Voici les dV-News 04-2023 et leur sélection d’articles et de liens. Déjà le numéro 70, et à une exception près, toujours un autre titre et de nouveaux thèmes. Dans cette édition nous avons choisi de nous emparer d’un sujet délicat…
La menace de l’intérieur
En 2022, le NCSC a enregistré une croissance des cyberdélits annoncés de près de 60%. De son côté, la police vaudoise estime que seuls 10% des cas lui sont annoncés. Mais en se penchant sur les statistiques, on s’aperçoit rapidement que les cyberattaques ne sont pas juste le fait de vilains hackers de l’extérieur!
En novembre 2022, notre Centre national pour la cybersécurité informait au sujet d’une faille critique identifiée sur plus de 2’800 serveurs Microsoft Exchange en Suisse. Un mois plus tard, il envoyait une lettre recommandée à 2’000 exploitants, les invitant à combler cette faille de sécurité. Le 2 février, plus de 660 serveurs étaient toujours vulnérables. Comment qualifier les propriétaires de ces serveurs qui les laissent sans protection? Simplement de dangereux irresponsables! Ce comportement est comparable à ces touristes qui se baladent en haute montagne munis d’espadrilles et qui imaginent qu’en cas de pépin quelqu’un viendra les chercher. C’est comme ce vacancier qui se fait voler les effets laissés dans une voiture ouverte ou qui s’étonne d’avoir été cambriolé après avoir étalé ses photos de vacances sur les réseaux sociaux. Bien sûr que le voleur venait de dehors, mais le vrai problème est à chercher à l’intérieur.
Selon le WEF, près de 95 % des incidents de cybersécurité de l’année dernière – pour un coût de 8’000 milliards et avec des perspectives alarmantes – sont à mettre sur le compte d’une erreur humaine.
Nouveau? Aucunement. Souvenons-nous de cet informaticien du Service de renseignement de la Confédération sorti avec tout un disque dur, du vol des données de la banque HSBC, ou encore de l’affaire Snowden. En Valais, les autorités ont même dû récemment mettre en détention préventive le développeur d’un logiciel utilisé par plusieurs polices communales alors qu’il menaçait de publier des données sensibles sur le darknet.
Lorsque chez digiVolution nous définissons le cyberespace et les acteurs malveillants, nous rappelons systématiquement la réalité de cette menace intérieure. Si l’écrasante majorité de nos collaborateurs est fantastique, une seule personne malveillante suffit à ruiner toute une organisation.
Les quelques exemples ci-dessus montrent combien les moteurs de la menace intérieure sont nombreux : naïveté, négligence, manque de formation, manipulation, chantage, manque de règles et de contrôles, appât du gain, vengeance, corruption, bêtise, idéalisme… Comment les entreprises et les institutions y seraient-elles immunisées? Le personnel qui utilise des véhicules et des machines est formé à leur emploi. On leur impose des règles de sécurité, un outillage particulier et ils n’ont pas accès à tout. Alors pourquoi n’applique-t-on pas systématiquement de tels principes aussi au numérique?
En 2020, le documentaire The Social Dilemma estimait que la donnée avait remplacé le pétrole en tant bien le plus précieux pour faire fonctionner la société, une conclusion à laquelle nous adhérons sans réserve chez digiVolution. Mais pourquoi donc la donnée est-elle traitée avec autant de légèreté coupable dans le cyberespace?
Selon le rapport 2023 Insider Threat Report, plus de la moitié des entreprises interrogées indiquent avoir été confrontées à une menace interne au cours de l’année écoulée et 8% d’avoir à déplorer plus de 20 cas.
Cyberactualité
Voici les sujets qui ont retenu notre attention.
- Une quinzaine mouvementée en Suisse – Après la Zurich Assurance au Japon, le CHUV, les CFF et l’Université de Zürich auraient également été récemment victimes de cyberattaques. Face à la vague croissante d’actes malveillants dans le cyberespace, l’inquiétude monte et un groupe d’industries suisses de premier plan vient de créer la Swiss Industry Cyber-Security Association dans le but de s’échanger des informations sensibles et de servir d’interlocuteur auprès des autorités. Un développement qui illustre la vision de défense en profondeur que nous prônons depuis longtemps chez digiVolution. La cybersécurité est en effet l’affaire de tous.
- Cyberdéfense aux heures de bureau – En février 2014, la Suisse découvrait que son aviation n’assurait la police de l’air qu’aux heures de bureau; six ans plus tard, notre aviation est opérationnelle H24. Mais voilà que l’on découvre que c’est sa cyberdéfense qui travaille sur le mode heures de bureau. Malgré les explications fournies, nombreuses sont les questions ouvertes. On peut notamment s’interroger sur le besoin annoncé en personnel supplémentaire, car alors où sont les militaires du bataillon cyber formés spécifiquement pour renforcer les structures professionnelles?
- Dépendance systémique – Le 25 janvier, les utilisateurs de Microsoft 365 ont fait la désagréable expérience de leur dépendance. Durant près de 3 heures, une fausse manipulation sur un routeur WAN a entraîné des conséquences mondiales. Voici un exemple on ne peut plus parlant de perte de souveraineté, de l’individu jusqu’à l’État. Le monde politique s’est indigné face aux dépendances européennes par rapport au gaz russe. Et là, il fait quoi? Allons-nous enfin comprendre les risques d’une externalisation naïve et incontrôlée de ce que les entreprises et communautés publiques ont de plus cher: leurs données et leur traitement?
-
Telegram– Les militants anti-guerre russes faisaient confiance à Telegram, cette application de messagerie prétendument sécurisée. Pourtant les services de sécurité russes semblent tout connaître de leurs mouvements. Mais voilà qu’en creusant, on se rend compte que cette solution de sécurité qui se vantait de tenir tête au Kremlin serait à ses ordres, tenue par l’argent…!
BOOKS & REPORTS
Voici les livres et publications d’intérêts découverts durant nos recherches de cette quinzaine.
Et chez digiVolution?
Le 3 mars [08:30-16:15] nous contribuerons à Lavey-les-Bains, à l’Université de printempsde l’Académie de police. Le 18 mars à Morges au Rubicube [09:15-18:00], nous soutiendrons la conférence du Forum de la Venoge, «BLACKOUT23 – Approvisionnement et sécurité énergétique». Du 5 au 7 avril, nous serons au FICpour encourager nos voisins à venir à Fribourg au Swiss CyberHub dont le programme général sera rendu public très prochainement.
Nous vous souhaitons une enrichissante découverte des articles et liens sélectionnés et nous réjouissons de vous retrouver bientôt.
