Le changement nécessaire dans le Far West de la sécurité applicative : mes prédictions pour 2019

2018 has been a mammoth year for cybersecurity professionals. Despite the warnings to take security more seriously, the constant press surrounding nurturing more security industry talent and general attempts at making organizations more cyber-aware, we are left staring at the smoking craters left behind by hundreds of cyberattacks, representing large-scale data breaches and consumer mistrust in some very well-known household names. In the first half of 2018 alone, 4.5 billion data records were compromised in 945 separate incidents.

Je l'ai déjà dit à maintes reprises : nous pouvons faire mieux. Cependant, le véritable combat auquel nous sommes confrontés ne concerne pas les « script kiddies », les dangereux syndicats du cybercrime organisé ou les mystérieux personnages à capuche tapant sur leurs ordinateurs portables ; le défi consiste à faire en sorte que davantage de personnes se sentent concernées par la réalité de ces violations.

La conformité au RGPD est un bon début, mais elle n'aura pas d'effet majeur à court terme.

Les lois du Règlement général sur la protection des données (RGPD) de l'Union européenne sont désormais pleinement opérationnelles ; une menace qui plane sur les organisations ne prenant pas la protection des données au sérieux. Avec des amendes colossales applicables aux contrevenants, cette mesure visait à inciter les entreprises à renforcer leurs pratiques de sécurité, à traiter les données des clients avec plus de respect et à élaborer une stratégie pour atténuer les cyberattaques.

Certaines organisations ont été averties de lourdes amendes à venir, mais nous attendons encore de voir les véritables conséquences d'un non-respect du RGPD. Pas de sanctions ruinant les entreprises, juste une multitude de fenêtres contextuelles à valider pour nous, utilisateurs du web. Cela s'explique en partie par la lenteur des processus juridiques, qui offrent de nombreuses possibilités de recours : les entreprises qui auraient pu servir d'exemple sont probablement engagées dans une bataille juridique de plusieurs mois, voire années. Pour clore une année cauchemardesque, Facebook a récemment signalé une nouvelle violation de données : un bug d'API ayant exposé les photos privées de 6,8 millions d'utilisateurs à 1 500 applications non autorisées. Découvert et corrigé en deux semaines, ce n'est que des mois plus tard que les agences de protection des données et le public en ont été informés. Le RGPD exige la notification d'une violation sous 72 heures, ce qui soulève de nombreuses questions sur l'influence et l'efficacité réelles de ces lois à l'heure actuelle.

Et bien sûr, les violations ailleurs n'ont pas cessé : la violation chez Marriott en novembre a révélé que 500 millions d'enregistrements de données avaient été compromis et, ce qui est peut-être encore plus inquiétant, que les attaquants avaient accédé à leurs systèmes pendant quatre ans avant d'être découverts. Il convient toutefois de noter que Marriott semble s'engager dans une certaine gestion de crise : ils ont offert aux victimes un abonnement gratuit de 12 mois à WebWatcher, un outil de surveillance du crédit... mais avec 500 millions d'enregistrements à passer au crible pour les pirates, il reste à voir si une année suffira pour surveiller quoi que ce soit de significatif pour la plupart des gens ; après tout, il pourrait s'écouler des années avant que vos données ne soient utilisées à des fins malveillantes.

À long terme, des réglementations comme le RGPD favoriseront un changement positif si elles sont appliquées. Lorsqu'une entreprise sera frappée par une sanction financière importante (ou par des recours collectifs de clients dont les données ont été compromises) ou par une baisse de profit sur une période suffisamment longue, je pense que nous assisterons à une volonté frénétique de la part de la plupart des entreprises de renforcer leurs bases de données en ligne.

Les institutions financières continueront de montrer la voie en matière de changement positif à court terme.

Il n'est peut-être pas surprenant que les institutions financières, en tant que gardiennes de l'argent durement gagné dans le monde, disposent de certaines des politiques de meilleures pratiques en cybersécurité les plus strictes, ainsi que de processus de bout en bout pour réduire leurs risques.

Un moteur important de cette conformité provient du PCI Security Standards Council, qui reste déterminé à aider les organisations financières à mettre en œuvre des politiques de sécurité viables et à respecter les directives dans tous les domaines. Ils ont été un moteur de progrès en aidant ce secteur à atteindre les normes de sécurité les plus élevées en matière de logiciels de paiement.

Alors, que font les institutions financières différemment des autres ? D'après mon expérience, elles sont généralement plus sensibilisées à la sécurité, consacrant des ressources à des programmes de formation holistiques non seulement pour les professionnels de la sécurité applicative et les testeurs d'intrusion, mais aussi pour leurs équipes de développement (généralement très vastes et réparties mondialement). Elles s'assurent que les décideurs de haut niveau comprennent que les processus de sécurité ne sont pas des mesures que l'on « installe et oublie » ; ils doivent évoluer aussi rapidement que la technologie utilisée et s'adapter aux risques variables.

Davantage d'organisations transformeront leur pipeline de sécurité.

Comparée à d'autres branches de l'informatique, la sécurité applicative est relativement jeune. Il est difficile d'être le petit nouveau : on est facilement incompris et on n'a peut-être pas encore établi les relations clés nécessaires. Cependant, je crois qu'avec chaque année qui passe, il devient plus facile pour la sécurité applicative de trouver sa place, même dans les organisations les plus archaïques et réfractaires au changement.

Il est devenu évident que les entreprises ne peuvent pas faire de la conformité de sécurité une étape finale de dernière minute dans leurs processus logiciels. Il doit y avoir des contrôles et des mesures de bout en bout, avec une plus grande concentration sur l'agrégation des données et une meilleure visibilité pour les niveaux exécutifs de l'entreprise. Sans cela, la sécurité restera hors de vue et hors des préoccupations pour la plupart. Et dans ce scénario, il est pratiquement impossible de rassembler les ressources nécessaires pour planifier la gestion des risques.

La bonne nouvelle, c'est que plus d'organisations que jamais détectent leurs propres cyberattaques et s'efforcent de les corriger. La mauvaise nouvelle ? Ce processus prend en moyenne quatre-vingt-cinq jours.

Les outils de test d'intrusion et la revue manuelle de code sont ardus, coûteux et lents à une époque où l'innovation rapide et la production de fonctionnalités sont indispensables dans la sphère technologique. La sensibilisation à la sécurité doit être présente dès le début : dès l'instant où un développeur écrit le code pour la première fois.

Notre industrie reconnaîtra le problème principal : nous avons besoin que les gens se sentent davantage concernés.

Pour être honnête, je pourrais facilement compter une vingtaine de personnes dans mon réseau ayant séjourné dans un hôtel Marriott au cours des quatre dernières années. Avec 500 millions de dossiers dérobés sur cette période, il est fort probable que leurs données aient été compromises. Coordonnées actuelles, numéros de carte bancaire toujours valides et informations de passeport : tout cela est peut-être en vente sur le dark web en ce moment même. Pourtant, ils ne s'en sont pratiquement pas souciés.

Il est facile de faire preuve de négligence lorsque, dans un vol de données d'une telle ampleur, vous n'êtes qu'une goutte d'eau dans l'océan.

Le vrai problème ? Les entreprises qui n'ont pas su protéger les données de leurs clients ne subissent que très peu de conséquences. Leur cours de bourse chute-t-il immédiatement après l'incident ? Absolument. Target, Equifax et maintenant Marriott pourraient en témoigner. Cependant, une vue d'ensemble sur douze mois montre que le retour à la normale est assez rapide. Quelques années plus tard, tout est pardonné sur le plan financier.

Tant qu'il n'y aura pas de conséquences sérieuses — amendes colossales, réglementations plus strictes et pertes d'activité significatives — la sécurité applicative restera un secteur devant constamment lutter pour faire comprendre la gravité des risques cyber croissants auxquels une entreprise est exposée.

Je crains que la situation n'empire avant de s'améliorer. Il est donc primordial de former des développeurs sensibilisés à la sécurité et d'instaurer une culture de sécurité robuste au sein des équipes techniques. Gardez cela à l'esprit et visez toujours plus haut en matière de sécurité logicielle.