L'IA au service de la résilience

Les entreprises tentent depuis des années de faire face à la fragilité de leurs systèmes hérités pour contrer les cybermenaces, car l’objectif est bien de garantir le fonctionnement du SI quel que soit l’origine de la menace, bref d’assurer cette fameuse résilience, ce mot devenu très tendance depuis ces derniers mois. Selon Richard Ramos, General Manager France chez Insight qui se base sur une étude menée par l’intégrateur en partenariat avec IDC, 52 % des sondés estiment que la résilience opérationnelle fait partie des plus grands défis que les entreprises auront à surmonter en 2024, aux côtés de la cybersécurité (56 %). Cette dernière étant totalement liée à la résilience, un point d’ailleurs confirmé par les experts du Cesin qui stipulent, dans leur baromètre annuel de la cybersécurité publié en janvier 2023, que la résilience des SI face aux cyberattaques reste un maillon important à améliorer dans la stratégie de défense. Cela dit, il ne faut pas limiter la résilience IT au seul sujet de la cybersécurité, il est important d’intégrer les autres risques comme la sécurité physique, la sécurité juridique, la sécurité fournisseurs et toutes les crises géopolitiques, pandémiques et climatiques qui peuvent avoir des conséquences irréversibles.

Un niveau de maturité assez faible des entreprises françaises…

La résilience est donc indispensable pour garantir le fonctionnement du SI. C’est d’autant plus important lorsque l’on observe le coût engendré par une interruption de services à en croire l'éditeur de solutions d'observabilité Splunk. En effet, l’éditeur s'est essayé à la mesurer dans une étude dédiée sur onze pays, dont la France. L'éditeur parvient au chiffre global de 10 jours d'arrêt imprévus par an, pour un coût moyen grimpant à 87 millions de dollars par an. Dans le détail, ce coût moyen des interruptions s'élève à 110 millions de dollars par an dans les entreprises qui démarrent tout juste leur stratégie de résilience, pour les plus avancées ce montant n'est plus que de 62 millions, ce qui représente une économie moyenne de 48 millions de dollars par an. Ce résultat, certes théorique, montre néanmoins l’efficacité d’une stratégie de résilience. Mais pour nos interlocuteurs interrogés, la garantie d’une bonne résilience n’est pas simple à mettre en œuvre pour plusieurs raisons. Déjà la dette technologique héritée constitue un frein majeur à leur stratégie. A cela, il faut ajouter aujourd’hui, l’évolution de leur SI dans un environnement hybride et là se pose la question vitale de disposer d'une protection à haute disponibilité et surtout d'une reprise après sinistre concernant le stockage des données dans le Cloud. Il est fort à parier qu’une majorité d’entreprises ne possède pas de dispositifs efficaces de reprise après sinistre (PRA) ou plus global de plan de continuité d’activité (PCA). Résultat : selon l’étude Cisco Cybersecurity Readiness Index publiée en mars dernier, seules 7 % des organisations en France ont un niveau de préparation mature de résilience, nécessaire face aux risques de cybersécurité. En soi, pour Nicolas Groh, Field CTO EMEA chez Rubrik, ce n’est pas forcément un problème d’éducation à faire sur ce sujet mais, c’est surtout lié aux moyens « Les petites structures, je pense notamment aux collectivités, aux petits hôpitaux, sont potentiellement moins bien préparés par manque de moyens. »

… Mais plus de budgets alloués, un marqueur pour la résilience

Un marqueur important indique la nécessité d’être toujours plus résilient, c’est celui du budget IT, notamment celui dédié à la cybersécurité qui a tendance à augmenter à en croire, là aussi, la multitude d’études réalisées sur ce sujet. Par exemple, pour le Cesin, les budgets alloués à la cybersécurité augmentent encore légèrement cette année et dépassent majoritairement 5% du budget IT global. On y apprend même que 63% des entreprises sondées prévoient une augmentation des dépenses pour les dispositifs de protection, et 54% se concrétisent par des effectifs supplémentaires. Un budget en hausse que confirme aussi la fédération Numeum dans son enquête annuelle réalisée avec PAC auprès de 100 DSI : 51 % des DSI ont ainsi déclaré un budget IT en hausse pour 2023, contre 48% en 2022.

« Le PRA est un élément central de la résilience, il faut d’ailleurs l’auditer régulièrement », reconnait Richard Ramos, General Manager France chez Insight. Avant même de parler de PCA/PRA, certaines entreprises qui ont subies des attaques, n’avaient même pas de systèmes de sauvegardes basiques fiables. Rappelons que les PCA/PRA sont des procédures permettant, en cas d’incident majeur du SI, de garantir la reprise de l’activité qu’elle soit réduite ou totale. Là où le PCA (Plan de continuité d’activité) maintient l’activité de l’entreprise durant le sinistre, le PRA (Plan de reprise d’activité), une composante technique du PCA vise surtout à restaurer l'accès à l'infrastructure informatique après le sinistre. « Le PCA permet de revenir au point le plus près de l’attaque alors que le PRA est clairement déconnecté de cette fenêtre de temps, j’aurais tendance à penser que l’un ne va pas sans l’autre mais tout le monde n’est pas d’accord, certains décident en effet de se passer du PRA car il y a cette composante temps réel dans leur fonctionnement », précise Nicolas Groh, Field CTO EMEA chez Rubrik. Et d’ajouter : « le PRA se fait avec des moyens de sauvegardes et de réplication sur site et à distance alors que dans le PCA, des outils de production rentrent en jeu. ». Cela dit, le bon fonctionnement d’un PCA/PRA est aussi conditionné par la qualité des données surtout à l’heure où la volumétrie des données explose dans les entreprises. « L’analyse des données est prioritaire, il faut faire une cartographie des données au travers de la sauvegarde pour les identifier, pour savoir si elles sont protégées et mettre des droits pour optimiser leur accessibilité, c’est ce que nous proposons avec notre plateforme de management en mode SaaS Rubrik Security Cloud », souligne Nicolas Groh. L'éditeur va plus loin en termes de réactivité en testant les restaurations afin de s’assurer leur efficacité surtout dans le cadre d’un PRA.

L’exemple de la Ville de Colomiers

Et pour démontrer l’importance d’un PCA/PRA, prenons l’exemple de Nicolas Massey, DSI de la Ville de Colomiers (40 sites géographiques pour 1300 agents) en périphérie de Toulouse qui expliquait comment sa commune avait mis en place un PCA dans une vidéo parue en 2020 sur le site de notre publication CIO et qui fait, aujourd’hui en 2024, toujours évoluer son infrastructure. « Quand je suis arrivé en 2018, j’ai hérité d’une infrastructure traditionnelle, des serveurs lames connectés à un commutateur SAN en fibre channel avec une baie de stockage, elle datait de 2012 et était arrivé à bout de souffle en termes de volumétrie et de VM hébergés et pas redondance donc aucune marge de manœuvre pour redémarrer une VM ou un autre serveur ». De ce constat, par manque de résilience, le DSI a fait table rase en démarrant sur une infrastructure plus moderne avec de la redondance et de la sécurisation des données et de l’activité de l’infrastructure sous VMWare. « Au début, nous étions partis sur un PRA mais avec les technologies d’hyperconvergence, le PCA devenait aussi abordable. Nous avons donc choisi l’offre de Nutanix (ndlr : facilitation de rajout des nœuds via la console de Nutanix) », avait rappelé Nicolas. La gestion de l'infrastructure a donc été simplifiée, de plus pour assurer la redondance, deux salles en mode actif-actif sont opérationnelles, puis un troisième site pour une sauvegarde indépendante de l’infrastructure Nutanix via Veeam Backup selon la règle 3-2-1 (trois copies, deux supports disques/LTO dont une déportée), tous les sites étant sur le territoire de la commune et reliés par fibre optique.

Et comme le relève Nicolas Massey, pas de prestataires hébergeurs externes, l’Anssi incitant les collectivités à être maître de leurs données, en particulier les sauvegardes. « Nous préférons avoir les données en interne ainsi que leurs sauvegardes tout en étant sécurisé via notre maillage sur la commune ». Avec toutes ces technologies d’hyperconvergence et de backup déployé, le DSI admet bénéficier de plus de simplicité et qu’il n’est plus nécessaire de disposer de multiples compétences en interne surtout lorsque les équipes IT sont réduites à l’image de celle de la collectivité. Aujourd’hui, Nicolas Massey et ses équipes poursuivent les améliorations et les évolutions de l’infrastructure en rajoutant des nœuds pour augmenter les ressources tout en améliorant régulièrement l'aspect sécurité (redondance réseau, modification des paramètres pour éviter les failles, etc). « Nous commençons même à travailler à son évolution future sur plusieurs aspects, déjà sur la consolidation de nos sauvegardes même si on est déjà conforme à la règle des 3.2.1. Nous envisageons donc plusieurs pistes, à savoir le rajout de repositories immuables et/ou une externalisation. Ensuite, nous travaillons sur une éventuelle évolution de l'hyperviseur. A ce jour, nous sommes sur VMware mais le changement de mode de licensing et de tarifs nous oriente peut-être vers une bascule sur l'hyperviseur AHV de Nutanix. Enfin, une ouverture éventuelle à l'hybridation pour les évolutions à venir est en réflexion », résume Nicolas Massey.

Les réglementations européennes seront de plus en plus nombreuses et contraignantes pour assurer la résilience des infrastructures IT à l’image de celle de Dora pour Digital Operational Resilience Act. Cette dernière, une réglementation applicable dès janvier 2025, aura pour mission de renforcer la résilience opérationnelle IT des acteurs du secteur financier, les banques et les assurances notamment, y compris les prestataires de services TIC qui opèrent au sein de l’Union européenne dans ces services financiers. Au total, près de 22 000 organisations seraient concernées. Initié par la Commission européenne en 2020, ce règlement Dora vise donc à garantir le fonctionnement de l’entreprise même en cas d’attaque ou d’incident Cyber. Pour ce faire, les institutions financières concernées devront mettre en place une série de mesures et les documenter. Les exigences de Dora se portent surtout sur chaque aspect de la cybersécurité, y compris la surveillance des cybermenaces et le signalement des cyberattaques mais aussi sur les exigences en matière de sauvegarde. De même, Dora exige que les institutions financières tiennent un registre décrivant les arrangements contractuels avec les fournisseurs informatiques et qu’elles incluent des dispositions spécifiques dans les contrats avec ces derniers.

Vers un empilement de lois et règlements

A la loi Dora vient bien sûr s’ajouter à la directive NIS2 qui vise à renforcer les mesures de résilience cyber des acteurs nationaux jugés essentiels dans un grand nombre de secteurs critiques définis (énergie, transport, santé, administration publique, etc.). Quant à la directive RCE (Résilience des Entités Critiques), très similaire à NIS2, elle met en avant la nécessité d'une stratégie nationale visant à améliorer la résilience des entités critiques fournissant des services étatiques essentiels. S’ajoute enfin la loi CRA (Cyber Resilience Act) qui permet d’assurer une plus grande résilience des produits matériels et logiciels. Cette loi va ainsi imposer des obligations de sécurité aux fabricants mais aussi aux importateurs et distributeurs pour commercialiser ces produits connectés. Pour résumer, la loi demande déjà plus de Security by design, c’est-à-dire de prendre en compte la sécurité dès la conception du produit et qu’aucune faille de sécurité connue soit détectée au moment de la livraison. Ensuite, la documentation technique évaluant les cyber risques doit être plus rigoureuse. Enfin, il y aura une obligation de fournir pendant 5 ans des mises à jour du produit pour corriger d’éventuelles failles. Enfin, tout incident devra par ailleurs être notifié à l’Enisa (European Union Agency for Cybersecurity). Aujourd’hui, nous ne connaissons pas encore le calendrier de la mise en œuvre de la lo CRA et sa transposition dans chaque pays européen.

EHDS pour assurer plus de résilience aux données de santé

Un autre secteur est soumis à plus de résilience, c’est celui de la santé et le programme EHDS (Espace européen des données de santé) créé par l’UE en fait partie. Rappelons que l’EHDS permet aux citoyens de contrôler et d'utiliser leurs données de santé dans leur pays d'origine ou dans d'autres États membres. Cet espace de partage offre un cadre cohérent et fiable pour exploiter les données de santé à des fins de recherche, d'innovation, d'élaboration de politiques et de réglementation, tout en garantissant le plein respect des normes élevées de protection des données de l'UE. L'accès à ces données par des chercheurs, des entreprises ou des institutions nécessite l'autorisation d'un organisme d'accès aux données de santé, qui est créé dans tous les États membres. L'accès ne sera accordé que si les données demandées sont utilisées à ces fins spécifiques, dans des environnements fermés et sécurisés et sans révéler l'identité de la personne. A ce titre, l'EHDS s'appuie entre autres sur le RGPD et la directive NIS. D’ailleurs, la confiance est un élément important de l’EHDS, en effet, des critères de sécurité sont intégrés pour que les fournisseurs assurent l'interopérabilité et la sécurité des systèmes de dossiers de santé.

Pour Richard Ramos, General Manager France chez Insight, l’IA joue un rôle important dans la résilience puisqu’elle participe à renforcer l’automatisation des processus, de ce fait, elle améliore les performances opérationnelles. Prévenir les pannes, optimiser les stocks, personnaliser l’expérience client, faire de l’aide au diagnostic…, l’IA agit sur une multitude de leviers. Mais là où l’IA prend tout son sens, c’est dans l’interprétation des résultats notamment dans le domaine de la cybersécurité. Selon Capgemini, 69% des dirigeants dans l’IT déclarent que l’IA améliore la précision de la détection des brèches de sécurité, et 60% d’entre eux estiment qu’elle renforce l’efficacité du travail des analystes cybersécurité, en réduisant le temps qu’ils consacrent à l’analyse des faux positifs et en améliorant la productivité. Il faut dire que les équipes SOC sont submergées d’alertes quotidiennes, une solution IA capable de les aider à prioriser et à répondre aux événements critiques de manière efficace est même devenue indispensable. Aujourd’hui, tous les éditeurs de plateformes XDR ou de type SASE, SIEM/SOAR, de TrendMicro à IBM/QRadar, exploitent l’IA au niveau prédictif pour révéler les signaux et les incidents majeurs, l’IA peut donner du contexte et une vue d’ensemble de la situation grâce à une synthétisation et à une interprétation intelligente des événements.

Un nouveau cap avec l’IA Générative

Avec l’IA générative, un pas supplémentaire devrait être encore franchi. Bipul Sinha, CEO et co-fondateur de Rubrik, a déclaré dans un récent communiqué que nous devons utiliser la GenAI non seulement pour comprendre les futurs cyber événements, mais aussi pour les prévenir et nous en défendre. Cette déclaration est intervenue suite à l’accord entre Rubrik et Microsoft pour intégrer Rubrik Security Cloud à Microsoft Sentinel et Azure OpenAI Service. Selon les explications des deux acteurs, cette intégration offrira une utilisation réellement exploitable de l'IA pour réduire le temps nécessaire à l'investigation et à la détermination des réponses aux cyber-événements, boostant ainsi d’avantage la cyber-résilience. A l’instar de Microsoft (notamment avec son moteur Purple AI dans Sentinel One pour la recherche, l'analyse et la réponse aux menaces.) ou de Rubrik, les annonces se sont multipliées ces derniers temps autour de l’IA générative capable de faire progresser la cyber résilience, citons par exemple Tenable qui a dévoilé au mois d’août Exposure AI, un moteur d’IA générative intégré à sa plateforme Tenable One, CrowdStrike avec Charlotte AI ou encore Google qui a annoncé lors de son événement Google Cloud Next à la fin du mois d’août l’intégration de Duet AI dans ses solutions de sécurité (Mandiant Threat Intelligence, Security Command Center ou encore Chronicle Security Operations, le SOC de Google). Citons enfin Cisco avec son assistant génératif de politique d'IA, AI Policy Assistant, qui peut aider les administrateurs de la sécurité et de l’IT à mieux définir les politiques de sécurité granulaires et évaluer la meilleure façon de les mettre en œuvre dans leur infrastructure de sécurité.

Selon le 7ème rapport sur la gestion des cyber-risques publiée par l’assureur Hiscox en octobre 2023, 53% des entreprises françaises ont subi une attaque, contre 52% l’an dernier. Quant au coût moyen d’une cyber attaque, il s’affiche à 14 700€ en 2023 contre 15 600 l’an dernier. De ce constat, la cyber-assurance a toute sa place dans une approche de résilience IT. « Nous pouvons la caractériser en deux points Avant et Après souscription. Avant avec des prérequis qui évoluent en fonction de la taille des entreprises, ces prérequis constituant déjà un argument en faveur de la résilience puisqu’elle interroge aussi l’entreprise sur son niveau de maturité. L’Après est toute aussi important chez Hiscox, en effet, lorsqu’une entreprise a subi une attaque, elle peut appeler, sous condition d’avoir souscrit un contrat chez nous, notre prestataire Inquest. Celui-ci va lui fournir un accompagnement stratégique et opérationnel d'experts en sécurité des systèmes d'information », détaille Benjamin Langlet, responsable cyber chez Hiscox France. En France, la cyber-assurance n’est pas obligatoire mais face à l’augmentation des cyberattaques, elle est conseillée. Selon le baromètre annuel de la cybersécurité des entreprises réalisé en ligne de décembre 2022 à janvier 2023 par OpinionWay pour le Cesin, près de 2/3 des répondants ont souscrit une cyberassurance. Ce sont surtout les grandes entreprises qui souscrivent à une cyber-assurance, les TPE et PME sont encore loin de ce niveau de maturité des grands comptes et pour cause, elles ne sont pas encore bien informées. Selon l’Ifop (Enquête Les TPE/PME et la cybersécurité réalisée en 2021), trois quarts des TPE/PME estiment que leur entreprise n’est pas exposée à ce type de risques alors qu’elles sont des cibles importantes pour les attaques les plus fréquentes, à savoir les rançongiciels. Pour Benjamin Langlet, la meilleure réponse reste la sensibilisation. « Pour les grandes entreprises, tous les responsables métiers sont associés à la prise de décision, ce n’est pas le cas dans une petite entreprise où la décision passe souvent par le dirigeant ou le DAF lorsqu’il y en a un. D’où l’importance de les sensibiliser. Quant au coût d’une cyber assurance, ce n’est pas un frein puisqu’il est sensiblement le même qu’une responsabilité civile professionnelle ». A ce titre Hiscox va lancer dès 2024 une nouvelle assurance pour les petites entreprises avec une perte d’exploitation à hauteur de 2,5 M€ et un engagement de délai de remboursement très court.

Le paiement de rançons couvert par certains contrats

Chiffres à l’appui, une majorité des entreprises (63% selon le rapport Hiscox) ont payé une rançon en 2022 pour récupérer l’accès à leurs données, cette rançon atteint en moyenne 9844 €. Seules 46% des victimes ont indiqué avoir récupéré l'intégralité de leurs données après versement de la rançon stipule également le rapport. Face à ce dilemme de payer ou pas la rançon, l’adoption par le Parlement de la Loi d’orientation et de programmation du ministère de l’Intérieur (Lopmi) incite les assureurs à instaurer des garanties sur le paiement des rançons sous la condition de porter plainte dans les 48 heures. Dans les faits, de nombreux contrats de cyber-assurance couvrent le paiement de la rançon, c’est surtout vrai chez les assureurs anglo-saxons à en croire Benjamin Langlet : « C’est dans notre ADN chez Hiscox pour tous nos contrats, je sais que de nombreux assureurs ne le proposent plus forcément ».