Admin entends-tu le vol noir des hackers...

"Hâtez-vous lentement, et sans perdre courage,

Vingt fois sur le métier remettez votre ouvrage,

Polissez-le sans cesse, et le repolissez,

Ajoutez quelquefois, et souvent effacez".

En matière de protection du patrimoine informationnel, tel devrait être le mantra du dirigeant, qu'il soit du secteur public ou privé, ainsi que de ses responsables de la "sécurité" [1] et de ses administrateurs des systèmes d'information, les fameux "Admin". Que ne serait pourtant dépité Nicolas Boileau [2] qui, dans sa grande sagesse, n'envisageait sans doute pas il y a plus de trois siècles, qu'un mélange d'autisme, d'inconscience et de déni s'emparerait depuis des années de nos systèmes d'information au point qu'il faille la loi [3], encore elle, pour tordre les mauvaises pratiques des entreprises dont l'activité économique et sociale est vitale pour la nation.

L'Etude Nationale de la Filière Industrielle Cybersécurité (ENFIN Cyber !)

Rattaché à la Direction générale des entreprises (DGE) qui dépend elle-même de Bercy [1], le Pôle interministériel de prospective et d’anticipation des mutations économiques (Pipame) [2] "réalise des rapports dont l’objectif est d’apporter un éclairage sur l’évolution des principaux acteurs et secteurs économiques en mutation, en s’attachant à faire ressortir les menaces et les opportunités pour les entreprises, l’emploi et les territoires". Publiée en novembre 2015, l'analyse du marché et des acteurs de la filière industrielle française de la sécurité [3] s'intéressait à l'ensemble de la filière de la sécurité c'est à dire sans distinguer particulièrement l'un de ses piliers, la cybersécurité, qui nous intéresse ici. Présentée lors du dernier FIC [4], l'étude Pipame de janvier 2016, que ce blog vous invite aujourd'hui à consulter [5] vient, elle, ausculter plus en détail la filière cybersécurité nationale.

Qui ose gagne ! Ou comment nos entreprises devraient apprendre à chasser la croissance en meute

Il y a quelques mois, votre serviteur participait à l'une de ces innombrables réunions où industriels, chercheurs et représentants de l’État se retrouvent pour faire un point d'avancement sur un projet. Sans doute assez justement à certains égards, certaines légendes urbaines [1] voudraient que l’État soit inefficace, impécunieux et parfaitement déconnecté des rouages industriels. En réalité, il n'en est rien puisque de plus en plus nombreux sont ses serviteurs à être passés par une structure privée [2]. Cela tombe à point car il arrive même que les représentants étatiques connaissent bien sinon parfaitement les rouages des financements des projets et, cerise sur le gâteau, maîtrisent même les tenants et les aboutissants techniques d'un projet ! Les industriels qui, normalement, devraient se réjouir d'avoir de tels interlocuteurs en vis-à-vis peuvent vite révéler, dans ce cas, certaines lacunes quand ce ne sont pas des limites.

LPM, cyber et OIV : nécessité des solutions et manoeuvre en terrain miné

(Source)

Si le risque cyber est en train de se hisser au premier rang des préoccupations des autorités françaises, plus frileuses sont les entreprises et nombreux sont les écueils et les adversaires potentiels à davantage d'obligations et d'exigences réglementaires. 

En dépit d'un discours du directeur général de l'ANSSI globalement bien accueilli lors des dernières Assises de la sécurité à Monaco (1), des réserves mais aussi une certaine opposition transparaissent voire viennent augurer de possibles difficultés à venir dans la mise en œuvre des (futures) mesures garantes de l'état d'esprit lié au volet cyber de la loi de programmation militaire (LPM) actuelle (2014/2019). L'arrivée prochaine des décrets mais surtout les groupes de travail qui démarrent en vue d'élaborer les futurs arrêtés sectoriels (2) sont marqués par le triple sceau de la difficulté : l'inconnu sinon l'angoisse de la nouveauté, un contexte économique en berne et une contestation discrète mais bien réelle. Avancer en terrain miné pour atteindre un objectif courageux et nécessaire pourrait réclamer de nouvelles idées voire des aménagements. 

Du BYOD au BYOx : des choix difficiles face aux mutations actuelles dans l'entreprise

Le BYOD aura probablement été sur le podium des acronymes "star" de la cybersécurité en 2012 et 2013. Avec APT et "chinois" (1). Mot clé pour nombre d'articles et de conférences, "produit d'appel" pour d'autres études à finalité commerciale, le BYOD (2)  devient cependant une réalité tangible dans l'entreprise et les administrations. Avec son cortège de risques réels ou supposés mais, à tout le moins, potentiels. Une nouvelle tendance semble cependant se dessiner avec le BYOx. Sans que l'on sache vraiment s'il s'agit d'un concept, d'une réalité émergente ou d'un nouveau buzz qui se dégonflera aussi rapidement qu'il est apparu.

Entreprises : les conseils d'un (ex) hacker (2/2)

Ces dérives, postulées depuis plusieurs années et avérées au fil des derniers mois, concernent en particulier le sentiment de sécurité perçu par la direction (d'une entreprise) de son S.I. parce qu'existe une Politique de Sécurité, éventuellement une certification ISO 27001 (rare en France) et, la plupart du temps, une "bonne vieille infrastructure à la papa" avec DMZ "reverse-proxyfiée/firewallée", sondes (bon point) et passerelles anti-spam/anti-virus. 

Cette description caricaturale voire anachronique pourra peut-être faire sourire mais, pourtant, un certain conformisme angélisme régente encore trop souvent certaines DSI et/ou Directions. Et encore, je me garderai bien d'aborder  les délicates problématiques de l'outsourcing, le blog ami CIDRIS s'en chargeant parfaitement par ailleurs !

Mais puisque jusqu'ici tout allait bien, quelle pouvait être la raison  impérieuse de faire évoluer la vision, parfois éculée, de la sécurité : un centre de coût en lieu et place d'un investissement pour le présent et l'avenir ? Mais le temps technologique file également à toute allure et nous sommes en 2011. Les menaces ont profondément évolué ces derniers mois, elles sont devenues permanentes et protéiformes, avec de moins en moins en filigrane cette guerre économique globale anticipée puis vérifiée et enfin accélérée. 

Tous ces éléments se vérifient quotidiennement et ne sortent pas d'un énième rapport ou de fumeuses recherches universitaires où des têtes bien faites (et certains services étatiques, louons les tous !) entretiendraient des discussions de salon ou pousseraient des cris d'orfraies, bien loin d'une réalité que seuls certains  vaniteux décideurs maîtriseraient ?

Je me veux mordant et (légèrement ?) provocateur mais le monde, ces derniers mois, n'a pas évolué qu'à la télévision ou seulement du Maghreb à la côte est du Japon ! Changements brusques et accélération de l'histoire (catastrophes naturelles, évolutions politiques majeures, aléas économiques) portent en eux des effets qui se prolongent dans le cyberespace qui, lui aussi, possède la particularité de disposer de caractéristiques bivalentes : outils et armes sans distinction de protocole, seul l'usage tend à en indiquer la nature.

Plus clairement, le monde de l'entreprise a la fâcheuse (coupable ?) tendance d'utiliser des schémas et des recettes techniques (et parfois organisationnelles) qui sont de moins en moins adaptés aux menaces actuelles et émergentes. Les conseils délivrés par SparkyBlaze, issus de son expérience avérée et "(very) up to date" (à jour), impliquent sans aucun doute une profonde remise en cause de la stratégie* appliquée et des moyens mis en œuvre pour l'atteindre. Avec un investissement associé, plus ou moins important selon que l'on parle d'une TPE/PME ou d'une multinationale. Selon le secteurs d'activité et l'exposition aux risques, cet investissement se révélera probablement générateur d'économies à long terme. Pour les plus frileux, une bonne assurance peut aussi être le début d'une certaine sagesse...

Les conseils proposés par SparkyBlaze :

- Déployer une défense en profondeur

- Appliquer une politique stricte en matière de sécurité de l'information

- Faire des audits de sécurité réguliers par une expertise extérieure

- Utiliser des sondes IDS/IPS

- Sensibiliser vos dirigeants sur la sécurité de l'information

- Sensibiliser vos dirigeants sur l'ingénierie sociale

- Effectuer les mises à jour en temps et en heure (soft + hard)

- Disposer d'une veille sécurité quotidienne

- Laisser vos spécialistes se rendre à des conférences spécialisées en sécurité

- Embaucher des spécialistes qui connaissent réellement la sécurité

- Généraliser l'utilisation du chiffrement des données (avec de l'AES-256, par exemple)

- Utiliser efficacement des filtres/outils anti-spam

- Garder un œil sur les informations laissées dans le domaine public (nota : à mon sens, le tri est à effectuer en amont)

- S'assurer que la sécurité physique (des sites et des locaux) est au niveau requis (sur le principe du "pourquoi blinder la porte d'entrée tandis que la fenêtre du salon reste ouverte ? :)

* ce changement de paradigme doit nécessairement commencer par une douloureuse mais salutaire remise en cause de certains schémas (sclérosés) de pensée.  D'où la probable utopie de ce billet. Donc la moindre désillusion de son auteur !