Cybersécurité : les systèmes d’information génèrent eux-mêmes des vulnérabilités.

AVIS D’EXPERT

Face aux cyberattaques, les organisations ont indéniablement progressé dans leur approche de la cybersécurité. Cependant, elles font face à de nouveaux défis liés à la nature ambivalente de certains éléments du système d’information. La prolifération actuelle des cyberattaques est un facteur important dans le développement de la sécurité informatique. Plus nos organisations privées et publiques sont ciblées par les cybercriminels, plus les directions de ces structures intègrent le risque cyber dans leurs plans stratégiques. D’un point de vue culturel, on peut certainement dire qu’aujourd’hui la grande majorité des comités de direction et des conseils d’administration sont pleinement conscients de la nécessité d’anticiper le risque cyber pour assurer le développement - et dans certains cas la survie - de l’organisation. Néanmoins, il reste encore beaucoup de chemin à parcourir pour bien comprendre les enjeux des systèmes d’information.

Commençons par la bonne nouvelle : le risque cyber est de moins en moins sous-estimé. Au sein des organisations, la prévention a progressé, avec la diffusion de la notion de cyber hygiène préventive pour réduire les risques. Ses différents aspects sont bien connus, mais il convient sans doute d’en rappeler les principaux : former les équipes opérationnelles à la sécurité du système d’information, sensibiliser les utilisateurs aux bonnes pratiques de base, connaître son système d’information et les serveurs les plus sensibles afin de tenir à jour un schéma du réseau, disposer d’un inventaire exhaustif des comptes à privilèges (et le tenir à jour), organiser des procédures d’arrivée, de départ et de changement de fonction, authentifier chacun et distinguer le rôle d’administrateur de celui d’utilisateur et définir et vérifier les règles de choix et de dimensionnement des mots de passe.

Comment savoir à temps si une cyberattaque est lancée ? C’est l’une des questions les plus fréquemment posées par les organisations. La question du temps nécessaire à l’identification reste entière, car les attaques peuvent être déclenchées dans les parties les plus éloignées, voire les plus imprévisibles, des systèmes informatiques. Sur ce point, la doctrine a évolué : après avoir longtemps considéré qu’il fallait ériger des barrières infranchissables et ainsi protéger les systèmes, de nombreuses entreprises ont fini par admettre qu’une attaque est inévitable et doit être combattue dès l’instant où la brèche se produit. Cette nouvelle approche progresse d’autant plus rapidement que les environnements se déplacent vers le cloud, dans un contexte de décentralisation des activités accentué par le travail à distance. En effet, la zone à surveiller est de plus en plus vaste : le territoire que l’entreprise est appelée à protéger est démesurément grand, avec des ramifications dans le cloud, mais aussi dans le bureau personnel de chaque employé.

C’est sur ce point que les entreprises privées et les organisations publiques doivent probablement encore mûrir. Il est désormais impossible de penser que tout système informatique est totalement connu et maîtrisé par une organisation, car le cloud ne permet plus d’appréhender le système dans sa globalité. Il n’est plus une sorte de circuit fermé : au contraire, il fonctionne grâce à des éléments qui lui sont extérieurs - mais aussi nécessaires. A cela s’ajoute un autre élément, qui fait du système lui-même le générateur de ses propres vulnérabilités. Dans les métiers de l’informatique, les vulnérabilités sont définies comme des faiblesses. Cette faiblesse permet à un attaquant de porter un coup, plus ou moins fort, et il faut la réparer pour être protégé. Cependant, nous voyons aujourd’hui de plus en plus de preuves que nos systèmes informatiques sont ontologiquement vulnérables : ce sont certaines parties de leur structure qui les rendent faillibles.