L’importance d’identifier ses données sensibles. Une récente étude conduite par le Ponemon Institute révèle que 64% des professionnels de l’IT déclarent que leur principal défi en matière de sécurité est de ne pas savoir où se trouvent les données sensibles de leur organisation sur site et dans le cloud. Ils estiment en effet que cette tâche est d’autant plus difficile qu’ils ne sont pas non plus en mesure de déterminer si ces données sont vulnérables à une attaque ou une faille de sécurité. Par Jean-François Pruvot, Regional Director France chez CyberArk pour DataSecurityBreach.fr. La gestion et la sécurisation efficaces des données sensibles passent par la mise en place de comptes administratifs ou individuels privilégiés pour surveiller et contrôler les accès – quel que soit l’emplacement des données.
En effet, les organisations possèdent en moyenne trois à quatre fois plus de comptes à hauts pouvoirs que d’utilisateurs, ce qui rend les comptes à privilèges plus compliqués à gérer et à identifier. Quand les virus informatiques détruisent nos complexes industriels. Fin décembre, le gouvernement allemand a émis un rapport concernant une cyber-attaque contre une aciérie, qui a eu pour conséquence des dommages conséquents causés à l’usine. L’événement a été largement médiatisé depuis, de la BBC à Youtube ; le SANS Institute (SysAdmin, Audit, Network, Security) a notamment fourni une analyse détaillée de l’attaque. Nombre de ces rapports, comme celui de Wired, ont désigné l’attaque comme « le second cas confirmé dans lequel une attaque numérique a entraîné la destruction physique d’équipements », la première étant Stuxnet. L’attaque s’est produite seulement quelques semaines après celles de BlackEnergy, ce qui a attiré mon attention, ce cas-ci constituant une attaque bien plus fondamentale contre une infrastructure majeure.
L’attaque s’est concentrée sur la contamination de composants d’interface homme-machine issus de divers fournisseurs. Ce n’est pas de la science-fiction. Sécurité : une entreprise met en moyenne 6 mois à s'apercevoir d'une attaque. L'information est cruciale en matière de sécurité informatique. Mais dans les entreprises, il semble que les attaques se déroulent dans un silence assourdissant. En matière de réactivité, ces dernières sont donc plutôt en queue de peloton.
C'est une des conclusions du dernier rapport FireEye sur la cybersécurité. En effet, il faudrait en moyenne 205 jours à une entreprise pour s'apercevoir d'une attaque ou d'une intrusion. S'agissant d'une moyenne, il y a donc des entreprises qui sont bien plus réactives et d'autres, bien plus longues à réagir. Vu les risques générés par ces attaques, de tels délais paraissent rédhibitoires. FireEye donne ainsi l'exemple d'une firme où une attaque a été active 2982 jours sans que personne ne s'en aperçoive !
L'étude montre par ailleurs que dans 69% des cas, ce n'est pas une ressource interne qui donne l'alerte mais un acteur tiers, notamment lors d'audit de sécurité. Cyberdéfense : quand l’armée mène une bataille numérique au cœur des entreprises sensibles. Publié par : pintejp | mars 30, 2015 3 mars 2015, les responsables d’une entreprise « sensible » sont inquiets. Il semble clair que la PME est l’une des nombreuses cibles d’une cyberattaque massive lancée contre les industriels français depuis plusieurs semaines maintenant. Face à cette attaque d’ampleur nationale et touchant des entreprises sensibles, le gouvernement fait appel à l’armée. L’ordre est donc donné par le Premier Ministre d’agir rapidement et efficacement. La cellule de crise du commandement opérationnel de Cyberdéfense du ministère de la Défense va mobiliser dans les meilleurs délais ses équipes pour intervenir directement dans les entreprises touchées.
Tous les relais militaires et civils spécialisés dans la cyberdefense sont en alerte. Lire J'aime : J'aime chargement… L'ANSSI publie un Guide des bonnes pratiques de l’informatique destiné aux PME/TPE. Guide des bonnes pratiques de l'informatique. Mot de passe inchangé : les sociétés de maintenance responsables. Pour ne pas avoir formé et informé son client sur la bonne gestion de ses mots de passe, une société de maintenance condamnée en France. Le site Legalis est revenu, dernièrement, sur l’arrêt de la cour d’appel de Versailles et du tribunal de commerce de Nanterre.
Ce dernier a jugé qu’une société en charge de la maintenance informatique d’une entreprise avait pour obligation de sensibiliser son client à la sécurité informatique et à la bonne gestion de ses mots de passe. Le professionnel de l’informatique n’avait pas sensibilisé son client à la nécessité de changer le mot de passe de son PABX (Private Automatic Branch eXchange), un standard téléphonique informatisé. Bilan, le tribunal a considéré qu’il y avait une faute par négligence. Le client était dans une situation de grande vulnérabilité en raison d’un mot de passe faible.
Tout avait débuté après le piratage d’un loueur de véhicules. Son standard avait été piraté. Cyber-protection des entreprises : bientôt les vraies questions. Un sujet qui ne les concerne pas. C’est sans doute ainsi que les citoyens, s’ils étaient interrogés, qualifieraient la question des moyens utilisés par les entreprises pour lutter contre les cyber-menaces. Normal. Après tout – et heureusement – aucun drame de type coupure généralisée de l’électricité revendiquée par des pirates n’est survenu, mettant de facto ce thème aux allures techniques à la une des médias et des préoccupations.
Plus de 25 000 sites ont certes été piratés suites aux drames de janvier, mais les autorités ont rapidement calmé les esprits en rappelant qu’il s’agissait d’actes de cyber vandalisme et de communication, non de cyber guerre – aucune donnée n’a été volée, aucun système industriel n’a été détruit. Quelques attaques informatiques ont par ailleurs été médiatisées – celle de Home Dépôt en septembre dernier, puis celle de Sony Pictures, entre autres. Mais pour les citoyens, ces affaires semblent bien éloignées … Double erreur d’interprétation.
How corporate America can fight cybersecurity threats. Enterprise Immune System : combattre pro activement les cybermenaces. Darktrace est une société de cyberdéfense britannique, fondée en 2013 par des mathématiciens de l’Université de Cambridge. DataSecurityBreach.fr va vous proposer de découvrir une nouvelle catégorie de technologie, appelée « Enterprise Immune System ». Elle permet aux entreprises de se défendre contre les cybermenaces avancées d’aujourd’hui, de façon proactive. Son socle technologique est basé sur des avancées récentes dans le domaine des mathématiques probabilistes et de l’apprentissage automatique. Découverte de Darktrace ! DataSecurityBreach.fr : Qu’est-ce qu’un « système immunitaire d’entreprise » ? DataSecurityBreach.fr : Cela fonctionne comment ? DataSecurityBreach.fr : Identifier une menace qui n’existe pas encore publiquement (0day) demande de connaître cette menace, Darktrace fait comment pour y arriver ?
DataSecurityBreach.fr : Achetez-vous des 0day pour être capable d’agir en amont ? DataSecurityBreach.fr : Qu’est-ce qu’une activité anormale dans une entreprise ? Pourquoi de bonnes résolutions ne suffisent pas à se protéger en 2015 ? Face aux cyber-menaces, les entreprises doivent s’ouvrir à de nouvelles approches en termes de cyber-sécurité. Le paysage des cyber-menaces est en évolution permanente. Les attaques ciblées se multiplient tandis que les modes opératoires deviennent de plus en plus complexes et uniques, rendant ces menaces extrêmement difficiles à identifier.
Pour ces raisons, la cyber-sécurité est devenue, aujourd’hui, une problématique prioritaire pour la plupart des entreprises. Dans ce contexte, il existe quelques recommandations qui permettent de limiter les risques de cyber-attaques. Il est par exemple conseillé de vérifier les antécédents des employés, de limiter l’accès des salariés aux données par lesquelles ils sont concernés dans le cadre de leurs fonctions, de s’assurer du cryptage des données confidentielles, etc.
Cependant, bien qu’ils méritent d’être pris au sérieux, ces prérequis de base ne sont pas suffisants pour faire face à la réalité des menaces actuelles les plus sophistiquées. Darktrace. La sécurité des PME : responsabilité et valeur des données sous-estimées ? Selon une récente enquête[1] IPSOS, neuf PME sur dix sont conscientes du risque de piratage qui plane sur leur système d’information mais plus de la moitié d’entre elles ne prend aucune mesure pour se protéger des actes de malveillance.
Une étude qui révèle également que 90% des entreprises interrogées autorisent l’accès aux sites web potentiellement dangereux et que 70% échangent des documents avec leurs clients sans garantie de confidentialité. Malgré ces risques inconsidérés, 76% des dirigeants savent qu’ils sont pénalement responsables de l’utilisation d’internet dans leur organisation. Ces résultats mettent ainsi en lumière un certain nombre de contradictions sur la manière dont les entreprises gèrent leur sécurité face aux menaces actuelles.
«Les entreprises ont conscience qu’elles encourent un réel danger mais ne mettent pour la plupart aucune mesure en place pour protéger leurs données et leurs ressources. Et en cas d’attaque, qui est responsable ? Attaques à l’encontre des comptes sociaux. Après Le Monde en Janvier, CNN, Forbes et une vingtaine d’importants média en 2014, c’est au tour de Newsweek de voir son compte Twitter piraté pendant quelques heures par des pirates se réclamant du groupe Etat islamique (EI). Comme nous le disions déjà lors de l’attaque subie par Le Monde, les comptes de réseaux sociaux tels que Twitter sont une cible de première importance pour les pirates.
Si certaines entreprises ont mis en place des procédés et des moyens techniques pour protéger leur compte Twitter contre le hijacking, la plupart n’ont rien de cela et sont donc non seulement vulnérables au hijacking de leurs comptes de réseaux sociaux, mais sont aussi incapables de détecter ce hijacking de leurs propres comptes.
Dans une récente étude auprès des entreprises du Fortune 100, les chercheurs de Proofpoint relevaient les points suivants : Leçon de sécurité sur Internet. De quoi une entreprise a-t-elle besoin pour instaurer la confiance des utilisateurs ? Réalisée fin 2014 auprès d’un panel de 1000 utilisateurs, une étude menée par GlobalSign met en évidence quelques règles à appliquer pour aider les entreprises à rassurer les internautes quant à l’utilisation d’internet Il n’est plus possible d’ignorer qu’aujourd’hui très peu de personnes peuvent vivre sans Internet. Accéder à ses comptes et faire du shopping en ligne, lire l’actualité ou ses e-mails, rester en contacts avec ses amis sur les réseaux sociaux, faire des recherches, etc. : la liste de ce que vous pouvez ou êtes obligés de faire sur Internet est longue.
Cependant, seuls 19,4 % des Français pensent que leurs données sont suffisamment protégées sur le Web. Les internautes vous le confirmeront, notamment quand des informations privées et hautement confidentielles sont en jeu. Ils admettent qu’ils redoutent, avant tout, l’usurpation d’identité en ligne. Authentification. 5 tendances clés de la cybersécurité pour 2015. Cinq grandes tendances qui auront un impact majeur sur les entreprises au sein de l’économie des applications (nouveau modèle économique où les applications deviennent la « vitrine » des marques et où l’identité et les accès deviennent le nouveau périmètre des organisations). Dans ce contexte les professionnels de la sécurité seront confrontés à une double-équation : faire face aux cyber-risques dont l’actualité s’est déjà largement fait l’écho en 2014 et répondre aux enjeux de l’économie des applications, en facilitant le déploiement de services innovants (Cloud, Mobile, Social, Big Data) via des canaux multiples (laptop, smartphone, tablette, kiosques, centres d’appels, …).
Prédictions pour la gestion des identités et des accès en 2015 1. 2. Un identifiant numérique unique : l’économie des applications et l’utilisation croissante d’applications mobiles nécessitent un mode d’accès centralisé aux identités et aux droits d’accès. 3. 4. 5. Les entreprises doivent-elles se protéger du terrorisme? Yvan De Mesmaeker est secrétaire général de l’ECSA, l'association européenne de la sécurité des entreprises. Il constate qu’en effet l’inquiétude est plus importante mais comment pourrait-il en être autrement avec une alerte au niveau trois ?
Cela dit, il n’y a pas de sur-réaction. De toute manière c'est quelque chose que l'on gère dans la discrétion et donc il n’y rien de très visible. Quant à savoir si les entreprises doivent quand même anticiper d'éventuels incidents, la réponse est variable suivant notamment le secteur d’activité et la localisation. Mais il est indispensable de tenir compte de l’évolution de la société avec volonté de certains d'opposer deux communautés.
Cette tendance peut exister au sein même des structures. Yvan De Mesmaeker : "L’entreprise doit certainement y être attentive. Cas individuel La communication est essentielle au niveau collectif mais également sur le plan individuel. Assurance terrorisme Michel Visart. 30 milliards d'euros : le coût des pertes de données en France. C'est un classement peu reluisant pour notre pays. La France se trouve à la 21ème place (sur 24 pays étudiés) pour la protection de ses données. Le coût des pertes de données est évalué à 30 milliards d'euros auxquels il faut ajouter 11 milliards d'euros provoqués par les interruptions de service. Selon une étude menée par le cabinet Vanson Bourne pour le compte de l'entreprise EMC, "les chiffres français soulignent cruellement les risques auxquels sont exposées les entreprises". 37 % des organisations françaises reconnaissent avoir subi des pertes de données et 39 % ont connu des "interruptions non planifiées".
"Les entreprises françaises sont encore en retard sur les investissements nécessaires car elles trop préoccupées par le coût frontal de ces investissements. Les pays asiatiques sont les plus aguerris A l'échelle mondiale, l'étude Vanson Bourne / EMC estime le coût total des pertes de donnés à 754 milliards de dollars (environ 660 milliards d'euros). La cyberguerre est déclarée : tactiques de défense à l'usage des entreprises. Par Muriel de Véricourt publié le à 06h00 , mise à jour le 17/01/2015 à 08h49 Suite aux attentats, près de 19 000 sites français ont été ciblés par des attaques de hackers pro-ilsamistes. Les institutions mais aussi certaines entreprises sensibles sont visés. Le gouvernement appelle à la plus grande vigilance. Nous vous proposons ici de relire le dossier qu'Industrie & Technologies avait réalise en mai 2014 pour comprendre comment les organisations de toute sorte pouvait se protéger.
Smartphones, stockage de données, automates industriels... tout est potentiellement une cible pour déstabiliser l'ennemi. Apprenez ici le maniement des armes de la cyberdéfense. Longtemps, les réseaux industriels ont vécu coupés du reste du monde, préservés des menaces planant sur les internautes. A quand une vraie filière pour la sécurité des entreprises en France.
The Year in Cybersecurity: 5 Threats to Watch in 2015. CES 2015: Following High Profile Hacks In 2014, Security Is Tech's Next Killer Feature. 2015 Tech Forecast: Clouds, Wearables, Cybersecurity Worries. Would the U.S. Really Crack Down on Companies That Hack Back? FTC Finalizes Snapchat Settlement. Bringing in the best talent for the job - Let's Talk Security blog. Advisory, Assurance, Tax, Transaction Services. Global Information Security Survey 2014 - Adapt: take a dynamic approach. Global Information Security Survey 2014 - Anticipate: a proactive state of readiness.