Sécurité, les nouvelles menaces à la porte des entreprises

« Les entreprises doivent adapter leur approche liée à la sécurité avec l'arrivée du cloud computing et de la consumérisation IT. Et pour cela, il ne suffit pas de déployer uniquement des solutions techniques, mais d'établir une vraie gouvernance sur la gestion des risques » souligne Julien Steunou, responsable des activités sécurité et conseil chez BT France. Cette phrase résume parfaitement les difficultés rencontrées par les RSSI et les DSI face à l'usage des terminaux personnels (smartphones et tablettes), des réseaux sociaux et des services cloud par les collaborateurs de l'entreprise.

D'ailleurs, selon une étude réalisée début 2011 par le cabinet PAC (Pierre Audoin Consultants),  pour les responsables sécurité, le cloud, la mobilité, la virtualisation sont les trois sujets qui dépendent étroitement des questions de sécurité. Fort de ce constat, le budget informatique aurait progressé de 2,2% en France en 2010, selon le cabinet d'études, mais il demeure encore à des niveaux très faibles dans l'investissement informatique global des entreprises. Peut-être par un manque d'intérêt ou une simple spécificité française !

Des stratégies  de sécurité IT qui se font rares !

Les budgets liés à la sécurité piétinent d'une année sur l'autre en France, plusieurs raisons à cela, une prise en compte peu suivi dans les entreprises, un manque de ressources et de dialogue, sans oublier une parole absente des pouvoirs publics. À titre de comparaison, Barack Obama avait dévoilé en mai 2011 un plan de lutte contre la cybercriminalité aux États-Unis» explique Laurent Heslault, directeur des stratégies de sécurité chez Symantec France. Pour Fortinet (étude réalisée en juin 2011 sur les stratégies de sécurité informatique de plus de 300 moyennes à très grandes entreprises européennes), 24% des entreprises françaises n'ont soit aucune stratégie de sécurité IT, ou ne l'ont pas réexaminé depuis plus de trois ans. Il est fort probable que ces chiffres seraient bien plus mauvais pour les petites et moyennes entreprises. Patrick Pailloux, le directeur général de l'Anssi (Agence nationale de la sécurité des systèmes d'information) a d'ailleurs rigoureusement mis en garde les DSI et les RSSI lors des Assises de la sécurité 2011 en octobre dernier. Il avait déclaré que la situation ne pouvait plus continuer ainsi et que les systèmes d'information publics et privés en France et partout dans le monde étaient en danger et d'insister sur le nombre important d'attaques.

L'absence de périmètre intrigue

Il est clair que la prolifération des end points augmente les menaces, de ce fait, les entreprises doivent faire face à de nouvelles questions de sécurité liées à davantage de liberté du côté de l'utilisateur et à une perte de contrôle du côté des entreprises» reconnait Luis Delabarre, CTO de Trend Micro France. Un avis que partagent bon nombre de fournisseurs dont Franck Trognée, le directeur général France de SonicWall qui indique qu'il n'y a plus de barrière périmétrique au niveau des infrastructures avec la mobilité et le cloud. Selon un sondage réalisé par YouGov pour Citrix Online auprès de 700 petites et moyennes entreprises d'Allemagne, de France et du Royaume-Uni, 39% des entreprises françaises craignent des fuites de données liées à un accès à distance au réseau de l'entreprise et 36% d'entre elles estiment que l'usage de terminaux personnels entraine le téléchargement non contrôlé d'applications mobiles, susceptibles alors d'ouvrir une brèche dans la sécurité de l'entreprise.

Pour McAfee et le centre de recherche de l'université Carnegie Mellon, via leur étude intitulée « La sécurité mobile et la consumérisation de l'informatique », les pertes ont des conséquences financières sur l'entreprise dans un cas sur trois. Parmi les informations les plus « fuitées » : les données clients (40%), les informations relatives à la propriété intellectuelle de l'entreprise (30%), les données financières (15%) et les données d'emploi (10%). Tout autant alarmant, pour Symantec qui a publié une étude sur la virtualisation dans les petites entreprises seules 15 % des entreprises sauvegardent toujours leurs serveurs virtualisés, et 23% ne le font que rarement ou jamais. Pis encore, 78% des entreprises interrogées n'ont pas d'antivirus sur leurs serveurs virtuels, 48% pas de pare-feu, et 74% renoncent à la protection des terminaux.

Illustration principale : Julien Steunou, responsable des activités sécurité et conseil chez BT France

Encadré : Y a-t-il un pilote dans le système d'information?

Le système d'informations dans les entreprises échappe de plus en plus au service informatique et s'anarchise. « On constate que le RSSI a tendance à perdre le contrôle dans les environnements cloud et virtualisés » insiste Christophe Perrin, responsable du développement de la sécurité chez Cisco. Le DSI perd-il le contrôle de son système d'information ? On peut sincèrement se poser la question d'autant qu'il n'a pas ou peu le contrôle sur les métiers dont les directions utilisent, par exemple, de plus en plus d'outils en ligne sans, pour autant en informer le service informatique. Selon un sondage mené par Avanade en juin 2011, et commandité par Microsoft-Accenture, un responsable interrogé sur 5 avoue avoir souscrit à un service sans en informer le département informatique, de plus en plus mis à l'écart dans la prise de décision concernant les services IT utilisés. Ajoutons à cela que face à la jeune génération très friande des réseaux sociaux et de la consumérisation IT en général, les services informatiques n'apportent pas forcément les bonnes réponses. Ils sont, dans certains cas, plus enclins à verrouiller ces usages et dans d'autres, trop tolérants envers ces usages. Face à ces constats, le rôle du DSI doit changer et être plus proche des métiers dans l'entreprise, un DSI moderne en quelque sorte ! Mais, pour cela, il doit aussi être perçu par sa hiérarchie comme le garant du savoir-faire d'une entreprise et non plus comme un centre de coûts ou une fonction support...

« Les services Cloud imposent une nouvelle approche de la sécurité informatique, les entreprises, via leur DSI ou leur RSSI, doivent évaluer leurs risques et mettre en place une vraie gouvernance» indique Yamina Perrot, directrice marketing de RSA chez EMC. Selon nos différentes sources, seulement 20% des entreprises françaises (pour la majorité des grands comptes) ont mis en place une vraie politique stratégique de sécurité. Ce faible résultat montre que les responsables ne doivent plus seulement avoir une approche tactique où partielle de la sécurité, c'est-à-dire un antispam pour lutter contre les pourriels, un antivirus pour contrer les virus ou un firewall contre les intrusions, mais une approche stratégique.

Comment ? À en croire nos différents interlocuteurs, les réponses sont multiples et pas seulement techniques. « On ne répond pas à une menace par une seule appliance » remarque Christophe Perrin, responsable du développement de la sécurité chez Cisco. D'abord, il faut adapter la sécurité en fonction des usages, des informations vitales et des identités et plus en fonction des systèmes ce qui oblige le RSSI ou le dirigeant à impliquer les métiers. Trop souvent, ces derniers n'informent plus leurs services informatiques pour l'utilisation d'une application en ligne par exemple et quels sont les collaborateurs qui l'utilisent. Il faut donc décider des politiques de sécurité à mettre en place en fonction des métiers de l'entreprise et cela passe par une gouvernance et la gestion des risques. Une gouvernance efficace exige une définition claire des objectifs de l'entreprise ainsi que des éléments représentant le mieux ce programme, à savoir les règlementations, les procédures et les normes applicables. La gestion du risque demande pour sa part un travail d'identification, de priorisation et de remise à niveau visant à protéger l'entreprise contre les risques majeurs, tout en élimant ce qui fait obstacle à sa croissance. «Une politique de sécurité doit pouvoir s'écrire en fonction du contexte et de ce fait, l'entreprise peut prendre des décisions, cela n'est possible qu'avec des solutions dédiées » constate Christophe Perrin. En effet, ce type de solutions existent sur le marché comme Netasq Vulnerability Manager, RSA Archer eGRC, Cisco Servers ISE ou encore Symantec Control Compliance Suite.

Le chiffrement et l'authentification, deux éléments à prioriser

Une politique de sécurité nécessite aussi aujourd'hui d'avoir une vision en temps réel de ce que se passe. « Si on prend le secteur financier par exemple, ils ont besoin d'analyser les risques en temps réel. Chez RSA, nous le faisons avec notre solution RSA Netwitness »  signale Yamina Perrot. Enfin, un point important est souvent avancé pour une politique de sécurité, c'est le chiffrement et l'authentification. Jean Phillipe Rantin , le responsable avant ventes pour l'Europe du Sud chez Safenet rappelle que sur la totalité de la vie de l'information, il est utile de chiffrer et d'avoir des solutions d'identification et d'authentification forte. Cela aide aussi à mieux analyser le comportement et les habitudes des salariés ou des collaborateurs, car, bien souvent les attaques sont pour la plupart issues de maladresses ou de salariés pas forcement bien intentionnés.

Cela dit, dans les respects de la CNIL, il ne s'agit pas non plus de « fliquer » les salariés, mais de mieux contrôler leurs accès. « On ne surveillera pas les salariés, mais les comportements malveillants comme par exemple le transfert d'un flux d'information du service marketing au service financier qui n'a pas lieu d'être. Dans ce cas, on génère des alertes. C'est que l'on appelle chez IBM, l'Intelligence Security, un axe fort de développement... » rapporte Loïc Guézo, directeur technique chez IBM Security Solutions France. À ce titre, IBM a récemment racheté la société Q1 Labs dont le métier est de détecter et signaler des actions qui pourraient s'écarter du cadre normal de la politique des entreprises comme l'accès, par des employés, à des informations non autorisées.

Pour conclure, l'entreprise qui s'est attachée à mettre en place des procédures, des méthodologies et déployer des solutions techniques pour maitriser sa politique de sécurité ne doit pas oublier celle des tiers. « Les entreprises doivent pouvoir contrôler la sécurité de ce qu'elles externalisent et doivent donc être vigilantes dans le choix des fournisseurs » conclut Julien Steunou, responsable des activités sécurité et conseil chez BT France. Un avis que partage Loïc Guézo qui insiste sur le fait de ne pas négliger le maillon faible même si c'est compliqué d'impliquer tous les partenaires et les clients dans la mise en place d'une politique globale de sécurité

Illustration principale : Loïc Guézo, directeur technique chez IBM Security Solutions France

Encadré : La sécurité dans le cloud ne fait plus peur ?

La sécurité du cloud, c'est la nouvelle marotte des fournisseurs. Il suffit de voir toutes les solutions qui sont disponibles sur le marché (Secure Cloud et Deep Security chez Trend Micro, Cisco Web Security Appliance, 03 de Symantec , McAfee Cloud Security, Panda Cloud Protection, gamme V chez Netasq, gamme Forefront chez Microsoft, etc.).

Alors le cloud fait-il encore peur aux entreprises ? De moins en moins... Selon une étude menée par CA Technologies intitulée « Protection des données et Cloud en 2011 », 31% des entreprises sondées hébergent leurs données dans un cloud privé, tandis que 19% d'entre elles les confient à des clouds publics - ces dernières se montrant très confiantes quant à la sécurité de leurs données. Une part significative (69%) de celles qui utilisent un cloud privé est convaincue que leurs données et applications seront correctement protégées en cas d'incident et 92% des entreprises utilisant un cloud public se fient au niveau de protection stipulé dans les contrats d'engagement de qualité de service (SLA) de leurs fournisseurs.

Notre rédaction a d'ailleurs pu constater lors des Assises de la sécurité 2011, le discours des RSSI et des DSI a changé. Ils ne perçoivent plus le cloud comme une menace sécuritaire, mais comme un atout pour certaines problématiques (stockage de données, environnement de développement, etc.). L'heure est donc à l'intégration d'outils de sécurité, et cela à tous les niveaux : protection des terminaux, des hyperviseurs, filtrage des accès et des applications (avec les nouvelles générations de firewalls intelligents) ou encore chiffrement.

La bourse de New York, Monsanto, Fox.com, Sony, Areva, Turbomeca, etc., le point commun de ces grands groupes est qu'ils ont tous subi des attaques informatiques ! Celles-ci se sont multipliées depuis quelques mois. «Une attaque comme celle de Sony qui a commencé par une injonction SQL a couté au groupe nippon 150 millions de dollars », indique Loïc Guézo, directeur technique chez IBM Security Solutions France. Ces attaques sont généralement menées par des groupes organisés dont l'objectif final est bien souvent financier : vendre des informations stratégiques ou des secrets professionnels à des tiers. D'autres groupes comme les « Anonymous » revendiquent moins l'aspect financier, mais plus des actions militantes et politiques. La particularité de ces groupes est qu'ils attaquent de manière ciblée une entreprise ou une organisation et le plus discrètement possible contrairement aux menaces classiques (virus, dénis de service, phishing...) dont la cible est très large.

Ces groupes sont d'autant plus dangereux qu'ils ne rassemblent pas des personnes dans une ville, mais des communautés éparpillées dans le monde et partageant les mêmes idéaux, selon George Kurtz, CTO de McAfee. Les attaques de ces groupes ont été baptisées par les spécialistes « menaces persistantes avancées » ou APT ("Advanced Persistent Threat ") en anglais. Persistantes, car le hacker va essayer de manière répétée d'atteindre son objectif, et avancées, car il exploite des mécanismes complexes comme des vulnérabilités non connues et des technologies de piratage inédites.

Des réseaux internationaux pour combattre les APT

« Les APT ne sont pas nouvelles en soi, elles existaient déjà dans le secteur militaire, mais aujourd'hui, elles frappent les industries et tout type d'entreprise » précise Yamina Perrot, directrice marketing de RSA. Pour Luis Delabarre, le CTO de Trend Micro, les menaces persistantes représentent l'enjeu du moment, car elles sont invisibles. Et pour combattre ce type de menaces, il n'y a pas de solutions miracles. Toutefois, les fournisseurs et les éditeurs mettent en place des stratégies au niveau mondial, c'est notamment le cas d'IBM avec X-Force. « X-Force permet de contrer les attaques organisées, X-Force est piloté depuis 9 centres de Recherche et développement d'IBM lesquels scrutent les infrastructures de nos clients. Déjà 54000 vulnérabilités sont répertoriées dans une base de données » commente Loïc Guézo.

Cisco, centralise aussi les attaques via sa plateforme SIO (Security Intelligence Operations) sur laquelle 500 salariés de la firme travaillent. Cette cellule de veille est en charge de la remontée d'informations auprès des 700 000 équipements qui contribuent à la base de réputation, et de la mise à jour des règles de sécurité pour le filtrage email, web, firewall et IPS. L'objectif est de créer un maillage sécuritaire. Tous ces réseaux mondiaux comme le Smart Protection Network de Trend Micro permettent de dresser des typologies et des comportements d'attaques via du reporting. Mieux encore, la collaboration entre tous ces fournisseurs existe puisqu'un lien unique, le mitre.org géré par le MIT, fédère toutes les vulnérabilités existantes.

Le constat aujourd'hui sur les attaques, c'est qu'elles sont plus difficiles à mener pour les pirates, car les entreprises se sécurisent de plus en plus. Auparavant, les attaques étaient relativement aisées avec, pour les pirates, un rendement maximum. Les attaques sont toutefois multipliées selon George Kurtz de McAfee. On assiste à une hausse continue des logiciels malveillants. Selon les statistiques du spécialiste de la sécurité, 66 000 morceaux de nouveaux malwares sont détectés quotidiennement, contre 22 000 par jour en 2010. Et l'Afrique du Nord est devenue une des bases opérationnelles pour les attaques ciblant l'Europe francophone. « On trouve un grand nombre d'ingénieurs informatiques de talents et maitrisant la langue française dans ces pays. Ce qui permet de concevoir des attaques plus efficaces » a expliqué de son côté David Grout, directeur avant vente chez McAfee.

«Encore trop peu d'entreprises ont pris des mesures de sécurité vis-à-vis de la multiplication des smartphones personnels » avoue Julien Steunou, le responsable des activités sécurité et conseil chez BT France. Ce phénomène du BYOD  (Bring Your Own Device) autrement dit l'utilisation des appareils personnels (PC portables, smartphones, téléphones, tablettes, etc.) pour des usages professionnels est en train de bouleverser profondément les usages et les comportements des employés. Selon Gartner, en 2014, un utilisateur sur deux utilisera ponctuellement ou régulièrement son terminal personnel pour travailler.

Face au BYOD, les DSI et les RSSI sont vigilants et devront faire des choix technologies pour assurer la sécurité. «Aujourd'hui, les entreprises n'appliquent pas vraiment de règles, soit ils bloquent tous ou une partie des informations venant des usages grand public ou ils ne font tout simplement rien» constate Médéric Leborgne, responsable avant-vente chez RIM qui milite pour une séparation sécurisée des usages professionnels et personnels sans en interdire les terminaux. C'est, à ce titre la fonction principale de la solution RIM Blackberry Balance qui permet de mettre en place des règles en octroyant des droits aux utilisateurs. Et pour répondre aux parcs hétérogènes (smartphones sous Androïd, Ios, etc.), RIM va sortir à la fin de l'année une technologie multiplateforme héritée du rachat d'Ubitexx.

Suite au rachat de l'éditeur grenoblois Trengo Systems en octobre 2008, VMware propose lui un hyperviseur de type 2 pour mobiles qui permet de séparer les espaces personnels et professionnels sur un smartphone. En fonction de leurs privilèges, les utilisateurs peuvent accéder aux ressources dont ils ont besoin pour travailler à distance. Et avec la plate-forme Horizon Mobile, chaque entreprise pourra proposer à ses utilisateurs l'accès à une boutique d'apps validés par l'entreprise. Les liaisons entre le smartphone et le réseau de l'entreprise peuvent bien sûr passer par un VPN crypté et en cas de perte du smartphone, ce dernier peut être effacé à distance pour en laisser subsister que la partie personnelle. Même cas de figure en cas de départ de l'employé de l'entreprise. À terme, l'idée est de laisser les utilisateurs choisir leurs outils informatiques (PC ou Mac, iPhone, iPad, Blackberry, Windows Phone ou Android) et de leur donner un accès identique aux services de l'entreprise grâce aux solutions de virtualisation de l'éditeur.

Des suites de sécurité complètes dédiées à la mobilité

D'autre part, il existe de nombreuses solutions techniques pour sécuriser les terminaux mobiles comme les outils de chiffrement, d'authentification ou la mise en place de connexions sécurisées de type VPN. « L'histoire se répète, mais la problématique des usages des smartphones est identique à celles des ordinateurs portables personnels il y a quelques années avec certes divers systèmes d'exploitation », rappelle Loic Guézo, directeur technique chez IBM Security Solutions France.

De son côté, Luis Delabarre, CTO de TrendMicro aborde des fonctionnalités spécifiques pour sécuriser la flotte mobile d'une entreprise. Parmi ces fonctionnalités, il cite la suppression de l'accessibilité à distance (remote wipeout), la géolocalisation pour repérer le terminal en cas de vol par exemple ou encore le provisionnement d'applications uniquement professionnelles avec des accessibilités limitées. Bien sûr, des antivirus, des antispams et des pare-feux existent aussi pour ces terminaux. De nombreux fournisseurs commercialisent des suites de sécurité pour les smartphones comme Kaspersky Endpoint Security 8, Juniper Junos Pulse Mobile Security Suite, Symantec Mobile Security and Management ou encore Sophos Mobile Security and Control. Au final, avec tous ces outils, les responsables informatiques peuvent assouplir les règles interdisant l'utilisation d'équipements personnels et centrer davantage la politique de sécurité sur l'utilisateur.

Illustration principale : Médéric Leborgne, responsable avant-vente chez RIM