Les premiers enseignements de la crise sanitaire pour le futur de la cybersécurité

Pour les entreprises qui ont la culture du télétravail et où la transformation numérique permet déjà d’utiliser de nombreux services dans le cloud, la crise est un accélérateur de transformation avec une adoption encore plus large des outils collaboratifs dans le cloud, notamment pour partager des fichiers ou se réunir en visio-conférence. Dans ces organisations, la période de confinement a pu aussi ouvrir un usage étendu de la signature électronique ou le développement accéléré de nouveaux sites e-commerce.

Concernant les entreprises encore au milieu du gué dans leur projet de transition numérique, et pour lesquelles le télétravail n’est pas culturel, l’épreuve est beaucoup plus rude. Achat de PC portables en catastrophe, transport de PC fixes au domicile ou encore utilisation de PC privés à des fins professionnelles, toutes les possibilités ont été explorées et gérées dans l’urgence. On a vu fleurir des usages de services Cloud plus ou moins encadrés, voire en Shadow IT. Le niveau d’exposition aux risques cyber des entreprises a fortement augmenté pendant la crise. Bien évidemment en pareilles circonstances, les pirates n’ont pas manqué de se déchaîner avec des vecteurs d’attaques adaptés à la crise. Or, sur un poste de travail ou un espace en ligne mal protégé, une attaque de phishing peut provoquer des impacts encore plus importants.

Du point de vue de la sécurité, le curseur a indéniablement bougé et de façon pérenne.

• Le PC fixe est mort : on l’a vu, les entreprises équipées massivement de matériels mobiles ont été particulièrement agiles en s’adaptant au confinement quasiment du jour au lendemain. La différence de prix entre un PC fixe et un portable ne devrait plus être un obstacle à l’équipement des salariés devenus tous potentiellement mobiles. En complément, même si certains salariés ont réclamé des imprimantes pour leur domicile ou utilisé une imprimante personnelle, les parcs d’imprimantes et copieurs multifonctions devraient aussi diminuer puisque la preuve est faite que l’on peut vivre sans.
• Le Réseau Privé Virtuel (VPN) traditionnel va disparaître : de nombreux services étant disponibles dans le cloud, les salariés se sont naturellement connectés directement à ces services depuis l’accès Internet de la maison plutôt que passer par le VPN pour se connecter au réseau de l’entreprise, pour ressortir sur Internet afin d’utiliser ces services. Tant qu’il y aura du legacy, le VPN traditionnel va subsister mais le sens de l’histoire est bien une connexion directe vers le cloud, ce qui ne dispense pas de passer par des proxies et diverses couches de sécurité, elles-mêmes dans le cloud.
• L'Authentification multi-facteurs (MFA) n’est plus une option : Bien entendu, si on autorise les utilisateurs en mobilité à se connecter directement à des services cloud sans passer par le réseau de l’entreprise, il va falloir généraliser l’utilisation de l’authentification forte pour tous ces services et non simplement pour se connecter au VPN. Le concept de MFA va sans doute enfin se généraliser pour réduire les risques d’usurpation d’identité, inévitables lorsqu’on laisse les utilisateurs se connecter à des services cloud avec de simples mots de passe. Le principe du zero trust est plus que jamais d’actualité.
• La mise à jour des postes devra être repensée : pendant la crise, un des principaux challenges a été de garder les PC d’entreprise à un niveau de sécurisation optimum. Les mises à jour de sécurité étaient souvent une gageure pour beaucoup avant la crise, que ce soit au niveau du patching des OS, ou des mises à jour de sécurité. Comment alors garantir une mise à jour des postes lorsqu’ils sont tous à l’extérieur de l’entreprise et non connectés de manière permanente au réseau de l’entreprise ? Outre cette question de « joignabilité » des postes, les VPN ne vont pas transporter de gros volumes de mises à jour et l’évolution devrait là encore passer par davantage de mises à jour en direct.
• Adieu aux répertoires bureautiques ! La crise a sans doute sonné le glas des serveurs de fichiers centraux traditionnels. Les outils collaboratifs, et en particulier les outils de partage de fichiers en ligne, se sont considérablement déployés pendant la crise. Cela a eu pour conséquence de donner beaucoup plus d’autonomie aux utilisateurs, mais sans pour autant les responsabiliser. En effet, dans le modèle précédent, c’était l’équipe informatique qui paramétrait les accès en central alors que dans le modèle cloud, on délègue aux utilisateurs le soin d’organiser les espaces partagés et d’en sécuriser les accès. Mais autant il est simple de partager, autant il est difficile de maîtriser les subtilités des accès à ces partages. Et surtout, il est difficile d’en avoir une vision globale consolidée. Il est donc très facile de commettre des erreurs. Confier ces outils de partage sans donner aux utilisateurs une quelconque visibilité sur ce qu’ils partagent est une très grosse prise de risques en matière de protection des données ! Les entreprises vont devoir se doter d’outils de supervision ainsi que des outils complémentaires de recherche de fuites d’information sur le Web pour les cas où la prévention n’aurait pas suffi.
• Le Security Operations Center (SOC) est incontournable : on a pu l’observer avant la crise, beaucoup d’entreprises très impactées par des cyberattaques n’avaient pas de SOC ou ceux-ci étaient à l’état embryonnaire. Dorénavant avec des données éparpillées dans de multiples Clouds, et des utilisateurs également dispersés, la surface d’exposition aux risques d’attaque devient énorme. Et il ne faudra pas compter uniquement sur la vigilance de l’utilisateur. Si le clic de trop déclenche une crise, c’est que l’environnement était vulnérable ! Qu’il soit interne, externalisé ou mixte peu importe, le SOC est désormais une pièce maîtresse d’un dispositif de cybersécurité ! Cette tendance était déjà là, avant la crise, et elle devrait progresser rapidement. La capacité de surveillance, de détection et de réponse aux incidents était devenue essentielle en complément des mesures préventives. La crise a accéléré les usages du cloud. Il faut s’appuyer sur un SOC pour surveiller avec vigilance et réactivité ce que les nouveaux accès et les nouvelles délégations dans le cloud permettent, pour toutes les populations, les administrateurs, les architectes, les développeurs et de façon générale, tous les utilisateurs.

Ces exemples sont des conséquences techniques ou organisationnelles immédiates de la crise sanitaire sur la cybersécurité. Alain Bouillé, Délégué Général du CESIN, alerte : "Il est nécessaire de se réinterroger sur nos priorités, sur ce que la crise nous apprend en tant que telle, ce qu’elle transforme, les nouveaux risques apparus et ceux qui vont se réduire naturellement. Il est important de reconsidérer sa roadmap cyber pour s’assurer de bien prendre en compte les transformations résultant de la crise mais aussi pour veiller à aligner cette roadmap avec les changements stratégiques que l’entreprise va entreprendre dans les mois à venir"

Il faut également considérer la crise économique qui résulte de la crise sanitaire. Les répercussions s’annoncent profondes, même si nous n’en mesurons pas encore exactement l’amplitude ni les scénarios. Qu’est-ce que cela laisse présager pour le domaine de la cybersécurité ? Nos entreprises, qui sont fortement impactées au plan économique, doivent veiller à ne pas subir de crises cyber dans la foulée. En considérant le niveau très élevé de la menace et les fragilités qui apparaissent dans les périodes de transition, il serait dangereux d’entamer les budgets en matière de cybersécurité, qui sont plus que jamais nécessaires pour protéger l’activité métier.