La vulnérabilité humaine en matière de sécurité

Les cyberattaques classiques commencent souvent par un e-mail. Un utilisateur l'ouvre et clique innocemment sur le lien à l'intérieur et... les lumières s'éteignent dans l'entreprise. Pas étonnant que beaucoup aient tendance à identifier la cause du problème avec la vulnérabilité "utilisateur". Une analyse de Trend Micro.

La prise de conscience que les utilisateurs sont le problème a déclaré plus de la moitié des répondants à deux webinaires en allemand et en anglais (pour l'Europe) qui ont eu lieu en juillet 2021 avec un total de plus de 1000 participants. Ici, la question a été posée de savoir lequel des problèmes suivants était le "plus gros" dans la sécurité informatique de sa propre entreprise : que "les employés font des erreurs qui conduisent à des infections", "un manque de budget", "des outils de sécurité défectueux" ou "une surcharge de l'informatique département de sécurité. Bien sûr, dans les entreprises réellement touchées par les cyberattaques, plusieurs de ces facteurs s'appliquent. Mais les plus gros maux de tête ont été causés par les employés "inexpérimentés", chacun avec plus de 50 %. Il ne fait aucun doute que de nombreux problèmes de sécurité informatique sont liés au facteur humain, mais une focalisation unilatérale sur l'employé négligent peut conduire à des conclusions erronées et à de graves conséquences.

vulnérabilité employés

Cette thèse postule qu'un employé qui clique sur un lien ou ouvre une pièce jointe qui semble suspecte contribue sans le savoir à mettre en place une attaque. En fait, "l'employé négligent" est en fait un problème plutôt mineur par rapport aux autres "points faibles des êtres humains", mais c'est l'une des rares vis de réglage avec lesquelles on peut obtenir des améliorations pertinentes pour toutes les personnes impliquées sans grand effort. Par conséquent, les employés doivent absolument être informés des dernières astuces. Ils devraient également avoir un moyen de faire vérifier les e-mails suspects et de dire merci chaque fois qu'un employé voit un e-mail d'attaque, car cela aide à arrêter les attaques.

Incidemment, les employés ne peuvent identifier une telle attaque que parce que les cybercriminels réussissent encore suffisamment à utiliser des e-mails générés de manière générique pour atteindre leurs objectifs. Leur prochain tour est depuis longtemps dans le kit. Emotet utilisait déjà les réponses aux e-mails envoyés précédemment. Et même ce n'est pas la fin de ce qui est techniquement possible. Mais les cybercriminels évitent les efforts inutiles. Mais cela signifie que tout entraînement ne sert qu'à rendre le travail de l'attaquant plus difficile. Cela ne résoudra pas le problème.

Point faible informaticien/sécurité

Si un collaborateur reçoit un e-mail, celui-ci est déjà passé par plusieurs niveaux techniques. Des méthodes sandbox, l'intelligence artificielle et d'autres technologies ont été développées pour détecter directement les attaques. Si ce n'est pas le cas, il existe d'autres solutions de sécurité au niveau du système et du réseau, qui devraient toutes également détecter les activités suspectes. Ce sont des outils professionnels créés avec toute l'expérience et mis en œuvre spécifiquement à cet effet, afin de permettre aux personnes de travailler en toute sécurité à la fin. Si tous ces outils techniques ne peuvent empêcher l'attaque ou au moins l'identifier, la question se pose de savoir pourquoi un utilisateur "normal" peut être tenu pour responsable de quoi que ce soit. Des outils d'ingénierie et une équipe pour les entretenir et les affûter sont achetés et payés pour permettre aux gens de décider facilement si quelque chose est bon ou non !

Les outils doivent prendre des décisions

Mais c'est exactement là que réside un problème souvent négligé : la technologie de sécurité informatique évolue constamment. Tout comme les attaquants aiguisent leurs armes, les défenseurs aussi. Cela se traduit par des mises à jour constantes, des changements fonctionnels ou stratégiques. De plus, les entreprises construisent des environnements informatiques toujours plus complexes et traitent de plus en plus de données. Dans le même temps, le fonctionnement de l'informatique devient de plus en plus critique pour les capacités opérationnelles d'une entreprise.

Les employés de la sécurité informatique sont souvent débordés

Les employés de la sécurité informatique, s'ils peuvent se concentrer sur la sécurité informatique, sont submergés par la multitude de systèmes et les différentes options de configuration. Si une entreprise décide également d'acheter tactiquement des solutions de sécurité, la charge de travail augmente de façon exponentielle. (L'achat tactique consiste à tenter d'acheter un nouveau produit de sécurité uniquement lorsqu'un problème est survenu ou ne peut plus être ignoré.) Cette approche garantit, entre autres, que les systèmes n'agissent pas de manière coordonnée, mais remplissent uniquement des Tâches. Cela crée des lacunes dans les connaissances et des erreurs dues à des exigences excessives. Le surmenage conduit souvent à la frustration au travail.

Développement de logiciels informatiques de vulnérabilité

Des défis similaires peuvent également être rencontrés dans le développement de logiciels. Déclenché par le besoin accru d'applications des consommateurs, de plus en plus de composants logiciels sont développés ou assemblés. Dans les pratiques DevOps, le développement est pratiquement une boucle sans fin, et les personnes qui travaillent ici sont bien sûr calées en informatique. Et pourtant, ce sont précisément ces experts qui commettent souvent les erreurs les plus ridicules... du point de vue de la sécurité. Le "monde entier" a accès à la base de données clients car les autorisations ont été oubliées à définir. Soit vous avez programmé des données de connexion lors du développement mais avez oublié de modifier à nouveau la solution de contournement simple, et donc l'accès aux cartes de crédit des clients n'est sécurisé qu'avec le nom d'utilisateur et le mot de passe "admin".

Toutes ces erreurs se produisent, et si l'entreprise est suffisamment importante, un incident fera la une des journaux. Encore une fois, la principale cause est le stress. Parce que dans le développement de logiciels, il y a de la pression. La nouvelle fonctionnalité devrait arriver aujourd'hui et non demain. Il peut être amélioré si nécessaire. L'un ou l'autre problème est souvent négligé ou délibérément ignoré. De plus, très peu de développeurs de logiciels développent des solutions de sécurité. La sécurité est un gadget mal aimé, que l'on est souvent obligé d'utiliser.

RSSI Vulnérabilité - Niveau C

Bien sûr, la direction reconnaît l'importance de la sécurité informatique. Cependant, il est souvent considéré comme un mal nécessaire et rarement comme faisant partie intégrante de la chaîne de valeur. Cela devrait coûter le moins cher possible et idéalement être à peine perceptible. En fait, la plupart des entreprises ont été en mesure de mettre en œuvre cette tactique avec beaucoup de succès ces dernières années, malgré des dépenses relativement faibles. Fidèles à la devise "ne jamais changer un système en cours d'exécution", les concepts vieux de plusieurs décennies ne sont pas remis en question, mais poursuivis de manière cohérente.

La qualité des cyberattaques augmente depuis des années

Mais le monde de la sécurité a également changé. La quantité et la qualité des cyberattaques augmentent régulièrement depuis des années. Rien qu'en 2021, il y a eu beaucoup d'excitation avec "Sunburst", "Hafnium" et "Kaseya", sans parler des incidents individuels avec un écho mondial tels que le "Colonia Pipeline" ou le "JBS Hack". Le boom économique du cyber underground n'est pas une coïncidence qui va à nouveau disparaître, mais un changement structurel. Ainsi, l'introduction des crypto-monnaies et l'animosité politique ont créé une nouveauté historique mondiale avec un marché mondial incontrôlé, peut-être même incontrôlable, pour les activités criminelles. Le caractère unique de cette situation est quelque chose qui est maintenant discuté même au plus haut niveau politique.

L'indice de risque cybernétique apporte de la clarté

Cela se reflète, par exemple, dans la recherche Cyber ​​​​Risk Index de Ponemon/Trend Micro. Il convient de noter une nette baisse de confiance dans le fait que le niveau C prend également la situation de menace au sérieux, bien que pratiquement tous les répondants supposent une situation de risque accru. Ceci est lié à une faiblesse ou à un talent trop humain, peu répandu parmi les personnels de sécurité informatique. Il s'agit du talent pour bien "vendre" au manager le besoin de mesures. Parce que, surtout dans les entreprises où la sécurité informatique précédente a réussi à tout repousser, il y a rarement un budget supplémentaire pour plus de personnel ou des solutions plus modernes. Ici, il est important de procéder avec diplomatie, car le travail, qui a été sans faille jusqu'à présent, ne peut être critiqué. Et pourtant… la situation change en raison des facteurs externes (tels que décrits ci-dessus), qui sont souvent difficiles à argumenter pour les spécialistes de la sécurité informatique car ils existent en dehors de leur propre expertise. Les RSSI, en particulier, ont du mal à articuler de manière crédible l'évolution de la situation des menaces afin d'obtenir des améliorations budgétaires, techniques et humaines. Avec la loi sur la sécurité informatique, la Confédération souligne une nouvelle fois l'importance de l'informatique et de la sécurité informatique pour les infrastructures critiques afin d'apporter un soutien supplémentaire en termes d'argumentation. Car même si cela semble cynique... souvent quelque chose ne se passe que lorsque les sanctions attendues se font sentir (malheureusement).

Point faible sécurité informatique - Spécialiste SOC

De nombreuses entreprises soumises à la loi sur la sécurité informatique, mais aussi de plus en plus d'entreprises de taille moyenne, décident donc de créer un centre opérationnel de sécurité. Les employés hautement spécialisés qui travaillent ici doivent analyser les incidents de sécurité et y remédier dans les plus brefs délais. Ce qui, en théorie, combat efficacement le problème des cyberattaques devient souvent un défi dans la pratique. Les problèmes de pénurie de main-d'œuvre qualifiée et le zoo historiquement développé de solutions individuelles achetées signifient également que la charge de travail des employés du SOC augmente énormément. Dans une enquête de Trend Micro auprès de plus de 70 2000 répondants dans le monde, 40 % ont déclaré que le stress lié au travail avait un impact sur leur vie personnelle. Au travail, la surcharge entraîne, entre autres, le fait que les alarmes sont délibérément ignorées (43% l'ont avoué) pour travailler sur autre chose et XNUMX% ont laissé leur lieu de travail débordé ou ont simplement éteint l'alarme. De plus, leur travail est rarement apprécié quand "il ne se passe rien". Une forte fluctuation, en particulier dans les entreprises de taille moyenne, en résulte et assure une nouvelle aggravation du problème du personnel.

Résumé de l'analyse

En fait, les faiblesses humaines sont le problème de la sécurité informatique. Mais ce ne sont pas les "employés normaux" qui suscitent le plus d'inquiétude. Un manque de reconnaissance avec une charge de travail en constante augmentation couplée à la pression d'être aussi rapide et efficace que possible assurent une frustration croissante et une susceptibilité aux erreurs, en particulier chez les informaticiens et surtout les spécialistes de la sécurité informatique.

Le problème des patchs, qui existe depuis plus de 20 ans, s'est multiplié ces dernières années en raison d'une véritable explosion logicielle et fait que les équipes de sécurité informatique n'ont guère de vue d'ensemble sur ce qui est réellement utilisé, et encore moins sur l'état de sécurité de nombreux systèmes. est.

Les équipes de sécurité informatique perdent le fil

Les entreprises, en revanche, perdent la capacité de réagir rapidement aux incidents et manquent de personnel pour faire face aux véritables urgences. D'autre part, une véritable économie souterraine est en train d'émerger, qui a surtout inspiré la spécialisation de ses protagonistes. Dans ce climat, une refonte urgente est nécessaire. Les stratégies de sécurité informatique traditionnelles doivent être reconsidérées. Des techniques modernes sont mises en œuvre et optimisées dans le domaine de l'administration. Plus il existe d'automatismes pour soulager les salariés, mieux ils peuvent se concentrer sur les problèmes graves. En collaboration avec ses partenaires revendeurs, Trend Micro propose des solutions et des processus pour y parvenir.

Les gens sont des gens et ça reste comme ça. Ce qui change, ce sont les conditions-cadres et elles viennent de changer massivement. Et voici une autre loi de la nature : ceux qui sont les plus capables de s'adapter aux nouvelles conditions environnementales survivent.

Quelques conseils pour plus de sécurité informatique

• Réduisez les cycles de mise à jour de la sécurité informatique. Ils doivent être en mesure de mettre en œuvre la technologie moderne plus rapidement. Avec les offres « Software as a Service », différents prestataires offrent la possibilité de réaliser eux-mêmes ces cycles. Lors du choix d'un partenaire, faites également attention à la capacité d'un fabricant à développer de nouvelles technologies. Fournir une technologie de pointe une seule fois ne suffit pas. Il est également beaucoup plus important d'avoir la capacité de rester au courant des nouveaux développements.
• Analysez la gérabilité de vos défenses. La complexité de la sécurité ne fait pas peur au cybercriminel. Beaucoup plus importante est la question de savoir si vous êtes en mesure de suivre les événements inhabituels sur le réseau. Les employés du SOC et de la sécurité informatique en particulier sont souvent surchargés de travail et n'arrivent presque jamais à faire leur travail habituel. Il est difficile de réagir correctement en cas d'urgence.
• Selon le BSI, la sécurité n'est pas un objectif qui est atteint, mais un processus qui demande à être adapté. Dans le passé, des tentatives étaient faites pour ajouter périodiquement de nouvelles fonctionnalités lorsqu'une licence expirait. Aujourd'hui cela ne suffit plus. Alors que les cybercriminels travaillent pour attaquer les entreprises, les entreprises doivent également rester à la pointe de la technologie pour se défendre. Si vos propres employés ne sont pas en mesure de le faire, les projets de services gérés peuvent vous aider dans tous les domaines.
• La protection externe ne suffit pas. Les attaquants peuvent traverser n'importe quelle défense. Ce qui compte, c'est la rapidité avec laquelle vous êtes en mesure de les localiser, puis de résoudre le problème. Les stratégies dites XDR sont l'option la plus récente ici. Notre stratégie XDR s'appelle Trend Micro Vision One.

Envisagez une stratégie de confiance zéro. Avant tout, vous devez supposer que la technologie de votre entreprise a été compromise. Parce que même s'il est possible de convaincre une personne de faire quelque chose de mal, c'est généralement beaucoup plus difficile que de voler des mots de passe et de tromper la technologie. Cela fait également l'objet d'une stratégie XDR.

Plus sur TrendMicro.com

 

---

À propos de Trend Micro

En tant que l'un des principaux fournisseurs mondiaux de sécurité informatique, Trend Micro aide à créer un monde sécurisé pour l'échange de données numériques. Avec plus de 30 ans d'expertise en matière de sécurité, de recherche sur les menaces mondiales et d'innovation constante, Trend Micro offre une protection aux entreprises, aux agences gouvernementales et aux consommateurs. Grâce à notre stratégie de sécurité XGen™, nos solutions bénéficient d'une combinaison intergénérationnelle de techniques de défense optimisées pour les environnements de pointe. Les informations sur les menaces en réseau permettent une protection meilleure et plus rapide. Optimisées pour les charges de travail cloud, les terminaux, les e-mails, l'IIoT et les réseaux, nos solutions connectées offrent une visibilité centralisée sur l'ensemble de l'entreprise pour une détection et une réponse plus rapides aux menaces.

---

 

Articles liés au sujet