Les cyberpirates parviennent à dérober les données par le biais de 3 principaux vecteurs : les bases de données, les applications cloud et les appareils USB amovibles. Près de trois quarts des failles de sécurité ont nécessité une révélation publique. Celle-ci met en difficulté la réputation de la marque. Que font les entreprises pour parer ces attaques ? Sont-elles conscientes du danger ? Zoom sur ce danger omniprésent.
Mercredi 24 janvier, une fuite de plus de 26 milliards de données dont plusieurs millions provenant de Twitter, Deezer, LinkedIn, Adobe, Dropbox ou encore Canva. Surnommée Mother of All Breaches (MOAB), soit mère de toutes les brèches en français, cette base de données “comprend des informations provenant de milliers de fuites, de brèches et de bases de données vendues à titre privé méticuleusement compilées et réindexées”, selon Cybernews. Elle se situe dans une instance cloud ouverte et se compose de 26 milliards de données réparties dans 3800 dossiers, chacun “correspondant à une fuite de données distincte”.
L’enquête 2024 Global Digital Trust Insights de PwC, menée auprès de 3 876 dirigeants et responsables de la technologie dans les plus grandes entreprises mondiales (30 % des répondants ont un chiffre d’affaires de 10 milliards de dollars ou plus), montre que l’ont peut être davantage vigilant en matière de cybersécurité.
Le coût et l’ampleur des violations de données continuent d’augmenter. Bien que les attaques via le Cloud soient la principale préoccupation des entreprises, environ un tiers d’entre elles n’ont pas de plan de gestion des risques pour faire face aux défis posés par le Cloud en matière de cybersécurité. Seule la moitié des entreprises se disent être « très satisfaites » de leurs capacités technologiques cyber. 30 % des entreprises ne se disent encore insuffisamment outillées.
Forester et quelques prévisions
Forrester vient de dévoiler ses prévisions pour 2024 dans les domaines de la cybersécurité, du risque, de la confidentialité des données et de la confiance.
Quelques Perspectives d’avenir : 90 % des violations comporteront un élément humain. Le pourcentage de violations incluant un élément humain augmentera en 2024 en raison de l’impact de l’IA générative et de la prévalence des canaux de communication qui rendent les attaques d’ingénierie sociale plus simples et plus rapides. Il faudra donc sensibiliser et former à la sécurité. Cependant, les organismes de presse deviendront des sources d’information convoitées. En 2024, Forrester prévoit que la confiance dans la crédibilité des sources sera placée à un niveau record – et qu’il y aura donc un rebond indispensable de la confiance dans les médias.
A contrario, la confiance des consommateurs envers les entreprises connaîtra une baisse de 10 %. Avec les Jeux olympiques mondiaux et les élections présidentielles américaines qui se profilent à l’horizon, le scepticisme des consommateurs atteindra un niveau record. La diffusion de fausses informations touchera également toutes les entreprises.
Une étude menée via des questionnaires en ligne, réalisée entre le 12 et le 31 décembre 2018 auprès d’organisations qui devaient avoir plus de 1000 employés aux USA, au Royaume-Uni, à Singapour, en France et en Allemagne met en avant le retard en matière de sécurité informatique des entreprises. Notamment françaises où 74% des responsables IT ont déjà fait l’expérience de graves failles de sécurité.
Cette étude a révélé que malgré les améliorations dans la lutte contre le cybercrime et les menaces, les professionnels de la sécurité des systèmes d’information doivent faire face au fait de sécuriser leur organisation et la protéger des failles.
« Les menaces ont évolué et vont continuer à se sophistiquer de plus en plus » explique Fabien Rech, DG Europe du Sud de McAfee. « Les organisations ont besoin d’augmenter leurs mesures de sécurité en implémentant une forte culture de la sécurité en interne, et en insistant sur le fait que tous les employés doivent adopter une attitude de sécurité commune à la société, et pas seulement les équipes informatiques. Pour anticiper les menaces, il est primordial que les entreprises fournissent une approche holistique pour améliorer les processus de sécurité, non seulement par le biais de solutions de sécurité intégrées mais également par l’élaboration d’une bonne hygiène sécuritaire ».
Quels sont les enseignements de cette étude ?
Des prédateurs aguerris et malins. En effet, ces derniers ne manquent pas d’imagination et utilisent toutes les méthodes et astuces pour dérober les données. Il faut cependant savoir que des principaux vecteurs d’exfiltration de données, le top 3 serait les fuites dans les bases de données, les applications cloud et les appareils USB amovibles.
La propriété intellectuelle, leur cible préférée. Ainsi, les informations d’identification personnelle et la propriété intellectuelle ont l’impact potentiel le plus élevé, pour 43% des répondants. Les informations d’identification personnelles préoccupent plus les européens (49), probablement à cause de la RGPD. Dans les pays d’Asie Pacifique, les vols de propriété intellectuelle sont une plus grande préoccupation (51%) que les renseignements personnels.
Où sont les coupables ?
L’IT serait le coupable. 52% des répondants accusent les services informatiques d’être à l’initiative des principaux événements de fuites de données.
Les opérationnels business (29%) sont aussi la ligne de mire des personnes pouvant être impliquées. A contrario, les services internes très règlementés incluant la finance (12%), le juridique (6%), sont considérés comme les services les plus sûrs.
Une prise de responsabilité à risque. 55% des professionnels IT pensent que les cadres supérieurs devraient perdre leur emploi si une faille est suffisamment grave. De plus 61% déclarent que leurs cadres supérieurs avec sont plus laxistes envers eux-mêmes en ce qui concerne la sécurité.
Mettre en place des systèmes de protection, un incontournable. Les professionnels IT agissent, avec près de 2/3 des répondants déclarant avoir investi dans le DLP, le CASB et dans des solutions de détection endpoint au cours des 12 derniers mois. Les répondants pensent qu’entre 65 et 80% des failles endurées auraient pu être évitées si de telles actions avaient été mises en place.
81% des professionnels IT déplorent un manque d’intégration des politiques ou l’absence d’un management unifié entre les solutions « on Premise » de Prévention contre la Perte de Données (DLP) et celles de Cloud Access Security Broker (CASB). Les enjeux sont considérables car les cybercriminels ne cessent de cibler les données personnelles et la propriété industrielle. De plus, lorsque la faille se révèle importante le fait de divulguer ces failles a des conséquences financières. Mais elle porte aussi atteinte à la notoriété et à la marque.