Suite à un récent article publié sur ce blog et intitulé Cyber-sécurité – Ingénierie sociale: un risque majeur, je voudrais maintenant prendre un peu de recul et tenter d’explorer ce qui précède généralement une cyber-attaque d’ingénierie sociale réussie.
Dans le cadre d’une discussion récente, un expert en ingénierie sociale m‘affirmait avec force que l’ingénierie sociale est quasiment toujours liée à un besoin de reconnaissance qui peut être satisfait grâce aux réseaux sociaux.
De nombreux articles portent sur les méthodes d’attaque qui donnent finalement lieu à une violation de données, mais négligent de mentionner l’aspect le plus important de ces violations réussies: la reconnaissance.
La quête de reconnaissance comme motivation
Grâce aux médias sociaux et aux progrès technologiques réalisés ces dernières années dans les outils d’analyse de logiciels, il est maintenant facile pour un pirate de pénétrer en profondeur au cœur même de votre organisation, sans jamais avoir à franchir l’enceinte physique des murs de votre bureau.
Nous connaissons tous le vieil adage Une chaîne n’a jamais que la solidité de son maillon le plus faible, qui, lorsqu’on l’applique à la sécurité de l’information pourrait se terminer par c’est à dire le maillon humain.
Cela n’a jamais été plus vrai qu’aujourd’hui.
Les réseaux sociaux sont le vecteur essentiel grâce auquel les criminels peuvent profiter de cette faiblesse.
Il existe maintenant des outils open-source permettant de retrouver l’ensemble des comptes connectés à un individu sur les réseaux sociaux, plus leurs relations avec les autres, tout cela complété par un ensemble de données personnelles intéressantes, le tout présenté sous des formes faciles à exploiter.
Il existe même un logiciel propriétaire qui reprendra tous les médias sociaux émanant d’un emplacement donné grâce à la géo-localisation.
Tout ceci n’est qu’une entrée en matière avant même que nous ne considérions l’utilisation de sites tels que LinkedIn, sur lesquels sévissent de nombreux pirates avec de faux comptes, certains usurpant même des identités de professionnels de l’industrie de la sécurité – avec un certain succès, avouons-le – aidés et légitimés en cela par tous ceux qui, trop laxistes pour effectuer les vérifications sur le travail qu’ils revendiquent dans leur profil fournissent trop facilement des références. Certains faux comptes peuvent ensuite, forts de leur crédibilité, obtenir des informations privées, des offres d’emploi, des données critiques et même des invitations à dialoguer par téléphone.
La collecte d’informations
Mis à part l’ingénierie sociale s’appuyant les réseaux sociaux, il y a également d’autres moyens très simples de collecter des informations. Je ne vais pas chercher à obtenir de votre part des informations confidentielles qui relèvent de la protection des données, mais des informations qui semblent tout à fait innocentes et sont cependant très utiles à un pirate: qui est actuellement en vacances, quel département est actuellement débordé par manque de personnel, quel employé est mécontent et pour quelle raison, et ainsi de suite…
Et n’imaginez pas un seul instant que votre département informatique est à l’abri.
Rien que des morceaux de choix pour les cyber-criminels…
Vous êtes sans doute en train de vous dire, « qu’est-ce que cela a à voir avec ma petite organisation? Aucun criminel ne va dépenser autant d’efforts pour nous cibler alors que nous n’avons aucune information de valeur ».
Détrompez-vous.
Êtes-vous un sous-traitant, un consultant ou un fournisseur dans une relation d’affaires avec une grande organisation? Alors, vous êtes une cible potentielle. Encore plus si cette relation business se situe dans le domaine IT.
La même enquête mentionnée ci-dessus conclut:
« Un nombre croissant de personnes interrogées attribue les incidents de sécurité à des partenaires business ayant un accès à leur réseau et à leurs données ».
Votre organisation pourrait bien être le point d’entrée parfait ouvrant la route vers de plus gros poissons. Vous pourriez être le point de départ idéal pour progresser, en utilisant des relations de confiance existantes, et remonter vers le sommet de la pyramide.
Le pare-feu humain. Que faire?
Nous pouvons prendre modèle sur les procédés appliqués par le renseignement et les militaires, et intégrer la sécurité opérationnelle (OPSEC) à notre activité. Mais non, je ne me prends pas pour James Bond. Attendez un peu !
La page Wiki sur OPSEC n’est pas particulièrement instructive, mais elle a le mérite d’en donner une définition:
La sécurité opérationnelle (OPSEC) est le processus consistant à protéger de petits morceaux de données susceptibles d’être regroupés pour donner une image plus générale.
OPSEC ou Sécurité opérationnelle (en Français : le renseignement) est une méthode pour se prémunir des risques que peut courir une structure si des informations sensibles sont acquises par les adversaires de cette structure. Elle fut formalisée par une équipe de l’armée américaine pendant la guerre du Viêt Nam.
Nous ne devons pas nécessairement dupliquer ce modèle au sein des Entreprises, mais, au moins, un premier niveau de sensibilisation ne serait pas superflu. Nous devons inculquer cet état d’esprit et la nécessité de prudence au personnel de nos organisations. Ce modèle est utilisé en dehors des limites des murs de l’Entreprise, et donne de bons résultats. L’ennemi auquel vous faites face n’est peut-être pas un geek boutonneux dans sa chambre mais il s’agit peut-être d’un état ou d’une multinationale.
Nous avons besoin d’avoir des employés fortement sensibilisés à la menace de l’environnement de telle sorte qu’ils ressentent un véritable coup de pied au derrière à chaque fois qu’ils parlent de l’entreprise en ligne.
Malheureusement, c’est bien au-delà de l’ambition de ce court article d’explorer la meilleure façon d’atteindre cet objectif, mais je vous laisse avec cette dernière pensée que j’ai, de nouveau, tirée de l’enquête et qui résume bien la situation actuelle:
« Une autre constatation inquiétante est la diminution constante des programmes de sensibilisation et de formation des employés. »
Il est grand temps de mettre à jour votre pare-feu humain. La technologie ne suffit pas !!
Par contre, ne vous limitez pas à votre personnel informatique, qui est bien sûr critique, mais pensez à sensibiliser l’ensemble du personnel de votre organisation car chaque personne ayant un accès à votre système d’information vous fait courir un risque.
Une bonne approche serait d’organiser des séances de sensibilisation pour les personnels non techniques et des séances plus complètes pour vos personnels informatique.
Voici quelques exemples.
Pour le personnel non technique (membres du Comité de Direction et du Conseil d’Administration inclus):
Sensibilisation à la sécurité du SI basée sur ISO 27001: Découverte, en une journée, des bonnes pratiques pour se protéger contre les menaces en matière de cyber-criminalité.
Sensibilisation à la cyber-résilience basée sur RESILIA : Introduction à la cyber-résilience, ou comment se protéger contre les menaces de sécurité de l’information et, surtout, comment survivre à une cyber-attaque?
COBIT® 5 pour le Board et les Exécutifs : une journée dédiée aux risques en matière de sécurité auxquels font face les Entreprises et quel rôle doivent jouer les conseils d’administration et les comités de direction pour assurer la protection des actifs de l’Entreprise.
Pour le personnel technique du département IT:
ISO 27002 Foundation : Formation de 3 jours conduisant à la certification ISO 27002 Foundation de l’EXIN et couvrant l’ensemble des bonnes pratiques en matière de sécurité de l’information, basées sur ISO 27002.
RESILIA Foundation : cours intensif de trois jours, conduisant à la certification RESILIA Foundation d’AXELOS® et couvrant les méthodes et l‘utilisation de contrôles préventifs, détectifs et correctifs permettant ainsi d‘identifier les risques tout en garantissant un fonctionnement efficace dans un contexte business de plus en plus compétitif. Cette formation est un excellent complément à la certification ITIL® Foundation.
ISO 27001 Foundation : Ce cours intensif de 3 jours permet une bonne compréhension du cadre de gestion de la Sécurité de l‘Information défini par la norme ISO/IEC 27001, des concepts de base, des avantages et des considérations en lien avec l’implémentation d‘un Système de Management de la Sécurité de l‘Information (SMSI). Ce cours, conclu par le passage de le certification ISO 27001 Foundation de l’APMG, est tout particulièrement destiné aux personnels qui ont rôle à jouer dans l’implémentation d’un SMSI au sein de leur organisation.
COBIT® 5 pour la sécurité de l’information : Cette session de deux jours offre une couverture globale et pratique de tous les aspects de COBIT® 5 dans le cadre spécifique de la sécurité de l‘information, y compris ses composantes, les facilitateurs et les conseils de mise en œuvre. Ce cours est tout spécialement destiné aux managers.
Pour les professionnels de la sécurité de votre Entreprise:
ISO 27001 Practitioner : Session pratique de deux jours durant laquelle les participants apprendront, sur la base de scénarios, à implémenter, de façon opérationnelle, un SMSI basé sur les exigences de la norme ISO 27001.
RESILIA Practitioner : Session de deux jours, conclue par le passage de l’examen RESILIA Practitioner d’AXELOS®, au cours de laquelle les participants apprendront comment obtenir le meilleur équilibre entre risques, les coûts, les avantages et la flexibilité au sein d’une organisation en utilisant les bonnes pratiques de cyber-résilience RESILIA.
ISO 27002 Advanced : S‘appuyant sur des études de cas, ce cours intensif de 3 jours permet aux participants de maîtriser les aspects organisationnels et managériaux de la sécurité de l‘information avant de passer, en fin de session, l’examen ISO 27002 Advanced de l’EXIN.
Implementing NIST based on COBIT® 5
COBIT® 5 Security Assessor
ISO 27005 Risk Manager : Ce cours de trois jours permet aux participants de développer la compétence liée à la maîtrise des éléments de gestion des risques de base associés à tous les actifs pertinents pour la sécurité de l’information en utilisant ISO 27005 comme un cadre de référence. Il se conclut par le passage de l’examen de certification ISO 27005 Risk Manager de PECB.
CISM : Le programme CISM® est orienté vers la gouvernance et la gestion de la sécurité de l‘information. Il est reconnu comme un standard pour les professionnels qui conçoivent, créent et mettent en œuvre les programmes de sécurité de l‘information dans les entreprises. Cette formation de quatre jours vous permet de préparer efficacement les passage de l’examen CISM® de l’ISACA.
CRISC : Le programme CRISC™ est orienté vers la gouvernance et la gestion des risques SI. Il est reconnu comme un standard pour les professionnels qui conçoivent, créent et mettent en œuvre les contrôles des risques SI dans les entreprises. Cette formation de 3 jours vous permet de préparer de façon efficace le passage de l’examen CRISC® de l’ISACA.
Pour obtenir plus d’informations, merci de remplir ce formulaire de contact: