Une cyberattaque survient toutes les 39 secondes. Le gouvernement est-il enfin équipé pour riposter ?

Une version de cet article est parue dans VMblog. Il a été mis à jour et syndiqué ici.

‍

Peu importe le nombre de Mois de la sensibilisation à la cybersécurité qui défilent, le nombre d'experts en sécurité d'élite parachutés sur le terrain ou les sommes englouties dans un gouffre financier, le problème des violations de données massives ne fait qu'empirer d'année en année. Elles sont si fréquentes qu'elles font à peine la une de l'actualité, sauf en cas de catastrophe. En 2020, plus de 36 milliards d'enregistrements ont été exposés lors de cyberattaques malveillantes, et nous attendons de voir combien seront dérobés en 2021.

Les acteurs malveillants sont constamment à l'affût d'opportunités et, bien que chaque attaque ne soit pas un désastre, elles surviennent en moyenne toutes les 39 secondes. Nous sommes loin de gagner la bataille, et les attaquants disposent d'un avantage considérable sur les défenseurs de nos données.

Cependant, le changement semble s'amorcer, l'administration Biden faisant de la cybersécurité l'une des priorités de son mandat, avec un financement supplémentaire de 10 milliards de dollars. C'est indéniablement un pas dans la bonne direction, mais cela permettra-t-il réellement de freiner une cybercriminalité dont la fréquence et la sophistication ne cessent de croître ?

La résolution des cybermenaces nécessite une mobilisation mondiale

Une défense efficace contre des cyberattaques de plus en plus puissantes ne peut relever de quelques pays seulement. Malheureusement, une stratégie cohérente a longtemps fait défaut à tous les niveaux. Toutefois, face à la montée des menaces étatiques, de nombreux gouvernements commencent à prendre la mesure du problème.

L'attaque SolarWinds visant le gouvernement américain a été un avertissement clair sur ce qui est possible, et un indicateur des ravages potentiels en cas de compromission d'une infrastructure critique. Récemment, le FBI a signalé qu'un système de distribution d'eau en Floride a été attaqué, l'attaquant ayant pu contaminer l'approvisionnement en eau à distance. Ils ont été stoppés avant que des dommages graves ne surviennent, mais un attaquant plus avancé aurait pu causer une destruction massive mettant des vies en péril.

Lentement mais sûrement, les gouvernements du monde entier investissent davantage dans la cyberdéfense. Le Royaume-Uni a réalisé des investissements records dans le secteur de la cybersécurité et a créé une nouvelle force opérationnelle. L'Australie a renforcé sa stratégie de cybersécurité (notamment pour les infrastructures), et des pays comme Israël et le Danemark sont considérés comme des références en matière de programmes cyber. Le Japon est classé cinquième en matière de cyberdéfense ; un vote de confiance bienvenu après la déclaration en 2018 du ministre de la Cybersécurité de l'époque, Yoshitaka Sakurada, affirmant qu'il n'avait jamais utilisé d'ordinateur. Une annonce récente du gouvernement de Singapour a promis un investissement de 50 millions de dollars dans la recherche en IA et en cybersécurité pour les futures infrastructures de communication, une mesure visionnaire pour consolider la sécurité et l'intégrité numériques.

Une réponse mondiale forte et coordonnée en matière de cybersécurité est vitale à mesure que nous progressons vers les technologies futures, et chaque instance gouvernementale devrait en faire une priorité absolue.

Plus d'argent ne signifie pas moins de problèmes

Si l'on prend l'exemple des États-Unis, du Royaume-Uni et de l'Australie, qui ont tous augmenté leurs investissements dans la cybersécurité et l'expertise gouvernementale ces dernières années, on pourrait croire que la sécurité est enfin une priorité et que les « gentils » obtiennent les moyens de gagner la bataille.

Cela aide certainement, mais ce n'est qu'une partie du tableau. Ce financement permet de constituer des équipes d'experts de haut niveau (comme ce fut le cas avec l'injection de fonds de Biden), des programmes de primes aux bugs complets, ainsi qu'une réponse et une atténuation des incidents de premier ordre en cas de violations désastreuses. C'est cette approche de la cyberdéfense qui garantit que nous ne ferons que des progrès minimes, peu importe les sommes injectées dans les groupes de travail et la réponse aux menaces.

Chaque gouvernement doit voir au-delà des mesures de sécurité réactives et consacrer des efforts (et des fonds) considérables à une stratégie plus préventive. Si l'accent reste mis sur la réaction aux cyberattaques réussies plutôt que sur leur prévention, aucune somme d'argent ne réduira les risques croissants. Une véritable approche proactive de la sécurité consisterait à allouer un budget au renforcement des infrastructures et au déploiement d'une formation efficace à la sécurité, visant à réduire la surface d'attaque dès le départ.

Le déficit de compétences en cybersécurité ne sera peut-être jamais comblé, mais il existe un potentiel inexploité

Le personnel de sécurité hautement qualifié et spécialisé est très demandé dans le monde entier, et il est peu probable que nous voyions un jour une surabondance de ces gourous de la cyber. C'est pourtant une raison supplémentaire pour que les gouvernements et les organisations commencent à faire preuve de créativité et d'ingéniosité avec les ressources à leur disposition.

Une approche véritablement préventive de la cyberdéfense commence par une sensibilisation maximale à la sécurité pour chaque personne impliquée dans le développement de logiciels et les processus d'infrastructure. Les développeurs, en particulier, ont besoin d'une montée en compétences adaptée et d'outils appropriés pour que le codage sécurisé soit intrinsèque à leur travail. Cela contribue grandement à traiter les vulnérabilités courantes avant même qu'elles ne voient le jour. C'est une étape puissante, et moins coûteuse, qui réduit la pression et le travail de reprise tout au long du cycle de vie du développement logiciel.

Nous devons renforcer une approche de la cybersécurité axée sur l'humain ; elle donnera de meilleurs résultats qu'une dépendance excessive à l'automatisation, aux outils et à la réaction face à des problèmes déjà ancrés et identifiés – une stratégie qui ne fonctionne manifestement pas au vu du nombre de violations actuelles.