Home » Posts tagged 'cyber-attaque'

Tag Archives: cyber-attaque

Abonnez-vous à ce blog par e-mail.

Saisissez votre adresse e-mail pour vous abonner à ce blog et recevoir une notification de chaque nouvel article par email.

Transformation numérique : les conseils d’administration sont-ils prêts?

Les conseils d’administration (CA) devraient être impliqués dans la direction et le leadership de la transformation numérique de leur organisation, en prenant en considération les scénarios de risque non négligeables associés à cette mutation.

Transformation numérique : les conseils d'administration sont-ils prêts
Crédit © image par rawpixel.com

Le rôle du Conseil d’Administration de toute organisation est de s’assurer pour le compte des parties prenantes de l’Entreprise, de la création de valeur sous forme de bénéfices, tout en optimisant les risques et les ressources. Selon COBIT, le référentiel de Gouvernance publié par l’ISACA, cela passe par trois phases. La première consiste à évaluer les besoins de chacune des parties prenantes. La seconde est de prendre une décision en terme de direction à suivre par le management. Enfin, la troisième étape consiste à surveiller la performance et le progrès réalisé par l’Organisation dans la direction donnée.


«Les conseils d’administration jouent un rôle essentiel dans le processus de transformation numérique en apportant expertise, jugement, scepticisme sain et souci de la valeur à long terme.» (Deloitte)


Malheureusement les conseils d’administration ne sont pas encore prêts à superviser les technologies de l’information.  Ils le sont donc d’autant moins en ce qui concerne la transformation numérique de leur Organisation. En effet, non seulement «plus de 80% des CA pourraient ne pas avoir les compétences et les connaissances nécessaires pour gérer efficacement la technologie des entreprises et réaliser des gains stratégiques et des rendements financiers au niveau de l’entreprise» mais, de plus, les cadres mondiaux de gouvernance d’entreprise (COSO par exemple) ne font encore aucune référence significative au leadership numérique du CA.

La transformation numérique a cependant des impacts extrêmement importants sur le fonctionnement des Organisations. Le degré de focalisation requis pour garantir que la transformation numérique se concrétise comme prévu est donc très  élevé. Quels sont les problèmes à surmonter dans la structure des conseils d’administration si les organisations qu’ils supervisent doivent être durables dans le cadre de la transformation digitale actuelle? Les comités stratégiques IT du CA constituent un moyen clé de mieux superviser et contrôler la transformation numérique.

La gouvernance du SI a encore trop de mal à trouver sa place

Selon une étude du Gartner, jusqu’à 85% des projets en technologies de l’information échouent. Les défaillances informatiques détruisent la valeur pour les actionnaires en gaspillant des ressources. Ces défaillances font échouer des opportunités business et détruisent ainsi la valeur que les services informatiques auraient pu créer. Il ne fait aucun doute que ce taux d’échec continuera, voire augmentera, pour les initiatives de transformation numérique.

Une évolution dans le bon sens depuis dix ans

Le besoin de conseils d’administration ayant des compétences en technologies de l’information s’impose de plus en plus au niveau mondial. Cela leur permet d’atténuer les risques d’échec technologiques. C’est tout particulièrement important lorsque le succès stratégique et la pérennité de l’entreprise dépendent de la réussite de son informatique. La figure suivante illustre l’évolution de la gouvernance du SI ces dernières années.

L'évolution de la gouvernance du SI depuis 10 ans
Crédit © 2018 ISACA

L’exception chez les « gaulois réfractaires »

Cette gouvernance formelle du SI se matérialise de plus en plus par un comité stratégique informatique. C’est une préconisation phare de COBIT, le cadre de Gouvernance du SI publié par l’ISACA en 2012. C’est également une tendance forte dans les très grandes organisations qui ont souvent des comités stratégiques. Du moins dans les pays anglo-saxons…

conseil d'administration : l'exception chez les gaulois réfractaires

Lors d’une récente conférence destinée aux administrateurs au Canada, le consensus a été que les comités stratégiques informatique sont encore largement méconnus dans ce pays. Ils sont également ignorés dans la quasi totalité des pays francophones Européens (France, Belgique, Luxembourg) et encore plus en Afrique. A l’inverse on trouve de plus en plus souvent un comité stratégique IT dans les entreprises des pays anglophones. Est-ce à dire que l’absence de gouvernance du SI est une caractéristique liée à la langue Française? Serait-ce le syndrome du « Gaulois réfractaire » évoqué par le Président Macron récemment? Je ne saurais répondre mais le constat est hélas factuel. C’est d’autant plus inquiétant pour l’avenir économique des ces pays à l’heure de la transformation numérique mondiale.

Les conseils d’administration de l’ère digitale doivent s’adapter

Lors d’un récent congrès d’administrateurs de sociétés, une question des organisateurs portait sur le comité stratégique informatique. De façon très décevante, la réponse quasi-unanime des participants était que ni l’ampleur de leurs dépenses informatiques ni la contribution de l’informatique au risque opérationnel n’avaient été jugées suffisamment importantes pour justifier la création d’un comité stratégique distinct. C’est là une preuve supplémentaire de la totale déconnexion des membres des conseils d’administration de la réalité du changement en cours au niveau mondial. Peut-être est-ce dû au fait que, à ce jour, les conseils d’administration peuvent apparaître comme ayant fait du bon travail de gouvernance dans des entreprises de premier plan sans aucune expertise en TI dans leurs rangs? En tout cas, il y a beaucoup de choses derrière cette réponse totalement inadéquate.

D’autant que ce sont ces mêmes membres du conseil d’administration qui parlent publiquement de la transformation numérique et de l’innovation numérique! Ils sont donc apparemment inconscients de l’impact organisationnel énorme et des risques que comporte une telle mutation, qui, par définition, inclut les TI. Ce risque augmente significativement lorsque les membres du CA ne reconnaissent pas leurs responsabilités dans la gouvernance du SI.

L’évolution nécessaire de la composition du CA

Aux Etats Unis, la plupart des membres des conseils d’administration sont indépendants. C’est là une conséquence directe de la loi Sarbanes-Oxley (SOX) depuis 2002. D’ailleurs, dans le S & P 500, Spencer Stuart constate que 85% des administrateurs sont indépendants depuis 2007. Une autre conclusion intéressante de cette étude porte sur l’âge moyen de ces administrateurs qui était de 63,1 ans en 2017. En France, selon l’AGEFI, l’âge moyen des administrateurs des sociétés du CAC40 est de 58,9 ans en 2017. Il apparaît en légère hausse par rapport à 2016. Seulement 68% des membres des CA du CAC40 sont indépendants selon le même rapport de l’AGEFI en 2017.

Un problème de compétence, mais pas seulement

Une question que le Forum Economique Mondial pose aux administrateurs est de savoir si leur conseil d’administration possède des compétences numériques, multigénérationnelles et une expertise suffisante pour donner des conseils sur des sujets commerciaux et technologiques en évolution rapide. En ce qui concerne la sensibilisation au digital, Mckinsey constate que peu de CA ont une expertise numérique suffisante. Difficile donc d’avoir des échanges significatifs sur ce sujet important avec la direction à l’ère de la transformation digitale. Par ailleurs, avec une moyenne d’âge de 63,1 ans (59,9 ans en France), il est difficile de qualifier le conseil d’administration moyen de multigénérationnel.

 L’âge moyen des membres du conseil d’administration en question

Cela complète les conclusions d’une enquête menée par le Harvard Law School Forum impliquant 860 administrateurs de sociétés publiques. De nombreux membres du conseil d’administration ne sont pas à l’aise avec la supervision informatique car, avec un âge moyen de 63,1 ans:

  • L’expérience professionnelle de la plupart des membres du conseil d’administration est antérieure à l’ère de la transformation digitale des organisations;
  • Très peu d’administrateurs ont simplement des connaissances de base en technologies de l’information.

Ce n’est donc pas que les conseils d’administration en général ne souhaitent pas une gouvernance informatique accrue. C’est plutôt que les administrateurs en place n’ont tout simplement pas les compétences ou l’expérience nécessaires pour comprendre pourquoi ou quand ils ont besoin de gouvernance informatique ou même d’un comité stratégique informatique. Les conseils d’administration peuvent-ils être négligents en n’ayant pas de compétences en informatique à bord et, par conséquent, ne pas être en mesure de poser des questions approfondies de supervision des TI au-delà des questions d’audit générales du comité d’audit? La réponse est «non», les conseils ont le devoir fiduciaire d’avoir un minimum de compétence en informatique.

Le vice-président du Comité d’Hygiène et de Sécurité du CA de Delta Air Lines a bien résumé la situation :


Les conseils d’administration doivent être préparés avec les compétences, la technologie et les processus appropriés. Hélas, la plupart des CA échouent sur la majorité ou la totalité de ces exigences.


Dans le cadre de la transformation digitale de l’économie, il est temps que les actionnaires repensent la façon dont ils votent pour les membres du CA lors de leurs assemblées générales annuelles (AGO).

Le périmètre de la transformation digitale mal compris

L’une des clés pour mieux comprendre l’approche des administrateurs est l’écoute de leurs remarques face aux technologies de l’information. Le mot spécifique qu’ils utilisent le plus souvent, c’est «dépenser» (coût). Or le coût est plus en adéquation avec l’informatique opérationnelle qu’avec la transformation numérique. Cela signifie que les membres des conseils d’administration  semblent voir l’informatique uniquement sous l’angle des coûts opérationnels. Ils n’ont pas une approche incluant aussi les  opportunités. C’est pourquoi ils trouvent acceptable de «gouverner» l’informatique par le biais du comité d’audit. S’appuyant sur les constatations citées à la figure 1, la gestion des TI au sein du comité d’audit n’est pas satisfaisante. C’est d’autant plus vrai lorsque la transformation numérique est un objectif stratégique de l’Entreprise.

Lors d’une discussion récente que j’avais avec un administrateur d’une grande société Française cotée au CAC40 et figurant parmi les leaders mondiaux de son domaine, il me disait « La transformation numérique? C’est juste de la technologie. Et la technologie suivra toujours ». Cela révèle pour le moins une incompréhension du périmètre de la transformation numérique par ceux-là même qui doivent la superviser. Ce n’est clairement pas de bon augure pour les organisations concernées.

Cette approche uniquement basée sur les coûts est aujourd’hui largement dépassée. Elle suggère qu’il n’y a peut-être pas de véritable transformation digitale dans ces organisations. Cela va à l’opposé des commentaires publics apparemment tournés vers l’avenir des membres du conseil d’administration.

Cybersécurité, compétitivité, intégration stratégique et transformation numérique

L’informatique a longtemps été beaucoup plus axée sur la durabilité organisationnelle et le positionnement stratégique que sur le coût de l’automatisation des processus. Bien sûr, le conseil d’administration continue de devoir s’intéresser à la gouvernance. Il est cependant peu probable que de nombreux administrateurs soient en mesure de discerner le rôle de l’informatique dans la réalisation des préoccupations de Deloitte concernant la création de valeur à long terme.

Recommandations aux actionnaires et aux membres du CA

La gouvernance du système d’information, pilotée par KING III, ISO / IEC 38500 et COBIT, a été formalisée depuis 2008 au moyen de la norme ISO / IEC 38500. Si l’informatique est simplement opérationnelle dans une organisation, la gouvernance informatique ne doit pas dépasser la charte des coûts du comité d’audit et risque. Mais si l’activité de l’Entreprise dépend de façon stratégique de son informatique, y compris dans un contexte de transformation digitale, alors, conformément à la norme ISO / IEC 38500, le conseil d’administration a trois responsabilités principales:

  • Evaluer continuellement les performances informatiques dans le cadre de la stratégie organisationnelle;
  • Réorienter continuellement l’informatique si ses performances compromettent la stratégie de l’organisation;
  • Surveiller en permanence les performances informatiques pour s’assurer que la stratégie de l’entreprise sera livrée aux actionnaires.

Un outil efficace : le comité stratégique TI

Les problèmes business critiques tels que celui évoqué dans cet article prennent beaucoup de temps pour être résolus. Il est donc nécessaire de réagir efficacement. La création d’un comité stratégique TI est indubitablement un outil efficace pour y remédier. Incontestablement, le sujet des systèmes d’information a depuis longtemps dépassé les domaines d’audit et de risque de base. Des organisations importantes telles que Wallmart en ont tiré les conséquences. Ainsi Wallmart s’est doté d’un comité stratégique TI dédié au niveau du conseil d’administration. Il ne faut surtout pas croire hâtivement qu’un comité stratégique TI est technique. Ce n’est pas du tout le cas. Les responsabilités énumérées dans le paragraphe précédent, ainsi que des sujets tels que la compétitivité, la transformation et la durabilité fondées sur l’informatique, sont clairement stratégiques.

Bien que la gouvernance informatique ait continué à se développer au cours de la dernière décennie et soit devenue la gouvernance du SI, le chemin à parcourir est encore long. Non seulement il n’ya pas de discussion majeure sur le leadership numérique au sein des cadres de gouvernance d’entreprise au niveau mondial, mais les administrateurs ne semblent pas encore avoir les aptitudes et les compétences nécessaires pour gérer correctement les initiatives de transformation numérique.

Une nécessité : le renouvellement des conseils d’administration

Que peut-on faire dans cette situation? En règle générale, les administrateurs sont élus lors de l’assemblée générale annuelle (AGO) par les actionnaires. Dans les organisations où la durée du mandat est limitée, les administrateurs devraient être renouvelés et bénéficier de nouvelles perspectives sur le rôle et les risques. en transformation numérique. Les actionnaires détiennent généralement une partie du pouvoir nécessaire pour remplacer les administrateurs actuels au sein des conseils d’administration. Ils ont par conséquent des moyens d’action sur les membres du CA. Ils peuvent donc s’assurer que les administrateurs possèdent des connaissances de base en informatique.

La question est de savoir si ils le veulent vraiment ou si les facteurs générant des gains à court terme (croissance du prix des actions) sont plus importants que la viabilité à long terme. Ces deux objectifs sont totalement incompatibles. Et c’est là que se situe une partie du problème.

Restons positifs malgré tout

On commence, dans certaines entreprises, à apercevoir une lueur au bout du tunnel. Quelques Organisations, auprès desquelles j’interviens comme conseil, ont unanimement considéré que la durabilité par le biais de la transformation numérique exige plus qu’un simple créneau dans les ordres du jour plus larges des comités d’audit ou des risques.

Au lieu de cela, dans le contexte de la transformation digitale, le service informatique mérite un degré de gouvernance spécialisé qui ne peut lui être accordé que par le biais d’un comité stratégique informatique dédié. C’est une première étape encourageante. Il faut maintenant oeuvrer pour que cela se développe et se généralise. C’est en s’appuyant sur des cadres de gouvernance tels que COBIT ou ISO 38500 qu’on a quelques chances d’y parvenir. Malheureusement cette mutation est très lente. Et pas sûr que les conseils d’administration aient le temps d’évoluer avant que la situation ne devienne critique.

Cybersécurité : rôle et responsabilités du Conseil d’Administration

Les cyber-menaces sont complexes et en constante évolution. Elles peuvent aussi causer d’importants dommages financiers et de réputation à une Organisation. De plus, il n’y a aucun moyen d’être protégé à 100%. C’est pourquoi la cybersécurité ne relève plus uniquement des services informatiques. Les Conseils d’Administration sont les premiers responsables de la survie de leur organisation et, dans le monde interconnecté d’aujourd’hui, la cyber-résilience fait partie intégrante de cette responsabilité. Cela signifie que le Conseil d’Administration à un rôle actif à jouer et doit assurer ses responsabilités en matière de cybersécurité.

Cybersécurité : rôle et responsabilités du Conseil d'Administration
Crédit © image by rawpixel.com

En charge de la Gouvernance de leur Organisation, les Conseils d’Administration s’assurent de l’optimisation des risques et des ressources. Dans un monde en pleine transformation digitale, ils devraient donc considérer le cyber-risque comme prioritaire. Ceci implique qu’ils devraient jouer un rôle de leader en matière de cybersécurité au sein de leur Entreprise. Dans ce cadre, voici donc quelques responsabilités en matière de sécurité informatique qui leur incombent directement.

Principes de base en matière de cyber sécurité

COBIT, référentiel de bonnes pratiques en gouvernance des Entreprises, définit un certain nombre de principes de base pour gouverner une Organisation. Le Manuel de l’Administrateur sur la surveillance des risques lés au cyber espace, publié aux USA par L’Association Nationale des Administrateurs de Sociétés (NACD) définit également le rôle et les responsabilités du C.A. en matière de cybersécurité. Cinq principes se dégagent. Ces principes de base sont universels. Ils s’appliquent à toute Organisation, publique, privée ou même à but non lucratif, quelles que soient sa taille, son domaine d’activité ou sa localisation. Ils devraient donc être pris en considération par  tous les C.A. afin d’améliorer leur surveillance des cyber-risques.

1 – La cybersécurité est une problématique d’Entreprise et non une problèmatique technologique

Les administrateurs doivent comprendre et aborder les questions de la cybersécurité en tant que sujet de gestion des risques à l’échelle de l’entreprise, et pas uniquement en tant que sujet informatique.

Il est toujours aussi surprenant de constater combien d’entreprises associent encore la sécurité des informations ou la cybersécurité à l’informatique. Certes, la plupart des signalements d’incidents de sécurité proviennent de l’informatique, Mais on ne peut pas s’y limiter car les impacts se font sentir à l’échelle de toute l’organisation. Les compétences requises pour gérer les risques et traiter les problèmes doivent donc se situent au niveau global de l’organisation. Le Conseil d’Administration doit comprendre que tout miser sur la technologie est une grave erreur.  C’est d’ailleurs la cause sous-jacente d’un grand nombre de violations majeures.

2 – Comprendre les implications juridiques et réglementaires des cyber-risques

Les administrateurs doivent comprendre les implications légales et réglementaires des cyber-risques dans la mesure où ceux-ci se rapportent au caractère spécifique de leur Organisation.

Avec la fonction vient la responsabilité. La direction et le conseil d’administration sont considérés comme responsables ultimes des cyber-risques. Ces derniers mois, de nombreux piratages importants se sont produits et, dans de nombreux cas, ils ont perdu leur poste. Gregg Steinhafel, Président du Conseil d’Administration et Directeur Général de Target, a été contraint de démissionner de toutes ses fonctions à la suite de la violation massive des données de l’Entreprise en 2013. Et plus récemment, le Directeur Général d’Equifax, Richard Smith, a du démissionner à la suite de l’important piratage informatique qui a compromis les données d’environ 143 millions d’Américains.

3 –  S’appuyer sur l’expertise adéquate et mettre la cybersécurité à l’orde du jour

Les conseils d’administration devraient avoir un accès adéquat à l’expertise en matière de cyber-risques et de cybersécurité. D’autre part, les discussions sur la gestion des risques informatiques devraient faire l’objet d’une point régulier à l’ordre du jour des réunions du conseil. Il est également très important de pouvoir accorder un temps suffisant aux discussions sur ce sujet important. Il est de plus en plus courant de voir des membres du conseil d’administration qui ont un bagage technologique ou en sécurité. Cette expertise peut vraiment aider à sensibiliser les autres administrateurs. C’est la prise de conscience qui permet de gagner la bataille contre les cybercriminels.

4 – Mettre en oeuvre un cadre de sécurité pour l’Entreprise doté de ressources suffisantes

C’est la responsabilité du Conseil d’Administration de s’assurer de la mise en place d’un cadre de gestion des risques au niveau de l’Entreprise. La Direction doit être en charge de sa mise en oeuvre, de sa surveillance et de son suivi. Il est essentiel que le Conseil d’Administration lui donne les ressources nécessaires pour atteindre cet objectif. Ces ressources devront comprendre le personnel adéquat, les budget et les outils et technologies indispensables.

Pour la définition du cadre de risques, il est toujours plus facile d’appuyer sur des référentiels existants et éprouvés. Ainsi aux USA, il sera pertinent de s’appuyer du le référentiel NIST CSF. Ce cadre a été élaboré par le  National Institute of Standards and Technology . Il a pour but de permettre aux organisations – indépendamment de la taille, du degré de cyber-risque ou de la sophistication de la cybersécurité – d’appliquer les principes et les meilleures pratiques de gestion des risques à l’amélioration de la sécurité et de la résilience des infrastructures critiques. En Europe, NIST CSF est quasi inconnu. On pourra utiliser comme base de travail les normes ISO 27001 (Systèmes de management de la sécurité de l’information) et ISO 27005 (Gestion des risques liés à la sécurité de l’information).

Il existe de nombreuses autres sources également très intéressante pour l’élaboration de votre cadre de risque. Parmi celles-ci, vous  pouvez également  vous appuyer sur la publication COBIT for risk de l’ISACA.

Une chose est sûre : il est inutile de réinventer la roue!!!

5 – Identifier les risques, prioriser, définir l’approche et planifier

La discussion du conseil d’administration sur les cyber-risques devrait inclure l’identification des risques à éviter, à accepter, à atténuer ou à transférer par le biais de l’assurance, ainsi que des plans spécifiques associés à chaque approche.

Une gestion efficace du risque de cybersécurité nécessite une compréhension de l’importance relative des actifs de l’entreprise afin de déterminer la fréquence à laquelle ils devront être examinés pour détecter les expositions au risque. Ce n’est pas une tâche simple. Il faut beaucoup de réflexion et d’efforts, ainsi qu’une grande expertise en cybersécurité.

Exigences légales et réglementaires

Les industries les plus matures ont également des directives et des exigences réglementaires sectorielles en ce qui concerne les responsabilités en matière de cybersécurité du conseil d’administration. C’est par exemple  cas du secteur financier et bancaire. Certaines exigences réglementaires et légales sont aussi à l’étude au niveau des états. Parmi ces réglementations présentant des exigences en matière de sécurité des informations, on peut citer le RGPD.

Le RGPD (ou GDPR en Anglais) est la réglementation européenne sur la protection des données personnelles. Elle s’impose à toute Organisation publique ou privée traitant les données personnelles de citoyens européens. Le RGPD comporte plusieurs exigences précises en matière de cybersécurité des données personnelles. Le non respect de cette réglementation expose l’Organisation contrevenante, quelle que soit sa localisation dans le monde à une amende pouvant atteindre 4% de son chiffre d’affaire mondial avec un minimum de 20 millions d’Euros. La conformité réglementaire et légale est une responsabilité de la Gouvernance. Il s’agit donc d’une responsabilité du Conseil d’Administration. Déjà plusieurs Entreprises ont été sanctionnées en France par la CNIL pour non conformité au RGPD. Et, à chaque fois, il s’agissait de problématiques liées à la sécurisation de données dans leur système informatique.

Responsabilités du Conseil d’Administration

Le Conseil d’Administration assure la responsabilité de Gouvernance de l’Organisation. Gouverner une organisation consiste à s’assurer de la création de bénéfices pour les parties prenantes en optimisant les risques et les ressources. Ceci peut être représenté par le diagramme suivant extrait de COBIT.

Responsabilités de la Gouvernance et du Management - COBIT
Crédit © 2012 ISACA

Le Conseil d’Administration a pour responsabilité d’évaluer les bénéfices attendus, les risques et les ressources nécessaires (Evaluate). Il devra, suite  à cette évaluation, donner l’orientation à suivre (Direct). Il a également la responsabilité de surveiller la performance et les progrès réalisés (Monitor).

Evaluer les besoins, les risques et les ressources

Une évaluation de la posture de la cybersécurité est une première étape utile pour toute organisation qui souhaite identifier sa position actuelle en matière de cybersécurité, ses faiblesses, les risques encourus et ce qu’elle doit entreprendre pour augmenter son niveau de maturité. C’est là une étape importante pour permettre à toute organisation de renforcer ses défenses en matière de cybersécurité. Le Conseil d’Administration pourra dès lors prioriser les risques et fournir une feuille de route concrète à la Direction.

En quoi consiste votre posture de cybersécurité?

Selon le National Institute of Standards and Technology (SP 800-128 de NIST), une posture de cybersécurité se rapporte à «l’état de sécurité des réseaux, informations et systèmes d’une entreprise basé sur des ressources de sécurité de l’information (personnes, matériel, logiciels, stratégies). ) et des capacités en place pour gérer la défense de l’entreprise et réagir à mesure que la situation change ».

En d’autres termes, votre posture de cybersécurité indiquera à quel point votre entreprise est saine et cyber-résiliente. Elle indiquera à quel point l’organisation peut se défendre contre les cyberattaques, les violations et les intrusions. Définir votre posture de cybersécurité est donc important. En effet, cela guidera toute votre stratégie de cybersécurité, déterminera vos projets et influencera vos dépenses en la matière au fil des ans.

Signification des niveaux de maturité

  • Un niveau de maturité faible de la cybersécurité faible signifie généralement des défenses faibles. L’organisation  court donc un risque élevé. Elle nécessite par conséquent des améliorations significatives à plusieurs niveaux pour renforcer sa posture de cybersécurité et protéger ses actifs essentiels contre les violations et les intrusions.
  • Si le niveau de maturité est moyen c’est généralement indicatif de défenses de cybersécurité moyennes. L’organisation a alors pris plusieurs mesures pour sécuriser ses actifs critiques. Elle est cependant toujours en danger et il reste encore beaucoup à faire.
  • Un niveau de maturité élevé indique généralement de solides défenses. Cela signifie que l’organisation a mis en œuvre les stratégies, processus et procédures nécessaires pour optimiser sa posture de cybersécurité. Elle est conscients de ses actifs critiques et est préparée à faire face à des incidents de sécurité en toute confiance.

Donner l’orientation à la haute direction

Le Comité Stratégique IT

Le Conseil d’Administration définit l’orientation concernant l’utilisation de l’informatique par l’Organisation. Le Conseil d’Administration doit approuver le plan stratégique informatique, le programme de sécurité de l’information et les autres politiques liées aux TI. Pour ce faire, le Conseil d’Administration peut créer un  comité stratégique en charge des problématiques IT. Ce Comité Stratégique IT sera présidé par un membre du Conseil et aura notamment les responsabilités suivantes :

  • Examiner et approuver un plan stratégique informatique qui s’aligne sur la stratégie d’entreprise globale;
  • Promouvoir une gouvernance informatique efficace;
  • Superviser les processus d’approbation des fournisseurs tiers de l’organisation;
  • Superviser et recevoir des mises à jour sur les principaux projets informatiques, les budgets informatiques, les priorités informatiques et les performances informatiques globales;
  • Approuver les politiques à appliquer et signaler les incidents de sécurité importants au conseil d’administration;
  • Superviser l’adéquation et l’allocation des ressources informatiques pour le financement et le personnel;
  • Tenir la direction responsable de l’identification, de la mesure et de l’atténuation des risques informatiques;
  • Assurer une couverture d’audit indépendante, complète et efficace des contrôles informatiques.

Le recours à des sous-traitants pour la fournitures de certains services

Le Conseil d’Administration et la haute Direction devraient établir et approuver des politiques fondées sur les risques pour régir le processus d’impartition. Les politiques devraient reconnaître le risque pour l’Organisation d’externaliser les relations. Elles devraient également être adaptées à la taille et à la complexité de l’Organisation. Les facteurs que les Entreprises devraient envisager sont les suivants:

  • S’assurer que chaque relation d’impartition appuie les exigences globales et les plans stratégiques de l’organisation;
  • S’assurer que l’organisation dispose d’une expertise suffisante pour superviser et gérer la relation;
  • Evaluer les prestataires potentiels en fonction de la portée et de la criticité des services externalisés;
  • Adapter le programme de surveillance des prestataires de services à l’échelle de l’entreprise en fonction des évaluations des risques initiales et continues des services externalisés;

Surveiller la performance de l’organisation et les progrès

L’audit

  • Le Conseil dAdministration et la haute direction ont la responsabilité de veiller à ce que le système de contrôle interne de l’établissement fonctionne efficacement;
  • Le Conseil d’Administration devrait s’assurer que des directives écrites pour la conduite des audits informatiques ont été adoptées;
  • Le Comité d’Audit (sous la responsabilité du C.A.) est chargé d’examiner et d’approuver les stratégies d’audit (y compris les politiques et les programmes) et de surveiller l’efficacité de la fonction d’audit.

 

Cybersécurité : comment convaincre le Conseil d’Administration

A l’heure où les Entreprises entreprennent leur transformation digitale, le risque en matière de Cybersécurité s’accroit de jour en jour et une question se pose : comment sensibiliser et convaincre le Conseil d’Administration d’adopter une stratégie en matière de cybersécurité?

Stratégie de cybersécurité : comment convaincre le Conseil d'Administration?
Crédit © Image by rawpixel.com

Lorsqu’il s’agit de mettre en œuvre une stratégie de cybersécurité à l’échelle de l’entreprise, les responsables de la sécurité, tels que les RSSI, les directeurs informatiques ou les gestionnaires des risques, ont souvent les mains liées. Ressources et budgets insuffisants, incompréhension du risque au plus haut niveau sont leur lot quotidien. Il leur faut donc tout d’abord convaincre le Conseil d’Administration de la criticité du sujet. C’est en effet le Conseil d’Administration qui exerce la responsabilité de gouvernance de l’Entreprise. C’est donc lui qui priorise les risques et définit les ressources qu’il autorise pour atteindre les bénéfices attendus par les parties prenantes de l’Organisation.

Heureusement, la cybersécurité est désormais passée de la sphère technique à la salle du conseil au cours de ces dernières années. Aussi, de plus en plus de membres du conseil d’administration comprennent l’importance d’une bonne cybersécurité dans l’environnement numérique actuel. Il faut dire aussi que beaucoup d’Entreprises ont renouvelé leurs conseils d’administration avec des administrateurs plus jeunes et plus au fait des problématiques de sécurité de l’information.


La stratégie de cybersécurité doit être décidée par le Conseil d’Administration, exécutée par le Comité de Direction et devenir la propriété des premières lignes de l’Organisation. (Help Net Security)


Néanmoins, environ 87% des membres du Conseil d’Administration et des cadres supérieurs n’ont pas confiance dans le niveau de cybersécurité de leur organisation.

Vous êtes RSSI ou responsable de la mise en œuvre des stratégies de sécurité pour votre organisation? Alors il est très probable que vous serez amené à présenter vos propositions au Conseil d’Administration. Et vous devrez le faire d’une manière claire, pertinente et convaincante. Nous allons donc vous donner quelques pistes pour mieux sensibiliser les administrateurs à l’urgence d’agir en la matière.

Cybersécurité : comment convaincre votre Conseil d’Administration?

Nous vous proposons 10 bonnes pratiques à suivre pour expliquer la cybersécurité à votre conseil d’administration afin d’obtenir l’adhésion nécessaire pour sécuriser votre entreprise. Il ne s’agit pas là d’une liste exhaustive et vous devrez, sans aucun doute l’adapter en fonction des priorités de votre Organisation. Il s’agit seulement de 10 pratiques éprouvées par nos experts dans le cadre de leurs missions auprès des Entreprises :

  1. Apprenez à bien connaître les membres du CA
  2. Banissez les termes techniques
  3. Appuyez-vous sur des exemples réels
  4. Alignez-vous sur la stratégie business globale
  5. Concentrez-vous uniquement sur les points importants
  6. Adoptez une approche basée sur la gestion des risques
  7. Expliquez clairement ce que vous essayez de réaliser
  8. Argumentez en vous appuyant sur des chiffres significatifs et justes
  9. Proposez des solutions concrètes
  10. Démontrez le retour sur investissement

Apprenez à bien connaître les membres de votre Conseil d’Administration

Quel que soit votre secteur d’activité, la taille de votre entreprise ou son niveau de maturité en matière de cybersécurité, une présentation réussie dépendra de votre connaissance du public. Assurez-vous donc de vous familiariser vous-même avec chacun des membres du conseil avant d’entrer dans la salle. Apprenez à connaître leurs antécédents, leur position respective et leur influence dans l’organisation. Comprenez aussi leurs points sensibles et leur approche globale vis à vis de la sécurité et des risques. Plus vous en saurez sur les membres du conseil, plus il sera facile de les comprendre. Et cela vous permettra de les convaincre plus facilement avec des arguments qui leur parleront.

Au minimum, essayez d’en savoir un peu plus sur le président du Conseil d’Administration, ainsi que sur les présidents des comités suivants:

  • Comité de sécurité,
  • Comité des Risques et de la Conformité.

Banissez les termes techniques

Plus vous utiliserez des termes simples et mieux les membres du Conseil d’Administration comprendront votre présentation.

Il y a fort à parier que,votre CA ne soit pas très familier avec les termes, les outils et les technologies de sécurité. Pour vous assurer que vous pouvez être compris et faire passer votre message, banissez les termes techniques. Concentrez plutôt votre discours sur des principes et des scénarios faciles à comprendre. Remplacez les termes tels que les attaques  de type SIEM, DDoS et MITM par des concepts universels tels que la gestion des risques, les cyberattaques et les principes de sécurité.

Abordez les sujets qui intéressent les administrateurs tels que :

Appuyez-vous sur des exemples réels

Tout point que vous voudrez aborder doit être appuyé par un exemple concret. Cela aidera les membres du conseil à comprendre l’essence de ce que vous dites.

Par exemple, le niveau de maturité en matière de l’entreprise en matière de cybersécurité pourrait être présenté avec une échelle de feux tricolores simple allant du vert au rouge en passant par l’orange. L’impact de certaines cyber-menaces peut être souligné par des articles récents montrant les conséquences. Ainsi, par exemple, il peut s’agir des coûts résultant de l’absence de mise en oeuvre des mesures de cybersécurité appropriées.

Si ce n’est pas suffisant, appuyez vous sur des études de cas réels. Choisissez  des organisations similaires à la vôtre. Vous pourrez ainsi montrer comment les stratégies de cybersécurité ont aidé à sécuriser d’autres organisations contre les violations et les intrusions.

Alignez-vous sur la stratégie business globale de votre Organisation

Quelle que soit la conviction de votre proposition, elle sera inutile si elle ne correspond pas à la stratégie globale de l’organisation. Vous n’êtes pas là pour discuter des difficultés inhérentes à la gestion de vos opérations de sécurité. Votre CA ne s’intéresse qu’à la stratégie de haut niveau de l’entreprise. Aussi chaque décision sera probablement basée sur la manière dont elle aidera l’organisation à atteindre ses objectifs business.

Avant de parler aux administrateurs, assurez-vous de vous familiariser avec la stratégie et les objectifs globaux de l’entreprise. Faites ainsi valoir vos arguments en faveur de l’atteinte ces objectifs.

Concentrez-vous uniquement sur les points importants

Rappelez-vous que votre CA ne se réunit que de façon périodique et que son temps est précieux. C’est pourquoi votre présentation doit se concentrer uniquement sur les éléments critiques. N’incluez jamais des informations « intéressantes à avoir » mais non essentielles. Si vous éliminez le superflu votre CA appréciera votre respect pour son temps. Il se rappellera ainsi d’autant mieux les points essentiels que vous souhaitez faire passer.

Adoptez une approche basée sur la gestion des risques

Les entreprises ont des ressources limitées pour gérer leurs risques et le CA est le garant de leur optimisation. L’une des priorités majeures du Conseil d’Administration est de s’assurer que les risques pour l’Organisations sont correctement gérés. Lors de votre présentation, vous devez vous assurer que votre stratégie de cybersécurité aura un impact durable sur l’Entreprise. Concentrez-vous donc sur les principales stratégies qui peuvent vous aider à améliorer votre situation en matière de cybersécurité et à renforcer vos défenses contre les menaces et les intrusions.

En adoptant une approche de gestion des risques, vous serez mieux compris des administrateurs. C’est un des sujets auxquels ils sont très sensibles et qu’ils maîtrisent parfaitement.

Expliquez clairement ce que vous essayez de réaliser

En introduction essayez de bien faire comprendre aux administrateurs la raison de votre présence devant eux. Avant de commencer votre présentation, assurez-vous donc d’expliquer clairement quel est votre objectif :

  • S’agit-il d’une nouvelle orientation stratégique en matière de cybersécurité?
  • Avez-vous besoin de plus de budget pour certaines acquisitions?
  • Devrez-vous embaucher des ressources supplémentaires et obtenir leur approbation?
  • Avez-vous besoin que le CA examine et approuve une nouvelle politique relative à la sécurité?

Les membres du conseil d’administration doivent avoir une compréhension claire de ce que vous essayez d’obtenir de leur part.

Argumentez en vous appuyant sur de chiffres significatifs et justes

Collectez des faits et des chiffres. Et surtout préparez-vous à répondre de façon précise aux questions.

Il est probable que les membres du Conseil d’administration poseront des questions spécifiques sur la situation actuelle de l’organisation en matière de cybersécurité, son évolution au fil des dernières années et la manière dont ils peuvent mesurer le niveau d’exposition au risque.

Assurez-vous de trouver des chiffres et des statistiques pertinents pour faire valoir votre point de vue. Par exemple, la stratégie de cybersécurité proposée peut nécessiter un budget supplémentaire de 8%, mais vous obtenez un retour sur investissement mesurable car votre exposition au risque sera réduite de 25%. La connaissance des chiffres significatifs et vérifiables constituera un argument clé pour convaincre le conseil.

Proposez des solutions concrètes

Soulever un problème est une chose, proposer une solution en est une autre.


Souvent les managers des départements ou des équipes viennent me voir en me disant « J’ai un problème ». Et j’ai l’habitude de leur répondre « Alors va le résoudre, et reviens me voir lorsque tu auras des solutions à me proposer ». Le CA n’est pas là pour vous aider à résoudre vos défis. Il a seulement pour rôle d’entériner une des solutions que vous lui proposez.


Assurez-vous de ne pas simplement parler de vos défis mais plutôt de mettre en place des solutions concrètes de cybersécurité qui vous faciliteront la vie tout en bénéficiant à l’Organisation. Par exemple, votre présentation pourrait se terminer par une liste de 5 stratégies concrètes que vous prévoyez d’entreprendre. Présentez leur impact budgétaire, leur date de début et de fin, leur impact sur l’activité et le retour sur investissement prévu. Une conversation de haut niveau est un bon point de départ. Cependant seules des solutions concrètes permettront d’apporter un changement durable.

Démontrez le retour sur investissement

Si vous voulez obtenir l’adhésion du CA à votre proposition de stratégie de cybersécurité, assurez-vous d’expliquer clairement comment vous allez rendre compte de vos projets. Et surtout, expliquez comment vous pouvez démontrer le retour sur investissement de votre proposition. Par exemple, vous pouvez décider de mener une évaluation de la situation de la cybersécurité de votre entreprise pour savoir où vous en êtes aujourd’hui et où vous devriez vous situer à la fin de la mise en œuvre.

Une progression mesurable du niveau de maturité de l’Entreprise en matière de cybersécurité peut aider à gagner l’adhésion des membres du conseil d’administration. Ils pourront ainsi être assurés que leur engagement a été payant.

En conclusion…

Pour qu’une stratégie de cybersécurité soit efficace et permette d’opérer un changement durable, le RSSI devra faire preuve d’intelligence pour obtenir l’adhésion de son Conseil d’Administration. Gardez à l’esprit que le temps que vous allez passer devant le CA est limité (généralement moins de 30 minutes). Alors concentrez-vous sur les éléments les plus importants qui éveilleront leur intérêt  et qui sont alignés avec leurs priorités et objectifs permettant d’assurer le succès de l’Entreprise sur le long terme

Si vos arguments sont clairs, pertinents et facilement compréhensibles, liés aux opérations et à la stratégie de l’entreprise, et que vous pouvez démontrer le retour sur investissement de votre proposition de stratégie de cybersécurité, alors vous aurez de meilleures chances d’obtenir le soutien nécessaire pour ce que vous essayez de réaliser.

Vous avez besoin d’aide pour préparer votre intervention ou même pour vous assister lors de votre présentation au CA? Vous pouvez contacter l’un de nos experts en Gouvernance et en Stratégie de cybersécurité qui vous proposera une présentation exécutive efficace à destination des membres de votre Conseil d’Administration.

Cyber-risques – Que fait le Conseil d’Administration?

Le Conseil d’Administration est en charge de s’assurer de la création de valeur pour les parties prenantes de l’Entreprise tout en optimisant les risques et les ressources. Le Conseil d’Administration, organe de Gouvernance de l’entreprise est donc directement concerné par les cyber-risques.

Le conseil d'administration

« La SEC (organisme fédéral américain en charge de réguler et de contrôler les marchés financiers), la FTC (agence américaine chargée de contrôler les pratiques commerciales) ainsi que d’autres organismes de réglementation (fédéraux, d’état, mondiaux) ont renforcé leurs évaluations des Entreprises en matière d’efforts réalisés pour sécuriser les données, ainsi que concernant les informations et la communication sur les risques en matière de cybersécurité et de violations des données. » comme l’indique KPMG dans son rapport On the 2015 Board Agenda.

Réagissant au grand nombre et à l’ampleur des vols de données qui n’ont fait qu’augmenter durant la dernière décennie, les agences gouvernementales commencent tout juste à durcir le ton et à envoyer des signaux clairs que la sécurité constitue désormais un sujet prioritaire pour les Entreprises.

Le commissaire Luis A. Aguilar de la SEC (Securities and Exchange Commission), parlant au New York Stock Exchange (NYSE) le 10 Juin 2014, a clairement indiqué la position de la commission. « La surveillance des cyber-risques par le Conseil d’Administration est essentielle pour assurer que les entreprises prennent des mesures adéquates pour prévenir les cyber-attaques et se préparer à faire face aux préjudices qui peuvent en résulter », a-t-il dit. Il a également émis un avertissement clair sur le fait que « les Conseils d’Administration qui choisissent d’ignorer ou de minimiser l’importance de leur responsabilité de surveillance de la cyber-sécurité, le font à leurs risques et périls ».

Depuis lors, le commissaire Aguilar est de nouveau monté au créneau pour lancer un nouvel avertissement sur les cyber-risques. « Cela ne devrait être une surprise pour personne que la cybersécurité soit devenue un point focal des efforts d’application de la SEC durant ces dernières années. Il est d’ailleurs de notoriété publique que la Division d’Application de la SEC investigue actuellement plusieurs cas de violation de données, » a-t-il dit lors du Sommet SINET innovation le 25 juin 2015. « En outre, la SEC a examiné de façon proactive comment elle peut, en utilisant son pouvoir actuel, obliger à l’application de mesures supplémentaires en matière de cybersécurité, et comment cette autorité pourrait devoir être étendue pour répondre aux menaces émergentes de cybersécurité ».

Cette nouvelle orientation des agences gouvernementales n’est cependant pas limitée aux États-Unis. L’Autorité Technique Nationale du gouvernement britannique pour la sûreté de l’information a ainsi déclaré que « la gestion proactive du cyber-risque au niveau du Conseil d’Administration est essentielle. » A cette fin, le gouvernement britannique a publié un document qui décrit les responsabilités et questions clés de cyber sécurité pour le Conseil d’Administration et le Management. Des ressources supplémentaires pour les conseils d’Administration incluent notamment un «Manuel de surveillance des Cyber-Risques», publié aux USA par l’Association Nationale des Administrateurs de Sociétés (NCAD).

Une réalité nouvelle pour le Conseil d’Administration

La nouvelle réalité à laquelle fait face chaque Conseil d’Administration est bien résumée dans Cybersecurity Docket : «Chaque Conseil d’Administration doit maintenant savoir avec certitude que sa société sera victime d’une cybe-rattaque, et pire encore, que c’est le Conseil qui aura la charge de nettoyer le gâchis et de surveiller les retombées » .

Comme dans tous les autres autres domaines de la conformité, les Administrateurs peuvent être tenus pour responsables pour ne pas avoir fait leur devoir afin de prévenir les dommages à la société. Dans l’exercice de leur rôle de surveillance, les Administrateurs doivent rester informés en permanence sur les mesures de cybersécurité de leur société. Ils doivent évaluer les risques et déterminer ce qui doit être fait pour les atténuer.

L’absence de surveillance adéquate des cyber-risques constitue une menace. «Les Administrateurs qui ne parviennent pas à prendre des mesures appropriées – à la fois avant et après un incident de sécurité de l’information – courent le risque que leur Entreprise soit soumise à l’application de mesures gouvernementales (lois ou réglementations), et qu’eux-mêmes soient personnellement sujets à des poursuites de la part des actionnaires », a expliqué le cabinet d’avocats Fredrikson & Byron.

KPMG, dans sa publication de Février 2015 sur les défis et priorités en matière de Gouvernance pour 2015 désigne la cybersécurité comme « LE problème du 21e siècle. » Au-delà du risque de conformité, le rapport souligne l’importance « des poursuites, des dommages à la réputation et de la perte de clients» comme conséquences potentielles.

Pourquoi les Conseils d’Administration peinent-ils à prendre en compte ce type de risques?

Selon le rapport d’Ernst & Young publié fin 2014 et intitulé « Cyber program management« , il y a plusieurs raisons pour lesquelles ils sont si réticents à s’engager sur la cybersécurité. Parmi ces raisons figurent :

  • le fait que l’internet et la connexion de l’Entreprise constituent juste l’un des nombreux sujets à l’ordre du jour d’un Conseil d’Administration,
  • la culture de silo au niveau de l’informatique qui a relégué la responsabilité de protection des données et des systèmes uniquement au niveau du département IT,
  • la difficulté pour le Conseil d’Administration d’évaluer correctement les risques de cyberattaques et le programme de gestion des risques associé mis en place par la direction,
  • et enfin l’approche de consolidation des défenses (contrôles préventifs de sécurité) tout en ignorant les capacités de détection et de réponse aux incidents.

Cependant, comme le commissaire Aguilar l’a déclaré à la Bourse de New York, les temps ont changé, et «s’assurer de l’adéquation des mesures de cybersécurité de l’entreprise aux risques doit être une préoccupation essentielle d’un Conseil d’Administration dans le cadre de ses responsabilités de surveillance en matière de risques. » Cela devrait figurer comme un slogan en lettres capitales sur le mur de la salle du conseil : les administrateurs ne peuvent plus balayer  d’un revers de main les Cyber-Risques. C’est leur responsabilité de surveiller la gestion de ces risques qui était autrefois déléguée au domaine informatique.

Comment doivent-ils s’y prendre pour assurer cette responsabilité?

Le Conseil d’Administration de chaque Enterprise doit désormais prendre le temps nécessaire sur son agenda pour surveiller les cyber-risques . Selon les termes du document « Cyber program management » d’E&Y, les Conseils d’Administration sont maintenant invités à discuter de la cybersécurité sur une base trimestrielle, voire même plus fréquemment.

Comment les administrateurs doivent-ils d’y prendre pour surveiller les cyber-risques? Le Commissaire Aguilar, de la SEC, a fourni des conseils dans son discours au NYSE. « Les Conseils d’Administration sont chargés de s’assurer que la Société a mis en place des programmes de gestion des risques appropriés et de surveiller la façon dont le management met en œuvre ces programmes, » a-t-il déclaré. C’est clairement la responsabilité du Conseil d’Administration de veiller à ce que la direction ait mis en place des protocoles de gestion des risques efficaces.

Quels conseils pouvons-nous donner aux administrateurs?

Un Conseil d’Administration doit veiller à la gestion des cyber-risques dans le cadre de son programme de gestion des risques à l’échelle de l’entreprise. Il doit également chercher à mieux comprendre les risques informatiques et ceux liés à l’utilisation d’internet, évaluer les pratiques actuelles en matière de cybersécurité et planifier ainsi que préparer les personnels de l’Entreprise, grâce à des tests réguliers, pour une cyber-attaque. En résumé, la responsabilité deux Conseil d’Administration va au delà de la cyber-sécurité. Il doit répondre de la cyber-résilience de la Société devant les parties prenantes.

Les administrateurs devraient se poser trois questions importantes :

  1. Comprenons-nous bien la nature des cyber-menace s’appliquant à notre Société?
  2. Est-ce que les processus et la structure du Conseil d’Administration permettent un dialogue de qualité sur les questions de cyber-résilience?
  3. Que faisons-nous pour nous maintenir au courant des évolutions constantes des cyber-menaces?

Nous vous proposons quelques pratiques clés pour susciter intérêt et l’attention du Conseil d’Administration sur les cyber-risques :

  • Demander désormais régulièrement des informations sur les cyber-risques, et pas seulement à la Direction Générale ou au DSI,
  • Cherchent à mieux comprendre la nature des cyber-risques et leur impact sur l’organisation,
  • Remettre en permanence en question la gestion de la cyber-sécurité et la cyber-résilience de l’organisation.

Par quoi commencer?

Il existe désormais des référentiels de bonnes pratiques et des normes dans les domaines de la sécurité de l’information (ISO 27001, ISO 27002) et de la cyber-résilience (RESILIA). Il en va de même pour la Gouvernance du Système d’Information qui est clairement, comme nous l’avons vu précédemment, à la charge du Conseil d’Administration, avec COBIT® et ISO 38500.

Une première étape, afin de sensibiliser les Administrateurs sur ces responsabilités nouvelles pour eux, consisterait à organiser une séance de sensibilisation sur les responsabilités du CA dans l’Entreprise du 21ème siècle au travers de programmes tels que :

COBIT® 5 pour les Conseil d’Administration et les Exécutifs (2 formats : session de 4 heures ou d’une journée). Cette formation couvre à la fois les responsabilités des Administrateurs et des membres du Comité de Direction.

RESILIA : Sensibilisation (2 formats : session de 4 heures ou d’une journée). Cette formation, plus orientée sur la stratégie de cyber-résilience et sa mise en oeuvre, s’adresse aux Administrateurs mais aussi, et surtout, aux membres du Comité de Direction.

La seconde étape consiste bien évidemment à élaborer une stratégie de cyber-résilience en lançant un programme adéquat et à rédiger des politiques de sécurité, de gestion des risques, des gestion des ressources humaines, etc. adaptées à cette stratégie. AB Consulting, seul organisme accrédité en Afrique sur l’ensemble des domaines concernés par ISACA, AXELOS, APMG, EXIN, PECB, vous propose toute une game de services d’évaluation / audit d’aptitude des processus de l’entreprise mais aussi d’évaluation de la maturité de votre Organisation, ainsi que d’accompagnement à la mise en oeuvre et de l’amélioration de la gouvernance du SI et la réalisation du programme de cyber-résilience, grâce à ses experts du domaine.

Nous vous proposons également nos formations accréditées et certifiantes telles que :

ISO 27001 Practitioner Bootcamp (Foundation et Practitioner sur 5 jours – Certification APMG) destiné aux personnels en charge de l’implémentation d’un Système de Management de la Sécurité de l’Information dans votre Organisation

ISO 27001 Lead Implementer (5 jours – Certification PECB) destiné aux responsables du projet d’implémentation du SMSI

RESILIA Practitioner Bootcamp (Foundation + Practitioner sur 5 jours – Certification AXELOS®) destiné aux personnels en charge d’implémenter la cyber-résilience du système d’information

COBIT Implementation Bootcamp (Foundation + Implementation sur 5 jours – Certification APMG/ISACA) pour les personnes participant à l’amélioration ou l’implémentation de la Gouvernance du SI.

ISO 38500 Corporate IT Governance Manager (3 jours – Certification PECB)

Nous proposons également de nombreuses autres formations sur ce domaine, notamment destinées aux personnels des entités métiers des entreprise ainsi qu’aux auditeurs et contrôleurs.

Pour tout complément d’information ou pour vous inscrire à notre newsletter, merci de bien vouloir remplir le formulaire de contact :

Phishing – Mode d’emploi

AB Consulting vous propose une série d’articles destinés à la sensibilisation sur les risques en matière de sécurité de l’information. Suite à notre précédent article 10 trucs pour reconnaître un mail d’hameçonnage, aujourd’hui, nous allons revisiter la façon de repérer une tentative de phishing en nous concentrant sur une campagne récente ciblant les clients PayPal. Nous allons commencer par souligner les repères visuels qui vous aideront à éviter de devenir une victime, mais nous allons aussi approfondir l’arnaque de façon plus complète afin de vous permettre de comprendre le processus de bout en bout.

phishing - mode d'emploi

PayPal est l’une des marques les plus ciblées par les escrocs dans le cadre de tentatives d’hameçonnage, à l’instar des autres banques et institutions financières dès lors que les cyber-criminels cherchent à dérober de l’argent. Nous allons donc, étudier une séquence complète de tentative d’extorsion d’informations personnelles utilisant Paypal.


Attention, il s’agit d’un cas réel. Les adresses des sites web ainsi que les adresses mail des pirates sont susceptibles d’être toujours actives. N’essayez surtout pas de vous y connecter. Vous risqueriez de devenir vous-même une victime.


Le phishing, c’est quoi?

Le phishing (ou hameçonnage) reste l’une des méthodes les plus faciles et les plus rapides d’extorsion d’informations personnelles. Avec ce type d’attaque, les criminels jouent sur le nombre. Plus le nombre de messages envoyés est important et plus il est probable que quelqu’un tombe dans le piège.

Même si le nombre de victimes est finalement assez faible, le coût d’une campagne d’hameçonnage n’est rien à côté des bénéfices réalisés. Une seule victime suffit souvent à couvrir tous les coûts.

Malheureusement, des dizaines de personnes sont susceptibles d’être victimes de ce type d’arnaque dans une campagne donnée, de sorte que le phishing est devenu un business très rémunérateur pour la plupart des criminels. Chaque campagne est différente, ciblant souvent des renseignements personnels ou des informations financières. Dans ce cas qui nous sert d’exemple, elle cible tout à la fois.

Le phishing, ça commence souvent par un e-mail

Le plus souvent, tout commence par la réception dans votre boîte mail d’un message similaire à celui-ci :

phishing paypal 1/11

Il s’agit d’une copie fidèle d’un véritable message Paypal. Les couleurs, le logo, la mise en forme, tout est identique. L’objectif est de vous faire peur pour vous inciter à cliquer sur le bouton!

Attention à l’adresse mail de l’expéditeur

Vous pouvez remarquer que l’adresse email de l’expéditeur n’est une adresse Paypal. C’est un indice très important qui doit vous alerter :

Phishing Paypal 2/11

Le « via » marquant dans le champ « De: » est significatif de la façon que Google utilise pour vous dire que l’e-mail que vous lisez a été envoyé à partir d’un compte différent de celui qui est indiqué. Si l’email provenait réellement de PayPal, Google ne vous donnerait pas cet indice.

Gmail affiche cette information parce que bon nombre des services qui envoient des e-mails au nom d’autrui ne vérifient pas que le nom que l’expéditeur donné correspond bien à cette adresse e-mail. Google vous met en garde dans son aide, que nous vous invitons à consulter.

Dans ce cas, le criminel utilise un site Web et le serveur de l’hébergeur du site pour vous envoyer le message. Si ce message ne passe pas par Gmail, le simple fait que l’expéditeur n’a pas utilisé une adresse PayPal est le premier indice qui doit vous mettre en garde.

Bien sûr, le sujet de l’e-mail est tout aussi faux. En tentant de souligner un point sensible et d’instiller un faux sentiment d’urgence, et du fait qu’il ne mentionne pas l’identifiant du « compte » en question le pirate augmente les chances que la curiosité vous gagne et que vous ouvriez le message.

Le corps du message – C’est là que tout se passe

Pour un œil non averti, le message vous informe que votre compte PayPal a été limité, et et que vous avez un délai court pour résoudre le problème à l’origine de cette limitation. Encore une fois, l’objectif est d’instiller chez vous un faux sentiment d’urgence. si vous êtes un utilisateur régulier de PayPal, le fait que vous risquiez de perdre l’accès à votre compte est un problème qui peut être potentiellement grave pour vous.

Phishing Paypal 3/11

Le message lui-même se présente comme une mesure de sécurité, et vous informe que votre compte PayPal pourrait être en danger de piratage, ce qui pourrait résulter en un vol de vos avoirs ou son utilisation frauduleuse. Ironique vraiment, puisque le vol de vos informations est l’objectif qui se cache derrière le mail. Une fois encore, les criminels utilisent la peur comme facteur de motivation principal. La solution est simple : allez confirmer vos informations sur votre compte en suivant le lien fourni.

Pour un œil exercé, le message est un faux. Tout d’abord, PayPal utilise toujours le nom de compte enregistré lors de l’adressage de messages, de sorte qu’ils ne vous adressent jamais un e-mail de sécurité en utilisant un nom générique du type « clientèle Paypal ».

Deuxièmement, le message lui-même est une simple image. Le pirate a créé un lien vers son domaine, et utilisé une image à la place d’un lien texte que presque tout le monde utilise sur le Web.

L’utilisation d’une image permet de passer au travers de beaucoup de filtres anti-spam basiques. Le fait que le message a été relayé par un compte hacké qui n’a jamais envoyé de spam précédemment va également aider à éviter la détection.

Mais qu’advient-il si vous cliquez sur le lien?

Il est encore temps de faire marche arrière

Si pour une raison quelconque vous avez cliqué sur le lien, l’URL affichée devrait être une alerte suffisante pour mettre en échec cette tentative de phishing :

Phishing Paypal 4/11

L’adresse du site n’est pas sécurisée, l’accès n’est pas réalisé via HTTPS et le domaine N’EST clairement PAS un domaine contrôlé par PayPal. Vous êtes ici convié à saisir les identifiant /mot de passe de votre compte Paypal sur un site contrôlé par le pirate.


ATTENTION: l’URL indiquée dans cette image était active il y a seulement quelques semaines. N’essayez pas de la visiter. L’hébergeur a pris la la décision de déconnecter ce domaine depuis, mais rien ne garantit que cette URL ne pointe pas vers un nouvel emplacement dans le futur.


Vous avez entré votre identifiant et votre mot de passe?

Entrer votre nom d’utilisateur et mot de passe dans le champ de la diapositive précédente déclenche un certain nombre de contrôles par le script de Phishing créé sur ce domaine. A ce stade, votre nom d’utilisateur et mot de passe PayPal ont été volés. Ce n’est que le début du processus…

Phishing Paypal 5/11

Cet écran vous est familier? C’est normal. La couleur des images, le format des pages du site, et même la barre d’adresse remplie de lettres et de chiffres tout est conçu pour vous tromper et vous faire penser que vous êtes bien sur le site de PayPal. Rappelez-vous que ce n’est pas le cas. Le HTTPS: manquant est une preuve supplémentaire que Paypal n’a rien voir avec cette page.

Maintenant, passons à la partie qui intéresse nos pirates

Une fois l’écran de chargement disparaît, la deuxième partie de l’arnaque peut commencer. A ce stade, votre nom d’utilisateur et mot de passe PayPal ont été récupérés. Cependant il ne faut surtout pas que vous vous arrêtiez là.

Phishing Paypal 6/11

La meilleure façon de continuer à vous sentir menacé c’est de simuler l’incident technique avant de passer à l’étape suivante… Vous êtes donc invité à confirmer vos données de connexion.

Et si vous nous en disiez un peu plus sur vous?

Si vous acceptez et que vous confirmez, vous verrez apparaître cette nouvelle page. Le criminel va devenir capable de construire un profil basé sur vos informations personnelles. Les données recueillies pourront être vendues. Elles pourront aussi être utilisées pour des escroqueries ultérieures y compris pour voler votre identité.

Phishing Paypal 7/11

Le script a besoin d’informations et vous demande d’entrer vos informations personnelles détaillées avant d’en venir à son objectif principal. Le processus n’est pas encore arrivé à son terme.

Les détails de votre carte de paiement

Maintenant, le pirate a obtenu vos informations personnelles. Cette page va tenter d’obtenir des données financières, à savoir les détails de votre carte de crédit.

Phishing Paypal 8/11

Cette page, ainsi que tous les autres, a été conçue pour ressembler fidèlement à une page PayPal. Pour ceux qui savent qu’ils doivent rechercher un cadenas pour s’assurer que la page des données bancaires est bien sécurisée, mais qui ont oublié où ce cadenas doit apparaître sur la page, le message au bas de l’écran peut paraître rassurant. Bien évidemment, RIEN sur cette page N’EST SECURISE.

Mais pourquoi s’arrêter en si bon chemin?

La dernière part d’informations dont le criminel a besoin porte toujours sur vos données bancaires. Ce formulaire a deux fonctions :

  • d’abord il recueille vos données de connexion et votre numéro de compte à votre banque,
  • la deuxième est qu’il permet à l’escroc pour voir si recyclez vos mots de passe.

Phishing Paypal 9/11

S’il s’avère que le mot de passe PayPal est la même que celui permettant l’accès à votre compte bancaire, alors il y a de fortes présomptions que vous utilisiez le même mot de passe partout. Au pire, le criminel peut utiliser cette information pour réaliser d’autres escroqueries. Il pourra alors exploiter les informations recueillies pour accéder à d’autres comptes vous appartenant.

On est presque au bout du processus de phishing

Nous arrivons à la fin du processus. Tout a été conçu pour que vous pensiez avoir affaire à PayPal en essayant d’endormir votre méfiance. Hélas, à ce stade l’intégralité de vos informations bancaires, vos renseignements personnels, les détails de votre carte de crédit, et les données de connexion à votre compte PayPal sont entre les mains des pirates. Il n’y a pas de retour en arrière possible.

Phishing Paypal 10/11

Les choses doivent continuer à avancer pour ne pas éveiller votre méfiance. Cette page restera affichée seulement quelques secondes (une durée insuffisante pour que ayez le temps de cliquer sur l’un des trois boutons) avant que vous ne soyez redirigé vers le dernier écran.

Comme si rien ne s’était passé !

La dernière étape de l’escroquerie vous ramène sur le véritable site de PayPal. Si vous regardez bien la barre d’adresse, vous verrez que l’URL est en HTTPS:. La zone où le cadenas est présent comporte maintenant le nom de la société et apparaît en vert.

Phishing Paypal 11/11

Les précédentes images faisaient toutes partie de l’arnaque. Donc, le fait que le site web légitime PayPal apparaisse à la fin sur l’écran ne signifie absolument rien. Les écrans de saisie ont tous été récupérés et quelque part dans le monde, il y a un criminel qui abuse de vos informations de multiples façons créatives, sans aucun doute.

Quand on évoque l’hameçonnage,il est difficile de s’en protéger en permanence. Cependant, ce n’est pas une tâche impossible. En cas de doute, ne cliquez pas sur les liens ou les pièces jointes dans un courrier électronique. Et surtout n’allez pas visiter le site en question (par exemple PayPal) directement.

Rappelez-vous que le mail est le dernier des moyens de communication que les banques et les organismes financiers utilisent pour communiquer avec vous. En ligne, faites attention à la barre d’adresse. Vérifiez que vous êtes bien en  HTTPS lorsque vous êtes sur le point d’entrer des informations personnelles ou financières dans un formulaire.

Comment s’assurer contre ce type de danger?

Il n’y a pas de solutions technologiques fiables pour vous protéger contre ce type de menaces. C’est de la responsabilité de chacun et de chacune d’assurer la sécurité de l’information. La sécurité de l’information vous concerne tous, tant au niveau personnel qu’au niveau professionnel. Nous vous invitons donc à renforcer votre sensibilisation et celle des employés de votre Organisation. A cet effet, nous proposons des sessions de formations sur ce sujet avec les mesure de préventions associées. Ces mesures sont issues des normes et référentiels de bonnes pratiques tels que ISO 27001, ISO 27002, NIST CSF ou RESILIA.

AB Consulting, seul Organisme de Formation Accrédité en Afrique par ISACA, APMG, PECB, EXIN et AXELOS  sur les référentiels de Gouvernance du SI, de sécurité et de cyber-résilience vous propose régulièrement des sessions de sensibilisation tout spécialement adaptées à des cibles spécifiques (dirigeants, personnels des métiers, informaticiens) et animées par un expert du domaine. Ces formations peuvent être délivrées, en Français ou en Anglais. Nous les proposons dans le cadre de nos sessions publiques ou sur mesure en intra-entreprise   :

Sensibilisation à RESILIA (2 formats : 4 heures ou 1 journée)

COBIT 5 pour le Board et les Exécutifs (2 formats : 4 heures ou 1 journée)

Sensibilisation à ISO 27001 / ISO 27002 (1 journée)

Toutes nos formations peuvent également être délivrées pour les informaticiens. Nous formons également les équipes de sécurité et les métiers sur l’ensemble de ces domaines. Nos accréditations nous permettent de délivrer des certifications  reconnues au niveau international.

Pour tout complément d’information ou pour vous abonner à notre newsletter, merci de bien vouloir compléter le formulaire de contact :

Tous les écrans illustrant cet article sont extraits de la revue CSO.

 

 

Encore un piratage d’opérateur mobile

Après le piratage, début octobre, de l’opérateur télécom T-Mobile aux USA, c’est au tour de l’opérateur britannique TalkTalk d’avoir été victime d’une « cyberattaque » révélé en fin de semaine dernière. Cette cyber-attaque a permis à des hackers de mettre la main sur un fichier complet de 4 millions de clients, données bancaires comprises. Apparemment, elle a été suivie d’une demande de rançon adressée à la Directrice Générale de l’opérateur.

Opérateur Talk Talk piraté

L’opérateur de télécom britannique TalkTalk, qui fournit de la télévision payante, des services de téléphonie fixe et mobile ainsi que d’accès à internet, a reconnu jeudi, avoir été victime d’une  « cyber-attaque significative et durable » sur son site internet, après l’avoir fermé mercredi sans explications. Des données personnelles, et non des moindres, de 4 millions de clients auraient potentiellement été dérobées par les hackers, a avoué la Directrice Générale de la compagnie, Dido Harding. Les informations piratées inclueraient le nom, l’adresse et les coordonnées bancaires des clients de Talk Talk.

piratage Talk Talk 1/2

Piratage Talk Talk 2/2

Un piratage suivi d’une demande de rançon

La Directrice Générale de TalkTalk s’est présentée vendredi devant les caméras de la BBC pour présenter ses excuses, et expliquer qu’elle avait reçu un e-mail de demande de rançon venant du hacker ou du groupe de hackers présumés. Elle est tentée d’y voir un signe encourageant ; les hackers auraient du mal à dérober de l’argent directement à partir des données volées, et préféreraient faire du chantage auprès du fournisseur d’accès. Belle illustration de la méthode Coué!!

Dido Harding a également déclaré qu’elle ne pouvait pas garantir que toutes les données des clients qui ont été volées étaient cryptées et elle a admis que, avec le recul, l’entreprise aurait pu faire plus sur la sécurisation des données de ses clients. « La société va maintenant lancer une enquête interne« , a-t-elle déclaré.

Selon le site spécialisé The Register, l’accès aux données bancaires aurait pu être facilité par le fait que TalkTalk ne respecterait pas le standard PCI DSS qui fixe les normes de protection des données des numéros de carte de paiement. Dans un premier temps l’entreprise avait tenté d’expliquer le piratage par une simple attaque DDOS, qui n’explique en rien l’accès à des données sécurisées.

Une enquête a été ouverte par l’unité chargée de la cyber-criminilatité de la police de Londres ( Metropolitan Police Cyber Crime Unit) qui a indiqué être « au courant de spéculations sur les auteurs présumés » de l’attaque, sans les confirmer. Selon un ancien enquêteur de cette unité du cybercrime de Scotland Yard interviewé par BBC Radio 4, les auteurs « prétendent être en Russie et être un groupe jihadiste cyber-islamiste« .

Attention aux tentatives d’hameçonnage

Une page web dédiée, sur le site web de l’opérateur, a été consacrée à la communication sur cet incident. Le Directeur de la Relation Clients  de TalkTalk Tristia Harrison a cherché à rassurer les clients sur le fait que l’entreprise est «en train de prendre toutes les mesures possibles » afin de garder leurs informations en toute sécurité alors que, de l’aveu même de TalkTalk, les données n’étaient pas complètement cryptées.

Cette page web mentionne par ailleurs, en caractères gras:

« S’il vous plaît, soyez bien conscient que TalkTalk n’appelle JAMAIS ses clients pour leur demander de fournir des informations bancaires sauf si vous nous avez déjà donné explicitement l’autorisation de le faire ». Il s’agit clairement d’une mise en garde des clients contre des tentatives redoutées d’hameçonnage (phishing), phénomène extrêmement fréquent sur lequel nous vous avons mis en garde sur notre blog il y a encore quelques jours.

Cet avertissement est probablement une réaction aux incidents de février dernier, dans lequel les coordonnées des clients de Talk Talk, volées lors du piratage affectant l’un des partenaires de l’opérateur, ont été utilisées pour extorquer de l’argent par téléphone aux clients de TalkTalk.

Malheureusement, ce ne sont pas les seules fois où TalkTalk a été victime de cybercriminalité. En Août dernier, Carphone Warehouse a subi une cyber-attaque sur son système informatique conduisant à un vol de données affectant 2,4 millions de clients de Dixon Carphone incluant, par ricochet ceux qui avaient souscrit un abonnement à TalkTalk Mobile.

Des conséquences fâcheuses à prévoir pour l’opérateur

L’affaire pourrait avoir des conséquences beaucoup plus fâcheuses pour l’opérateur et pour ses clients. Le lendemain de la révélation de l’incident, le titre de TalkTalk perdait près de 10 % en bourse, les investisseurs anticipant logiquement une perte de confiance des clients envers un opérateur qui, visiblement, n’a pas correctement crypté et sécurisé les données bancaires de ses abonnés, qui sont les informations les plus sensibles (à cet égard le piratage d’Orange en 2014, qui avait fait 1 million de victimes, était beaucoup moins grave).

Par ailleurs, la législation Britannique est, à ce niveau, beaucoup plus contraignante que la législation des pays francophones qui reste très en retrait sur ce type de problèmes. L’opérateur britannique risque en effet, s’il se confirme que ses données clients n’étaient pas correctement cryptées, de devoir payer une amende importante (plus de 200.000 €) sur demande de l’ICO (Information Comissioner’s Office).

La survie même de l’opérateur est menacée car la dégradation de son image risque fort de lui coûter la perte de bon nombre de ses clients, sans parler des coûts directs et indirects pour se remettre de l’attaque subie.

A titre de comparaison, le coût de la cyber-attaque subie par TV5 Monde en Avril dernier s’évalue d’ores et déjà, selon son Directeur Général Yves Bigot, entre 4,3 et 5 millions d’Euros pour l’année 2015 et environ 11 millions d’Euros pour les trois prochaines années, pour un piratage aux impacts bien plus limités. La cyber-attaque du même type que Talk Talk, visant le distributeur TARGET aux USA fin 2013 et ayant exposé 40 millions de clients, aurait déjà coûté à l’Entreprise près de 500 millions de dollars en pertes consécutives à cet incident.

Comment ne pas en arriver là?

La clé pour ne pas en arriver à ce type d’incident est de prévoir, avant qu’une tentative de piratage n’ait lieu, plutôt que de réagir à postériori. La prévention commence par la sensibilisation de tout le personnel à la cyber-sécurité (voir notre article : 10 clés pour une sensibilisation réussie à la sécurité).

Il faut, bien entendu, également prendre les mesures techniques indispensables en vous appuyant sur vos équipes informatiques. Mais la première action consiste à sensibiliser votre Conseil d’Administration et votre Comité de Direction sur leurs responsabilités et les risques encourus par l’Organisation car c’est à leur niveau que se situent les responsabilités de prise des décisions d’investissement sur la cyber-sécurité et la cyber-résilience, et de rédaction des politiques de l’Entreprise, incluant bien entendu la politique de sécurité.

AB Consulting, seul Organisme de Formation Accrédité en Afrique par ISACA, APMG, EXIN et AXELOS  sur les domaines de la Gouvernance, de la  sécurité et de la cyber-résilience vous propose des sessions de sensibilisation tout spécialement adaptées à des cibles spécifiques (dirigeants, personnels des métiers, informaticiens) et animées par un expert du domaine. Toutes sessions peuvent être organisées sur mesure pour votre Entreprise et se dérouler dans vos locaux ou de façon délocalisée, y compris sous forme de week-end :

Sensibilisation à RESILIA (2 formats : 4 heures ou 1 journée)

COBIT 5 pour le Board et les Exécutifs (2 formats : 4 heures ou 1 journée)

Sensibilisation à ISO 27001 / ISO 27002 pour les dirigeants (1 journée)

Pour toute information complémentaire ou pour vous abonner à notre newsletter, merci de compléter le formulaire de contact :

10 clés pour une sensibilisation réussie sur la sécurité

Les cyber-menaces pesant sur votre entreprise sont généralement imputées à des personnes étrangères à l’Organisation ou à des programmeurs véreux insérant, dans vos applications, du code malveillant conçu pour exploiter les informations sensibles pour votre Entreprise, voler les données confidentielles de vos clients et / ou vous dérober de l’argent. Cependant, la menace de sécurité se situe le plus souvent à l’intérieur de l’Entreprise, lorsque c’est l’ignorance et / ou la négligence des employés qui ouvre la voie aux cybercriminels. La sensibilisation du personnel sur ces menaces est donc essentielle.

La sensibilisation du personnel est une priorité

Cet article, publié par AB Consulting, dans le cadre de notre participation au mois de la cyber-sécurité, est destiné à vous donner quelques pistes pour réussir une meilleure sensibilisation de vos employés à la cybersécurité.

La sensibilisation du personnel est une priorité

Il est important de former le personnel avant d’être victime d’une violation des données. Soyez proactifs. N’attendez pas pour réagir. Ecrivez des politiques, en partant du principe que vous serez attaqués, puis aidez les employés à comprendre ce qu’ils doivent faire (et ne pas faire) afin de préserver la sécurité de votre entreprise et d’améliorer sa cyber-résilience.

1. Parlez régulièrement de cyber-sécurité au personnel

La sécurité et la résilience ne sont pas des tâches réservées aux informaticiens et aux personnels des équipes de gestion de la sécurité. La cyber-sécurité est une responsabilité collective et tous les employés en sont personnellement responsables. Il faut donc les informer sur ces responsabilité de façon régulière :

  • Expliquez l’impact potentiel d’un cyber-incident sur les opérations de l’Organisation et insistez sur les obligations des employés, en particulier en ce qui concerne l’utilisation de téléphones mobiles,
  • Ne vous contentez pas d’une revue annuelle des politiques et d’une signature confirmant que chaque personne a lu et compris les politiques informatiques de l’Entreprise.

2. Les politiques s’appliquent à tous y compris le top management et les informaticiens

Les politiques sont écrites par les exécutifs de l’Entreprise (les membres du Comité de Direction). Les politiques de sécurité en font bien entendu partie. Les politiques doivent être appliquées par tout le monde au sein de l’organisation, y compris les membres du Conseil d’Administration, du Comité de Direction et les informaticiens :

  • Les cadres supérieurs sont souvent une cible parce que :
    • Ils ont accès à plus d’informations et à des informations plus sensibles que les autres,
    • Ils sont souvent plus vulnérables lorsqu’ils sont en déplacement hors des locaux de l’Entreprise. Les pirates le savent et ciblent régulièrement les cadres en déplacement,
    • L’IT fait souvent des exceptions aux règles pour eux car ils sont réticents à appliquer des règles qui s’appliquent au reste de l’Entreprise, se sentant, à tort, « au dessus des règles »,
    • Les dommages / gain financier peuvent être beaucoup plus grands,
  • Le personnel du département informatique est également vulnérable du fait de leurs droits d’accès privilégiés sur tout le réseau de l’Entreprise.

3. La résistance de la chaîne de sécurité est limitée à celle de son maillon faible

Expliquez au personnel que vous travaillez activement sur la sécurisation de l’infrastructure de l’organisation mais que la sécurité ne peut pas dépasser celle fournie par son maillon le plus faible, à savoir les personnes :

  • Encouragez la coopération, et pas seulement le respect des règles,
  • Créez des politiques suffisamment complètes pour couvrir tous les angles d’attaque possibles,
  • Reconnaissez et faites comprendre au personnel que tous les êtres humains ont des faiblesses et font des erreurs.

4. Organisez des sessions régulières explorant les angles des cyber-attaques

Organisez régulièrement des sessions de travail avec l’ensemble du personnel pour explorer ensemble tous les aspects des cyber-attaques potentielles , ce dès l’embauche de nouveaux employés et jusqu’à leur départ de l’Entreprise :

  • Au moment de l’embauche de nouveaux employés et avant qu’ils ne commencent à travailler au sein de l’Organisation, une sensibilisation à la cybersécurité doit faire partie de votre processus d’accueil, puis, durant toute leur vie au sein de l’Organisation, faire l’objet de sessions régulières de « rafraîchissement »,
  • Envisagez différents formats de sessions (par exemple : déjeuner d’apprentissage, happy hours, etc.),
  • Assurez-vous de l’utilité des ces sessions
    • La plupart des employés ont des PC à la maison et des parents qui ont aussi accès à internet,
    • Faites régulièrement référence à des sujets de l’actualité,
    • Utilisez les réseaux sociaux.

5. Attirez l’attention du personnel sur les risques liés à l’ingénierie sociale

La sensibilisation ne suffit pas. Il faut également attirer régulièrement l’attention de vos employés sur le fait qu’ils sont des cibles pour les activités d’ingénierie sociale et sur les façons de s’en protéger :

  • Au travail, méfiez-vous toujours des réseaux sociaux, blogs et liens suspects provenant de sources inconnues lorsque vous utilisez le système informatique de l’entreprise,
  • Beaucoup de cyber-incidents commencent par un simple appel téléphonique de quelqu’un se présentant comme un collègue posant des questions en apparence anodines en vue de collecter des informations sur la société et ses opérations,
  • Les cyber-criminels exploitant les faiblesses humaines n’en ont presque jamais l’apparence…

6. Formez les employés à reconnaître une cyber-attaque

Nous pouvons dire aujourd’hui, avec une quasi-certitude, que vous avez été, que vous êtes actuellement, ou que vous serez la victime d’une cyber-attaque. Il est quasiment impossible d’y échapper. La problématique reste bien évidemment de s’en protéger mais aussi de savoir détecter une cyber-attaque au moment où elle se produit afin de réagir rapidement pour la contenir. Cela nécessite clairement une sensibilisation du personnel sur le sujet :

  • Définissez et implémentez des politiques en partant du principe que vous serez piratés. N’attendez pas qu’une attaque se produise pour réagir,
  • Ayez un plan de réponse documenté en place pour les incidents de sécurité et assurez-vous qu’il est revu et mis à jour fréquemment,
  • Communiquez des instructions détaillées, pas à pas, sur ce qu’il faut faire si des employés croient reconnaître un cyber-incident,
  • Formez toujours le personnel avant qu’un cyber-incident ne se produise.

Les formations doivent inclure les règles spécifiques concernant le courrier électronique, la navigation sur internet, l’utilisation des appareils mobiles et des réseaux sociaux. N’oubliez pas de vous focaliser sur les règles de base en cas de suspicion d’une cyber-attaque :

  • Débranchez physiquement votre machine du réseau,
  • Informez immédiatement votre administrateur de tous les courriels suspects, de toute activité inhabituelle ou si vous avez perdu votre appareil mobile,
  • Si vous n’êtes pas capable de retrouver le numéro d’urgence pour prévenir l’informatique en moins de 20 secondes, commencez dès maintenant à le mémoriser.

7. Ne sanctionnez ni ne ridiculisez jamais un employé qui lève le drapeau rouge

Le personnel doit savoir que la cyber-sécurité est l’affaire de tous. Tout le monde peut faire une erreur. Ne ridiculisez jamais quelqu’un qui a émis de bonne fois une alerte injustifiée et bien sûr ne le sanctionnez pas.

  • Même si c’est une fausse alerte, il est important de ne pas décourager les employés de parler, au cas où une véritable cyber-attaque se produit réellement,
  • Si les fausses alertes se produisent trop souvent, améliorez votre méthode de formation.

8. Si un cyber-incident se produit, prévenez le personnel le plus rapidement possible

Lorsqu’un incident de sécurité se produit, la première urgence consiste à le reconnaître comme tel et à essayer de le contenir (action répressive) avant qu’il ne puisse se propager au travers du réseau de l’Entreprise. La seconde urgence, dès lors qu’il a bien été reconnu que vous êtes en présence d’un incident de sécurité, est d’en informer l’ensemble du personnel qui saura quelles sont les actions attendues de sa part :

  • Un manque de transparence ou la mauvaise gestion d’un cyber-incident peut augmenter de façon significative l’impact de l’événement,
  • Imposez des règles strictes sur la façon de communiquer au public et à la presse au sujet de tout incident,
  • Ayez un plan de communication interne et une stratégie de continuité en place avant que quelque chose ne se passe,
  • Envisagez la souscription d’une assurance concernant les cyber-incidents.

9. Testez régulièrement votre personnel sur ses connaissances en cyber-sécurité

  • Assurez vous de la pertinence de votre programme de sensibilisation pour leurs vies d’individus connectés
  • Faites plaisir aux membres du personnel en rendant ces tests à la fois ludiques et enrichissants, et n’hésitez pas à récompenser à l’aide d’incitations telles que des lots (goodies, …) pour les réponses les plus rapides.

10. Incitez, écoutez et répondez aux remarques

  • Forcez les employés à changer les mots de passe chaque semaine et à ne pas les écrire et les afficher dans leurs espaces de travail
  • S’il est trop difficile ou compliqué d’accéder à quelque chose qu’ils doivent utiliser dans le cadre de leur travail, ils trouveront des solutions de contournement moins sûres comme l’utilisation d’e-mails  personnelle, de clés USB et de collègues pour contourner les restrictions
  • Identifiez les causes des comportements dangereux.

Existe-t-il des programmes de sensibilisation standards?

Il existe, en effet des programmes de sensibilisation standards s’appuyant sur les principaux référentiels de bonnes pratiques et sur les normes en matière de sécurité de l’information (ISO 27001, ISO 27002) et de cyber-résilience (RESILIA) et de gouvernance du SI pour les dirigeants (COBIT).

AB Consulting, seul Organisme de Formation Accrédité en Afrique par ISACA, APMG, EXIN et AXELOS  sur les référentiels de Gouvernance du SI, de sécurité et de cyber-résilience vous propose des sessions de sensibilisation tout spécialement adaptées à des cibles spécifiques (dirigeants, personnels des métiers, informaticiens) et animées par un expert du domaine :

Sensibilisation à RESILIA (2 formats : 4 heures ou 1 journée)

COBIT 5 pour le Board et les Exécutifs (2 formats : 4 heures ou 1 journée)

Sensibilisation à ISO 27001 / ISO 27002 pour les dirigeants (1 journée)

Pour tout complément d’information ou pour vous inscrire à notre newsletter, merci de bien vouloir compléter le formulaire de contact :

10 trucs pour reconnaître un mail d’hameçonnage

Chaque jour d’innombrables courriels d’hameçonnage sont envoyés à des victimes sans méfiance dans le monde entier. Certains d’entre eux apparaissent si bizarres qu’ils sont faciles à identifier. A l’inverse,  d’autres peuvent être plus convaincants. Alors, comment faire la différence entre un message de phishing et un message légitime?

10 indices pour reconnaître un mail d'hameçonnage
Crédits : © Weerapat1003

L’hameçonnage est aujourd’hui au coeur de l’ingénierie sociale. Il constitue donc une préoccupation majeure pour de nombreuses sociétés. Dans une récente enquête (Black Hat Attendee Survey réalisée lors de la conférence de Juillet 2015 aux USA) 48% des participants considèrent le l’hameçonnage et les autres risques liés à l’ingénierie sociale comme le 2ème souci le plus important pour eux avec 22% de leur budget informatique en moyenne consacré à ce sujet.

Comment reconnaître une tentative d’hameçonnage?

Malheureusement, il n’y a pas qu’une seule technique qui fonctionnerait dans toutes les situations. Il est, par conséquent, difficile de détecter un email d’hameçonnage. Cependant il existe des indices qui permettent d’éveiller les soupçons. Cet article répertorie 10 d’entre eux.

1. Le message comporte une URL bizarre

Une des premières choses que je vous recommande de vérifier dans un message e-mail suspect est l’intégrité et la cohérence de toutes les URL présentes dans le message. Souvent l’URL dans un message de phishing apparaît parfaitement valable. Toutefois, si vous passez votre souris au dessus de l’URL, vous devriez voir l’adresse réelle du lien hypertexte (au moins dans Outlook). Si l’adresse du lien hypertexte est différente de l’adresse qui est affichée en clair, alors il y a une forte probabilité que le message soit frauduleux ou malveillant.

2. Les URLs contiennent un nom de domaine trompeur

Les pirates qui utilisent la technique de l’hameçonnage pour lancer des escroqueries utilisent le plus souvent ll’ignorance, par leurs victimes, du fonctionnement et des règles de nommage liées à la structure des DNS. La dernière partie d’un nom de domaine est le plus révélateur. Par exemple, le nom de domaine office.microsoft.com serait un domaine enfant de microsoft.com parce microsoft.com apparaît à la fin du nom de domaine complet (sur le côté droit), ce qui peut laisser penser que le domaine appartient bien à Microsoft. Inversement, microsoft.com32.info ne saurait évidemment pas provenir de microsoft.com parce que la référence à microsoft apparaît au début (sur la partie gauche) du lien complet.

ATTENTION, dans la réalité, le domaine microsoft.com32.info existe vraiment. N’essayez donc pas d’y accéder car vous risquez l’installation d’un ransomware qui bloquera votre navigateur web en se faisant passer pour les autorités et vous réclamera le paiement d’une amende.

J’ai vu cette astuce utilisée de nombreuses fois par des artistes de l’hameçonnage pour essayer de convaincre les victimes qu’un message provient bien d’une société comme Microsoft ou Apple. L’artiste du phishing crée simplement un domaine enfant portant le nom de Microsoft, Apple, Windows, ou autre. Le nom de domaine résultant ressemble à ceci: microsoft.com32.info ou encore windows-crash-report.info/Windows/

3. Le mail contient des fautes d’orthographe ou de grammaire

Chaque fois qu’une grande entreprise envoie un message au nom de la société dans son ensemble, le message est généralement vérifié au niveau, entre autres, de l’orthographe, de la grammaire et de la légalité. Donc, si vous recevez un message rempli de fautes de grammaire ou d’orthographe, il a très peu de chance qu’il émane du département juridique d’une grande société.

4. Le message vous demande des informations personnelles

Peu importe à quoi un email officiel pourrait ressembler, c’est toujours un mauvais présage si le message vous demande des renseignements personnels. Votre banque n’a pas besoin de vous pour connaître votre numéro de compte! C’est elle qui vous l’a attribué. De même, une entreprise digne de confiance réclamera jamais  votre mot de passe, votre numéro de carte de crédit, ou la réponse à une question de sécurité par e-mail.

5. L’offre contenue dans le mail est trop belle pour être vraie

Il y a un vieil adage qui dit que si quelque chose semble trop beau pour être vrai, alors ça l’est probablement. Ceci est particulièrement vrai pour les messages électroniques. Si vous recevez un message d’une personne inconnue qui fait de belles promesses, c’est probablement d’une arnaque.

6. Vous n’avez rien demandé

Ce matin encore, j’ai reçu un message m’informant que j’avais gagné le gros lot à la loterie !!!! Le seul problème, c’est que je n’ai acheté aucun billet de loterie. Si vous recevez un message vous informant que vous avez gagné un concours, un lot à loterie ou que sais-je encore sans avoir participé volontairement à quoi que ce soit, vous pouvez parier que le message est une arnaque.

7. On vous demande d’envoyer de l’argent pour payer des frais

Un signe révélateur d’un email d’hameçonnage est qu’on vous finit par vous demander de l’argent. Il est possible qu’on ne vous demande rien dans le message initial. Mais tôt ou tard, les escrocs au phishing vont probablement vous demander de l’argent pour couvrir des frais, taxes, redevances, ou quelque chose de semblable. Si cela se produit, vous pouvez être quasiment certain qu’il s’agit d’une arnaque.

8. Le message vous adresse des menaces irréalistes

Bien que la plupart des escroqueries par phishing tentent de tromper les gens en leur demandant de l’argent ou des informations sensibles en leur promettant des gains d’argent instantanés, certains artistes de l’hameçonnage utilisent l’intimidation pour effrayer les victimes en donnant des informations. Si un message fait des menaces irréalistes, il s’agit probablement d’une arnaque.

Il ya 10 ans, je reçus un message électronique, d’apparence officielle, émanant prétendument de ma banque. Tout dans le message semblait complètement légitime, sauf une chose. Le message prétendait que la sécurité de mon compte avait été compromise et que si je ne remplissais pas un formulaire (sur lequel on me demandait mon numéro de compte) ainsi que deux pièces d’identité avec photo, mon compte serait fermé et mes biens saisis.

Je ne suis pas un avocat, mais je suis sûr qu’il est illégal pour une banque de fermer votre compte et de saisir vos biens simplement parce que vous n’avez pas répondu à un message électronique. De plus, le seul compte que j’ai eu dans cette banque était un crédit pour l’achat d’un véhicule. Il n’y avait pas de dépôt à saisir. Je n’avais aucun compte de dépôt ou d’épargne dans cette banque.

9. Le mail semble émaner d’un service public (impôts, sécurité sociale, …)

Les professionnels de l’hameçonnage qui veulent recourir à l’intimidation ne se présentent pas toujours comme une banque. Parfois, ils vont envoient des messages prétendant provenir d’un organisme public. Le Trésor, la direction des impôts, la police, le tribunal ou toute autre entité susceptible d’effrayer ou de tenter le citoyen moyen respectueux de la loi sont souvent utilisés.

hameçonnage impôts
Exemple de mail d’hameçonnage utilisant les impôts comme argument

Les organismes publics n’utilisent pratiquement jamais l’e-mail comme moyen de contact initial. Cela ne veut pas dire que organismes gouvernementaux et ceux chargés de l’application de la loi n’utilisent jamais d’e-mails. Toutefois, les organismes chargés d’appliquer la loi suivent certains protocoles. Ils ne participent pas à l’extorsion de fonds par-email, du moins selon mon expérience.

10. Il y a quelque chose qui vous semble suspect

Les équipes de sécurité des casinos sont formées à regarder tout ce qui leur semble suspect. L’idée est que si quelque chose vous semble bizarre, il ya probablement une bonne raison à cela. Ce même principe vaut presque toujours pour les e-mails. Si vous recevez un message qui semble suspect, il est généralement dans votre intérêt d’éviter d’agir sur ce message.

Comment éviter que votre personnel se fasse piéger?

Tous les professionnels s’accordent sur un fait. La première chose à faire consiste à mener des campagnes de sensibilisation et de formation du personnel. En effet la sécurité de l’information est une responsabilité collective de tous les employés et pas seulement du personnel informatique ou chargé de la sécurité. C’est donc l’ensemble du personnel qui doit être formé.

Nous vous conseillons également la lecture de notre article : Phishing, mode d’emploi.

Quelles formations choisir?

Il est inutile de dépenser votre argent dans des formations inutiles. Il faut d’abord sensibiliser le personnel non informatique. Cette sensibilisation portera sur l’hameçonnage et les autres aspects de l’ingénierie sociale. Des séances de sensibilisation de quelques heures (4 à 8 heures) sont suffisantes.  Inutile donc de former l’ensemble du personnel sur des formations ISO 27001 Foundation ou ISO 27001 Lead Implémenter… Ces formations sont réservées aux spécialistes de la sécurité impliqués dans l’implémentation d’un système de management de la sécurité, en vue de la certification de l’Entreprise.

Pour le Conseil d’Administration et le Comité de Direction

Pour sensibiliser le Conseil d’Administration et les membres du Comité de Direction sur les risques et leurs responsabilités en matière de sécurité de l’information :

COBIT® 5 pour le Board et les Exécutifs (1 jour)

RESILIA – Sensibilisation  (1 jour)

Introduction à la sécurité du SI basée sur ISO 27001 / ISO 27002 (1 jour)

Pour le personnel non informatique

RESILIA – Sensibilisation (1 jour)

Introduction à la sécurité du SI basée sur ISO 27002 (1 jour)

Pour le personnel du département informatique

ISO 27001 Foundation (3 jours) – Pour les organisations souhaitant implémenter un système de management de la sécurité de l’information basé sur ISO 27001

ISO 27002 Foundation (3 jours) – Bonnes pratiques de mise en oeuvre de la sécurité de l’information dans une entreprise ne cherchant pas la certification ISO 27001

RESILIA Foundation (3 jours) – Bonnes pratiques en matière de cyber-sécurité et de cyber-résilience. S’intègre parfaitement avec ITIL®

Pour le personnel spécialisé en sécurité de l’information

ISO 27001 Practitioner (2 jours) – Pour les personnels chargés de la sécurité dans une organisation implémentant ou ayant implémenté un système de management de la sécurité basé sur ISO 27001

ISO 27002 Advanced (3 jours) – Expertise dans l’application de bonnes pratiques de gestion de la sécurité décrites dans ISO 27002

RESILIA Practitioner (2 jours) – Pour les personnels en charge de mettre en oeuvre et d’appliquer les bonnes pratiques de cyber-sécurité et de cyber-résilience dans l’Entreprise

NIST Implementation based on COBIT® 5

Pour les équipes de contrôle interne ou d’audit interne

ISO 27001 Auditor (2 jours)

Pour les experts et les consultants / auditeurs

ISO 27001 Lead Implementer (5 jours)

ISO 27001 Lead Auditor (5 jours)

CISM – Certified Information Security Manager (4 jours)

CISSP – Certified Information Systems Security Professional (5 jours)

AB Consulting, spécialiste de la sécurité et de la résilience, et seul Organisme de formation accrédité par les organisations internationales (ISACA, ISO, ANSI, AXELOS, APMG, EXIN, PEOPLECERT, PECB) en Afrique, vous propose toute sa gamme des formations accréditées. Nous pouvons également vous proposer nos services d’implémentation et d’audit sur ces domaines ainsi que sur la Gouvernance et le Management de votre système d’information.

Pour tout complément d’information ou si vous avez été vous-même victime d’une tentative d’hameçonnage (phishing), merci de nous laisser votre commentaire.

De l’importance de l’authentification

AB Consulting s’associe au mois de la cyber-sécurité, organisé à la fois aux USA et dans l’ensemble des pays Européens, et publie dans ce cadre une série d’articles relatifs aux bonnes pratiques de sécurité. Le premier post de cette série portera tout naturellement sur une vulnérabilité majeure des systèmes informatiques : l’authentification. Une statistique récente montre que 80% des cyber-attaques réussissent en s’appuyant sur des mots de passe faibles ou volés.

authentification des utilisateurs

Grandes et petites entreprises se battent pour améliorer la sécurité de leur réseau informatique en se focalisant sur la vulnérabilité principale de la sécurité du réseau: la connexion (login/mot de passe). L’usage de la biométrie apparaît aujourd’hui comme une solution.

Le mot de passe au coeur des préoccupations

Bienvenue dans l’ère de la cyber-attaque. Des chiffres effarants émanant de spécialistes de la sécurité suggèrent que plus de 95 pour cent des Entreprises dans le monde ont été victimes d’une violation de leur données, tous types confondus, dont la plupart peuvent passer inaperçues pendant des mois, voire des années.

Dans le sillage de l’attaque et du piratage de Sony Entertainment, d’autres vols de données de grande envergure ont ciblé récemment des organisations aussi connues que Home Depot, Michaels, Chase, Ashley Madison et d’autres organisations. Les services informatiques des entreprises se battent pour découvrir et mettre en œuvre des solutions afin sécuriser l’accès à leur réseau et notamment pour trouver des solutions qui gèrent de façon efficace la connexion de l’utilisateur, laquelle constitue la vulnérabilité principale des systèmes d’information.

L’accès à un réseau grâce à l’obtention des informations de connexion d’un utilisateur autorisé est à l’origine de la plupart des plus grosses violations de données durant l’année écoulée. Le programme de CBS News intitulé 60 Minutes a ainsi désigné 2014 comme « l’année de la violation des données », et a poursuivi en déclarant que les investigations réalisées montrent que 80 pour cent des failles de sécurité ont été causés par des mots de passe volés ou faibles.

Une fois à l’intérieur du réseau, les pirates vont être en mesure d’installer des logiciels malveillants permettant le vol d’informations, lesquels peuvent rester indétectables sur les serveurs d’entreprise pendant plusieurs mois, voire des années, tout en récupérant des informations de paiement par carte de crédit et d’autres informations, tout en élargissant lentement leur action.

Alors, pourquoi est la connexion des utilisateur constitue-t-elle un tel problème pour les départements informatiques qui restent impuissants à le résoudre? Et pourquoi les noms d’utilisateurs avec des numéros d’identification personnels (PIN) et / ou mots de passe réussissent-ils si mal à bloquer les accès non autorisés?

A la racine de ce problème réside une authentification efficace des personnes qui veulent accéder au système informatique de l’Entreprise. La solution retenue doit également répondre à deux critères supplémentaires: la facilité d’utilisation et, idéalement, aucune utilisation de matériel supplémentaire en plus du terminal de saisie, qu’il s’agisse d’un ordinateur, d’une tablette ou d’un smartphone standard.

Dans le domaine de l’authentification en ligne des utilisateurs, la satisfaction de ces trois exigences est considérée comme l’objectif à atteindre. Heureusement, aujourd’hui, des solutions répondant à ces critères sont d’ores et déjà disponibles sur le marché

L’utilisation de la biométrie pour authentifier les personnes se révèle efficace, avec près de 100 pour cent de précision, avec une quasi-impossibilité, à ce jour, de reproduction artificielle des éléments biométriques.

Problèmes liés à l’authentification 

La difficulté avec les identifiants de connexion est qu’ils sont basés sur la possession d’informations spécifiques par l’utilisateur, le plus souvent un nom ou un code PIN / mot de passe. Armés de ces informations, les utilisateurs peuvent alors accéder à tout ou partie de leurs dossiers médicaux et des comptes bancaires, aux informations liées à leur carte de crédit, à leurs e-mails et d’autres informations sensibles les concernant. Le problème, bien sûr, c’est que toute personne qui se procurerait ces identifiants de connexion peut également accéder aux mêmes informations.

Comme cela a été largement relayé par les médias, les pirates qui ont pénétré le système informatique de Sony avaient préalablement réussi à se procurer les informations d’authentification d’un administrateur système de haut niveau. Une fois  ces éléments entre les mains des pirates, ils ont obtenu très facilement l’accès à l’ensemble des informations stockées sur les systèmes de SONY.

Dans ce cas particulier, des téraoctets d’informations obtenus (et, pire encore, totalement effacés des serveurs de l’entreprise) ont été utilisés (et sont encore utilisés aujourd’hui) entraînant des dommages considérables aux intérêts commerciaux de Sony.

Dans le cas de l’attaque de TARGET (cinquième entreprise de vente de détail aux USA) à la fin de 2013, qui à exposé environ 40 millions de comptes de cartes de débit et de crédit, les informations de connexion étaient aussi en cause. Dans ce cas, on estime que les informations de connexion, volées à un sous-traitant en charge gérer la climatisation et la ventilation étaient à la source de l’intrusion initiale. Les pertes consécutives à cette attaque sont estimées à près de 500 millions de dollars. Cela inclut notamment le remboursement par Target, aux banques, des coûts de réémission de plusieurs millions de cartes de débit et de crédit et des frais de service à la clientèle, y compris les frais juridiques et de surveillance du crédit pour des dizaines de millions de clients touchés par cette attaque.

Alors, y a-t-il une solution idéale?

La norme actuelle en matière de sécurité de réseau est appelé l’authentification multi-factorielle. Elle requiert l’utilisation de deux des trois facteurs d’authentification suivants :

  • quelque chose que vous avez (par exemple, badge, carte),
  • quelque chose que vous êtes (par exemple, la biométrie)
  • quelque chose que vous savez (par exemple, des codes PIN, des mots de passe).

Le 17 Octobre 2014, le président américain Barack Obama a publié un décret, « Amélioration de la sécurité des transactions financières pour les consommateurs » exigeant désormais l’utilisation de l’authentification multi-factorielle en raison du nombre élevé de vols d’identité, de violations et de fraude par carte de paiement.

Dans le même temps, le personnels IT se sont tournés vers une variété de techniques destinées à améliorer la sécurité des connexions, y compris par l’ajout de questions de sécurité et, dans certains cas, un mot de passe secondaire.

Toutefois, ces options reposent toujours sur même concept : la possession de renseignements spécifiques que d’autres peuvent se procurer.

Une autre possibilité consiste à fournir un dispositif physique fournir à chaque utilisateur, du type lecteur flash ou jeton, qui génère des codes d’authentification aléatoires et uniques, de cartes magnétiques ou d’identification personnelle (ID) sous diverses formes, y compris en utilisant un smartphone. Si quelqu’un est en possession du dispositif, il / elle est considéré comme légitime. Malheureusement, c’est simplement une autre forme de possession de quelque chose, dans ce cas, matériel au lieu d’une d’information, qui peut toujours être dérobé à son propriétaire.

En outre, le fait d’ajouter un élément matériel n’est pas idéal car cela augmente considérablement le coût de mise en œuvre, sans mentionner les aspects de logistique et de maintenance. Du fait que ces éléments peuvent être perdus, empruntés ou volés, ils ne garantissent pas à 100% l’authentification de l’utilisateur.

La troisième réponse, peut se résumer à la seule façon de vraiment identifier une personne aujourd’hui : la biométrie.

La biométrie est définie comme quelque chose de physique ou par un comportemental unique caractérisant un individu. Les exemples physiques comprennent les empreintes digitales, de l’iris, la reconnaissance faciale et même le balayage  veineux. Ces moyens d’authentification sont, aujourd’hui quasi sûrs mais ils nécessitent du matériel coûteux, ce qui constitue un obstacle important à leur utilisation.

Heureusement, il existe une forme étonnamment efficace de vérification des données biométriques dans la catégorie comportementale, basée sur l’écriture et qui ne nécessite aucun matériel supplémentaire. Seul l’ordinateur ou votre smartphone suffit.

Chaque individu a une façon mesurable unique de dessiner les lettres et les chiffres qui est extrêmement difficile à reproduire par quelqu’un d’autre. Cela inclut des attributs tels que la longueur, la hauteur, la largeur, la vitesse, la direction, l’angle et le nombre de coups de crayons. Les mots de passe peuvent être saisis lors de la connexion à l’aide d’un doigt ou d’un stylet sur les écrans tactiles et les smartphones, et d’une souris d’ordinateur ou d’un pavé tactile sur un ordinateur portable.

Une fois un processus de configuration simple exécuté, des algorithmes logiciels sophistiqués comparent la tentative de connexion actuelle de l’utilisateur à des modèles d’écriture recueillis initialement et lors des connexions suivantes pour confirmer la correspondance. L’utilisation de la vérification de l’écriture manuscrite, présente un taux de précision allant jusqu’à  99,97 pour cent.

Conclusion

Cependant, de nombreuses organisations expriment beaucoup de réticences à l’égard de la mise en œuvre de toute couche de sécurité supplémentaire arguant de l’inconvénient potentiel que cela peut représenter pour le consommateur. Ainsi de nombreux détaillants n’ont pas mis en œuvre de mesures de sécurité élevées parce qu’ils ne veulent pas que leurs clients passent d’avantage de temps à s’identifier à cause d’exigences de sécurité supplémentaire. Le temps supplémentaire, pensent-ils, risque de décourager les clients et peut signifier la perte de clients et de ventes.

Une interface facile d’utilisation est donc un élément essentiel de l’authentification en ligne. Si la sécurité rajoute trop d’étapes ou est trop lourde, elle est vouée à l’échec. Il est essentiel de fournir des interfaces utilisateur simples et rapides n’excédant pas quelques secondes pour procéder à leur authentification.

Les organisations ont le choix sur les solutions de sécurité à utiliser. Ils doivent prendre en compte le risque et le compromis, combiné à l’expérience utilisateur (par exemple, ce qui arrive lorsque les identifiants de connexion sont perdus ou volés? Sur quels dispositifs il peut être utilisé (ordinateurs, tablettes, smartphones)? Quels sont les coûts et le niveau de confort pour l’utilisateur? ) la dernière considération pour le choix d’une technologie de sécurité est comment elle sera utilisée. Par exemple, la biométrie physique est bien adaptée à l’authentification pour l’accès aux bâtiments physiques. Les jetons avec des mots de passe uniques sont également utiles pour même des cas d’utilisation alors que la biométrie dynamique est idéalement adaptée pour l’accès distant du fait qu’aucun matériel spécial n’est nécessaire.

Il faut bien comprendre que même pour les solutions ne nécessitant aucun matériel supplémentaire, la sécurité, notamment au niveau de l’authentification a toujours un coût. Mais il faut toujours garder en tête que la violation des données de l’Entreprise ou des données personnelles de ses clients aura toujours un coût extrêmement élevé, en aucun cas comparable au coût des solutions de sécurité, et qu’il risque fort d’y avoir des dégâts collatéraux en termes d’image et de perte de confiance dans l’Entreprise risquant même, souvent d’entraîner sa disparition.

Le problème ne consiste donc pas à décider si on doit investir dans la sécurité mais d’identifier les solutions qui satisfont nos besoins. Et à l’ère des cyber-attaques, cela doit impérativement commencer par la sécurisation des connexions utilisateurs.

Cyberterrorisme, une menace sous-estimée

De nombreux experts estiment que la première cyber-guerre est déjà bien entamée. Il ne s’agit pas exactement une «guerre froide», au sens où la génération précédente l’entendait. Les dommages sont déjà considérables et s’évaluent en milliards de dollars et l’intention hostile des pirates, souvent parrainés par les États, est évidente. Dans le même temps, les organisations, tant publiques que privées, ne se mobilisent pas contre la menace constituée par le cyberterrorisme, et la cyber-sécurité ainsi que la cyber-résilience restent majoritairement négligées au plus haut niveau.

cyberterrorisme

Le cyberterrorisme, c’est quoi?

Selon le dictionnaire Larousse, le cyberterrorisme fait référence à l’ensemble des attaques graves (virus, piratage, etc.) et à grande échelle des ordinateurs, des réseaux et des systèmes informatiques d’une entreprise, d’une institution ou d’un Etat, commises dans le but d’entraîner une désorganisation générale susceptible de créer la panique.

Une caractéristique commune est le caractère le plus souvent politique ou idéologique de ces cyber-attaques. Ces attaques peuvent être perpétrées à la fois par des Etats, des groupes de personnes, des organisations, voire des individus isolés.

Alors le cyberterrorisme, ça existe vraiment?

Le cyberterrorisme existe bel et bien et de nombreux exemples sont là pour nous le démontrer quotidiennement depuis plusieurs années.

En effet, le cyberterrorisme n’est pas un fantasme, et l’Estonie s’en souvient. En 2007, la petite République ex-soviétique devenue hyperconnectée a été visée par une importante cyberattaque qui a bloqué les réseaux informatiques des services publics, mais aussi des banques et de tous les systèmes connectés. Le pays est resté paralysé plusieurs jours.

Plus récemment, en France, juste après la fusillade meurtrière de « Charlie Hebdo », plus de 25.000 sites internet français ont été attaqués par des hackers islamistes. Ces attaques ont, pour la plupart, consisté à remplacer la page d’accueil par un message haineux.

Plus récemment encore, souvenons-nous de l’attaque de TV5 Monde qui a eu lieu le 8 Avril 2015 et qui était en cours de préparation depuis janvier. Six mois plus tard, TV5 Monde ne s’est pas encore complètement remise de cette attaque dont le coût estimé sur France Info, en Juillet 2015, lors d’une interview de Yves Bigot, directeur général de TV5 Monde, s’évalue d’ores et déjà entre 4,3 et 5 millions d’Euros pour l’année 2015 et environ 11 millions d’Euros pour les trois prochaines années.

TV5 MondePetit retour sur la cyberattaque qui a affecté TV5 Monde (source France Info) :


Le 8 avril 2015, TV5 Monde, la chaîne de télévision Française qui émet dans 200 pays, est victime d’une cyberattaque de grande envergure. Les pirates se revendiquent de l’organisation de l’Etat islamique. Au siège parisien de la chaîne, Yves Bigot enregistre un message avec les moyens du bord qu’il diffuse ensuite sur youtube. « Ce piratage a conduit l’ensemble de nos 11 chaînes à virer à l’écran noir et nous avons perdu dans le même temps le contrôle de nos réseaux sociaux et de nos sites internet. L’ensemble de nos équipes travaillent d’arrache-pied pour rétablir les programmes auxquels vous êtes habitués« .

Après huit heures d’interruption, les programmes de TV5 Monde seront finalement rétablis le lendemain matin. Selon les premiers éléments de l’enquête, la cyberattaque avait été amorcée dès le mois de janvier 2015, avec l’envoi de faux mails aux personnels de la chaîne, utilisant une technique bien connue d’ingénierie sociale:  l’hameçonnage (phishing) permettant aux pirates de s’immiscer dans le système informatique. En juillet 2015, soit trois mois et demi après, les 400 salariés de TV5 Monde étaient toujours dans l’impossibilité de travailler normalement, selon Yves Bigot, invité sur France Info :

« Nous vivons toujours sans wifi, sans pouvoir utiliser de skype ou scanner de document car nous ne pouvons toujours pas nous reconnecter au réseau internet. Il faut attendre que l’agence nationale de sécurité des services d’information finissent ses analyses et que nous construisions la nouvelle architecture de diffusion qui nous protege au maximum. Ce signifie que l’on travaille un peu comme si nous étions les naufragés de ‘Lost’« .

Les règles de sécurité informatique ont dû être renforcées avec des mots de passe beaucoup plus complexes et modifiés fréquemment. « C’est le coût de la survie de TV5 Monde, » justifiait Yves Bigot, « car les statistiques montrent que 90% des entreprises frappées par ce type d’attaque ferment dans les 2 ans qui suivent. Nous, nous ferons partie des 10 qui survivront, fort heureusement. Mais cela va nous demander un certain nombre d’astreintes« .

Et le Directeur Général de conclure espérer un retour à un fonctionnement normal de la chaîne à la rentrée 2015, soit après plus de 6 mois…

Qui se cache derrière le cyberterrorisme?

Le cyberterrorisme peut être l’oeuvre de n’importe qui. Les piratages cités précédemment sont relativement simples et ont occasionné des dommages limités. Ils se sont revendiqués parfois de soutiens à l’Etat islamique (Daech). A priori, ce sont pour l’instant de petites structures de pirates mais la question est de savoir comment elles vont évoluer. Il peut aussi s’agit, dans certain cas, de cyber-terrorisme d’état.

Aujourd’hui il est clairement plus simple et moins dangereux de lancer une cyber-attaque terroriste qu’une attaque physique telle que nous les connaissons à l’image de la fusillade de Charlie Hebdo ou celle du Pardo à Tunis. Un petit groupe d’individus, dissimulés derrière Internet sont capables de perpétrer des dégâts majeurs en utilisant seulement des connaissances en informatique.

Les objectifs très ciblés permettent d’avoir un effet important, à un moment donné. Par exemple, si un système radar qui sert à faire décoller des avions nous gêne pour une opération dans une zone, c’est mieux de pouvoir l’éteindre à distance que de lâcher une bombe. En 2008, l’explosion d’un pipeline en Turquie serait due à un piratage informatique, fomenté par la Russie dans une bataille pour l’énergie, rapporte Bloomberg. Dans le cas de TV5 Monde, la piste des hackers russes a également été avancée pour expliquer la cyberattaque. Mais les investigations n’ont permis de déterminer ni l’origine géographique de l’attaque, ni le nombre de pirates.

Quels sont les risques véritables?

Aujourd’hui, les groupes terroristes ont de l’argent et peuvent s’en procurer beaucoup plus en ciblant des banques par exemple. La manne peut être quasi illimitée . Il n’y a qu’un pas pour qu’ils se munissent de cyber-armes, surtout qu’il n’y a pas besoin de beaucoup de moyens humains pour les utiliser, quelques dizaines de personnes suffisent pour lancer une attaque massive.

Si certains chercheurs sont capables de prendre le contrôle d’une voiture et de faire s’emballer le moteur pour qu’il explose, alors il n’y a pas de raison pour qu’ils ne puissent pas faire la même chose avec des armes ou des engins militaires.

Un récent rapport de Think Tank Britannique Chatham House (La cyber-sécurité des installations nucléaires civiles: comprendre les risques) met en évidence que les installations nucléaires sont de plus en plus dépendantes des « systèmes numériques, des logiciels commerciaux standards et de la connectivité à Internet», et deviennent donc « plus sensibles à une cyber-attaque « .

Cette sensibilité accrue s’accompagne en toile de fond du  « potentiel d »émission de rayonnements radio-actifs ».

De plus, il apparaît totalement improbable que le secteur nucléaire divulgue ce type d’incidents de cyber-sécurité en raison de « sensibilités en matière de sécurité nationale … conduisant le personnel de l’industrie nucléaire à sous-estimer le risque de cyber-attaque.« 

En outre, étant parmi les plus récents à adopter les technologies numériques « l’industrie nucléaire dans son ensemble fait actuellement face à des difficultés d’adaptation » et il existe un flagrant «manque de prise de conscience au niveau exécutif des risques encourus« .

Parmi les résultats spécifiques de ce rapport figure le fait que de nombreuses installations nucléaires utilisent maintenant des VPNs et des connexions Internet non documentées, ce qui signifie qu’elles ne sont aussi étanches que les exploitants l’imaginent, et que même là où l’étanchéité est garantie, « cette garantie peut être violée avec un simple lecteur de mémoire flash ».

risque nucléaireBien sûr, il s’agit d’un rapport Britannique et cela ne concerne sûrement pas les centrales nucléaires Françaises. Quoique, si on y regarde de plus près de nombreuses installations nucléaires à travers le monde ont déjà été victimes de ce type de cyber-attaques dans les 25 dernières années, comme par exemple :

  • Centrale nucléaire d’Ignalina (Lituanie – 1992) – Un technicien « introduit intentionnellement un virus dans le système de contrôle industriel … dans le but de mettre en évidence les vulnérabilités en matière de cybersécurité de ce site ». La centrale a été fermée en 2009
  • Centrale nucléaire de Davis-Besse (Ohio – 2003) – Le ver Slammer a infecté le système de supervision de contrôle et d’acquisition de données, et désactivé le système d’affichage des paramètres de sécurité pendant près de cinq heures.
  • Centrale nucléaire de Browns Ferry (Alabama – 2006) – Un dysfonctionnement des deux pompes de recirculation du réacteur et du contrôleur de condensation conduisaient à l’arrêt manuel de l’Unité 3 pour éviter la fusion du réacteur.
  • Centrale nucléaire de Hatch (Georgie – 2008) – L’installation d’une mise à jour logicielle sur le réseau de gestion de la centrale, par un ingénieur, provoque la réinitialisation du système de commande de la centrale pour permettre la resynchronisation des deux systèmes entraînant des dysfonctionnements du système de refroidissement et conduisant à arrêt automatique de l’Unité pendant 48 heures.
  • Site nucléaire de Natanz et centrale de Bouchehr (Iran – 2010) – Le ver Stuxnet, probablement transmis par des clés USB infectées, endommage deux installations nucléaires en Iran, « détruisant partiellement autour de 1.000 centrifugeuses à Natanz« . Un site russe dont le nom reste secret a également été affecté par Stuxnet à peu près en même temps.
  • Réseau commercial de Korea Hydro & Nuclear Power Co. (Corée du Sud – 2014) – Utilisant un email d’hameçonnage (phishing), les pirates ont pu accéder au réseau commercial de la société qui exploite 23 réacteurs nucléaires en Corée du Sud. Les plans et les manuels de deux réacteurs ont été volés et divulgués via Twitter, accompagnés de demandes de rançon, en exigeant que l’entreprise ferme trois de ses réacteurs.

Sans vouloir paraître inutilement alarmiste, il est important d’avoir conscience que l’éventualité d’un accident nucléaire dû à l’absence, volontaire ou pas, de mise  en œuvre des contrôles de cyber-sécurité appropriées existe bel et bien, et que la menace augmente considérablement comme le révèle DELL, dans son rapport annuel sur les menaces de sécurité publié en Mai 2015, montrant que les attaques contre les infrastructures essentielles – y compris les installations nucléaires – ont doublé en l’espace d’un an.

Alors, que peut-on faire?

Yukiya Amano, directeur de l’Agence Internationale de l’Energie Atomique (AIEA), a déclaré lors la première conférence internationale de l’AIEA en juin dernier :

Les ordinateurs jouent un rôle essentiel dans tous les aspects de la gestion et de l’exploitation sûre et sécuritaire des installations nucléaires, y compris le maintien de la protection physique. Il est extrêmement important que tous ces systèmes soient correctement protégés contre les intrusions malveillantes.

La menace cyberterroriste touche aujourd’hui toutes les organisations, et pas seulement les installations nucléaires. Le secteur des banques, de la finance, militaire, aéronautique, du transport, et bien d’autres sont particulièrement à risque.

Les failles de sécurité dans les logiciels « sur étagère » du commerce, dans les plates-formes CMS, dans les applications et les plugins sont continuellement découvertes et exploitées par les pirates criminels opportunistes qui s’appuient sur des outils de scan automatisé pour identifier les cibles. Cela signifie que toute organisation connectée à Internet est à risque. Quel que soit votre secteur d’activité, combler les lacunes en matière de sécurité et corriger les vulnérabilités dès qu’elles sont connues est essentiel pour garder vos réseaux sécurisé et vos informations d’entreprise toute sécurité.

L’implémentation de contrôles de sécurité performants et d’un Système de Management de la Sécurité de l’Information (SMSI) basé sur ISO 27001 vous seront sans aucun doute d’un grand soutien, mais il est tout aussi important de sensibiliser vos personnels (et pas seulement les informaticiens) sur les risques et les mesures de sécurité qui doivent être respectées par chacun et de planifier la continuité business de votre entreprise grâce à des référentiels de cyber-résilience tels que RESILIA, le guide de bonnes pratiques de cyber-résilience publié récemment par AXELOS®.

N’oubliez jamais que de nombreuses attaques opportunistes pourraient facilement être évitées grâce à une bonne gestion de votre sécurité. Si vous vous sentez préoccupé par la vulnérabilité de votre organisation aux cyber-attaques, AB Consulting vous propose un ensemble de services sur mesure et nous vous recommandons d’utiliser un test de pénétration pour évaluer votre vulnérabilité afin que des mesures puissent être prises. Nous vous proposons également une gamme de formations accréditées et certifiantes notamment sur les référentiels RESILIA (Sensibilisation, Foundation et Practitioner) ainsi que sur ISO 27001 (Foundation, Practitioner et Lead auditor), ISO 27002 (Foundation et Advanced) et ISO 27005 (IT Risk Manager).

N’hésitez pas à poster vos commentaires et vos questions.

Catégories

Archives

Calendrier

septembre 2018
L M M J V S D
« Août    
 12
3456789
10111213141516
17181920212223
24252627282930
%d blogueurs aiment cette page :