Stratégie

Les 5 cyber-menaces qui vont dominer en 2018

Cinq menaces principales se profilent pour 2018, la principale portant sur la chaîne logistique (photo DR).

Chaque année les menaces se renouvellent, les entreprises doivent comprendre celles qui les menacent le plus pour 2018. Nos confrères de CIO Etats-Unis ont interrogé The Information Security Forum (ISF) sur les tendances anticipées.

PublicitéSi vous pensez encore que 2017 a été une année noire pour les compromissions de données, attendez-vous à affronter une année 2018 bien pire. Le Forum sur la sécurité de l'information (The Information Security Forum, ISF), un organisme mondial indépendant spécialisé en sécurité informatique prévoit une augmentation du nombre et de l'impact des compromissions de données. C'est en grande partie le fait des cinq principales menaces identifiées par l'ISF, auxquelles les organisations seront confrontées en 2018.

« L'ampleur et le rythme des menaces actuelles mettent en péril la réputation des organisations les plus fiables », a estimé Steve Durbin, directeur général de l'ISF. « En 2018, nous verrons une sophistication accrue des menaces, elles atteindront les points faibles de leur cible ou se métamorphoseront pour tenir compte des défenses déjà mises en place ».
Le volume des données compromises augmentera avec le nombre de violations de données. Pour cette raison, les attaques de l'année prochaine seront beaucoup plus coûteuses pour les organisations de toutes tailles. Les clients en colère feront pression sur les gouvernements pour qu'ils introduisent une législation plus stricte sur la protection des données, avec des coûts concomitants.

Les entreprises seront confrontées à cinq menaces principales :
- Le Crime-as-a-service (CaaS) élargira le nombre d'outils et de services disponibles.
- L'Internet des objets (IoT) ajoutera des risques qui ne sont pas pris en compte actuellement.
- La chaîne d'approvisionnement restera le maillon le plus faible de la gestion des risques.
- La conformité ajoutera de la complexité dans la gestion des actifs critiques.
- Les attentes non satisfaites de la direction seront renforcées par des incidents majeurs.

Le Crime-as-a-service (CaaS)

L'an dernier, l'ISF a prédit que le CaaS ferait un bond en avant. Les syndicats criminels développent des hiérarchies complexes, des partenariats et des collaborations imitant les grandes organisations du secteur privé. 2017 a vu une énorme augmentation de la cybercriminalité, en particulier le crime en tant que service. L'ISF prévoit que le processus se poursuivra en 2018, les organisations criminelles se diversifiant davantage dans de nouveaux marchés et rationalisant leurs activités au niveau mondial. Le CaaS permettra aux «aspirants cybercriminels», dépourvus de connaissances techniques, d'acheter des outils et des services leur permettant de mener des attaques qu'ils n'auraient pas pu entreprendre autrement.

Prenez les cryptowares, la catégorie la plus populaire des logiciels malveillants. Dans le passé, les cybercriminels utilisant des rançongiciels dépendaient d'une forme de confiance perverse : ils bloquaient votre ordinateur, la victime le rachetait avec de l'argent et le criminel le déverrouillait. L'arrivée d'aspirants cybercriminels dans ce domaine signifie que la confiance s'effondre. Ces nouveaux cybercriminels pouvant revenir encore et encore à la charge, sans jamais débloquer l'ordinateur du malheureux qui a payé.

PublicitéLes risques liés à l'IoT

Les organisations adoptent de plus en plus d'appareils IoT, mais la plupart d'entre eux ne sont pas ou sont mal sécurisés. L'écosystème de l'IoT évolue rapidement, avec un manque croissant de transparence. Ce qui permet aux organisations d'utiliser les données personnelles d'une manière que les clients ne souhaitent pas. Du côté de l'entreprise, il sera difficile de savoir quelles informations quittent les réseaux ou quelles données sont secrètement capturées et transmises par des appareils tels que les smartphones et les téléviseurs intelligents.

Lorsque des violations de données se produisent ou que des manques de transparence sont révélés, les organisations sont susceptibles d'être tenues responsables par les régulateurs et les clients. Et dans le pire des cas, les compromissions de sécurité des dispositifs IoT intégrés dans les systèmes de contrôle industriels pourraient entraîner des dommages physiques voire la mort.

La chaîne d'approvisionnement, risque principal

L'ISF a soulevé la question de la vulnérabilité de la chaîne d'approvisionnement pendant des années. Comme le note l'organisation, une gamme d'informations précieuses et sensibles est souvent partagée avec les fournisseurs. Lorsque cette information est partagée, le contrôle direct est perdu. « L'année dernière, nous avons commencé à voir de grandes entreprises industrielles perdre leur capacité de fabrication parce qu'elles étaient en rupture de stocks du fait d'attaques sur leurs approvisionnements », explique Steve Durbin.

En 2018, les organisations devront se concentrer sur les points les plus faibles de leurs chaînes d'approvisionnement, indique l'ISF. Bien que tous les compromis en matière de sécurité ne puissent pas être évités à l'avance, vous et vos fournisseurs devrez être proactifs. Les organisations doivent intégrer la gestion des risques liés à l'information de la chaîne d'approvisionnement dans les processus d'approvisionnement et de gestion des fournisseurs.

Le poids de la conformité

La conformité ajoute de la complexité, le règlement général de protection des données de l'Union européenne (GDPR) en est un exemple frappant. Il ne s'agit pas seulement de conformité, mais aussi de s'assurer que vous avez la possibilité, à tout moment, de pointer vos données personnelles et de comprendre comment elles sont gérées et protégées.
L'ISF note que les ressources additionnelles requises pour satisfaire aux obligations du GDPR sont susceptibles d'augmenter les coûts de conformité et de gestion des données, et de détourner l'attention et l'investissement des autres activités.

Le fossé entre la direction et le RSSI

Le non alignement entre les attentes de la direction et les réalités qu'affronte le responsable de la sécurité informatique, et sa capacité à produire des résultats, constitueront une menace en 2018, selon l'ISF. « En règle générale, le conseil d'administration comprend bien comment fonctionne le cyberespace, mais dans bien des cas, ce qu'il ne comprend pas, c'est l'ensemble des implications », explique Steve Durbin. « La direction pense que le RSSI a tout sous contrôle, mais dans bien des cas, le conseil ne sait peut-être pas encore quelles sont les bonnes questions à poser et le RSSI ne comprend peut-être pas encore comment parler au conseil ou à l'entreprise ».

Selon l'ISF, la direction s'attend à ce que les budgets de sécurité de l'information, qui se sont accrus au cours des dernières années, ont permis au RSSI de produire des résultats immédiats. Mais une organisation entièrement sécurisée est un objectif inaccessible. Et même s'ils le comprennent, de nombreux conseils d'administration n'admettent pas que l'amélioration substantielle de la sécurité de l'information prend du temps.

Lorsqu'un incident majeur se produit, ce n'est pas seulement l'organisation de l'entreprise qui en ressent les effets, sa réputation est susceptible d'être atteinte. Les membres du conseil d'administration en sont conscients. Pour cette raison, le rôle du CISO doit évoluer, dit Steve Durbin. « Son rôle est d'anticiper et non de s'assurer que le pare-feu reste en place », dit-il.

Article de Thor Olavsrud / CIO Etats-Unis (traduit et adapté par Didier Barathon)