devoir de vous en occuper. Quand nous faisons tous notre part, le système fonctionne bien et toutes les parties en bénéficient.

Comment allez-vous faire face à ces menaces?

La plupart des organisations sont extrêmement mal préparées face aux cyberattaques, qui ne cessent de gagner en ampleur et en sophistication. Alors que vous avancez dans votre stratégie de sécurité informatique, réfléchissez à savoir si elle vous protégera contre les menaces mentionnées ci-dessus. Sinon, vous devrez peut-être mettre en place des ressources supplémentaires pour protéger votre entreprise.

  1. Responsabilités en matière de données

Les organisations pensent que les fournisseurs de services infonuagiques sont responsables de sécuriser leurs données dans le nuage. Ce malentendu a des répercussions cruciales. La fuite de données d’Equifax a révélé les renseignements personnels d’environ 150 millions d’Américains, soit près de la moitié de la population nationale. Dans ce cas, Equifax a ignoré les avertissements du Département de la Sécurité intérieure indiquant que sa base de données était vulnérable aux attaques. De mauvaises pratiques de gouvernance des données, notamment un renouvellement de certificat de chiffrement, le stockage de mots de passe en texte clair et l’échec à corriger une vulnérabilité connue, ont tous contribué à la faille.

Prenez possession de vos données

Une fois que vous comprenez le modèle de responsabilité partagée dans le cloud — et votre rôle en son sein — vous pouvez prendre les mesures nécessaires pour mieux protéger les données de votre entreprise.

    • Établissez des relations solides avec les fournisseurs : Même si vos données sont ultimement votre responsabilité, vous n’avez pas à naviguer seul dans la complexité de la cybersécurité. Une mauvaise communication est probablement un facteur majeur des malentendus entourant le modèle de responsabilité partagée du cloud. Un bon partenaire cloud doit être ouvert, communicatif et réactif.
    • Priorisez la conformité : De même, cherchez un fournisseur infonuagique fiable et vérifié par l’industrie. Seulement 16% des services infonuagiques bénéficient d’une ou plusieurs certifications tierces telles que la Loi sur la portabilité et la responsabilité de l’assurance maladie (HIPAA), la norme de sécurité des données de l’industrie des cartes de paiement (PCI DSS), SOC2, SOC3 ou SSAE16.
    • Renforcez le personnel : Même si de nombreux dirigeants de la sécurité de l’information de haut niveau savent que la protection des données est leur responsabilité, 30% des entreprises manquent du personnel nécessaire pour sécuriser leurs applications SaaS. D’autres organisations ignorent totalement leurs responsabilités en matière de sécurité — ni le personnel et les ressources nécessaires pour les gérer.
    • Éduquer les employés : Un gestionnaire de sécurité réseau sur cinq pense que les fournisseurs infonuagiques sont responsables de la sécurisation des données de leur organisation. Les employés ouvrent fréquemment des portes dérobées aux pirates informatiques en adoptant des pratiques informatiques parallèles, un risque de sécurité énorme pour les entreprises.
    • Alléger davantage le fardeau : En plus de s’occuper de la sécurité de l’infrastructure cloud, de nombreux fournisseurs cloud offrent d’autres services de sécurité pour une meilleure protection. Cherchez des partenaires avec des services de surveillance, de gestion et de récupération de données pour réaffecter certaines de vos responsabilités en matière de sécurité d’entreprise.

Quelle est la différence entre un risque et une menace?

Il est important de vraiment comprendre la différence entre un risque et une menace. Un risque, c’est quelque chose que vous ne faites pas . Une menace, c’est quelque chose qui peut exploiter ce risque. Vous devriez vous assurer de connaître les principales menaces en cybersécurité et minimiser vos risques liés à ces menaces.

En savoir plus sur les menaces en cybersécurité

Pour en savoir plus sur la façon de vous protéger contre les menaces de cybersécurité actuelles, procurez-vous votre exemplaire du Guide ultime de la sécurité informatique d’entreprise.

Vous pouvez aussi nous contacter dès aujourd’hui pour découvrir comment nous vous aidons dans vos efforts en cybersécurité.