Comment le gouvernement australien peut renforcer la résilience nationale en cybersécurité et faire face aux menaces

Alors que 2020 a été marquée par une explosion du télétravail, accompagnée de violations de données persistantes à grande échelle et d'une attention croissante portée aux conséquences des atteintes à la vie privée en ligne, la cybersécurité n'a jamais été autant au cœur des préoccupations du public. En conséquence, les gouvernements du monde entier sont intervenus pour refondre et mettre à jour leurs plans et infrastructures de cybersécurité, notamment par le biais de stratégies et de réglementations que les entreprises doivent respecter lorsqu'elles manipulent nos ressources numériques les plus précieuses.

Les directives de protection stratégique en matière de cybersécurité ne sont pas un concept nouveau, et des organisations comme le NIST influencent les politiques des ministères du monde entier depuis de nombreuses années. Avec l'accélération fulgurante de la transformation numérique, il est devenu difficile pour beaucoup de suivre le rythme face à la multiplication des menaces, des vecteurs d'attaque potentiels et des exigences de conformité qui caractérisent un paysage en constante évolution.

Une récente violation concernant 54 000 permis de conduire de Nouvelle-Galles du Sud, causée par un compartiment S3 mal configuré et facilement accessible sur un serveur tiers, a compromis les données de milliers de personnes. Le chercheur en sécurité à l'origine du signalement a admis que ces informations avaient probablement déjà été vendues sur le dark web. Le plus regrettable, c'est qu'il s'agissait d'un problème facile à résoudre qui ne se serait sans doute jamais produit si la sécurité avait été une priorité lors de la configuration du cache.

Le gouvernement australien a récemment publié la Stratégie de cybersécurité australienne 2020, mettant en avant de nouvelles initiatives et une enveloppe de 1,67 milliard de dollars sur dix ans pour concrétiser sa « vision de créer un monde en ligne plus sûr pour les Australiens, leurs entreprises et les services essentiels dont nous dépendons tous ». Il s'agit manifestement d'un plan de révision très attendu, d'autant plus que l'un de ses objectifs principaux est :

"L'action des entreprises pour sécuriser leurs produits et services et protéger leurs clients contre les cybervulnérabilités connues".

Si les organismes gouvernementaux ont tendance à se concentrer (à juste titre) sur les mesures de sécurité concernant les infrastructures critiques du pays — des zones propices à des attaques organisées catastrophiques — ce qui manquait par le passé, ce sont des directives pour les entreprises qui collectent et utilisent nos données au quotidien.

Maintenant, lorsqu'il s'agit d'une stratégie officielle de ce type, ce n'est pas toujours une partie de plaisir. Elle peut être difficile à interpréter et manquer de précision, laissant aux équipes de sécurité le soin d'élaborer un plan à partir de directives vagues. Ce problème n'est pas propre au gouvernement australien, mais analysons leur toute nouvelle publication.

Une approche axée sur la réaction plutôt que sur la prévention.

La stratégie de cybersécurité australienne mise à jour constitue une amélioration plus pertinente que la version précédente de 2016, avec des plans assez complets pour les entreprises, en particulier les PME. La stratégie prévoit :

"Le gouvernement et les grandes entreprises aideront les petites et moyennes entreprises (PME) à se développer et à renforcer leur sensibilisation et leurs capacités en matière de cybersécurité. Le gouvernement australien collaborera avec les grandes entreprises et les fournisseurs de services pour offrir aux PME des informations et des outils de cybersécurité sous forme de « packs » de services sécurisés (tels que le blocage des menaces, l'antivirus et la formation à la sensibilisation à la cybersécurité)."

Cela fournira aux PME une base solide pour protéger leur activité contre les cybermenaces, mais il s'agit en grande partie d'une approche réactive, axée sur les outils de détection, ce qui ne représente qu'une part relativement restreinte du paysage de la cybersécurité.

Il y a également étonnamment peu d'informations sur la manière dont les grandes entreprises peuvent se protéger et réduire leurs vecteurs d'attaque. Bien que beaucoup puissent être intégrées aux plans de protection des infrastructures critiques (telles que les télécommunications ou les transports), les services financiers, le commerce de détail et de nombreux autres secteurs ont beaucoup à perdre en cas de cyberattaque réussie. Peut-être cela fera-t-il l'objet d'une législation future, mais souligner l'importance de bonnes pratiques de cybersécurité rigoureuses au niveau de l'entreprise est fondamental pour observer un changement significatif et une baisse des données compromises et de la cybercriminalité.

Dans l'ensemble, la stratégie repose sur une approche réactive. Lutter contre les cyberattaques, neutraliser les cybercriminels actifs, assurer leur poursuite judiciaire et partager des renseignements avec les alliés internationaux sont des facteurs importants, mais imaginez si la norme nationale de protection était axée sur la prévention. Outre les mesures de protection des infrastructures critiques, si la sécurité était une priorité pour chaque entreprise et si chaque personne manipulant le code qui façonne notre monde numérique était correctement équipée pour bloquer les attaques avant qu'elles ne surviennent, les économies de temps, d'argent et les souffrances évitées pour les victimes seraient incommensurables.

La résilience est possible, mais elle doit être planifiée.

La volonté du gouvernement australien de prendre la cybersécurité au sérieux montre clairement qu'il s'agit d'un domaine de risque majeur à l'échelle nationale. Comme pour toute attaque malveillante capable de perturber notre mode de vie, la résilience est absolument cruciale, non seulement pour résister à une telle tentative, mais aussi pour agir comme un moyen de dissuasion. En fin de compte, même les acteurs malveillants peuvent être paresseux, et ils se tourneront vers une cible plus facile pour atteindre leur objectif si trop d'obstacles se dressent sur leur chemin.

At the moment, we face a global cybersecurity skills shortage, and this is something that keeps CISOs around the world awake at night. Billions of lines of code, constant large-scale data breaches, and more risk of penalty (Marriott alone received a USD $123M GDPR fine for their 2018 data breach... and they had another breach this year) than ever before has created a demand chasm for security specialists that, realistically, is unlikely to be closed. There is simply too much code, and too little resources to ensure it is fortified from every angle.

Alors, devons-nous abandonner l'idée de pouvoir un jour faire face aux cybermenaces ? Certainement pas. La résilience exige d'utiliser toutes les ressources disponibles et d'avoir une longueur d'avance. Pour de nombreuses entreprises, leurs développeurs peuvent débloquer une méthode de fortification puissante dès l'écriture du code. Associée à une culture de sécurité visible et positive dans toute l'entreprise, cela constitue une base solide, difficile à ébranler pour de nombreux attaquants. Cependant, cette méthode nécessite de s'appuyer sur les suggestions de la Stratégie de cybersécurité australienne, par exemple, et d'approfondir la manière dont elles peuvent être personnalisées pour soutenir un changement efficace et pertinent pour l'entreprise.

À cette fin, il est important d'analyser quelques-uns de ces conseils :

• Formation à la sensibilisation à la sécurité : spécifiquement mentionnée pour les PME, elle vise principalement, dans l'ensemble du rapport, à enseigner à tout le personnel les règles d'hygiène informatique de base (ex. : repérer les e-mails de phishing, ne pas cliquer sur des liens inconnus). En réalité, elle doit aller bien au-delà et être adaptée aux rôles de chacun, en particulier pour ceux qui manipulent du code, comme les développeurs. Il est impératif que cette formation soit un élément clé des mesures préventives et du renforcement de la résilience.
• Éducation : Fait encourageant, un plan approfondi est prévu pour combler la pénurie de compétences en cybersécurité au cours de la prochaine décennie, en mettant l'accent sur la formation dès l'école primaire et secondaire, jusqu'à l'enseignement supérieur. C'est indispensable pour former les experts de demain, mais pour répondre aux besoins immédiats des entreprises, une formation pratique au développement sécurisé est une nécessité absolue pour réduire les vulnérabilités courantes et doit faire partie intégrante de tout programme de sécurité fonctionnel.

En tant qu'experts en sécurité, nous devons aider les entreprises du monde entier à comprendre l'importance de mettre en place un programme de sécurité interne qui dépasse les simples mesures de sensibilisation de base. Investir dans la montée en compétences des développeurs soulage les spécialistes de l'AppSec, et s'assurer que chaque collaborateur est sensibilisé à la sécurité dans le contexte de son rôle est essentiel pour réduire la surface d'attaque des logiciels.

La montée en compétences des développeurs est un investissement rentable, alors pourquoi tant d'entreprises l'ignorent-elles ?

Une récente enquête de DDLS a conclu que la formation en cybersécurité est très peu prioritaire au sein des organisations australiennes. En fait, elle ne figure même pas dans le top trois des priorités de formation, bien que 77 % des répondants considèrent la sensibilisation à la cybersécurité comme « extrêmement » ou « très importante » pour leur activité.

Il n'est donc pas surprenant que l'Australie peine à combler son déficit de compétences et doive encore travailler pour créer une infrastructure plus résiliente, des services essentiels au commerce de détail, et dans tous les autres secteurs.

Il existe ici une opportunité majeure pour les gouvernements de créer une certification ou une réglementation de base en matière de compétences de sécurité, une piste évoquée par la stratégie pour optimiser des ressources limitées. Cependant, cela semble encore relever d'une vision à long terme, alors que nous disposons d'outils pour agir dès maintenant en ciblant les domaines à fort impact. Pour moi, l'espoir réside dans les équipes de développement : avec les bons outils et les connaissances nécessaires, elles peuvent neutraliser les vulnérabilités courantes et réduire considérablement le risque de violation de données.

En 2019, 24 % de toutes les violations de données étaient dues à une erreur humaine — principalement des erreurs de configuration de sécurité — qui sont généralement des correctifs simples au niveau du code. Si la formation devient une priorité, couplée à une sensibilisation à la sécurité à l'échelle de l'entreprise, je parie que moins de RSSI auraient à notifier des violations à des milliers de clients compromis.