:Un énième cas qui illustre la négligence de l’aspect cybersécurité ?
Les pirates informatiques se servent de rançongiciels pour prendre en otage les ordinateurs de leurs victimes. Ces derniers exigent en général le paiement d’une rançon contre laquelle ils promettent à la victime de lui restituer ses données. Le cas WannaCry rapporté sur cette plateforme en 2017 montre que la pratique n’est pas nouvelle. Ce qui est plutôt surprenant est que le phénomène tend à prendre de l’ampleur des années plus tard. Qu’en est-il des bonnes pratiques en matière de cybersécurité ? Les responsables en la matière les mettent-ils en pratique ? Quid des budgets dont disposent les DSI pour la gestion des aspects cybersécurité ? Le récent cas du constructeur aéronautique Boeing ainsi que d’autres donnent des pistes de réponse.
Les pirates derrière la cyberattaque contre Boeing s’appuient sur une vulnérabilité (CVE-2023-4946) qui affecte les serveurs d’entreprise Citrix. L’on dénombrerait 10 400 de ces serveurs vulnérables et accessibles sur Internet par le biais de cette faille. En France, on en compterait un peu plus de 300. Citrix a pourtant procédé à la divulgation de la faille ainsi qu’à la publication d’un correctif au début du mois précédent et en principe notifié ses clients utilisateurs des systèmes affectés.
Négligence des bonnes pratiques en matière de cybersécurité ? La réponse relève de l’évidence quand on sait que les victimes choisissent dans certains cas de payer la rançon, ce qui indique que les responsables en matière de sécurité n’avaient pas effectué de sauvegardes. Cela s’est vu en 2019 avec les dirigeants de Riviera Beach en Floride. Epuisés par les cyberattaques, ils se sont réunis à la hâte pour un vote extraordinaire qui s’est soldé par le paiement d’une rançon de près de 600 000 dollars aux hackers qui ont paralysé les systèmes informatiques de la ville. Ils ont estimé que la banlieue de Palm Beach n’avait pas le choix si elle souhaitait récupérer les enregistrements chiffrés par des pirates. Le conseil avait déjà voté pour dépenser près de 1 million de dollars US sur de nouveaux ordinateurs et matériels après une précédente capture des systèmes informatiques de la ville par des pirates informatiques.
Y faisant suite, une seconde ville en Floride a décidé de payer la rançon et a versé 500 000 USD aux pirates informatiques après une attaque de ransomware. Le montant total payé par les municipalités de la Floride pour les ransomwares au cours de la période mentionnée s’élève à 1,1 million de dollars.
Un tableau qui peut s’expliquer par la complexité des métiers de la filière cybersécurité ?
Une nouvelle étude menée par Enterprise Strategy Group (ESG) et l'Information Systems Security Association (ISSA) révèle que 66 % des personnes interrogées estiment que le travail de professionnel de la cybersécurité est devenu plus difficile au cours des deux dernières années, près d'un tiers (27 %) déclarant qu'il est beaucoup plus difficile.
La plupart des répondants (81 %) citent l'augmentation de la complexité et de la charge de travail en matière de cybersécurité comme raison pour laquelle leur carrière est plus difficile aujourd'hui. 59 % d'entre eux soulignent l'augmentation des cyberattaques due à l'élargissement de la surface d'attaque et 46 % déclarent que leur équipe de cybersécurité manque de personnel. 43 % reconnaissent que les pressions budgétaires et la complexité de la conformité réglementaire se sont accrues et constituent des défis supplémentaires. 8 % ont connu un ou plusieurs événements perturbateurs en matière de sécurité au sein de leur organisation, qui ont rendu leur travail plus difficile.
Avec un tel niveau de charge de travail et de stress, il n'est pas surprenant que moins de la moitié des professionnels de la sécurité soient très satisfaits de leur emploi actuel, et que 50 % affirment qu'il est très probable, probable ou assez probable qu'ils quittent leur emploi actuel cette année.
Lorsqu'on leur demande comment leurs organisations pourraient améliorer leurs programmes globaux de cybersécurité, les réponses les plus fréquentes comprennent l'augmentation de la formation à la cybersécurité pour les professionnels de l'informatique et de la sécurité, l'amélioration de la culture de cybersécurité de l'organisation, l'embauche de personnel supplémentaire, l'augmentation du budget de cybersécurité et l'amélioration de l'hygiène de sécurité de base et de la gestion de la posture.
« Pour une majorité d'organisations, la cybersécurité continue d'être traitée comme un centre de coûts ou un mandat de conformité plutôt que comme un moteur d'activité ou de croissance », selon Candy Alexander, présidente du conseil d'administration de l'ISSA International. « Les professionnels de la cybersécurité sont chargés de protéger l'organisation tout en étant surchargés de travail, stressés et en sous-effectif. Il fut un temps où les organisations pouvaient se contenter d'une "sécurité suffisante", mais cette époque est révolue. Les cyberattaques incessantes, alimentées par l'IA, et l'expansion des surfaces d'attaque ne sont qu'un échantillon des nouveaux problèmes qui vont submerger et dépasser les programmes de cybersécurité sous-investis. Les dirigeants doivent reconnaître que leurs objectifs commerciaux ne sont possibles que si la cybersécurité permet à leur entreprise de fonctionner jour après jour dans l'environnement actuel des menaces. »
Et vous ?
Partagez-vous les avis selon lesquels la cybersécurité est un domaine d’une complexité telle que les professionnels de la filière auront toujours fort à faire face aux cybercriminels ? Ou s’agit-il simplement de négligence des bonnes pratiques en matière de cybersécurité de la part des responsables en la matière ?Voir aussi :
Le secteur de la cybersécurité doit recruter 3,4 millions de professionnels supplémentaires pour neutraliser la menace cybercriminelle dans le monde, selon DXC Technology L'épuisement professionnel augmentent dans le domaine de la cybersécurité, 50 % des personnes interrogées aux USA et 20 % de la zone EMEA menacent de quitter leur emploi pour cette raison La moitié des responsables de la cybersécurité changeront d'emploi d'ici 2025 et 25 % opteront pour des rôles entièrement différents à cause des facteurs de stress liés au poste, selon Gartner