Formation et ressources MOVEit

2019 était une année importante en matière de cybersécurité. En effet, la grande variété de violations de données a conduit à une prise de conscience croissante de la nature essentielle de la cybersécurité et peut-être un respect mérité pour les acteurs du secteur.

Peut-on s'attendre à ce qu'il en soit de même en 2020, ou les entreprises adopteront-elles des solutions dont les professionnels de la sécurité parlent depuis des années ? Seul le temps le dira, mais il est peu probable que les pirates changent leur tactique en 2020 (pourquoi changer ce qui fonctionne ?). Leurs méthodes deviendront plus sophistiquées avec l'évolution de la technologie, et leurs cibles varieront en fonction de l'emplacement des données utilisables (par exemple, maintenant que les fournisseurs d'accès Internet (FAI) américains peuvent monétiser les données de leurs clients, attendez-vous à des failles dans ce domaine). Ceci aboutit à notre principal problème en matière de cybersécurité.

Failles de sécurité

Des violations de données se produisent du fait que les entreprises ciblées détiennent des données précieuses, qui ont un prix ou qui peuvent être monnayées. Les référentiels de données constituent une cible attractive car les cybercriminels sont capables d'exploiter rapidement les erreurs humaines et d'autres vulnérabilités telles que des correctifs logiciels différés, avec les mêmes outils de tests de pénétration que ceux utilisés par leurs homologues ayant une moralité. Il est peu probable que ce scénario évolue en 2020.

Toutefois, des règlements tels que le RGPD de l'Union européenne seront appliqués dans leur totalité en 2020. Il est important de souligner que la conformité est nécessaire pour les entreprises qui résident hors de l'UE sous certaines conditions.  La loi sur la protection des consommateurs de la Californie (CCPA), qui ressemble beaucoup à une version américaine du RGPD, doit entrer en vigueur en janvier 2020. Plusieurs pays ont promulgué des lois similaires sur la protection des données, ce qui peut inciter les entreprises à donner la priorité à la confidentialité des données et aux processus de cybersécurité associés dans leurs opérations. Les atteintes à la réputation et les sanctions financières qui résultent d'une violation de données expliquent en grande partie cette tendance. Malheureusement, le déficit de compétences en matière de sécurité représente un obstacle pour la protection contre les failles de sécurité.

Compétences dans la cybersécurité

Les besoins en postes dans la cybersécurité dépassent le nombre de candidats disponibles. Il est généralement admis à ce stade qu'en 2021, plus de 3,5 millions de postes dans la cybersécurité resteront non pourvus. Peut-être 2020 sera-t-elle l'année où les employeurs investiront dans la formation de leur personnel de sécurité ? Peut-être abaisseront-ils le niveau des exigences, permettant ainsi aux employés dotés de compétences informatiques de se former dans les domaines de sécurité voulus ?

Là encore, les entreprises peuvent décider de sous-traiter et payer des tiers pour renforcer leur niveau de sécurité à distance ou d'utiliser des solutions logicielles pilotées par intelligence artificielle à des fins d'évaluation des vulnérabilités.

Ma prédiction… Même si je ne m'appelle pas Nostradamus, je pense que de nombreuses entreprises ne voudront pas ou n'auront simplement pas les moyens d'investir dans leurs employés, craignant peut-être qu'en les formant, elles rendront leur profil plus attractif et leur permettront ainsi d'accepter des postes plus lucratifs ailleurs. Prouvez-moi que j'ai tort mais selon moi, les entreprises qui valorisent leurs effectifs augmenteront le nombre de formations. Si tel est le cas, elles pourront choisir parmi un large éventail de certifications reconnues à l'international.

Quelle que soit la situation, chaque entreprise devra renforcer la cybersécurité en recrutant davantage, en formant le personnel existant ou en sous-traitant.

Même si la cybersécurité nécessite des compétences recherchées, et que le secteur ne connait pas le chômage, la plupart des postes de direction sont risqués. En cas de violation des données, c'est souvent le directeur informatique ou de la sécurité qui au final devra démissionner ou sera licencié. Ainsi, en tant qu'employé de niveau intermédiaire dans la sécurité, où est la motivation pour assumer un rôle de leader avec la menace de finir la tête sur le billot chaque fois qu'un employé est victime d'une attaque par hameçonnage ou ransomware ? Peut-être verrons-nous en 2020 des responsables directs d'une violation prendre leur part de responsabilité et les équipes dirigeantes ne serviront pas de bouc émissaire dans le cadre de campagnes de relations publiques visant à limiter les dégâts ?

Gestion des terminaux

Plus votre entreprise met en service de terminaux, plus les cybercriminels disposent de vecteurs d'attaque.

• Si vous utilisez des solutions cloud, vous êtes vulnérable face aux attaques basées sur le cloud.
• Si vous optez pour le « tout intelligent » dans votre entreprise en utilisant des périphériques Internet, vous ouvrez alors la porte à de nouveaux vecteurs d'attaque. C'est particulièrement vrai si la sécurité n'est pas intrinsèque à l'appareil concerné (avec des mots de passe par défaut ou le couplage de codes PIN non modifiables, par exemple), ou si ce dernier utilise des protocoles de connexion vulnérables.
• Si vous autorisez les employés à utiliser leurs propres appareils mobiles sans recourir à une solution de gestion des terminaux mobiles, vous générez des vulnérabilités, du fait que le département informatique n'y a pas totalement accès pour protéger les données de l'entreprise ou ne peut pas en effacer le contenu en cas de perte ou de vol. Les craintes concernant la présence de logiciels malveillants sur les appareils personnels seront justifiées en 2020, étant donné que la moitié des organisations interrogées par Kaspersky dans une étude en 2019 ont été compromises par ce moyen.

Espérons qu'en 2020 les entreprises intégreront uniquement les terminaux nécessaires aux opérations commerciales et qu'elles remettront en question les avantages des programmes d'utilisation de terminaux personnels.

Gestion des informations d'identification

Attendez-vous à ce que les technologies d'authentification de nouvelle génération gagnent en importance, compte tenu des faiblesses inhérentes aux noms d'utilisateur/mots de passe traditionnels. L'authentification à facteurs multiples et la biométrique figurent parmi les options possibles. Notez que la reconnaissance faciale, vocale et des empreintes digitales est facilement contournable et que la compromission des données représente un problème beaucoup plus important qu'un changement de mot de passe ou de jeton. L'utilisation de jetons de réseau et de méthodes similaires est également une solution viable MAIS toutes ces méthodes représentent une amélioration uniquement si les données nécessaires pour les vérifier sont sécurisées. CES données seront utilisées par les pirates pour contourner l'authentification.

Gestion des risques

Ma prédiction finale concerne la gestion des risques. Les violations de données augmentent, se banalisent, etc. et les entreprises des secteurs ciblés, malgré les meilleures pratiques suivantes en matière de sécurité, sont souvent victimes d'attaques concentrées sur leurs réseaux. La cyber-assurance est un moyen de réduire le risque financier d'une faille de sécurité, ce qui est d'autant plus important aujourd'hui que des sanctions financières sont imposées à ceux qui ne respectent pas les réglementations.

À mon avis, la peur des sanctions favorisera l'adoption de la cyber-assurance en 2020, notamment si les compagnies d'assurance fournissent des contrats attestant de leur compréhension du paysage de la cybersécurité et des menaces correspondantes pour les entreprises, mais elles doivent proposer davantage qu'une compensation pour une interruption de service ou une panne d'équipement. Avec un taux d'adoption en augmentation, les coûts de la cyber-assurance vont diminuer pour tout le monde… Bien sûr, la prime associée variera en fonction du niveau de sécurité existant et la souscription du cyber-risque a ses limites, compte tenu des variables en jeu.

Conclusion

En conclusion, les prédictions sur les tendances dans la cybersécurité ne sont justement que des prédictions. Attendez-vous aux mêmes scénarios : des défaillances humaines/concernant la formation de sensibilisation à la sécurité débouchant sur des violations de données médiatisées. Principale différence en 2020 : les clients s'attendent désormais à ce que leurs données soient protégées et que les entreprises coupables de manquements dans ce domaine soient punies. Peut-être en 2020 les entreprises réévalueront-elles le volume de données qu'elles devront stocker sur les utilisateurs et le lieu de stockage…

L'utilisation de l'intelligence artificielle/apprentissage automatique pour détecter et bloquer les menaces est susceptible d'augmenter en 2020 ; parallèlement, les pirates s'appuieront aussi sur l'intelligence artificielle pour développer de nouvelles attaques. Et la partie continue… Quoi qu'il se passe en 2020, deux conditions restent vraies ; la cybersécurité jouera un rôle croissant pour les entreprises et la sensibilisation à la sécurité restera essentielle pour tous les utilisateurs qui se connectent au réseau d'entreprise, du fait que les attaques par hameçonnage et ransomware gagneront en complexité.