Se défendre contre les cyberattaques : stratégies et techniques

Klaus Julisch, les cyberattaques sont en forte augmentation, les entreprises investissent dans la sécurité. Dans ce jeu du chat et de la souris, qui a l’avantage ?

Plutôt le chat. En tant que défenseur, je suis vulnérable en de nombreux points – je dois protéger l’ensemble de l’infrastructure, et ce, en permanence. En revanche, le pirate informatique a besoin de réussir juste une fois. En tant que défenseur, je suis également soumis à des restrictions réglementaires et éthiques, par exemple dans le domaine de l’intelligence artificielle. Des restrictions que ne connaissent pas les pirates lorsqu’ils utilisent de nouvelles technologies.

Quel est le « terrain de jeu » actuel des hackeurs ?

Le paysage informatique des entreprises devient de plus en plus complexe et interconnecté. Il suffit de penser à l’informatique en nuage (cloud computing), à la robotique, à l’intelligence artificielle, au télétravail, à « Bring your own device », à la télémaintenance ou à tous les dispositifs informatiques que l’on trouve dans la vie quotidienne, que ce soit dans les avions ou les hôpitaux. Autant de technologies qui rendent les processus plus efficaces, rapprochent les partenaires commerciaux et aplanissent le chemin qui mène aux innovations. Mais qui, malheureusement, élargissent aussi la surface d’attaque numérique.

Identifiez de nouvelles tactiques côté hackeurs ?

Depuis trois ou quatre ans, les attaques visant la chaîne d’approvisionnement ne cessent de se multiplier. Les cybercriminels cherchent des points faibles chez les fournisseurs et les exploitent comme vecteur d’attaque pour accéder aux systèmes informatiques de leur victimes. Autrement, les pirates informatiques misent sur des techniques établies. En la matière, ils sont pragmatiques : lorsqu’une technique d’attaque fonctionne, pourquoi en changer ?

Dr Klaus Julisch est Associé responsable du département Risk Advisory. Membre du comité de direction, il est également responsable de la Swiss Cyber Practice de Deloitte. En tant que membre de l'European Cyber Leadership Team, il participe à la gestion de la croissance des cyber-services de Deloitte dans la région.

Klaus Julisch, les mails frauduleux sont toujours très appréciés des cybercriminels. N’y a-t-il pas un risque qu’un jour, grâce à l’AI, nous ne soyons plus en mesure de les repérer ?

Pour le moment, on peut, avec un peu d’expérience, repérer la plupart des mails d’hameçonnage. Souvent, les hackeurs suggèrent une urgence – le destinataire doit agir le plus vite possible et commet ainsi des erreurs. Il faut aussi se méfier des liens menant à d’obscurs sites Internet ou rédigés dans un français boiteux. Je conseille en outre de vérifier l’adresse e-mail de l’expéditeur. Mais l’AI apprend. À plus ou moins long terme, les caractéristiques de reconnaissance classiques des mails d’hameçonnage perdront de leur pertinence.

Que conseillez-vous aux entreprises dans cette lutte à armes inégales ?

Les entreprises disposent d’une multitude de possibilités pour se protéger. En premier lieu, je plaide en faveur d’une cyberhygiène. Il faut comprendre ici l’hygiène au sens de « se laver les mains », ce qui, certes, ne guérit pas, mais aide à prévenir la contamination. Pour la cybersécurité d’une entreprise, la cyberhygiène consiste d’abord à « faire ses devoirs évidents ».

Un exemple ?

Un bon exemple est la « gestion des patchs », dans laquelle les entreprises mettent à jour leurs logiciels régulièrement, dans tous les services et, dans le meilleur des cas, de manière automatisée. En outre, elles devraient impérativement se doter d’antivirus ou de l’un de leurs développements. Et naturellement, elles doivent sécuriser leurs mots de passe, par exemple en ayant recours à une identification à deux facteurs. Dans ce contexte, il faudrait aussi élaborer un système permettant de contrôler les droits d’accès des personnes privilégiées, comme les administrateurs systèmes.

Quelle est l’importance de la sensibilisation des membres du personnel? Souvent, les cybercriminels abusent de la confiance de leurs victimes et exploitent la peur et la négligence pour obtenir un accès à des bâtiments, des systèmes ou des données.

Nous avons là un autre exemple de « cyberhygiène ». Les entreprises ont pris l’habitude de simuler des attaques de phishing pour sensibiliser leur personnel. Outre la sensibilisation, il est essentiel que les entreprises montrent à leurs collaborateurs et collaboratrices comment identifier et signaler les activités suspectes. Un autre point concerne la culture d’entreprise : les entreprises doivent créer un environnement ouvert dans lequel les collaboratrices et collaborateurs sont encouragés à signaler les incidents – sans crainte de représailles, par exemple si un document confidentiel a par mégarde été envoyé à la mauvaise adresse e-mail.

Klaus Julisch, et si, malgré toutes les mesures de prudence, un piratage réussit ?

Même lorsque les cybercriminels réussissent à pénétrer dans les systèmes informatiques de l’entreprise, tout n’est pas nécessairement perdu. Les entreprises peuvent établir un plan d’urgence pour se préparer à de telles situations. Le plan englobe des instructions claires qui permettront, en cas d’urgence, de réagir rapidement et de limiter les dommages. Important : le plan d’urgence doit aussi être testé régulièrement.

Que peut faire une entreprise dans ce cas ?

Tout dépend de la nature de l’attaque. Généralement, il faut comprendre l’ampleur de l’attaque et les méthodes utilisées afin de pouvoir endiguer celle-ci. Dans de nombreux cas, les systèmes ou les données devront être restaurés. La communication avec les clientes et les clients, les fournisseurs, la presse et les instances de réglementation joue souvent un rôle déterminant. Il peut aussi être nécessaire de prévoir des systèmes de secours afin de disposer d’une informatique minimale pendant la restauration des systèmes principaux, ce qui peut être très complexe.

Une entreprise doit-elle payer une rançon ?

Beaucoup d’entreprises achètent leur liberté, c’est un fait, malheureusement. Pourtant, la recommandation des experts est claire : ne pas payer de rançon, car payer, c’est financer la cybercriminalité.