Comment le gouvernement australien peut-il renforcer la résilience nationale en matière de cybersécurité et faire face aux menaces ?

Avec l'explosion du travail à distance en 2020, la poursuite des violations de données à grande échelle et l'attention croissante portée aux conséquences d'une atteinte à la vie privée en ligne, la cybersécurité n'a jamais fait l'objet d'autant d'attention de la part du public. En conséquence, les gouvernements du monde entier sont intervenus pour remodeler et mettre à jour leurs plans et infrastructures de cybersécurité, y compris les stratégies et réglementations que les entreprises sont tenues de respecter lorsqu'elles manipulent nos ressources numériques les plus précieuses.

Les lignes directrices en matière de protection stratégique de la cybersécurité ne sont pas un concept nouveau, et des organisations telles que le NIST alimentent les politiques des ministères mondiaux depuis de nombreuses années. Le progrès numérique s'étant accéléré, il est devenu difficile pour beaucoup de suivre le rythme des menaces, des vecteurs d'attaque possibles et des exigences de conformité qui font partie d'un paysage en constante évolution.

La récente violation de 54 000 permis de conduire de la Nouvelle-Galles du Sud, due à un cache S3 mal configuré et facilement accessible sur un serveur tiers, a compromis des milliers de personnes, et le chercheur en sécurité qui l'a signalée a admis que les données avaient peut-être déjà été vendues sur le dark web. Ce qui est triste, c'est qu'il s'agit d'un problème facile à résoudre et qu'il aurait été peu probable qu'il se produise si les personnes chargées de configurer le cache avaient eu la sécurité à l'esprit.

Le gouvernement australien a récemment publié l'Australian Cyber Security Strategy 2020, qui met en avant de nouvelles initiatives et un financement de 1,67 milliard de dollars à utiliser au cours de la prochaine décennie, afin de réaliser sa "vision de la création d'un monde en ligne plus sûr pour les Australiens, leurs entreprises et les services essentiels dont nous dépendons tous". Il s'agit clairement d'une révision et d'un plan actualisé très bienvenus, d'autant plus que l'un des principaux objectifs est le suivant :

"Action des entreprises pour sécuriser leurs produits et services et protéger leurs clients des cyber-vulnérabilités connues".

Alors que les organismes gouvernementaux ont tendance à se concentrer (comme il se doit) sur les mesures de sécurité concernant les infrastructures critiques d'un pays - des domaines qui sont mûrs pour une attaque organisée catastrophique - ce qui manquait dans le passé, c'était des lignes directrices pour les entreprises qui collectent et utilisent nos données tous les jours.

Lorsqu'il s'agit d'une stratégie officielle comme celle-ci, ce n'est pas toujours de la bière et des Skittles. Elle peut être un peu difficile à interpréter et vague dans ses détails, laissant à l'équipe de sécurité d'une organisation le soin de mettre au point un plan basé sur des directives non spécifiques. Ce problème n'est pas propre au gouvernement australien, mais analysons sa toute nouvelle version.

L'accent est mis sur la réaction et non sur la prévention.

La stratégie australienne de cybersécurité mise à jour est plus pertinente que la dernière version de 2016, avec des plans assez complets pour les entreprises, en particulier les PME. La stratégie présente les grandes lignes :

"Le gouvernement et les grandes entreprises aideront les petites et moyennes entreprises (PME) à se développer et à accroître leur sensibilisation et leurs capacités en matière de cybersécurité. Le gouvernement australien collaborera avec les grandes entreprises et les prestataires de services pour fournir aux PME des informations et des outils de cybersécurité dans le cadre de "paquets" de services sécurisés (tels que le blocage des menaces, les antivirus et la formation à la sensibilisation à la cybersécurité)".

Les PME disposeront ainsi d'une base décente pour protéger leur entreprise contre les cybermenaces, mais il s 'agit essentiellement d'une approche réactive et l'accent est mis sur les outils de détection, qui ne représentent qu'une partie relativement modeste du paysage de la cybersécurité.

Il y a aussi étonnamment peu d'informations sur la façon dont les grandes entreprises peuvent se protéger et réduire leurs vecteurs d'attaque. Si beaucoup d'entre elles peuvent faire partie des plans de protection des infrastructures critiques (telles que les télécommunications et les transports), les services financiers, le commerce de détail et bien d'autres secteurs verticaux ont beaucoup à perdre en cas de cyberattaque réussie. Peut-être cela fera-t-il partie de la législation à venir, mais quoi qu'il en soit, il est essentiel de souligner l'importance de pratiques exemplaires méticuleuses en matière de cybersécurité au niveau de l'entreprise pour voir des changements significatifs et une baisse des données compromises et de la cybercriminalité.

D'une manière générale, si l'on considère la stratégie dans son ensemble, elle s'articule autour d'une approche réactive. Contrer les cyberattaques, perturber les cybercriminels actifs et veiller à ce qu'ils soient poursuivis, ainsi que l'échange de renseignements avec les alliés internationaux, sont tous des facteurs importants, mais imaginez si la norme de protection à l'échelle nationale était axée sur la prévention. Outre les mesures de protection des infrastructures critiques, si la sécurité était au cœur des préoccupations de chaque entreprise et si chaque personne touchant au code qui crée notre monde numérique était correctement équipée pour bloquer les attaques avant qu'elles ne se produisent, les économies de temps, d'argent et de chagrin d'amour pour les victimes seraient incommensurables.

La résilience est possible, mais elle doit être planifiée.

Les efforts déployés par le gouvernement australien pour s'attaquer sérieusement à la cybersécurité montrent clairement qu'il s'agit d'un domaine de risque clé au niveau national. Comme pour toute autre attaque malveillante susceptible de perturber notre mode de vie, la résilience est absolument cruciale, non seulement pour résister à une telle tentative, mais aussi pour la dissuader de se produire. En fin de compte, même les acteurs de la menace peuvent être paresseux, et ils se déplaceront vers une cible plus facile pour atteindre leur objectif si trop d'obstacles se dressent sur leur chemin.

À l'heure actuelle, nous sommes confrontés à une pénurie mondiale de compétences en cybersécurité, ce qui empêche les RSSI du monde entier de dormir. Des milliards de lignes de code, des violations constantes de données à grande échelle et plus de risques de sanctions (Marriott a reçu à lui seul une amende de 123 millions de dollars US au titre du GDPR pour sa violation de données en 2018... et il y a eu une autre violation cette année) que jamais auparavant ont créé un gouffre pour les spécialistes de la sécurité qui, de manière réaliste, n'est pas près d'être comblé. Il y a tout simplement trop de code et trop peu de ressources pour s'assurer qu'il est fortifié sous tous les angles.

Devons-nous donc renoncer à l'idée que nous pourrons un jour nous affirmer face aux cybermenaces ? Il n'en est rien. La résilience exige d'utiliser toutes les ressources disponibles et d'avoir une longueur d'avance. Et pour de nombreuses entreprises, leurs développeurs peuvent débloquer une puissante méthode de fortification dès l'écriture du code. Associée à une culture de la sécurité visible et positive dans l'ensemble de l'entreprise, cette méthode constitue une base de sécurité difficile à ébranler et à briser pour de nombreux attaquants. Toutefois, cette méthode nécessite de prendre les suggestions de la stratégie australienne de cybersécurité, à titre d'exemple, et d'approfondir la façon dont elles peuvent être personnalisées pour soutenir un changement efficace et pertinent pour l'entreprise.

À cette fin, il est important de détailler quelques conseils :

• Formation à la sensibilisation à la sécurité : Cette formation est spécifiquement destinée aux PME et, dans le contexte de l'ensemble du rapport, elle vise principalement à enseigner à l'ensemble du personnel les règles d'hygiène de base en matière de sécurité (par exemple, repérer les courriels d'hameçonnage, ne pas cliquer sur des liens inconnus, etc.) ). En réalité, la formation doit aller beaucoup plus loin et devenir spécifique à chaque rôle, en particulier pour ceux qui touchent au code, comme les développeurs. Il est impératif que la formation à la sensibilisation à la sécurité fasse partie intégrante des mesures préventives et du renforcement de la résilience.
• L'éducation : Dans un changement rafraîchissant, il existe un plan approfondi pour remédier à la pénurie de compétences en cybersécurité au cours de la prochaine décennie, en mettant l'accent sur la formation à la cybersécurité depuis l'école primaire et secondaire jusqu'à l'enseignement supérieur. Cette formation est indispensable si nous voulons former les superstars de la sécurité de demain, mais si l'on veut répondre dès maintenant aux besoins des entreprises, une formation pratique au codage sécurisé pour la cohorte de développement est absolument nécessaire pour commencer à réduire les vulnérabilités courantes et doit faire partie d'un programme de sécurité fonctionnel.

En tant qu'experts en sécurité, nous devons faire davantage pour aider les entreprises du monde entier à comprendre l'importance de la mise en place d'un programme de sécurité interne qui va au-delà des simples mesures de sensibilisation. Consacrer du temps à la formation des développeurs permet de soulager les spécialistes de l'AppSec surchargés de travail, et s'assurer que l'ensemble de l'organisation est aussi sensibilisée à la sécurité que possible dans le contexte de son rôle est essentiel pour réduire la surface d'attaque des logiciels.

Le perfectionnement des développeurs est un temps bien employé, alors pourquoi tant d'entreprises l'ignorent-elles ?

Une récente enquête menée par DDLS a conclu que les organisations australiennes n'accordent que très peu d'importance à la formation à la cybersécurité. En fait, la cybersécurité ne figure même pas parmi les trois premières priorités de formation, bien que 77 % des personnes interrogées considèrent que la sensibilisation à la cybersécurité est "extrêmement" ou "très importante" pour leur entreprise.

Il n'est donc pas étonnant que l'Australie s'efforce de combler le déficit croissant de compétences et qu'elle ait du travail à faire pour créer une infrastructure plus résistante, des services essentiels au commerce de détail, et tout ce qui se trouve entre les deux.

Les gouvernements ont ici une opportunité énorme de créer une certification ou une réglementation de base des compétences en matière de sécurité, et la stratégie y fait allusion comme un moyen de travailler avec des ressources limitées. Cependant, une fois de plus, il semble s'agir d'une proposition d'avenir, et nous disposons des outils nécessaires pour commencer bien plus tôt si nous ciblons d'abord les domaines à fort impact. Pour moi, la lueur d'espoir réside dans les équipes de développement au sein de chaque organisation, et si on leur donne les outils et les connaissances nécessaires pour réussir, elles peuvent couper court aux vulnérabilités courantes et réduire de manière significative le risque d'une violation de données au sein de leur organisation.

En 2019, 24 % de toutes les violations de données ont été causées par une erreur humaine - à savoir des erreurs de configuration de la sécurité - qui sont généralement des corrections relativement simples au niveau du code. Si la formation devient une priorité, en conjonction avec la sensibilisation à la sécurité à l'échelle de l'entreprise, je parie qu'il y aura moins de RSSI qui signeront des notifications de violation de données à des milliers de clients compromis.