Radar du RSSI : 2024, année d’adaptation, de collaboration et de transformation

Afin d’exploiter le plein potentiel du Cloud de manière sécurisée, le premier défi est de casser les silos. Beaucoup d’organisations ont en effet isolé cette technologie, notamment en créant des centres d’excellence ou en nommant des experts dédiés, sans les intégrer aux équipes sécurité ou IT en place. Ce mouvement, nécessaire pour faire démarrer l’usage de cette technologie, lui nuit maintenant. Face à la croissance des projets Cloud-native ou hybrides, un changement de mode opérationnel est nécessaire pour soulager les équipes de sécurité Cloud. Le Cloud doit devenir un système IT comme les autres. Les équipes doivent pouvoir collaborer avec tous les experts, quel que soit le mode de fonctionnement. La sécurité du Cloud doit aussi s’intégrer dans les chaînes CI/CD et les méthodologies agiles déployées dans les organisations, y compris pour les systèmes internes.

Deuxième défi, le Cloud offre de nombreuses opportunités, y compris en cybersécurité, mais qui sont encore assez inexploitées. Il s’agit en particulier :

• d’automatisation dans le déploiement des ressources et des politiques sécurité ;
• de visibilité sur l’environnement Cloud, permettant une meilleure surveillance du périmètre ;
• de développement de nouvelles ressources, avec les stratégies de no code / low code (plus besoin de coder pour déployer) ou encore no admin (moins d’utilisateurs avec des rôles d’administrateurs).

Ceci s’explique souvent par un manque de formation des équipes ou au grand nombre de fonctionnalités proposées par les services Cloud avec un rythme d’évolution rapide. L’analyse des capacités déjà existantes des plateformes Cloud et leur intégration dans les processus cyber de la structure sont souvent très positives et permettent de traiter des sujets en souffrance depuis des années (vérification de la conformité en temps-réel, suivi des politiques de sécurité…).

Le Zero Trust est une philosophie-cible poursuivie par la quasi-totalité de nos clients. De nombreux cadres d’évaluation sont aujourd’hui disponibles (dont celui de Wavestone) pour élaborer un plan de transition vers un modèle Zero Trust efficace sur plusieurs dimensions : infrastructure, applications, accès….

Concrètement, les grandes organisations mènent actuellement deux types de projets :

• le déploiement du ZTNA (Zero Trust Network Access), qui s’intéresse aux accès réseaux et à distance ;
• la micro-segmentation, qui consiste à diviser le réseau en segments et à leur appliquer des politiques de sécurité spécifiques de manière dynamique.

Mais le Zero Trust ne se limite pas à l’accès à distance et à la micro-segmentation. L’enjeu le plus important reste la migration progressive des applications vers un modèle Zero Trust. C’est un changement profond et complexe qui demande du temps. Les organisations matures construisent actuellement une approche convergente où les progrès d’adoption sont mesurés progressivement grâce à des indicateurs concrets. Parmi eux, citons : le pourcentage d’applications critiques gérées avec un accès conditionnel, la couverture des utilisateurs par de l’accès Zero Trust, la couverture des environnements critiques par la micro-segmentation, le nombre et la précision de critères pour évaluer le niveau de confiance…

C’est un mouvement progressif mais constant, que l’on doit insuffler et suivre dans la durée.

La sensibilisation est une des pratiques les plus répandues de la cybersécurité et ce depuis des années. Pourtant, les résultats souvent décevants de campagnes de phishing révèlent l’atteinte d’un plafond de verre, soulignant l’urgence de repenser la formation en cybersécurité pour la rapprocher du terrain, vers les périmètres les plus à risques.

L’objectif n’est pas de franchir ce plafond, ce qui demanderait une énergie démesurée, mais plutôt de spécialiser la sensibilisation pour changer efficacement les comportements.

Nous vous recommandons quatre actions :

1. Identifier les zones de risques majeures liées aux pratiques métiers.
2. Travailler étroitement avec les départements et les collaborateurs pour réviser et améliorer les processus. Il ne s’agit plus d’envoyer des messages génériques larges, mais bien de réfléchir à l’évolution des pratiques avec celles et ceux qui les réalisent.
3. Être créatif, mais toujours pragmatique, lors de l’adaptation des pratiques de sécurité.
4. Mesurer l’impact des changements mis en place.

Les tensions géopolitiques des années passées et le durcissement des différentes réglementions régionales montrent que la gestion d’un SI complètement intégré à l’échelle internationale n’est plus vraiment possible aujourd’hui. Déjà, certaines organisations internationales segmentent leur SI en versions plus localisées, autour de deux ou trois zones majeures, et ce mouvement va en s’accélérant.

Dans ce nouveau contexte, deux approches s’offrent aux organisations.

L’approche pro-active vise à restructurer son architecture sur le long terme pour créer entre deux et quatre zones différentes.

• Construire un AD (Active Directory) segmenté (par exemple : veiller à la localisation de ses domain controllers)
• Ajouter une couche de sécurité aux filiales ou entités à l’étranger (par exemple : mise en place de pares-feux et de règles de filtrage)
• Conserver une vision globale de la détection par une consolidation des alertes et pas directement des journaux
• Avoir une lecture géopolitique souveraine des contrats avec les tiers (par exemple : engager des acteurs locaux capables de réagir sur le terrain en cas d’incident)

L’approche réactive consiste à se préparer à activer le mode crise dans le cadre de la nécessité d’un découplage rapide.

• Identifier les zones géographiques sensibles
• Mettre en place des procédures Red Button pour couper le réseau, les comptes à privilèges, l’accès aux applications et postes de travail…
• Anticiper les impacts sur l’activité et les risques légaux en cas d’isolement (par exemple : transfert des systèmes de sécurité d’un pays sous embargo)

Le découplage est un changement en profondeur de la manière de gérer ses SI et, demain, la cybersécurité. Il encourage par conséquent les discussions transverses avec, d’une part, le top management, impliqué au même titre que sur les opérations de fusion-acquisition dans ces opérations de restriction, et, d’autre part, des métiers, pour une compréhension fine des besoins d’accès et de communication avec d’autres entités. Pour les multinationales, l’objectif d’un découplage est en effet très souvent double : maintenir les activités de l’organisation au mieux et, en parallèle, se protéger d’éventuels cas d’espionnage, d’actes de malveillances ou d’attaques par rebond.

Il apparaît primordial de trouver ce nouvel équilibre avant d’être contraint de devoir agir dans l’urgence.

Les attaques par le biais de tiers se sont multipliées en 2023. Les dernières en date touchant Boeing, ICBC et DP World soulignent la complexité de la gestion des tiers. La multitude de partenaires, fournisseurs et sous-traitants d’une organisation (et ses filiales !) fait de la gestion des tiers un véritable casse-tête pour les équipes cybersécurité.

Là encore, la réglementation, en particulier le chapitre V de DORA, appelle un contrôle accru. Pour répondre aux exigences du régulateur, il faudra évaluer les risques liés au tiers, élaborer des clauses spécifiques dans les contrats, et formaliser une stratégie de décontractualisation rapide (stressed exit).

Une gestion efficace des tiers ne peut pas reposer uniquement sur les équipes sécurité. Tous les départements doivent être impliqués : IT, achats, métiers… Une plateforme d’évaluation des tiers, accessible à tous, peut être une manière efficace de les engager.

Il faudra également impliquer vos tiers les plus critiques dans des exercices de crise joints. Cette préparation commune, encore trop rare, permet pourtant des apprentissages des deux côtés.

Enfin, une collaboration avec les acteurs du même secteur est cruciale pour protéger les éléments vitaux du marché. C’est particulièrement vrai pour les tiers qui ne peuvent être réinternalisés (par exemple : les grandes plateformes Cloud), ou lorsqu’aucune alternative n’existe pour le marché (par exemple : SWIFT).

La gestion des tiers, c’est gérer les risques de milliers, voire de dizaines de milliers, d’entités. C’est un travail majeur qui devra se faire dans la durée !

Avec l’actualité forte autour de l’intelligence artificielle (IA), les organisations font face à des menaces inédites qui touchent au cœur même de ces modèles. Des nouvelles attaques se concrétisent comme l’empoisonnement (modification des données d’entraînement pour les piéger), l’oracle (détournement des IA pour leur faire révéler des choses qu’elles ne devraient pas), ou encore l’illusion (pour faire croire des choses fausses à l’IA mais invisibles pour l’humain). Pour y faire face, de nouvelles mesures d’évaluation du risque mais aussi de protection doivent être mises en place.

A court terme, la priorité est donc de sécuriser les projets métiers d’utilisation de l’IA, en particulier sur les étapes suivantes :

• classification des cas d’usages IA selon les critères réglementaires (se référer au futur AI Act européen) ou le cadre de gestion des risques IA du NIST (National Institute of Standards and Technology) ;
• définition de la matrice de responsabilités et de la gouvernance de validation des cas d’usage en prenant en compte les aspects de cybersécurité, de transparence, de respect de la vie privée, de biais et d’éthique ;
• mise en place des mesures spécifiques quand cela est nécessaire, soit en les intégrant directement dans la conception du projet, soit en mettant en œuvre des nouveaux produits de sécurité de l’IA qui commencent à apparaitre.

A moyen terme, il sera important de suivre l’arrivée des IA au service de la cybersécurité. L’actualité sera riche d’annonces en 2024, mais nous recommandons de ne pas investir trop vite. Les entreprises les plus matures peuvent cependant commencer à centraliser les données de sécurité dans un Security Data Hub pour tirer parti des solutions d’IA quand elles arriveront.  

Si le chiffrement des communications et du stockage (data at rest) est devenu monnaie courante, la révolution du chiffrement se poursuit avec l’essor de technologies comme le chiffrement en cours d’utilisation (encryption in use). Les régulateurs s’intéressent à ces sujets, comme dans le cas de DORA. Ce mouvement appelle à intégrer les principes du confidential computing en amenant le chiffrement jusque dans la mémoire et les registres du processeur. Mais cela peut aller encore plus loin, en particulier avec le chiffrement homomorphique (permettant le traitement des données sans nécessiter leur déchiffrement préalable).

En parallèle, l’avènement des ordinateurs quantiques incarne une menace grandissante. Bien que leur pic d’impact soit prévu entre 2030 et 2033, des signaux d’alerte se manifestent déjà. Il faut donc réfléchir dès maintenant aux données sensibles qui devront rester confidentielles pendant au moins une décennie.

Trois étapes clés s’imposent dans la transition vers le post-quantique.

1. Identifier les données sensibles, en comprenant leur nature et leur importance stratégique, afin de prioriser la migration.
2. Analyser en profondeur les systèmes de chiffrement actuels, qu’ils soient commerciaux ou open source.
3. Adopter des solutions de chiffrement post-quantique, même imparfaites, pour tester et ajuster en continu.

A ce stade, une stratégie de double chiffrement, combinant méthodes traditionnelles et post-quantiques, offre une sécurité multicouche adaptée aux défis actuels et futurs.

Dans un contexte d’urgence climatique, les équipes de cybersécurité doivent prendre leur part de responsabilité et adopter des pratiques durables, au-delà du Green IT. En effet le RSSI ayant la main sur les politiques de sécurité, il peut clairement les faire évoluer pour préconiser des mesures de sécurité moins consommatrices sans pour autant augmenter le niveau de risque.

Cela commence par évaluer l’impact environnemental des mesures de sécurité. Des outils existent pour mesurer les émissions de gaz à effet de serre des infrastructures (tant sur site que Cloud) et des endpoints. Cette première étape permet d’identifier les dispositifs les plus polluants au sein de l’organisation.

L’objectif est ensuite de réduire les émissions sans compromettre significativement le niveau de sécurité, c’est-à-dire sans toucher aux mesures critiques.

Des premiers travaux permettant de répondre opérationnellement à ce sujet seront publiés début 2024, restez à l’écoute !