Covid19 et télétravail, quid de la cybersécurité? (Policy Paper)
Introduction
Les données sont un enjeu de sécurité pour les entreprises. Les habitudes de travail ayant considérablement évolué ces dernières années. Si le télétravail semble entrer dans les mœurs tant du côté des ressources humaines que des salariés et qu’il présente de nombreux avantages, il y a un sujet qu’il ne faut absolument pas négliger : la sécurité des données manipulées par un télétravailleur. Ainsi, les mesures prises pour endiguer la propagation du Covid19, dont le confinement et donc le télétravail nous incitent à une nouvelle approche en faveur du télétravail. Cela représente une occasion inédite pour les pirates informatiques qui redoublent d’ingéniosité pour piéger les entreprises. Le nombre, en forte hausse, d’emails frauduleux et de sites malveillants ayant pour thématique le coronavirus, souligne en effet la nécessité pour les dirigeants et RH de s’acculturer à ce domaine, car si beaucoup d'entreprises ont adopté le télétravail, une grande partie parmi elles n'ont pas pris la mesure des risques de cybersécurité que cela engendre.
Cybersécurité, notion et concepts
La cybersécurité peut sembler un terme assez simple à définir, mais dans la réalité, d'un point de vue pratique, elle signifie des choses différentes pour différentes personnes dans différentes situations, ce qui conduit à des politiques, procédures et pratiques pertinentes extrêmement variées. Une personne qui veut protéger ses comptes de réseaux sociaux contre de possibles prises de contrôle par des pirates informatiques, par exemple, est extrêmement peu susceptible d’adopter bon nombre des approches et des technologies utilisées par les personnels du Pentagone pour protéger des réseaux classifiés. Nous pouvons ainsi classifier plusieurs paliers dans la catégorisation :
- Pour les particuliers et citoyens lambda, la cybersécurité signifie que leurs données personnelles ne sont accessibles qu’à eux-mêmes et aux personnes qu’ils ont autorisées, et que leurs appareils informatiques fonctionnent correctement et sont exempts de malware.
- Pour les petites entreprises, la cybersécurité peut consister à s’assurer que les données des cartes de crédit sont bien protégées, et que les normes de sécurité des données sont correctement appliquées aux caisses des points de vente.
- Pour les entreprises qui font du business en ligne, la cybersécurité peut inclure la protection de serveurs avec lesquels des personnes extérieures non fiables interagissent régulièrement.
- Pour les fournisseurs de services partagés, la cybersécurité peut impliquer la protection de nombreux centres de données qui hébergent de multiples serveurs qui, à leur tour, hébergent des quantités de serveurs virtuels appartenant à de nombreuses organisations différentes.
- Pour un gouvernement, la cybersécurité peut inclure l’établissement de différentes classifications de données, chacune avec son propre ensemble de lois, politiques, procédures et technologies connexes.
En définitive, et d’un point technique, la cybersécurité est l’ensemble des mesures relevant du champ de la sécurité de l’information qui elle-même concerne l’information et les systèmes d’information qui stockent et traitent les données sous forme électronique, tandis que la sécurité de l’information en général englobe la sécurité de toutes les formes de données y compris les copies papiers ou encore les classeurs classifié.
De la sécurité de l’information à la cybersécurité
Dans le monde des affaires, la sécurité de l’information concerne directement la valeur financière et la rentabilité des entreprises, quelle que soit leur taille et qu’elles soient privées ou publiques. Selon les études les plus récentes, le coût de la cybercriminalité -crimes sur internet, piratages, vols d'identité- sur l’économie mondiale l'année dernière est évaluée à plus de 600 milliards de dollars soit 0.8% du PIB mondial (McAfee/CSIS 2019), 280 000 nouveaux malwares sont créés chaque jour (Panda Security, 2018). Et les entreprises ne sont pas les seules victimes : les particuliers et les individus ordinaires rejoignent également les rangs des victimes. Plus de la moitié des vols ou pertes d’informations confidentielles proviennent des salariés. 31,5% sont volontairement malveillants (notamment suite à un licenciement ou une démission), et 23,5% le font par inadvertance (Nick Bradley, Threat Analysis Group IBM X-Force IRIS, 2017).
Il faut comprendre, qu’en matière de cybersécurité, toutes les entreprises ne possèdent pas les mêmes conditions. Alors que les grandes sociétés ont déjà mis en place une politique de cybersécurité, des TPE et PME, sont quant à elles, à peine conscientes des risques liés aux attaques informatiques. Or, dans ce domaine, il n’existe pas de risque zéro, aucune entreprise n’est protégée à 100%. Mais il faut déployer des ressources afin de se sécuriser de façon optimale en adoptant les bonnes pratiques et en sensibilisant les collaborateurs. A ce stade, les PME/PMI sont généralement moins informées, moins armées pour lutter contre des atteintes. A titre d’exemple, l’année 2017 aura été marquée par la diffusion de ransomwares, ou logiciels de rançonnage, qui cryptent les données de l’organisation/individu et obligent au paiement d’une rançon en bitcoins pour les retrouver.
Il faut imaginer que ce n’est qu’un début. Car les hackers vont massivement s’appuyer sur les techniques de big data et d’intelligence artificielle (IA) pour contourner les systèmes de protection existants. C’est la raison pour laquelle il convient de développer une politique d’intelligence territoriale qui rassemble les acteurs publics et privés au service d’une même cause : la défense des entreprises, de leur patrimoine, de leur compétitivité. Pour se faire, il existe une série de composants de la sécurité de l’information qui se révèle indispensable à la réussite de tout projet de cybersécurité. Cela commence par une démarche humaine, afin de sensibiliser les acteurs aux problématiques de confidentialité des informations tout en gardant une approche organisationnelle. Malgré l’abondance des outils et technologies informatiques, la sécurité concerne l’ensemble de l’entreprise en passant par une gestion des risques appropriée, sans qui la gestion des incidents de sécurité et la continuité du métier en cas de blocage complet des services et du système d’information sont compromises.
La sécurité est un processus, pas un produit
En sécurité informatique, on a tendance à affirmer que la principale faille se situe généralement entre la chaise et le clavier. Or, bien que l’humain soit désigné comme maillon faible de la cybersécurité, la sensibilisation reste le budget le moins bien doté de la sécurité. La cybersécurité repose d’abord sur un management des ressources humaines, car ce sont souvent les employés qui peuvent, volontairement ou involontairement, nuire à leur entreprise par de mauvaises pratiques. Celles-ci sont liées, en particulier, à la confusion de la sphère privée et de la sphère professionnelle par un usage dual des outils informatiques. Ce pourquoi il est très important de bien comprendre, avant toutes choses, le danger encouru, de sorte de pouvoir comprendre les risques associés, et comment y faire face.
La confidentialité, l’intégrité et la disponibilité (CIA, pour Confidentiality, Integrity et Availibility) sont ainsi les trois piliers de la sécurité de l’information et de son processus. Cette maxime illustre la complexité de la cybersécurité d’autant plus qu’elle couvre l’ensemble des technologies et pratiques utilisées pour protéger les réseaux informatiques, les ordinateurs et les données contre toute forme de violation. Chacun de nous est concerné par la cybersécurité : les gouvernements, les entreprises, les universités, les citoyens... Notre approche de la cybersécurité est très généralement empirique.
La confidentialité : Elle consiste à s’assurer que l’information n’est pas divulguée ou mise à la disposition d’entités non autorisées (y compris des personnes, des organisations ou des processus informatiques) de quelque manière que ce soit. Ne confondez pas confidentialité et vie privée : la confidentialité est un sous-ensemble du domaine de la vie privée. Elle traite spécifiquement de la protection des données contre les visiteurs non autorisés, alors que la protection de la vie privée en général est beaucoup plus large.
L'intégrité : Elle consiste à s’assurer que les données sont à la fois exactes et complètes. L’exactitude signifie, par exemple, que les données ne sont jamais modifiées de quelque façon que ce soit par une partie non autorisée ou suite à un problème technique. La complétude fait référence, par exemple, aux données qui n’ont pas été partiellement supprimées par une partie non autorisée ou par un problème technique. L’intégrité inclut également la non-répudiation, ce qui signifie que les données sont créées et traitées d’une manière telle que personne ne peut raisonnablement soutenir qu’elles ne sont pas authentiques ou sont inexactes. Les cyberattaques qui interceptent des données et les modifient avant de les relayer vers leur destination, parfois appelées attaques de l’homme du milieu (Man in the Middle) minent l’intégrité.
La disponibilité : Elle consiste quant à elle à s’assurer que l’information, les systèmes utilisés pour la stocker et la traiter, les mécanismes de communication permettant d’y accéder et de la relayer, et tous les contrôles de sécurité connexes fonctionnent correctement pour répondre à certains critères spécifiques (par exemple, un temps de disponibilité de 99,99%). Les personnes extérieures au domaine de la cybersécurité considèrent parfois la disponibilité comme un aspect secondaire de la sécurité de l’information, après la confidentialité et l’intégrité. En fait, assurer la disponibilité fait partie intégrante de la cybersécurité. Toutefois, il est parfois plus difficile d’y arriver que d’assurer la confidentialité ou l’intégrité. L’une des raisons en est que le maintien de la disponibilité exige souvent la participation d’un plus grand nombre de professionnels qui ne sont pas des spécialistes de la cybersécurité, ce qui entraîne un défi du type "trop de cuisiniers dans la cuisine", surtout dans les grandes organisations. Les attaques par déni de service distribué tentent de saper la disponibilité. En outre, considérez que les attaques DdoS utilisent souvent une grande quantité de puissance informatique et de bande passante volées, alors que, en face, les intervenants qui cherchent à assurer la disponibilité ne peuvent tirer parti que de la quantité relativement faible de ressources dont ils peuvent disposer.
La cybersécurité exige de penser aux pires menaces et aux événements les plus rares, qu’il faudra modéliser de manière réaliste. Cette discipline comprend des systèmes énormes, décentralisés et complexes intégrant des environnements multicouches, et multiparties, comprenant de nombreux systèmes utilisateurs interconnectés et souvent chaotiques contrairement aux hackers et pirates informatiques qui eux possèdent un bien inestimable dans le monde de l’entreprise : Le temps. L’approche scientifique des entités SI est obligatoirement systémique et non plus déterministe. Les variables à identifier sont très complexes, si tant est que vous réussissiez à les identifier, car vous aurez à peine identifié une variable que le système aura déjà évolué.
Du téléphone à l’ordinateur, brève histoire du piratage informatique
Le hacking a plus d’un siècle ! Deux ans après l’invention du téléphone par Alexander Graham Bell, en 1876, un groupe d’adolescents a détourné les routeurs du système téléphonique de New York. Ils étaient davantage intéressés par le fonctionnement du système, alors qu’ils auraient pu passer des appels directs gratuits. D’ailleurs, le hacking, en premier lieu, n’était pas le fruit de malfaiteurs, mais de programmeurs qui cherchaient à optimiser le peu de temps qu’ils avaient en compagnie des machines en essayant de trouver des moyens de tirer le meilleur parti de ces dernières. Les meilleurs programmeurs ont donc créé des hacks. Ce n’est que pendant les années 1980 que les hackers ont été associés à’ des criminels et ce sont Kevin Mitnick, Kevin Poulsen ou encore Vladimir Levin qui ont commencé à utiliser l’outil informatique pour gagner de l’argent de façon criminelle.
Chronologie non exhaustive
1975 : Deux membres du Homebrew Computer Club, Steve Wozniak et un certain Steve Jobs, créent un système, qui repose sur celui de John Draper. Ils mettent au point, plus tard dans les années 1980, la Blue Box dans le but de passer gratuitement des appels longue distance sur le réseau téléphonique américain.
1984 : Sortie du magazine 2600 The Hacker Quarterly, édité par Eric Corley. Le gouvernement américain fait voter le Comprehensive Crime Control Act qui donne aux services secrets les pouvoirs nécessaires pour les cas de fraude informatique et à la carte de crédit.
1987 : Herbert Zinn, un adolescent de 17 ans, connu sous le nom de Shadow Hank, est arrêté pour avoir craqué le réseau informatique d’AT&T. Il allait accéder au système central de routage de l’entreprise, et aurait ainsi pu couper l’ensemble du téléphone sur tout le territoire. Herbert a agi avec un ordinateur personnel depuis sa chambre.
1993 : Kevin Poulsen, 22 ans, détourne à l’aide d’un ordinateur les appels téléphoniques de trois stations de radio à Los Angeles. Il permet ainsi à ses complices d’être les gagnants de jeux organisés par ces stations. Ils ont gagné deux Porsche, 20.000 dollars en argent liquide, ainsi que deux voyages à Hawaï, avant de se faire attraper.
1995 : Vladimir Levin est arrêté en Angleterre après avoir utilisé son ordinateur pour pénétrer le réseau informatique de la Citybank. Il a réussi à opérer des versements sur différents comptes à travers le monde. Levin est extradé aux Etats-Unis où il a encouru une peine de prison de trois ans, et le règlement d’une amende de 240.000 dollars à la Citybank. Le montant des sommes que Vladimir a versées sur ses comptes reste encore inconnu. Les estimations vont de 3,7 à 10 millions de dollars.
1999 : Un hacker connu seulement par son pseudo, MagicFX, craque le site d’enchères en ligne eBay. Il détourne la page d’accueil du site, modifie le prix des enchères, poste de fausses enchères et déroute les internautes connectés vers d’autres sites.
Principales menaces cybernétiques
Perpétrées par une large palette d’acteurs, de l’individu isolé à des organisations offensives étatiques, les attaques se limitent rarement à une seule technique. Si les tendances généralement observées attribuent plutôt la déstabilisation (défigurations, divulgations de données et prises de contrôle) aux hacktivistes, le ransomware et l’hameçonnage aux cybercriminels, l’espionnage aux concurrents et aux Etats, on constate aussi que des attaques simples peuvent être le fait d’Etats et des attaques complexes le fait de groupuscules ou de structures criminelles organisées.
Attaque par ingénierie sociale
L'ingénierie sociale est une attaque qui s'appuie essentiellement sur les relations humaines, elle regroupe des techniques utilisées par les cybercriminels pour inciter des utilisateurs peu méfiants à leur envoyer leurs données confidentielles, infectant ainsi leurs ordinateurs avec des programmes malveillants ou ouvrant des liens vers des sites infectés. Ainsi les campagnes de phishing par exemple permettent de pénétrer plus facilement dans un réseau bien protégé.
Attaque par dénis de service (DDoS)
Ces cyberattaques se produisent lorsqu’un pirate inonde un site Web avec plus de trafic que le site ne peut en gérer. Les temps d’arrêt de l’activité sont désastreux. Ils peuvent nuire à la stabilité financière comme à la réputation de votre commerce. LogPoint vous aide à identifier les attaques destinées à compromettre la disponibilité de votre réseau et de votre système et générant un niveau d’activité extrêmement élevé.
Attaque par logiciels malveillants
Parmi les menaces de cybersécurité les plus courantes, les malwares sont les multiples formes de logiciels nuisibles qui s’exécutent lorsqu’un utilisateur les télécharge par erreur. LogPoint vous donne un aperçu des compromissions potentielles en surveillant la santé de vos systèmes via des scans d’intégrité et de vulnérabilité, des pare-feu et le suivi des accès aux ressources.
Attaque par abus de privilège
Les comptes à privilège peuvent être compromis lorsque les informations d’identification sont mal utilisées ou utilisées plusieurs fois. Cela survient quand un utilisateur peut accéder à des données auxquelles il ne devrait pas, est c’est l'une des premières menaces de cyber-sécurité. Les conséquences peuvent être désastreuses puisque les comptes à privilèges donnent aux utilisateurs la capacité potentielle de compromettre le réseau, les systèmes et les données d’une entreprise.
Menaces persistantes avancées (APT)
Une menace persistante avancée, ou APT (Advanced Persistent Threat), est une cyberattaque prolongée et ciblée par laquelle une personne non autorisée accède au réseau et passe inaperçue pendant une longue période. Une attaque APT vise généralement à surveiller l'activité réseau et à voler des données plutôt qu'à porter atteinte au réseau ou à l'organisation.
Ransomware
Les ransomware sont des logiciels malveillants qui infectent votre ordinateur et affichent des messages demandant de verser une certaine somme afin que votre système fonctionne à nouveau. Cette catégorie de programmes malveillants est une arnaque lucrative et criminelle qui peut être installée en cliquant sur des liens trompeurs dans un e-mail, via la messagerie instantanée ou un site Internet. Les ransomware ont la capacité de verrouiller l’écran d’un ordinateur ou de chiffrer des fichiers importants prédéfinis avec un mot de passe. Les premières versions de ransomwares ont été développées à la fin des années 1980. A cette époque, la rançon devait être envoyée par courrier postal. Aujourd'hui, les auteurs de ransomwares demandent à être payés en cryptomonnaies ou par carte de crédit.
Hiérarchie des menaces
Selon Myriam Dunn Cavelty, les attaques informatiques se catégorisent selon un modèle structurel en cinq couches :
Le niveau 1 concerne le cyberactivisme, qui comprend le cybervandalisme, le hacking et l’hacktivisme. Ces menaces peuvent causer de sérieux dommages financiers pour un individu ou pour une entreprise.
Le niveau 2 concerne la cybercriminalité et les délits informatiques : actes criminels commis au moyen de réseaux de communications électroniques et de systèmes d’information ou à l’encontre de ces réseaux et systèmes2.
Le niveau 3 concerne le cyberespionnage. Celui-ci peut être défini comme l’action qui vise à obtenir des informations secrètes (sensibles, privées) d’individus, de concurrents, de groupes, de gouvernements ou d’adversaires dans le but d’accroître le gain économique, militaire ou politique, en employant des moyens illicites à partir d’Internet, des réseaux, des programmes ou des ordinateurs.
Le niveau 4 concerne le cyberterrorisme, qui utilise les réseaux de communication pour s’attaquer à des systèmes informatiques critiques, et pour en prendre le contrôle. L’objectif de ces attaques est de causer de sérieux dommages et de faire peur à l’ensemble de la population, ainsi que de forcer le gouvernement à céder aux requêtes des terroristes.
Le niveau 5 concerne la guerre virtuelle, qui peut être séparée en trois entités : la cyberguerre stratégique, la cyberguerre tactique/opérationnelle, et la cyberguerre pour des conflits de faible intensité. Il n’existe pas vraiment de définition pour la cyberguerre. Celle-ci décrit généralement les actions commises par les gouvernements ou les nations. La cyberguerre fait habituellement partie des composantes d’une guerre conventionnelle. Les menaces concernant les fonctions vitales d’une nation peuvent également apparaître simultanément au niveau du cyberespionnage, du cyberterrorisme et de la cyberguerre (ou guerre virtuelle). Ainsi, les cyberopérations et actions qui visent à détruire l’économie d’un adversaire peuvent être incluses dans une guerre conventionnelle. En ce qui concerne le terrorisme, différentes opérations dans le cyberespace et dans le système économique peuvent être menées de concert pour causer la destruction physique de l’ennemi.
CyberSec : Un coût hors-norme
Quelle que soit la finalité de l’attaque informatique, espionnage, fraude, vol de données critiques, sabotage, enjeux politiques, malveillance... elles ont toutes le même objectif qui est celui de compromettre l’infrastructure de l’organisation cible, et les dommages causés à l’organisation peuvent être aussi fulgurants que coûteux. Conscientes du danger extrême de ces attaques, les organisations investissent massivement dans les technologies de sécurité.
Vu la complexité croissante des réseaux informatiques, l'innovation et la sophistication des menaces et des cyberattaques se sont accrues tout aussi rapidement. Partout dans le monde, des attaques de cybersécurité sont commises avec un impact financier de plus en plus lourd pour les entreprises. Selon la dernière monture 2019 de la désormais célèbre étude "The Cost Of Cybercrime" des cabinets Accenture et Ponemon Institute, le coût moyen mondial des cyber-attaques est de 13 millions de dollars avec un pic aux Etats-Unis qui avoisine les 27,37 millions de dollars. Cela représente une hausse de 12% par rapport à 2018. A noter aussi qu’une entreprise subit en moyenne par an 176 violations de sécurité (security Breach), un quasi-doublement en l’espace de cinq ans.
Il est aussi important de souligner que la durée nécessaire pour corriger les problèmes avoisine maintenant les 52 jours en moyenne pour les incidents qui viennent de l’intérieur contre 27 jours en moyenne pour les attaques par ransomware, tandis que les attaques par malware et celles provenant du web sont les plus coûteuses : une dépense moyenne respective de 2,4 et 2 millions de dollars par entreprise.
Or, les coûts financiers directs ne représentent que la partie visible, l’étude de Deloitte "Beneath the surface of a cyberattack: A deeper look at business impacts" est allée plus loin afin d'agrémenter les différents coûts ressentis lors des cyber-attaques, puisque, car au-delà des conséquences directes d’une attaque, d’autres enchaînements fâcheux peuvent se répercuter sur des années sous la forme de coûts cachés, dont la plupart sont beaucoup moins facilement mesurables : image de marque, notoriété de l’entreprise, interruption d’activité, perte d’informations confidentielles…
Bonnes pratiques
Toutes les précautions et dispositions en matière de sécurité ne nécessitent pas des investissements colossaux autant qu’elles font appel à toute un état d’esprit et des "gestes barrières" car comme écrit avant, l’humain représente la plus grosse faille en cybersécurité. Car les gens qui croient que des hackers ciblent leurs ordinateurs et leurs téléphones, et que des pirates visent leurs données, agissent différemment de ceux qui ne saisissent pas la véritable nature de la menace. Intérioriser la réalité d’aujourd’hui aide certainement à introduire un scepticisme sain, ainsi qu'à influencer le comportement et donc les bonnes pratiques.
Pour ce faire et comme introduit par les intervenants du webinaire (Inwi et CrowdSec), le 19 mai 2020, des gestes et autres protocoles sont à installer afin d’assurer une sécurité maximale contre les cyber-attaques. Ainsi, selon Philippe Humeau, CEO de CrowdSec, un minimum de bonnes habitudes est à acquérir en tant que télétravailleur. Pour Sophia Khaldane, Senior ICT Business Development Manager chez Inwi, les bonnes pratiques incombent tout aussi bien au télétravailleur qu’à l’entreprise puisque les deux représentent une cible et une faille à la fois pour les pirates informatiques. De ce fait, il est primordial de se tenir à une double charte qui garantit une prise de risque modéré voire nulle en matière de cybersécurité.
Conclusion
Lutter contre les attaques informatiques, dont la profusion n’est plus à démontrer est devenu aujourd’hui une priorité pour l’ensemble des acteurs économiques et nécessite la mise en place de stratégies à plusieurs niveaux, de l’anticipation, en passant par la gestion de la crise et à la répression éventuelle des auteurs lorsqu’ils sont identifiés. Il est important aujourd’hui de construire de façon concertée une véritable stratégie de cybersécurité opérationnelle qui doit être aujourd’hui une priorité incontournable pour tous les acteurs économiques de la TPE à la FMN en passant par les PME. La lutte contre la cybercriminalité pour aller vers la cybersécurité de tous les acteurs doit faire l’objet d’une politique globale non seulement des acteurs privés mais aussi au niveau étatique. Une sensibilisation de l’ensemble des acteurs est également nécessaire, tant au niveau public que privé afin de mettre en place des stratégies cohérentes de prévention et de réaction face à ces risques, qui peuvent inclure le recours à des procédures pénales. Cette capacité à réduire les risques numériques s’inscrit plus globalement dans une politique publique pour s’adapter aux nouveaux défis de compétitivité auxquelles doivent faire face désormais les acteurs économiques pour survivre et se développer.
-Beneath the surface of a cyberattack : A deeper look at business impacts, Deloitte, 2016.
-Cybersécurité des acteurs économiques, risques, réponses stratégiques et juridiques, Myriam Quéméner et Jean-Paul Pinte, Lavoisier, 2013.
-Cyber-Sécurité, Anissa Makhlouf et Romain Hennion, Groupe Eyrolles, 2018
-Economic Impact of Cybercrime-No Slowing Down, McAfee/CSIS 2019
-La cybersécurité Pour les Nuls, Joseph Steinberg. Editions First, 2020
-Sécurité informatique. Principes et méthodes à l’usage des DSI, RSSI et administrateurs, Bloch L., Wolfhugel C. avec la contribution de Nat Makarévitch N. Groupe Eyrolles. 2013.
-The reality and future of cyberwar, Myriam Dunn Cavelty, Military Strategic Affairs. 9(7):12-14 2010.
-The cost of cybercrime, Ninth annual cost of cybercrime study. Unlocking the value of improved cybersecurity protection, 2019. Ponemon Institute LLC & Accenture Security, 2020
-The cyber-crime black market: uncovered, Panda Security, 2018.
-Unraveling the stuxnet effect: of much persistence and little change in the cyber threats debate, Myriam Dunn Cavelty, Military Strategic Affairs 3(3):11-19 2011.