La gestion du piratage devient une priorité pour Oracle

Tout le monde, que ce soient des pirates informatiques ou des Etats-nations, essaie de pirater Oracle. Et c’est son co-CEO, Mark Hurd, qui l’affirme à nos confrères d’IDG. « Comme vous pouvez l’imaginer, je passe mes journées à refuser des appels m’informant que nous avons été hackés » a déclaré le directeur général lors d’une conférence de presse lors de l’événement OpenWorld fin octobre.

Si pratiquement n’importe qui essaie de pénétrer les serveurs d’Oracle, ces dernières années, l’origine des attaques est devenue « beaucoup plus difficile à déterminer », voire impossible selon M. Hurd, en raison de la « confusion entre les bons et les méchants. » Il précise : « Auparavant nous pouvions voir la signature des métadonnées - il y a quatre ou cinq ans de cela – et dire : “ah, ça vient de ces gars-là”. Mais maintenant, beaucoup de personnes travaillant pour un acteur d’un Etat-nation ont été recrutées par un autre acteur. Ils utilisent les signatures de leur lieu d’origine mais ils sont en fait employés ailleurs. »

Un paysage de la cybercriminalité inquiétant

Mark Hurk ajoute que le paysage des acteurs malveillants a considérablement changé au cours des dernières années et constitue une menace plus grande que jamais. « Nous investissons aux Etats-Unis dans des porte-avions, et il coûtent cher. Comptez 2,5 milliards de dollars pour en construire un. Mais réunissez 15 personnes et vous pouvez constituer une cyber-escouade qui sera autant voire plus dangereuse qu’un de ces porte-avions » s’inquiète le dirigeant.

Il n’est pas surprenant qu’Oracle et ses produits constituent des cibles de choix pour les pirates. Et la société n'a pas toujours bien répondu à ceux qui essayaient de trouver des lacunes et des bugs dans ses logiciels. En 2015, la responsable de la sécurité d'Oracle, Mary Ann Davidson, a publié une déclaration contre les clients « faisant de l'ingénierie inverse dans notre code pour tenter de détecter des failles de sécurité » les sommant de « respectez [leur] contrat de licence ». Le message est resté en ligne moins de 24 heures avant sa suppression.

Passer de MAJ rares à des MAJ automatiques

L'un des risques les plus importants auxquels les clients Oracle sont exposés en ce qui concerne l'accès non garanti à leurs systèmes est qu’un patch ne soit pas publié à temps. Par exemple l’ERP de l’éditeur « contient les joyaux de la couronne » pour les milliers d’entreprises qui les utilisent. Selon un rapport de Digital Shadows et Onapsis publié en juillet, le nombre de vulnérabilité de l’ERP d’Oracle n’a cessé de croître ces dix dernières années. D’après ce document, « les systèmes ne sont, souvent, pas mis à jour pendant des années au nom de la disponibilité opérationnelle. »

Oracle espère combler ces lacunes avec son nouveau produit, Autonomous Database, utilisant l’apprentissage machine pour mettre à jour, corriger et ajuster automatiquement ses fonctions au fur et à mesure de son exécution. Il automatise également ses mises à jour de sécurité sans fenêtre d’interruption nécessaire.

Lors d'Oracle Impact, à Paris début octobre, Stéphane Roman (à gauche), directeur du Cloud chez Oracle France, et Alain Scazzola, responsable du business development d’Oracle Cloud, détaillent les capacités d'automatisation de la base de données maison dans le cloud. (Crédit : LMI/MG)

L’adoption de ce genre de produits de correction automatique « transfère le risque » à l’éditeur indique Mark Hurd. « Je n'ai pas seulement besoin de rechercher la sécurité, mais également de réduire les risques ». Et d’ajouter : « le risque, et en passant, le coût du risque, est transféré, à certains égards, du client à nous. Pas tous les risques, parce que vous nous avez choisis, vous avez donc encore des risques dans ce processus. Mais vous en aurez certainement moins que ceux que vous aviez auparavant. Et nous allons maintenant nous atteler à combattre les pirates et, d’une manière générale, nous le ferons bien mieux que ne le ferait une entreprise individuelle ».