Stratégie

Cybersécurité : contrer les menaces évidentes comme les menaces cachées

Retrouvez cet article dans le CIO FOCUS n°136 !

Cybersécurité : Menaces évidentes, menaces cachées

Les entreprises sont menacées lorsque leur SI l'est. Si certaines menaces sont évidentes, d'autres le sont moins ou sont négligées. Et les risques encourus sont alors importants. Les très classiques attaques DDOS (par déni de service) ou les exploitations de failles pour pénétrer le SI demeurent...

Découvrir

---

En partenariat avec HP, Ivanti, Juniper, Level 3, VMware et Nomios, CIO a organisé une Matinée Stratégique « Cybersécurité : menaces évidentes, menaces cachées » le 28 février 2017 à Paris. Témoins et experts sont intervenus pour présenter les meilleures pratiques déployées en entreprises.

PublicitéLes indispensables bonnes pratiques en matière de cybersécurité ont été présentées lors de la Matinée Stratégique « Cybersécurité : menaces évidentes, menaces cachées » organisée par CIO à Paris le 28 février 2017 en partenariat avec HP, Ivanti, Juniper, Level 3, VMware et Nomios. Experts et témoins RSSI s'y sont succédés, présentant tour à tour un état de l'art mais surtout la réalité concrète dans les grandes entreprises exemplaires.
Malheureusement, les bons exemples ne sont pas toujours suivis. C'est ce qu'ont montré les résultats de l'étude Cybersécurité : quelles mesures pour contrer quelles menaces ? réalisée en ligne par CIO auprès de ses lecteurs. Ceux-ci ont été présentés en avant-première en ouverture de la conférence.


Ghaleb Zekri, NSX Senior Systems Engineer EMEA chez VMware, intervenant pour VMware et Nomios, a expliqué : « Pourquoi la transformation digitale nécessite une transformation de la sécurité ? »

La transformation digitale change la donne

Et, en plus des problématiques classiques, la transformation digitale en cours vient ajouter sa pierre dans la question de la cybersécurité. Ghaleb Zekri, NSX Senior Systems Engineer EMEA chez VMware, intervenant pour VMware et Nomios, a constaté : « les entreprises veulent le meilleur des deux mondes : une meilleure expérience utilisateur (interne ou clients) mais aussi un business sécurisé. » l'IT dans les entreprises évolue de simple moyens et ressources vers un vecteur business et de compétitivité, ouvrant les possibilités aux applications métiers (traditionnelles ou nativement cloud) à être hébergés on premise, dans un cloud privé, dans un cloud managé ou dans un cloud public pour être consommées par les utilisateurs au travers de de tout types de terminaux. Le challenge est que, une fois que tout est mis en oeuvre, la sécurité est souvent « la dernière invitée » comme l'a déploré Ghaleb Zekri. Enfin, comparaison faite par rapport aux attaques modernes qui se distinguent en quatre phases (infitration, propagation, extraction et exfiltration des données), le modèle de sécurité traditionnelle reste périmétrique : 80 % du budget sont consacrés à lutter contre l'infiltration, 20 % sur les 3 dernières phases d'une cyber-attaque (propagation, extraction, exfiltration). De ce fait, comme il l'a pointé : « dès le périmètre franchi, c'est open-bar pour les attaquants. C'est la raison pour laquelle il faut transformer la sécurité pour permettre une protection de bout en bout, au plus proche de l'application en gardant une indépendance du système qui la porte (pour éviter le cas échéant un risque d'être compromise si ce dernier est attaqué). L'hyperviseur représente l'environnement idéal pour appliquer ce nouveau modèle d'architecture de sécurité appliquant le principe de micro-segmentation sans compromettre l'agilité. »
Les innombrables attaques massives auxquelles les entreprises doivent faire face ont été décrites par Michael Bittan, associé France Cyber Risk Services Leader chez Deloitte Conseil. Pour lui, un leitmotiv s'impose : « la sécurité doit être intégrée au business, pas être une surcouche qui tente de dire non alors que le ComEx a dit oui. »

Publicité
Michael Bittan, associé France Cyber Risk Services Leader chez Deloitte Conseil a présenté des « Chiffres et cas avérés en cyber-sécurité : faire face aux risques cyber ».

Nouvelles menaces, nouvelles approches

Parmi les menaces, certaines sont nouvelles par leur approche. Quand on est un opérateur, pouvoir revendiquer de voir passer 60 à 70 % du trafic Internet mondial à un moment donné sur ses infrastructures, on les voit forcément passer... et on se doit de les arrêter, tout comme les attaques classiques. Par exemple, Alain Khau, Director Security Sales Specialist South EMEA chez Level 3, a cité le blocage de serveurs de Commande et Contrôle qui pilotent les réseaux de zombies. Au travers de l'étude du trafic sur les réseaux, « nous avons une visibilité en temps réel sur les cybermenaces » a-t-il précisé car, pour lui, « on ne peut pas se protéger de ce que l'on ne voit pas ». Il faut donc identifier et stopper les ennemis avant qu'ils n'atteignent le coeur des infrastructures.


« Cybersécurité : les nouvelles menaces, comment s'en protéger ? » a interrogé Alain Khau, Director Security Sales Specialist South EMEA chez Level 3.

Yann Pugi (CISO de Monext, vice-président du Clusir PACA), Stéphanie Buscayret (RSSI groupe Latecoere) et Farid Illikoud (CISO du PMU) ont ensuite participé à la première table ronde de la matinée. Ils ont chacun témoigné sur les méthodes mises en oeuvre dans leurs entreprises pour se protéger des menaces nouvelles sans négliger les classiques.


La table ronde « Se protéger des menaces nouvelles sans négliger les classiques » a réuni (de gauche à droite) : Yann Pugi (CISO de Monext, vice-président du Clusir PACA), Stéphanie Buscayret (RSSI groupe Latecoere) et Farid Illikoud (CISO du PMU).

Lutter contre l'ennui

L'un des risques majeur en matière de cybersécurité, c'est l'ennui. Car l'ennui entraîne la négligence. Et la négligence permet au loup d'entrer dans la bergerie. Et quoi de plus ennuyeux que des imprimantes ? Après tout, les multifonctions actuels ne sont guère que de véritables ordinateurs avec disque dur, micrologiciel (BIOS), des panneaux de configuration, des ports USB, des possibilités de scanner des documents papier dont la version électronique seule est protégée... Pour contrer l'ennui, il faut recourir à des surveillants qui ne s'ennuient jamais, c'est à dire qu'il faut robotiser la surveillance. « Et les Legacy Printers, les vieilles imprimantes, ont juste des failles dans le BIOS qui sont connues mais aux correctifs jamais appliqués » a dénoncé Alex Huart, consultant pour HP Inc.


Alex Huart, consultant pour HP Inc., a détaillé « Comment sécuriser ses périphériques d'impression ? »

La sécurité est comme une assurance

La cybersécurité, cela peut sembler coûteux. « C'est comme une assurance : parfois on se demande pourquoi on paye, jusqu'à ce qu'un problème survienne » a déclaré Vincent Peulvey, EMEA South Pre-Sales Manager d'Ivanti. Il a donné un exemple qui a fait les gros titres : Yahoo vient de perdre 350 millions de dollars sur sa revente à cause de ses incidents de cybersécurité. Pourtant, quelques contrôles doivent simplement être réalisés, tels que : l'inventaire des biens matériels autorisés ou non, l'inventaire des logiciels autorisés ou non, la sécurisation des configurations logicielles et matérielles, l'évaluation et la correction continues de la vulnérabilité et le contrôle de l'utilisation des privilèges. Pour Vincent Peulvey, il faut comprendre avant de protéger, détecter et agir.


« Sécurité : évitez de faire les gros titres ! » a conseillé Vincent Peulvey, EMEA South Pre-Sales Manager d'Ivanti.

Grand témoin de la matinée, Olivier Ligneul, CTO et Group CISO chez EDF, a présenté la « vision des vrais RSSI » regroupés au sein du CESIN (Club des Experts de la Sécurité de l'Information et du Numérique) dont il est le vice-président. Il est bien placé pour le faire car son employeur affronte à la fois les problèmes de cybersécurité « grand public », liés aux interactions clients B2B comme B2C, mais aussi ceux plus « industriels », en lien avec l'outil de production électrique.


Olivier Ligneul, CTO et Group CISO chez EDF, Vice-Président du CESIN, a réalisé une intervention sur « La cybersécurité chez EDF, l'opinion du CESIN »

Automatiser une réponse 360°

Face à toutes les facettes de la cybersécurité, comment traiter tous les problèmes potentiels ? « Une des réponses est l'automatisation pour les tâches quotidiennes récurrentes sans valeur ajoutée mais avec un fort risque d'erreur humaine » a plaidé Ramyan Selvam, expert cybersécurité Juniper Networks. Parmi les automatisations possibles, il y a les mises en quarantaines des terminaux soit suspects soit effectivement infectés, non seulement sur leur adresse IP mais aussi sur leur adresse MAC afin d'éviter qu'un terminal à isoler ne « riposte » en basculant sur un autre réseau (un wi-fi domestique par exemple).


« Automatisez la détection, automatisez la contre-mesure » a plaidé Ramyan Selvam, expert cybersécurité Juniper Networks.

Enfin, la Matinée Stratégique a été conclue par une table ronde « Les nouvelles réponses à apporter par le RSSI » ayant réuni Arnaud Tanguy (CISO d'AXA Investment Managers), Philippe Fontaine (RSSI du Groupe SMA) et Farid Illikoud (CISO du PMU).


La table ronde « Les nouvelles réponses à apporter par le RSSI » a réuni, de gauche à droite, Arnaud Tanguy (CISO d'AXA Investment Managers), Philippe Fontaine (RSSI du Groupe SMA) et Farid Illikoud (CISO du PMU).

Les sponsors de la conférence (HP, Ivanti, Juniper, Level 3, VMware et Nomios) et les participants ont pu échanger à l'accueil, à la pause de mi-matinée et au cocktail déjeunatoire autour des stands de chaque partenaire et des buffets.

Article rédigé par

Bertrand Lemaire, Rédacteur en chef de CIO

Partager cet article