La formation à la sécurité informatique suffit-elle à éviter la fuite des données ?
Les principes de la sensibilisation à la sécurité informatique se sont répandus au cours des dix dernières années. En conséquence, de nombreuses entreprises à travers le monde ont pris des mesures sérieuses visant à initier leurs employés dans le domaine et à investir dans la « culture de la sécurité » prônée par ce mouvement.
Toutefois, il semble que cette formation à la sécurité informatique ne suffit pas à parer aux assauts constants des cyberattaques. Dans ce cas, comment les entreprises peuvent-elles se protéger contre la menace pirate ?
Quels sont les résultats de la sensibilisation à la sécurité informatique sur l’hameçonnage ?
La sensibilisation à la sécurité informatique couvre un vaste champ de problèmes à envisager : la cyber-hygiène, la fin du partage des mots de passe, la conscience des risques encourus et l’importance de la conformité, etc. La formation comporte généralement des exercices de confrontation à l’hameçonnage permettant aux employés d’identifier des emails frauduleux. Il est important de signaler que la recherche a démontré l’efficacité de cette formation : les cyberattaques ont en effet été amoindries. Toutefois, bien qu’on admette globalement l’importance de la sensibilisation à la cyber-sécurité, l’hameçonnage demeure le grand problème auquel sont confrontées les entreprises.
D’après les statistiques, l’hameçonnage continue à faire des ravages parmi les organisations à travers le monde : le FBI a découvert 241 324 attaques en 2020, soit le double comparé à l’enregistrement précédent. De son côté, l’unité de cybercriminalité Internet Crime Report unit (abrégé IC3) a reçu 12 fois plus de rapports d’hameçonnage en 2020 qu’en 2016. Cette méthode de piratage demeure la favorite des cyber-pirates ; le rapport d’enquête de la fuite des données de Verizon (DBIR) a révélé que 43% des fuites de données sont causées par hameçonnage. En plus des emails et autres vecteurs d’hameçonnage, les cybercriminels se sont surpassés en 2020, créant un nombre phénoménal de sites internet hameçons : Google à lui seul en répertoria plus de 2 millions au cours de l’année.
Si la sensibilisation à la sécurité informatique est une réponse efficace à de nombreuses fuites de données accidentelles et à de mauvaises configurations de matériel, force est de constater qu’elle est insuffisante.
Une approche à 360 degrés de la sécurité
La recherche a démontré que les employés sont directement visés par les cyberattaques : ils constituent 90% des cibles. La sensibilisation à la sécurité informatique consiste à changer le comportement des utilisateurs. Ce n’est pas difficile, mais cela demande du temps : les êtres humains sont conditionnés de manière à cliquer sur les liens et les interactions humain-ordinateur ont été pensées tout spécialement en favorisant le système d’obtention de résultat en un clic. La modification d’un tel comportement sur le long terme requiert des efforts et du temps – pendant lequel les cybercriminels adaptent leurs tactiques pour contourner les ajustements de comportement des utilisateurs. En conséquence, les assauts par hameçonnage sont devenus bien plus sophistiqués : on observe à présent des attaques par harponnage contre les individus à travers les réseaux sociaux et par le biais de comptes vérifiés invitant au téléchargement furtif en exploitant les points faibles de leurs victimes.
En conclusion, la formation à la sécurité informatique ne suffit pas à gagner la guerre de la cybercriminalité : il faut la renforcer par une stratégie permettant de « l’étouffer dans l’œuf » grâce aux technologies actuelles les plus avancées capables d’empêcher les mails hameçons d’entrer dans les boîtes de réception des employés et d’arrêter ces derniers avant qu’ils ne puissent naviguer sur des sites internet piratés. Cette technologie doit être suffisamment élaborée pour s’ajuster au terrain en permanente évolution de la cyber-sécurité et ses nouvelles tactiques. Une approche complète à 360 degrés est indispensable, ainsi que le souligne un récent rapport de Datto sur l’état actuel du rançongiciel. Cette étude en décrit l’impact sur les petites et moyennes entreprises administrées par des prestataires de services. Les chiffres sont alarmants :
70% des prestataires de services informatiques considèrent le rançongiciel comme la menace principale envers les PME, l’hameçonnage et les menaces internet étant les vecteurs principaux de contamination de ces logiciels espions. Une fois infectés, les compagnies nord-américaines doivent s’acquitter de frais de temps d’arrêt d’un montant moyen de 308 900 dollars. Le rapport a mis en lumière le problème qu’engendre la minimisation du rançongiciel, insistant sur une approche globale comprenant :
- Le filtrage mail et le scan du contenu URL,
- L’isolement du navigateur,
- Le système « Endpoint Detection and Response » pour détecter les activités suspectes,
- La gestion des correctifs,
- La gestion des « endpoints ».
Datto conclut qu’en plus de la formation en sécurité informatique, ces mesures étaient indispensables pour répondre à toutes les failles potentielles, surtout celles où les employés sont victimes d’hameçonnage et/ou sont amenés à naviguer sur des sites frauduleux.
Bénéficier de la meilleure sécurité via un prestataire de services
Le téléchargement des documents de travail vers le Cloud et l’usage qu’en font les employés a non seulement ouvert une brèche pour les cybercriminels, mais aussi créé un espace pour les prestataires de services désireux d’offrir la meilleure sécurité possible : les voici désormais en première ligne pour fournir les composants essentiels de lutte contre la cybercriminalité, ce qui inclut la protection contre les logiciels malveillants.
La menace internet se propage rapidement, surtout par le biais des mails, ce qui diminue l’efficacité des exercices de simulation contre l’hameçonnage : les attaques sont en effet de plus en plus sophistiquées. Une analyse effectuée par Microsoft sur les dangers de la toile révèle que les cybercriminels emploient actuellement des stratégies les rendant à la fois difficiles à localiser et capables de tromper les utilisateurs les plus avertis.
En étudiant les moyens d’attaque des cybercriminels, on constate une multitude d’opérations : 65% des fraudes ont lieu par harponnage et par attaque de point d’eau sur des sites internet légitimes. Un prestataire de services informatiques est tout indiqué pour fournir une solution basée sur le cloud capable de résoudre les problèmes occasionnés par le travail à domicile durant la pandémie de Covid-19. La combinaison des application basées dans le cloud et du travail à distance additionnée aux cyberattaques de plus en plus sophistiquées a donné lieu à une offre de sécurité multi-niveaux, renforçant la sensibilisation à la sécurité informatique des employés. Aujourd’hui plus que jamais, les prestataires de services informatiques doivent prodiguer une solide stratégie de sécurité à leurs clients, leur permettant de sauvegarder leurs opérations et de protéger leurs données.
Ce n’est qu’en adoptant un angle de vue de la situation plus large qu’une entreprise peut contrecarrer tout l’arsenal des cybercriminels. Un prestataire de services informatiques peut se servir de ses capacités en tant que fournisseur SaaS pour garantir aux compagnies un accès au meilleur logiciel de protection contre le piratage disponible, quels que soient leur taille et leur secteur d’activité.
Un prestataire de services informatiques offrant une protection contre les cyber-crimes d’un tel niveau bénéficiera d’un avantage concurrentiel certain, aujourd’hui comme dans l’avenir.
Une approche dynamique et responsable de la cyber-sécurité
Donner trop de responsabilités à vos employés peut s’avérer contre-productif ; il est essentiel de préserver l’équilibre entre la sensibilisation à la sécurité informatique et la mise en place de puissantes mesures technologiques pour répondre à la menace sophistiquée que l’on observe aujourd’hui dans le paysage cybercriminel. Une entreprise ne peut pas simplement compter sur son équipe technique pour éviter une cyberattaque, surtout lorsque l’on sait que nous avons tous été formés à cliquer avant de réfléchir… Une approche dynamique de la cyber-sécurité suppose que les employés sont avertis, mais aussi que la structure informatique est prête à contrer une tentative de piratage et une fuite des données.
Parfois, les prestataires de services informatiques doivent prendre leurs distances
Les prestataires de services informatiques les plus renommés refusent parfois certaines missions : il n’est en effet pas rare de les voir demander à leurs clients de mettre eux-mêmes à jour leur système d’exploitation, ou d’acheter un équipement sous garantie afin de gérer convenablement leurs ressources de réseaux. C’est la même chose en matière de sécurité : ils éviteront par exemple un client potentiel insistant pour conserver des mots de passe trop faibles ou refusant de payer pour un pack de sécurité complet…
Les clients rendus vulnérables par leur propre négligence ou leur propre ignorance risquent d’exposer le réseau et les autres clients des prestataires de services informatiques au danger cybercriminel s’ils sont attaqués ou infectés. Il faut donc que ces derniers adoptent une politique de « nous sommes tous dans le même bateau » afin de garantir la sécurité globale. Ils ne souhaitent en effet pas s’exposer à des pénalités judiciaires causées par un client qui ne se conformerait pas aux règles.