Dans l’œil du cyber-cyclone : l’excès d’optimisme constitue le risque principal pour la résilience des données

Selon le World Economic Forum, le nombre de cyberattaques hebdomadaires a plus que doublé et est désormais proche du seuil symbolique des 2 000. Ce chiffre pourrait sembler exagéré, mais cela reviendrait à occulter les multiples incidents qui ont fait les gros titres récemment (sachant qu’il s’agit uniquement de ceux qui ont été mentionnés dans les médias).

La rapidité avec laquelle les attaquants évoluent constitue l’élément le plus inquiétant. L’IA, qui faisait auparavant figure de menace théorique, est devenue une arme concrète. Le niveau de sophistication atteint par les techniques de phishing est préoccupant et les attaquants s’efforcent même d’ajouter les chatbots à leur arsenal afin de développer du code malveillant à mesure que la technologie évolue. Heureusement, les gouvernements ont réagi avec une rapidité remarquable. Partout dans le monde, de nouvelles réglementations voient le jour et les autorités sont parvenues à démanteler avec succès plusieurs groupes de cybercriminels. Pourtant, il ne faut pas voir dans ces succès un gage de victoire finale. En effet, l’impression de calme retrouvé dont ils s’accompagnent est non seulement temporaire, mais dangereuse. Les cybermenaces ne sont pas près de disparaître ; elles ont plutôt tendance à s’adapter.

Magnus Jelen, Lead Director of Incident Response, Coveware chez Veeam partage son analyse et ses recommandations.

Ne pas descendre en marche

Dans le domaine de la cybersécurité, la seule constante est le changement. Pas plus tard que l’année dernière, il semblait que le secteur était en plein essor, tandis que d’importants groupes de cybercriminels tels que LockBit, Black Cat ou Black Basta étaient dissous, disparaissaient ou mettaient fin à leurs opérations. Parallèlement, l’Europe européenne promulguait deux réglementations majeures en matière de cybersécurité, NIS2 et DORA afin de renforcer la résilience des entreprises en général et des acteurs du secteur financier en particulier, ces derniers ayant été particulièrement frappés par les cyberattaques. Certains États ont même commencé à envisager de prendre des mesures plus fermes. Au Royaume-Uni s’est tenue une consultation sur l’éventuelle interdiction du paiement des rançons exigées par les acteurs des ransomwares pour les infrastructures critiques et les organismes du secteur public. Dans un tel contexte, il est presque compréhensible que certaines entreprises aient eu l’impression qu’elles pouvaient relâcher légèrement leurs efforts.

Néanmoins, la période récente a également eu son lot de revers. Au cours de ces derniers mois, une série d’attaques réussies a frappé l’Europe, ciblant tout particulièrement le secteur de la vente de détail. Le fait que le nombre de paiements de rançons ait encore diminué ne signifie par pour autant que les attaquants ont abandonné ni même relâché leurs efforts. La disparition d’organisations criminelles bien établies a laissé le champ libre à des groupes plus restreints, ainsi qu’à un certain nombre de loups solitaires. Ces nouveaux attaquants disposent de motivations propres. Si l’argent demeure un enjeu majeur, un grand nombre de ces nouveaux acteurs des menaces concentrent leur attention sur les cibles susceptibles de causer le plus de perturbations, plutôt que sur celles qui sont en mesure de verser les rançons les plus conséquentes. Aujourd’hui, l’économie de la cybercriminalité se divise en deux pans principaux. Ceux qui se concentrent sur des attaques ciblées et extrêmement rémunératrices sont toujours bien présents et ciblent les grandes entreprises qui disposent des réserves de fonds les plus significatives. Leur pendant est constitué de petits groupes et d’acteurs isolés qui exploitent les ransomwares « as-a-Service » avec un fort volume d’attaques, visant à créer la situation la plus chaotique possible.

Ainsi, même si le paysage de la cybercriminalité peut sembler assaini en surface, les menaces antérieures persistent et de nouvelles continuent de voir le jour.

Magnus Jelen, Lead Director of Incident Response, Coveware chez Veeam

Faire les bons choix

Heureusement, face à ces évolutions, les régulateurs ne sont pas restés les bras croisés. Comme mentionné précédemment, deux réglementations majeures visant à renforcer la résilience, NIS2 et DORA, ont été mises en œuvre au sein de l’UE. NIS2 a eu un impact particulièrement fort, car elle fait de la résilience la responsabilité des cadres dirigeants. Les entreprises ne peuvent donc plus se permettre de la reléguer tout en bas de leur liste de priorités ; les dirigeants doivent gérer activement les risques liés à leur cybersécurité et en faire l’un des enjeux majeurs de l’entreprise, au même titre que les bénéfices et la stratégie. Cela a contribué à l’apparition de nouvelles normes en matière de gestion et d’atténuation du risque pour les entreprises, en particulier dans le domaine du reporting sur les incidents, un élément crucial alors que les attaques se multiplient. Quant au règlement DORA, même s’il ne concerne que le secteur financier, il apporte des réponses à des problèmes urgents, tels que les risques liés aux tiers, dans le but de renforcer la résilience au sein de l’un des secteurs les plus fréquemment ciblés.

Même si les exigences réglementaires dont elles s’accompagnent sont indispensables pour développer une résilience des données mature, capable de résister à la pression actuellement exercée par les cyberattaquants, la mise en conformité n’a rien de simple. Sachant l’ampleur de la tâche, les entreprises ont tendance à stopper leurs efforts une fois le seuil de mise en conformité atteint. Pourtant, il est indispensable de garder à l’esprit que conformité n’est pas synonyme de sécurité.

Poursuivre sur sa lancée

En ce moment, le secteur de la cybersécurité est dans l’œil du cyclone. Le démantèlement des grands groupes cybercriminels donne aux entreprises une fausse impression de sécurité, tandis que de nouveaux attaquants émergent, armés d’outils nouveaux et plus perfectionnés. De plus, en raison de l’attention qu’elles portent à la conformité réglementaire, elles risquent de se bercer d’illusions et d’occulter l’ampleur véritable des améliorations qu’elles pourraient apporter à la résilience de leurs données.

Dans un tel contexte, les entreprises doivent tourner leur attention vers leur cybersécurité interne. Plutôt que de s’efforcer de répondre aux attaques, tout en tentant de respecter les deadlines en matière de mise en conformité et de permettre le bon déroulement de leurs opérations au quotidien, il est indispensable de changer d’approche.

En s’aidant des modèles de maturité appliqués à la résilience des données, elles sont non seulement en mesure de mieux appréhender leur niveau de résilience actuel, mais également de découvrir des moyens de l’améliorer. Au lieu de s’intéresser séparément aux divers aspects de la résilience des données, ces modèles les rassemblent au sein d’un même indicateur, ce qui permet aux organisations de concentrer leurs efforts en renforçant l’ensemble de ces facettes, plutôt que d’adopter une approche habituellement fragmentée de la résilience.

Alors que les attaques se font plus nombreuses et que les attaquants sont plus imprévisibles que jamais, il est essentiel de prêter une attention toute particulière à la reprise d’activité. En effet, même si le plan A doit toujours consister à atteindre un niveau de maturité élevé en matière de résilience des données, le plan B qui concerne la reprise d’activité se doit d’être tout aussi développé, sinon plus. Le chemin qui mène à la résilience des données ne peut être parcouru en un jour et les attaquants ne vont pas attendre que les entreprises soient parvenues à destination avant de frapper.

Il est donc primordial que les entreprises se demandent combien de temps cela leur prendrait de se remettre d’une attaque. La réponse à cette question leur permettra de déterminer si elles peuvent se permettre d’attendre aussi longtemps avant que cela n’entraîne de graves conséquences pour leur activité et s’il leur faut se pencher sur leur plan de reprise d’activité après sinistre avant d’être prises au cœur de la tempête.