Coalfire, un fournisseur de services de conseil et d'évaluation en matière de cybersécurité, a publié son troisième rapport annuel sur les risques de pénétration, basé sur plus de 800 tests de pénétration qui reproduisent les cyberattaques pour identifier les vulnérabilités. Les tests ont été effectués par Coalfire Labs, la division de modélisation des menaces, de simulation d'attaques et de tests de pénétration de la société ; les résultats montrent que les organisations continuent de se battre avec un grand nombre des mêmes vulnérabilités et faiblesses systémiques d'une année sur l'autre.« Nos données montrent que les entreprises subissent une transformation numérique rapide en environnements multi-clouds plus complexes. Mais en cette année extraordinaire de 2020, elles racontent aussi une histoire de répétition des défauts sur des vecteurs d'attaque similaires au fil du temps. Cela crée une opportunité pour des solutions de cybersécurité holistiques qui s'attaquent à ces faiblesses systémiques une fois pour toutes », a déclaré Mike Weber, vice-président de l'innovation chez Coalfire Labs.
Le rapport a montré que la taille des entreprises a une incidence directe sur leur capacité à repousser les agresseurs potentiels. Les grandes et les petites entreprises voient plus de trois fois plus de progrès que les moyennes entreprises d'une année sur l'autre.
Alors que de nombreux secteurs industriels verticaux ont vu peu ou pas d'amélioration dans les résultats par rapport à l’année antérieure, l'industrie technologique continue de dominer la course vers une forte posture de sécurité, tandis que les acteurs de la menace continuent de trouver de nouvelles façons de violer les défenses.
La conclusion la plus encourageante du rapport est que les grands fournisseurs de services dans le cloud ont considérablement amélioré leur dispositif de sécurité par rapport à la catégorie des grandes entreprises privées. Signalant le recul des systèmes informatiques sur site en faveur du paradigme dominant du cloud, le rapport met en évidence des tendances et des points de basculement importants :
- les grands fournisseurs de services dans le cloud ont enregistré des gains considérables en matière de sécurité au cours de l'année dernière et ont 46 % de chances en moins de subir une violation que les grandes entreprises ;
- alors que de plus en plus de charges de travail et de chaînes d'approvisionnement se déplacent vers les environnements en cloud, les principales vulnérabilités restent en place : mauvaise configuration de la sécurité et scripts entre les sites ;
- le phishing continue de dominer en tant que faille la plus facile : 61 % des tentatives de phishing aboutissent à la compromission totale des identifiants d'accès ;
- dans le cadre d'un revirement majeur vers des systèmes plus sûrs, les applications ont doublé leur posture de sécurité en 2020 ;
- les protocoles non sécurisés ont dominé (22,7 %) nos principales vulnérabilités dans tous les domaines, à l'exception de la technologie ;
- les entreprises passent d'une surveillance ponctuelle à une surveillance continue et à la demande de la conformité ;
- des stratégies pour des cadres communs sont visées. Le phishing est en tête de la liste des problèmes menant à des compromis pour nos clients FedRAMP, l'accent est mis sur l'aspect humain et les attaques d'ingénierie sociale. Pour les interfaces PCI, les attaquants qui cherchent à compromettre les données s'attaquent à l'infrastructure de l'entreprise où les environnements de données des titulaires de cartes sont rattachés plutôt que par le biais des points de vente ;
- les entreprises de taille moyenne ont atteint le point sensible de la cybersécurité en 2018, se sont efforcées de suivre l'année dernière et en 2020. Celles-ci n'ont amélioré que de 4 % par rapport à l'année précédente leur capacité à repousser les attaquants par rapport à leurs homologues de petite et grande taille.
« Alors que de plus en plus d'entreprises migrent vers le cloud et qu'une nouvelle dynamique de la main-d'œuvre à distance émerge, les dirigeants doivent donner la priorité à une approche programmatique globale de la gestion des menaces et des vulnérabilités afin d'améliorer les résultats. Nos recherches montrent définitivement que si certaines entreprises s'adaptent à l'évolution rapide de la technologie, les mauvais acteurs et les faiblesses systémiques persistent tous les deux », a déclaré Mark Carney, vice-président exécutif des services de cybersécurité.
Depuis deux décennies environ, les tactiques d'affrontement ont évolué, passant de la pénétration de réseaux sans fil à la proie de points de vente vulnérables, en passant par les attaques directes d'aujourd'hui contre l'infrastructure des entreprises. « La cybernétique est devenue un objectif d'entreprise axé sur les affaires. L'une des principales conclusions de nos recherches est que les responsables de la sécurité de l'information doivent agir en tant que catalyseurs du changement, avec une autorité et une responsabilité croissantes, afin d'aligner la stratégie de cybersécurité sur la valeur commerciale, la gestion des performances et la discipline des contrôles », a déclaré Carney.
Source : Coalfire
Et vous ?
Que pensez des conclusions de ce rapport ? Les trouvez-vous pertinents ?Voir aussi :
Le manque de compétences en cybersécurité affecte 70 % des organisations, car elles n'ont pas une vision stratégique de la profession, selon un rapport de ESG-ISSA 82 % des femmes occupant des postes en cybersécurité aux USA pensent que l'industrie a un problème de préjugé sexiste, d'après une étude Les femmes adoptent de plus en plus la cybersécurité comme parcours professionnel, mais elles sont 21 % moins payées que les hommes dans le secteur, selon (ISC)2 Plus il y a d'égalité entre les sexes, moins il y a de femmes dans les STIM (la science, la technologie, l'ingénierie et les mathématiques), selon les résultats d'une étude