MtoM Mag - Le journal de l'MtoM.

Si l’attaque dévastatrice « sunburst » de SolarWinds a fait les gros titres en 2020 en raison des répercussions qu’elle a eu sur des entreprises privées comme Cisco, Microsoft et des milliers d’organisations clientes, il y a de fortes chances que ce soit en fait, en grande partie, pour les dommages collatéraux qu’elle a causé sur le secteur public. Car cette cyberattaque de SolarWinds, qui est passée inaperçue pendant des mois, a également touché l’OTAN, le gouvernement britannique, le Parlement européen et même le Trésor américain autant d’entités du secteur public qui disposent de données extrêmement sensibles.

Le secteur public est particulièrement menacé par la pandémie

Le rythme de la transition peut varier d’un pays à l’autre, mais le secteur public dans son ensemble gagne progressivement en maturité numérique. Cependant, les rouages des gouvernements ont la réputation de tourner lentement. De nombreux organismes publics sont débordés et manquent de ressources, notamment en matière de cybersécurité, et les acteurs malveillants en sont bien conscients. Le rapport semestriel 2021 de Check Point sur les tendances en matière de cyberattaques souligne à quel point les attaques contre les organisations du secteur public sont devenues fréquentes pendant la pandémie. À l’échelle mondiale, les organisations gouvernementales sont désormais l’une des cibles les plus visées par les acteurs malveillants, juste derrière les secteurs de l’éducation et de la recherche. Sur la hausse de 93 % des cyberattaques mondiales signalée par Check Point à partir de 2020-21, nombre d’entre elles sont orchestrées contre des entités publiques, mais pour quelle raison ?

Les acteurs malveillants considèrent désormais le secteur public comme une cible de choix

Le secteur public peut constituer une cible plus accessible que le secteur privé en raison d’une technologie obsolète, d’un financement insuffisant, d’une formation inadéquate ou d’une combinaison de ces trois facteurs - mais est-il suffisamment lucratif pour attirer les organisations cybercriminelles ?

Les données ont une valeur. Elles peuvent donc être extorquées ou vendues à des fins lucratives. Si un groupe d’acteurs malveillants volait des milliers de données de cartes bancaires en piratant une organisation privée telle qu’une banque ou un commerce en ligne, ils obtiendraient environ 20 dollars par enregistrement si elles étaient vendues aux enchères sur le dark web. Toutefois, si le même groupe attaquait un trust du NHS au Royaume-Uni et volait les informations médicales des individus, son profit potentiel monterait en flèche et lui rapporterait plus de 480 dollars par dossier. Et cela sans compter le montant qu’ils pourraient extorquer aux trusts concernés. Le fait que les organismes du secteur public soient souvent constitués de mastodontes de données cloisonnées n’arrange rien. Par conséquent, si un acteur malveillant parvient à exploiter une faille dans leurs défenses, les retombées sont souvent énormes.

Le secteur doit réfléchir plus attentivement à la question des ressources

Contrairement au secteur de l’industrie, les entreprises du secteur public ne sont pas motivées par le profit et ne peuvent pas facilement justifier l’augmentation des dépenses informatiques comme une simple mesure préventive. Un an après la tristement célèbre attaque WannaCry au Royaume-Uni, qui a rançonné les ordinateurs du NHS, le gouvernement a conclu un accord de 207 millions de dollars avec Microsoft pour équiper tous les ordinateurs du NHS avec le dernier système d’exploitation Windows 10 et s’assurer que tous les paramètres de sécurité sont à jour. Tout cela est bien beau, mais il a fallu une faille catastrophique mettant en danger les dossiers médicaux des patients pour que le budget soit approuvé. Le secteur public est, presque par définition, réactif plutôt que proactif en matière de transformation numérique. Il est là pour servir, plutôt que pour faire du profit, et cela le rend vulnérable par défaut.

Une partie de cette vulnérabilité est sans doute due à la perte de contrôle liée à l’externalisation des activités par des tiers. À première vue, les capacités cybernétiques du secteur public et de ses employés sont plus solides que certains de ces incidents ne le laissent entendre. Pour prendre l’exemple du Royaume-Uni, le rapport annuel du gouvernement indique que le secteur public est étonnamment compétent lorsqu’il s’agit d’effectuer des tâches avancées de cybersécurité. Alors qu’un quart des entreprises déclarent ne pas avoir confiance dans les tests d’intrusion, par exemple, plus de 80 % des organisations du secteur public se disent plus que convaincues de leurs capacités de test. De même, une entreprise sur dix déclare manquer de confiance en ce qui concerne la surveillance des utilisateurs, mais aucune organisation du secteur public ne fait état d’un tel problème.

Ce n’est que lorsque nous avançons dans le rapport que nous commençons à voir les vrais problèmes émerger. Un quart des organisations du secteur public ne compte qu’un seul membre du personnel responsable de la cybersécurité et le pourcentage d’organisations du secteur public externalisant les fonctions de sécurité de base telles que les pares-feux, les privilèges des utilisateurs et la sauvegarde des données, par exemple, dépasse de loin celui du secteur privé. Plus de 95 % des organismes du secteur public confient la configuration de leur pare-feu à un tiers ; plus de 80 % s’en remettent exclusivement à des tiers pour répondre aux incidents et les résoudre ; et près de la moitié (48 %) confient même le contrôle des droits d’administration des utilisateurs internes, ce qui, à moins d’entretenir une relation très étroite avec leur partenaire informatique tiers, pourrait avoir des répercussions dévastatrices sur la sécurité. C’est pourquoi, même si le secteur public a confiance dans ses cyber capacités, elle peut être mal employée.

Un gaspillage d’argent

Au cas où vous ne l’auriez pas remarqué, le fil conducteur c’est le manque de ressources et de contrôle internes. La technologie est disponible, seulement si le secteur public est prêt à continuer à supporter la « dette technologique » qu’il accumule en dépendant excessivement de technologies internes dépassées et de solutions de cybersécurité externes.

Face à un paysage de menaces qui dépasse actuellement les capacités de nombreuses organisations privées, les gouvernements doivent commencer à réfléchir très sérieusement à leurs budgets de cybersécurité, à la part de leurs solutions de sécurité qui est externalisée et à la manière dont ils peuvent améliorer leur posture de risque en 2021 et au-delà sans continuer à jeter de l’argent par les fenêtres. Parmi les mesures essentielles que les organisations pourraient prendre, citons :

La prévention des menaces persistantes avancées et des attaques de type « zero-day »

La mise en œuvre d’une protection intégrée et approfondie qui permet à une organisation du secteur public de détecter et de répondre à de multiples vecteurs d’attaque simultanément est cruciale en 2021. Ils doivent choisir une solution intégrée qui utilise non seulement des protections antivirus et IPS, mais aussi une technologie anti-bot et un pare-feu. L’utilisation de l’intelligence en temps réel permet également de se protéger contre les exploits de type « zero-day », comme la faille de SolarWinds.

Le suivi et diagnostic en continu

Les organisations du secteur public sont uniques en ce sens qu’elles doivent souvent optimiser la sécurité sur des réseaux sans frontières. Pour faire la lumière sur les activités malveillantes, il est absolument crucial de disposer d’une visibilité à 360 degrés et de pouvoir surveiller en permanence et en temps réel les parcs informatiques. Nous avons dépassé le stade où les entreprises peuvent se contenter d’attendre qu’un audit se déroule pour révéler d’éventuelles vulnérabilités ; elles doivent être proactives avec des éléments tels que les tests de pénétration et les configurations de sécurité.

La sécurité multi-dispositifs

Les points d’extrémité des utilisateurs ont augmenté de façon spectaculaire au cours de la dernière décennie, et il semble que de nouveaux dispositifs viennent toujours s’ajouter au mélange. Les organisations du secteur public doivent utiliser une sécurité intégrée reposant sur une architecture de protection unique pour les appareils mobiles tels que les smartphones, les tablettes et les ordinateurs portables.

https://www.checkpoint.com/