L'avenir de la cybersécurité : ce qui N'ARRIVERA PAS l'année prochaine

Une version de cet article est initialement parue dans Dark Reading. Il a été mis à jour pour être diffusé ici.

Dans notre secteur, de nombreux experts en sécurité ont pris l'habitude de prédire les sujets brûlants de l'année à venir (et je ne fais pas exception), mais avec plus de cinq milliards de données sensibles dérobées en 2019, j'ai pensé qu'il serait plus pertinent de prédire ce qui n'arrivera pas en cybersécurité en 2020, ni même dans un avenir proche.

Je me suis assis avec mon cofondateur, Matias Madou, et nous avons bien ri en dressant cette liste. Elle se veut une perspective plutôt légère, mais elle pousse à réfléchir au long chemin qu'il reste à parcourir pour protéger chaque organisation contre les cyberattaques malveillantes.

À présent, consultons notre boule de cristal pour révéler nos prédictions. Nous ne verrons pas :

L'éradication des injections SQL de tous les logiciels

Je pense que chaque professionnel de la sécurité sur cette planète attend le jour où il n'aura plus à identifier, ad nauseam, des failles par injection SQL.

Malheureusement, nous attendons ce jour depuis plus de vingt ans, et nous devrons encore patienter au moins une année de plus. C'est la vulnérabilité qui, telle un cafard, a survécu à toutes les tactiques déployées jusqu'ici pour l'éliminer définitivement.

C'est frustrant, pour le moins, car le remède est connu depuis pratiquement aussi longtemps. Cependant, la priorité accordée aux bonnes pratiques de sécurité à chaque étape du développement logiciel (surtout dès le début) reste trop faible, et certainement inadéquate face à l'augmentation massive de la production de code depuis la découverte de l'injection SQL.

(Vous voulez en savoir plus sur les modèles de codage pouvant mener à une injection SQL ? Relevez le défi ici).

Les développeurs et les équipes AppSec devenant meilleurs amis

Ah, les développeurs et l'équipe AppSec. S'entendront-ils un jour, ou sont-ils condamnés à une rivalité éternelle, façon Rocky contre Apollo ? La réponse courte est oui, ils peuvent s'entendre, mais pour l'instant, leurs priorités sont souvent très différentes.

Lorsqu'ils se rencontrent dans le cadre d'un projet, ils ne sont pas sur la même longueur d'onde et s'affrontent au dernier obstacle : le moment où les spécialistes AppSec épluchent le code du développeur. Le développeur a créé des fonctionnalités magnifiques et fonctionnelles (sa priorité absolue), qui sont démantelées si des failles de sécurité sont découvertes. Le gourou de la sécurité logicielle a, en somme, traité leur bébé de laid et forcé le développeur à revenir en arrière pour corriger les bugs, retardant souvent le déploiement.

Dans la situation actuelle, cela ne sera pas résolu tant que les développeurs et les équipes AppSec ne travailleront pas vers un objectif commun : la création de logiciels sécurisés. Cela ne se produira pas par défaut en 2020 (et pour beaucoup d'entreprises, pas avant plusieurs années), mais avec l'avènement du mouvement DevSecOps et au-delà, les développeurs reconnaissent la nécessité de monter en compétences en sécurité et de viser un standard plus élevé ; un standard qui intègre les objectifs de sécurité dès le départ.

Une offre excédentaire de professionnels de la sécurité

En 2020, 2025, 2030... il est presque garanti que nous manquerons de personnel à l'échelle mondiale en matière d'expertise en sécurité.

Selon un rapport de l'ISC(2), il y a environ 2,93 millions de postes en cybersécurité non pourvus actuellement. La situation va presque certainement empirer avant de s'améliorer, et aucune armée de sécurité secrète n'attend de venir à notre rescousse dans les prochaines années.

Dans un avenir immédiat, notre meilleure chance de remédier à cette pénurie de compétences est de faire de la sécurité une priorité organisationnelle et de former notre personnel existant. Cela signifie donner aux développeurs les moyens et les outils pour coder de manière sécurisée, ainsi que créer une culture de la sécurité à l'échelle de l'entreprise. La plupart des équipes AppSec actuelles luttent probablement contre des bugs de sécurité anciens et bien connus (voir le point 1 ci-dessus). Si nous leur évitons de consacrer un temps et des efforts précieux à corriger ces problèmes courants, elles auront plus de marge de manœuvre pour se concentrer sur des problèmes de sécurité complexes (à l'heure actuelle, il s'agit probablement des problèmes liés aux API, ainsi que de la création d'outils adaptés aux pipelines de développement).

Une réduction de la production de code

Le monde se numérise à un rythme effréné et la demande sociétale ne faiblira pas. Environ 111 milliards de lignes de code sont écrites chaque année, et ce chiffre ne fera que croître, devenant de plus en plus terrifiant (pour les équipes AppSec déjà surchargées, en tout cas).

L'augmentation du volume de code accroît inévitablement les vulnérabilités potentielles. Par conséquent, imaginer que 2020 sera une année plus calme pour la production logicielle et les failles est aussi réaliste que d'organiser une course de licornes au Grand National.

Une réduction du nombre de données volées

Comme je l'ai dit, plus de code signifie plus de vulnérabilités, ce qui offre davantage d'opportunités aux attaquants pour trouver un moyen de dérober des données.

Au moins 5,3 milliards d'enregistrements ont été volés dans le monde en 2019, et la défense contre les attaquants ressemble encore à une lutte désespérée et réactive. Ce chiffre ne doublera peut-être pas au cours des douze prochains mois, mais je pense qu'on s'en rapprochera.

À titre d'exemple, examinons les tendances historiques des données volées signalées aux États-Unis d'une année sur l'autre :

Si l'on observe la période 2005-2010, on constate une hausse constante avec quelques fluctuations d'une année à l'autre. C'est intéressant, mais il est important de souligner qu'en 2009, il y a eu une forte baisse du nombre de violations signalées par rapport à 2008. Cependant, on a observé une augmentation nette du nombre de données volées malgré un nombre de violations plus faible.

Les données sont le nouvel or ; elles ont de la valeur pour un attaquant. Le graphique reflète une tendance générale à la hausse des violations et du nombre de données volées, avec un pic énorme en 2017. Le nombre d'attaques a eu tendance à diminuer en 2018, peut-être grâce à des mesures de sécurité plus strictes, mais le nombre de données obtenues a atteint un niveau record. Les cyberattaques deviendront de plus en plus sophistiquées et massives, et elles ne sont pas près de disparaître. À l'échelle mondiale, il est peu probable que nous assistions à une baisse en 2020, car les entreprises produisent rapidement plus de logiciels que jamais auparavant. Elles sont les gardiennes de nos données et doivent agir plus intelligemment pour protéger notre vie privée.

Les développeurs réclament des formations à la sécurité plus longues et plus fréquentes sous forme de vidéos

S'il y a bien une chose que les développeurs adorent, c'est passer des heures et des heures à regarder des vidéos de formation informatique. En fait, la demande pour ce contenu captivant est telle que Netflix va annoncer une toute nouvelle sous-catégorie dédiée aux vidéos de formation générique à la sécurité.

Euh, non. Ni maintenant, ni en 2020, ni jamais.

Pour les développeurs, leur initiation à la sécurité passe souvent par la formation à la conformité en entreprise. Le développement sécurisé fait rarement partie de leur formation initiale, et la formation en cours d'emploi peut être leur toute première rencontre avec la sécurité logicielle. Et, sans surprise, ils n'apprécient généralement pas cela.

Pour que les développeurs prennent la sécurité au sérieux - et pour que la formation soit utile - elle doit être pertinente, engageante et adaptée à leur travail quotidien. Une formation ponctuelle à la conformité - ou un flux interminable de vidéos ennuyeuses - n'est pas le meilleur moyen de convaincre un développeur, et cela ne réduira pas les vulnérabilités.

Si vous voulez que les développeurs aient une chance de devenir une force de défense consciente de la sécurité face aux vulnérabilités courantes, faites-les travailler sur des exemples de code réels, du type de ceux qu'ils rencontrent dans leurs tâches quotidiennes. Rendez l'apprentissage ludique, facile à assimiler et encouragez-le par une approche amusante. Pour qu'une culture de la sécurité prospère, elle doit être positive, engageante et permettre de développer de réelles compétences et solutions au sein de l'organisation.

Qui sait ? Avec la bonne formation, un développeur pourrait découvrir son âme de champion de la sécurité et diffuser les avantages du développement sécurisé partout autour de lui.

Zéro décès lié à un incident de cybersécurité

D'accord, ce n'est clairement pas un sujet à prendre à la légère. J'ai dit à maintes reprises que le monde ne se souciera tout simplement pas de la cybersécurité tant que des personnes ne commenceront pas à mourir à cause d'un incident lié à une cyberattaque.

Le problème, c'est que cela s'est déjà produit, et que cela est passé largement inaperçu.

Les cyberattaques contre les hôpitaux américains ont été liées à une augmentation des décès par crise cardiaque en 2019. Bien sûr, les attaquants n'ont pas provoqué directement les crises cardiaques des patients, mais leurs attaques par rançongiciel sur les systèmes et équipements hospitaliers ont ralenti les délais de prise en charge des soins critiques.

Cette étude de l'Université de Floride centrale a analysé 3 000 hôpitaux, dont 311 avaient subi une violation de données. Dans ceux qui ont été touchés par un incident de sécurité, il a fallu en moyenne 2,7 minutes de plus pour réaliser un ECG aux victimes suspectées de crise cardiaque ; probablement en raison de changements de procédures, de nouvelles mesures de sécurité mises en place et de problèmes de support informatique prenant plus de temps qu'auparavant. Identifier et traiter une crise cardiaque est une course contre la montre, et ces hôpitaux ont enregistré en moyenne 36 décès supplémentaires pour 10 000 crises cardiaques par an.

C'est choquant et, malheureusement, je pense que la situation va empirer avant de s'améliorer. Cela doit nous servir de rappel brutal : nous devons tous faire davantage pour renforcer la sécurité logicielle et en faire une priorité absolue dans chaque entreprise.

Moins d'images d'illustration de « hackers à capuche »

Si vous tapez « hacker » dans un moteur de recherche d'images, vous tomberez inévitablement sur des milliers de photos représentant une silhouette anonyme à capuche devant un ordinateur, ou un personnage portant un masque de Guy Fawkes.

Ce cliché du hacker est devenu lassant et, disons-le, donne à tout le monde l'air d'un méchant. Il existe pourtant une multitude d'experts en sécurité bienveillants, et les connotations négatives associées à l'image du « hacker » desservent tout le monde.
Est-ce que cela va changer prochainement ? Probablement pas, mais il est permis de rêver. Pour l'instant, il est important de garder à l'esprit que la sécurité n'a pas à être effrayante.