Pour Olivier Spielmann de Kudelski Security, le temps est venu de faire le bilan des derniers mois et de tenter de prévoir ce qui attendra les entreprises en 2023 en matière de cybersécurité. Si certaines technologies s’essoufflent voire arrivent en bout de course, d’autres – comme l’informatique quantique ou la blockchain – doivent faire l’objet d’une attention particulière de la part des entreprises, afin d’en exploiter pleinement le potentiel ou, à l’inverse, se prémunir des dangers qui leurs sont inhérents. Car qui dit nouvelle tendance ou nouvelle technologie, dit également nouvelles brèches par lesquelles les hackers pourraient s’engouffrer.
Les boîtes de messagerie professionnelles compromises, les attaques ciblant les identités ou les systèmes d’authentification multifactoriels (MFA), les ransomwares ou encore le phishing, figureront certainement parmi les techniques d’attaques classiques qui continueront d’être efficaces et sources de revenu pour les cybercriminels. Et pour cause, de nouvelles failles dans les systèmes de cybersécurité sont inévitables et le facteur humain continue d’intervenir dans l’équation. Le phishing et les systèmes de forçage MFA émergents sont plus sophistiqués que jamais, rendant la sensibilisation à la cybersécurité importante mais plus complexe que jamais.
En 2023, les équipes de sécurité des entreprises doivent continuer de prendre en compte l’erreur humaine. Dans cette optique, adopter une posture de sécurité davantage offensive que défensive est une bonne approche. Il se peut d’ailleurs que les clients des services MDR soient davantage enclins à demander à leurs fournisseurs des fonctionnalités axées sur la proactivité plutôt qu’uniquement sur la réaction.
Des attaques plus rapides
L’utilisation d’automatisation et de concepts de machine learning ou d’intelligence artificielle va continuer d’augmenter l’efficacité des attaques informatiques. Preuve en est la diminution du temps entre la première étape d’un ransomware est la demande de rançon, qui a été divisée par 15 dans les trois dernières années. Le temps de détection et le temps de réponse continuent d’être les éléments-clé du système de défense, qui doivent être réagis par les mêmes principes d’automatisation et d’intelligence artificielle. A cela devra s’ajouter la précision de la défense, qui doit s’adapter à l’environnement de menaces réelles et la mise en place de mesures de protection adaptées.
Le VPN est mort
A l’évidence, la tendance au télétravail n’est pas prête de s’essouffler. La sécurisation des collaborateurs, dispersés dans divers lieux, va, elle, continuer d’évoluer. En 2023, l’approche Zero Trust remplacera progressivement celle reposant sur les VPN. Et pour cause, les frontières des réseaux d’entreprise ne ressemblent plus du tout à ce qu’elles étaient : les employés accèdent désormais à la plupart des applications professionnelles via des applications Cloud (SaaS) et les équipes IT ne sont pas enclines à faire face aux risques inhérents aux réseaux privés des employés. Considérer chaque appareil et compte utilisateur comme une potentielle menace est donc la clé pour soutenir et sécuriser les collaborateurs travaillant à distance.
Corrompre plutôt que forcer l’entrée
En 2023, les cybercriminels profiteront de la situation économique négative, nourrie notamment pas l’inflation, pour s’introduire dans les systèmes des entreprises. Fragilisés par cette situation, les employés des entreprises seront plus activement utilisés par les cybercriminels pour arriver à leurs fins. Les pirates mettront de côté leurs compétences en matière de piratage et cibleront plutôt les employés vulnérables travaillant pour des fournisseurs tiers, tels que les compagnies de transports, les acteurs des chaînes d’approvisionnement, les fournisseurs d’accès Internet et de solutions logicielles.
Les entreprises doivent donc rester vigilantes et sécuriser non seulement leurs propres périmètres de réseau, mais aussi s’assurer que leurs fournisseurs sont sûrs.
Utilisation des mots de passe
La récente brèche de sécurité qui a touché Uber met en évidence la fragilité des systèmes d’authentification dits MFA. Cependant, même si la technologie des mots de passe s’essouffle, il est peu probable que ces derniers disparaissent complètement l’année prochaine.
Ils devraient cependant être de moins en moins utilisés à l’avenir. Les prochains mois devraient s’inscrire sous le signe de la sécurisation des comptes par toutes les mesures possibles, y compris des mots de passe plus forts. Les gestionnaires de mots de passe seront alors particulièrement sollicités, et figureront à leur tour dans la liste des cibles d’intérêt des hackers.
Stratégies de sécurité face à l’inflation
Les entreprises de toutes tailles et de tous secteurs seront susceptibles de réduire leur budget et leurs effectifs pour faire face à la situation économique, mais ces coupes ne devraient pas avoir d’impact direct sur les équipes dédiées à la sécurité.
Les normes européennes actuelles et futures impliquent par ailleurs que les conseils d’administration et les dirigeants des entreprises devront être de plus en plus attentifs à leur conformité et à leur rigueur sécuritaire.
En outre, les initiatives telles que la mise en place de labels de sécurité – tels que le « cyberscore » en France – accentueront l’importance du rôle des équipes de sécurité au sein des entreprises. Elles devront également travailler plus intelligemment et parfois revoir leur approche pour faire face à l’évolution du paysage économique et technologique.
Plus de contrôle pour la blockchain
Les technologies blockchain ont connu une année 2022 difficile du point de vue de la sécurité. L’année 2023 sera également tumultueuse, à moins que la blockchain ne s’éloigne du code comme loi. Actuellement, une trop grande confiance est en effet attribuée aux développeurs et à leurs compétences en matière de codage. Les équipes chargées de la sécurité de la blockchain doivent ainsi intégrer davantage de contrôle de sécurité et avoir des compétences en matière de détection et de réponse plus solides pour dissuader les acteurs malveillants.
Les multiples piratages survenus en 2022 ont fortement ébranlé la confiance des utilisateurs dans la sécurité des blockchains. Heureusement, les blockchains savent que les clients sont tout aussi préoccupés par la sécurité de ceux qu’ils ont choisi que par leurs caractéristiques. Par conséquent, les acteurs du secteur consacreront probablement les ressources appropriées pour en améliorer leur sécurité au cours des prochains mois. Outre le vol de cryptomonnaies, la disponibilité et la stabilité devraient être une priorité en 2023. Si les pannes et les ralentissements se poursuivent, certaines blockchains pourraient perdre des utilisateurs et s’effondrer.
Arrivée de l’informatique quantique
Les mesures visant à se préparer à l’arrivée de l’informatique quantique ne seront certainement pas massivement adoptées l’année prochaine. Cependant, les professionnels devraient garder ce sujet en tête pour 2024. Le niveau de risque inhérent à l’utilisation de l’informatique quantique ne compense pas tout à fait l’investissement particulièrement important qu’elle nécessite. Cela dit, les entreprises qui auront le plus besoin de l’informatique quantique (services financiers, entreprises dédiées à la défense ou qui utilisent des données extrêmement sensibles, etc.) devraient commencer à évaluer les risques dès maintenant.
En conclusion, il est très probable que 2023 s’inscrira dans la prolongation de 2022. Les événements des derniers mois nous ont rappelé, si besoin était, que la cybersécurité est un enjeu global. La digitalisation continue de tous les acteurs augmentant considérablement le nombre de points d’entrée pour les hackers, la sensibilisation doit donc être plus intensive. Car si la technologie ne cesse d’évoluer et, avec elle, la marge de manœuvre des cyberattaquants, il faut apprendre de 2022 que le salut en matière de cybersécurité passera indubitablement par une sensibilisation exhaustive de tous les publics.
