« Au regard de l’état de l’art dans les cyber-attaques et des tendances dans ce domaine, il est essentiel aujourd’hui d’envisager la sécurité comme un critère dès l’acte d’achat de machines. Une entreprise doit être attentive à son choix de matériels, pas seulement de logiciels, d’offres cloud ou d’équipements réseau. Qu’il s’agisse d’un PC de bureau, d’un ordinateur portable, d’une imprimante, ou de nouveaux objets connectés, la sécurité doit commencer dès la conception du matériel », indique Christophe Demagny, Senior Security Expert chez HP pour la région EMEA. Cette mise en garde est fondamentale à l’heure où les équipements connectés et plus généralement l’IoT (Internet of Thing/Internet des objets connectés) se multiplient. Selon Gartner, 8,4 milliards d’objets connectés sont déjà opérationnels dans le monde, ils seront 20 milliards en 2020. Quant à la sécurité de ces objets, elle laisse souvent à désirer car elle n’est pas correctement, voire pas du tout, prise en compte dès la conception des équipements. C’est d’autant plus inquiétant aujourd’hui après les récentes attaques en déni de service DDoS (Distributed Denial of Service) contre les infrastructures de plusieurs sites web. En effet, les pirates exploitent les failles des objets connectés en les transformant, par la suite, en machines esclaves pour lancer leurs méfaits. Prenons l’exemple du Botnet Mirai en 2016 qui s’est diffusé au travers de caméras de surveillance pour faire tomber des sites tels que Twitter ou Spotify. « Les attaques sont diverses, pernicieuses, très intenses et coûtent très chères aux entreprises. Il faut dire que ces dernières font face à de véritables organisations criminelles très hiérarchisées avec des méthodes industrielles en termes d’objectifs et de résultats. De plus, les hackers n’hésitent pas à transmettre leur code permettant à d’autres d’améliorer les malwares. Face à ce constat, les entreprises doivent anticiper afin de savoir quand elles peuvent potentiellement se faire pirater », constate Christophe Demagny.
L’importance d’une approche de Security by design
Dans ce contexte, la mise en place d’une stratégie de cyber-résilience est nécessaire pour les entreprises et HP se positionne clairement comme le leader en intégrant directement la sécurité dès le design de ses matériels pour les entreprises (Security by design). « Dès l’étape de conception, notre objectif est d’amener une architecture pour la résilience au cœur du matériel, pour non seulement protéger, mais aussi mieux détecter et remédier aux intrusions dans les matériels. Cela devient essentiel dans un monde ou les attaques visent aussi les équipements et leur Firmware, ou logiciel embarqué », indique en exemple Boris Balacheff, Chief Technologist pour la recherche et l’innovation en sécurité chez HP. Ainsi, HP propose des dispositifs embarqués dédiés pour protéger les matériels dans sa gamme de produits pour l’entreprise contre les attaques bas-niveau. Citons par exemple HP Sure Start qui protège, détecte les intrusions et répare automatiquement la couche de logiciel embarquée (Firmware ou Bios) dans les PC, mais aussi dans les imprimantes HP Entreprise. D’autres dispositifs avancés viennent mettre la sécurité du matériel HP au service des entreprises, avec HP Sure Click pour l’isolation des attaques venant de la navigation web, ou même HP Sure View qui intègre un filtre de confidentialité dans l’écran des notebooks pour protéger l’utilisateur des regards indiscrets... Mais HP anticipe un besoin croissant pour davantage de sécurité ancrée dans les fonctions du matériel. Les dernières innovations annoncées le 7 février 2018 avec le HP Elitebook 800 G5 incluent par exemple HP Sure Recover. Cette solution permet l’automatisation sécurisée de la récupération logicielle même dans les cas d’attaques destructrices comme celles observées en 2017. HP Sure Run permet quant à elle au matériel de protéger la bonne exécution de logiciels critiques de sécurité, de détecter et réparer des fautes de fonctionnement en cas d’attaque.
Cette expertise acquise dans le domaine des ordinateurs personnels, HP l’a dupliquée aux imprimantes. En effet, HP se positionne en leader de l’innovation dans les architectures de sécurité nécessaires à la protection des flottes d’imprimantes dans les entreprises. Cela commence avec HP Sure Start dès la couche matérielle, mais aussi avec les technologies de Whitelisting pour protéger l’intégrité de tout le logiciel embarqué, le Runtime Intrusion Detection pour détecter les logiciels malicieux jusque dans la mémoire vive, ou plus récemment l’annonce de HP Connection Inspector, un nouveau mécanisme intégré aux imprimantes professionnelles qui analyse les communications réseau à l’intérieur de l’imprimante pour détecter et remédier à l’intrusion de logiciels malveillants . « Ces innovations ont été possibles grâce aux vingt années d’investissements et de maturité acquise dans la sécurité informatique, avec un laboratoire de recherche dédié chez HP Labs. Aujourd’hui, l’enjeu est d’anticiper les menaces à venir et d’offrir à nos clients des solutions et des matériels parfaitement adaptés », reconnaît Boris Balacheff.
Des outils mais surtout des processus
Bien sûr, HP insiste, en parallèle, sur l’importance de la gestion opérationnelle de la sécurité des machines. Et en particulier, sur l’importance de réaliser régulièrement des audits de sécurité, de documenter les différents processus et de disposer ainsi de vrais éléments d’évaluations et de mesures. « J’ai coutume de dire que la sécurité c’est 70 % de process et 30 % d’outillage », admet Christophe Demagny. A noter que le règlement européen sur la gestion des données personnelles RGPD (ou GDPR en anglais) devrait encourager à la réalisation plus régulière d’analyse de risques dans les entreprises. Pourtant, la difficulté la plus souvent rencontrée en termes de gestion de la cyber-sécurité dans les entreprises, est celle du recrutement de l’expertise adéquate. Ainsi HP offre aujourd’hui des services d’expertises en analyse de risques de sécurité pour les flottes d’imprimantes ou de postes de travail, mais aussi des services d’implémentations de stratégie de sécurité, et même de gestion de la sécurité opérationnelle pour aider les entreprises dans cette voie. Par ailleurs, HP a investi aussi dans le développement d’outils de gestion de la sécurité, comme par exemple avec le Security Manager, un outil qui permet d’automatiser la configuration des paramètres de sécurité des flottes de systèmes d’impression et de générer des tableaux de compliance sur l’ensemble du parc d’imprimantes. « Avec Security Manager, toutes les règles de sécurité sont automatiquement distribuées sur les différents périphériques HP. Par exemple, il est possible d’ordonner le blocage d’un port USB sur des imprimantes. Le but est de donner aux entreprises de la visibilité et une approche pragmatique sur la gestion du risque. Ces outils aident les DSI à contrôler les équipements et permettent aussi de lutter contre le shadow IT. En moyenne, 10 % des équipements sont inconnus dans les entreprises, ils représentent autant de portes d’entrée pour les pirates», souligne Christophe Demagny.
De manière générale, la stratégie de HP en matière de sécurité est d’aider les entreprises non seulement à se protéger contre les pirates, mais aussi à parvenir à une meilleure cyber-résilience grâce à des mécanismes de sécurité intégrés au cœur des matériels permettant de mieux détecter, de remédier aux attaques et de minimiser ainsi les couts et les pertes de productivité.