Catégorie : Actualités

Cybersécurité des entreprises – 5ème édition du baromètre annuel du CESIN

Cybersécurité des entreprises – 5ème édition du baromètre annuel du CESIN
Source de l’image : TheDigitalArtist via Pixabay

Chaque année, le Club des Experts de la Sécurité de l’Information et du Numérique (CESIN) publie son baromètre de la cybersécurité des entreprises afin de mieux cerner la perception et la réalité concrète de la cybersécurité et ses enjeux au sein des entreprises membres du CESIN.

En janvier dernier, le CESIN a ainsi dévoilé les résultats de son enquête OpinionWay[1], réalisée du 2 décembre 2019 au 7 janvier 2020 auprès de ses 253 membres, Responsables Sécurité des Systèmes d’Information (RSSI) de grands groupes français.

Cyberattaques : Moins d’entreprises touchées mais encore fortement impactées

L’étude met tout d’abord en avant un chiffre positif : la baisse du nombre d’entreprises qui ont subi au moins une cyberattaque en 2019, soit 65% des entreprises interrogées contre 80% en 2018 (à noter toutefois qu’il s’agit d’un écart de résultat nuancé par l’ajout de la définition de cyberattaque pour l’enquête réalisée en janvier 2020).

En revanche, l’impact de ces cyberattaques reste important puisque 57% de ces attaques ont des conséquences sur le business telles que la perturbation de la production (27%), l’indisponibilité du site web (17%) et la perte de chiffre d’affaires (9%).

Les entreprises visées ont été les cibles de 4 types de cyberattaques en moyenne en 12 mois. Parmi les vecteurs d’attaques, le phishing reste l’attaque la plus fréquente avec 79% des entreprises qui ont été touchées en 2019, suivi par l’arnaque au Président (47%), l’exploitation d’une vulnérabilité (43%) et les tentatives frauduleuses de connexion (40%).

Les principales conséquences de ces attaques sont l’usurpation d’identité (35%), l’infection par un malware (34%), le vol de données personnelles (26%), l’infection par ransomware (25%) ou encore le déni de service (19%).

Cloud, IoT et IA, des sources de préoccupation

Avec la transformation numérique, le recours au Cloud est important au sein des entreprises : 89% des entreprises interrogées stockent leurs données dans un Cloud, dont 55% dans des Clouds publics.

Une utilisation massive du Cloud qui représente toujours un risque fort en raison d’une non-maîtrise de la chaîne de sous-traitance de l’hébergeur (pour 50% des RSSI), la difficulté de mener des audits (46%) et la non-maîtrise de l’utilisation du Cloud par les salariés (46%). Pour 91% des répondants, les outils mis en place par les hébergeurs Cloud ne suffisent pas pour sécuriser les données stockées, des outils ou dispositifs spécifiques complémentaires sont nécessaires.

Les objets connectés constituent également une préoccupation croissante, ils augmentent la surface d’attaque et font apparaître de nouvelles typologies de menaces. Les RSSI interrogés s’inquiètent des failles de sécurité présentes dans ces équipements (43%) et du flou dans l’appréciation des risques potentiels (28%).

L’étude montre de plus, que l’IA embarquée au cœur des solutions de cybersécurité doit encore faire ses preuves puisque 53% des RSSI ne lui font pas confiance.

Une prise de conscience des cyber-risques

Pour prévenir les risques d’attaques, les entreprises mettent en place une douzaine de solutions de protection en moyenne, outre les antivirus et firewalls. Parmi elles, la passerelle de sécurité mail (85%), la passerelle VPN/SSL (85%), le proxy et filtrage d’URL (83%), et l’authentification multi-facteurs. Cette dernière adoptée par 72% des entreprises, connaît une hausse de 13% par rapport à 2018.

Davantage sensibilisées aux risques cyber, 91% des entreprises interrogées mettent en place un programme de cyber-résilience en parallèle des solutions de protection ou envisagent de le faire, c’est 12 points de plus que l’an passé.

La prise de conscience des cyber-risques se traduit de plus par l’augmentation constante ces trois dernières années, du nombre d’entreprises ayant souscrit à une cyber-assurance (60%).

Malgré cela, seules 4 entreprises sur 10 se disent préparées en cas de cyberattaque de grande ampleur.

Sensibilisation des salariés

Outre la menace externe, pour 43% des entreprises, la négligence des employés constitue le risque cyber le plus répandu.

Le shadow IT, à savoir le déploiement et l’usage d’applications et services hors du contrôle des équipes informatiques, est mentionné par 98% des RSSI interrogés et reste une menace importante à traiter.

Pourtant sensibilisés aux cyber-risques (selon 74% des répondants), seulement la moitié des salariés respecte les recommandations, estiment les RSSI.

Les enjeux pour l’avenir de la cybersécurité

La gouvernance est le premier enjeu cité par les RSSI (70%) pour l’avenir de la cybersécurité suivie par la formation et la sensibilisation des usagers aux questions de cybersécurité (57%).

L’augmentation du budget est un autre enjeu majeur pour 50% des répondants. La part du budget IT consacré à la cybersécurité a augmenté dans les entreprises par rapport à l’année dernière. 62% d’entre elles prévoient de l’augmenter davantage au cours des 12 prochains mois et 83% souhaitent acquérir de nouvelles solutions techniques.

Concernant les ressources humaines, une entreprise sur deux (51%) souhaite augmenter ses effectifs dédiés à la cybersécurité, mais 90% se heurtent à une pénurie de profils en SSI, entraînant des difficultés de recrutement.

[1] Sondage OpinionWay pour le CESIN

COVID19.com – Le nom de domaine enregistré par un tiers redirige vers le site internet de l’Organisation mondiale de la santé (OMS)

COVID19 - Blog Nameshield
Source de l’image : geralt via Pixabay

Les « domainers  » ont toujours un coup d’avance quand il s’agit de profiter d’une situation bonne ou mauvaise. Certains par exemple vont anticiper sur des élections en enregistrant des noms de personnalités politiques, d’autres en profitant d’une manifestation sportive ou culturelle. En conséquence, dans les noms de domaine, il y aura des opportunités pour des enregistrements spéculatifs.

Dans le cas de « COVID19.com », il semble clair qu’au moment de l’enregistrement de ce nom de domaine le 11 février 2020, le titulaire veut évidemment spéculer sur le virus « COVID 19 », terme pouvant générer de multiples requêtes quelle qu’en soit la langue. Le nom est disponible à la vente pour un montant de $10,000 USD.

Cependant, au lieu de simplement rediriger le nom de domaine vers des liens commerciaux, le titulaire a choisi de renvoyer ce nom stratégique vers le site de l’Organisation mondiale de la santé (OMS). Est-ce une démarche citoyenne ? Peu probable, car compte-tenu du contexte actuel, utiliser un tel nom pour tirer un profit direct via des liens commerciaux pourrait entraîner une violation des conditions d’enregistrement du Registrar.

A défaut de tirer un profit immédiat de ce nom de domaine, le titulaire aura au moins le mérite d’attirer notre attention sur lui le temps d’un article.

Les sites en .ZA devront proposer un lien vers le site officiel relatif au Covid-19 mis en place par le gouvernement

Afrique du Sud - Noms de domaine en .ZA - dot ZA
Source de l’image : 12019 via Pixabay

Depuis jeudi dernier, le gouvernement sud-africain a imposé à tous les sites utilisant un nom de domaine en .ZA de proposer un lien renvoyant au site officiel d’informations relatif au Covid-19 mis en place par ledit gouvernement : www.sacoronavirus.co.za

Cette nouvelle règle s’applique à tous les sites en .ZA, quel que soit leur contenu.

Les deux autres extensions gérées par le registre ZADNA, .JOBURG et .CAPETOWN, sont également concernées par cette règle.

Dans la même logique, le registre invite également les fournisseurs d’accès Internet à bloquer les diffuseurs de fake news.

Il est enfin intéressant de noter que le site gouvernemental d’informations COVID n’est pas www.coronavirus.co.za mais www.sacoronavirus.co.za. C’est que le nom de domaine www.coronavirus.co.za a été enregistré par un domainer proposant sur sa page de revendre le nom en question.

Comme toutes les crises ou actualités, le COVID-19 a entraîné un dépôt massif de noms de domaine reprenant les termes associés, certains acteurs peu scrupuleux cherchant à tirer parti de la situation.

Sans surprise, en cette période inédite et complexe, on note le nombre en forte croissance des attaques cybercriminelles en tout genre.

Nameshield renouvelle sa certification ISO 27001

Nameshield renouvelle sa certification ISO 27001

Nameshield Group est expert en gestion des noms de domaine, DNS, certificats TLS/SSL.

De par notre expérience acquise auprès de Clients de renommée mondiale aux exigences de sécurité toujours plus fortes, nous sommes devenus également experts techniques en sécurité de l’information. C’est pourquoi nous avons mis en place un système de management de la sécurité de l’information (SMSI).

En 2017, nous avons obtenu la certification ISO 27001 de ce SMSI pour nos activités de gestion de portefeuilles de noms de domaine, DNS et certificats TLS/SSL. Nameshield Group est donc devenu l’unique registrar français garantissant à ses clients un tel niveau de sécurité.

Depuis, nos collaborateurs impliqués dans le SMSI contribuent sans cesse à l’amélioration continue de nos dispositions en termes de sécurité.

Une analyse des risques et leur traitement, selon la méthode Ebios, répondent à nos objectifs de sécurité et à ceux de nos clients.

Nous nous adaptons en permanence aux besoins de sécurité, performance et pérennité. Il en résulte le déploiement de produits et services plus sécurisés, à plus fortes valeurs ajoutées, répondant davantage et mieux aux attentes de nos clients.

Nous savons nous mobiliser en cas d’incidents et apprenons à toujours faire mieux en analysant le traitement de chaque alerte.

Nous disposons et maîtrisons d’un plan de continuité de nos activités. Nous sommes donc en capacité, quelques soient les menaces, d’assurer nos activités à distance (site de repli, télétravail, serveurs redondés…).

La sécurité de l’information est l’ADN de Nameshield Group et de l’ensemble de nos collaborateurs.

Logiquement, notre certificat ISO 27001 a été renouvelé en février dernier pour 3 ans, aucune non-conformité ni remarque n’ayant été notifiée.

Cette reconnaissance internationale vous assure :

  • Un taux de disponibilité (Interface de gestion des noms de domaine et DNS Premium)
  • La mise en place de tests permettant de nous remettre en question de manière permanente et d’anticiper les incidents
  • La sensibilisation de l’ensemble des collaborateurs Nameshield à tous les aspects de la sécurité de l’information
  • La robustesse et la performance de notre système
  • L’étude de nos retours d’expérience afin d’améliorer en continue notre sécurité et donc la vôtre

Let’s Encrypt, ne pas confondre confidentialité et sécurité

Let’s Encrypt a récemment fait parler dans le petit monde des certificats TLS, en révoquant soudainement 3 048 289 certificats qui n’auraient pas dû être délivrés. Un bug dans leur logiciel de validation empêchait les contrôles des enregistrements CAA, et les certificats en question n’auraient pas dû être initialement délivrés. Des perturbations importantes ont résulté de cette révocation massive, mais il est difficile de se plaindre d’un service gratuit. 

On me demande souvent ce que je pense de Let’s Encrypt, et j’ai toujours cette même réponse : Let’s Encrypt a fait énormément pour chiffrer le web, mais met à mal la sécurité du web. Le chiffrement permet d’assurer la confidentialité (personne ne peut espionner) et l’intégrité (personne ne peut modifier) des échanges. Mais le chiffrement seul ne peut suffire si je n’ai aucune garantie de l’identité de celle ou celui avec qui j’échange (légitime ou frauduleux ?)… Et c’est bien là tout le problème.

Let's Encrypt - Certificats SSL TLS - Nameshield

En 2015, l’initiative Let’s Encrypt, supportée par les grands noms de l’Internet (EFF, Mozilla, Cisco, Akamaï…) voyait le jour avec pour objectif de diffuser en masse et gratuitement des certificats SSL au monde entier. Plus de cinq ans après sa création, l’organisation sécurise 190 millions de sites web et vient d’annoncer avoir distribué un milliard de certificats. Le cap a été franchi le 27 février 2020. C’est indiscutablement une belle performance.

96% du web chiffré en janvier 2020

En 2015, moins de la moitié du trafic web était chiffrée, pour grimper à 96% en janvier 2020. Bien sûr Let’s Encrypt n’est pas le seul acteur responsable de cet essor. Edward Snowden a lancé la première alerte, Google s’est largement engouffré dans la brèche, entre politique de référencement et modification des indicateurs de sécurité web. Mais en mettant à la disposition de tous, des certificats gratuits et basés sur un système largement automatisé, Let’s Encrypt a démocratisé le chiffrement… et mis aux oubliettes la notion d’identité.

Pas d’identité, pas de sécurité

Let's Encrypt - Certificats SSL TLS - Nameshield

Le credo de Let’s Encrypt est la simplicité, pour « simplifier à l’extrême le déploiement du HTTPS et en finir avec sa bureaucratie horriblement complexe » (dixit l’EFF dans la campagne de lancement). La bureaucratie horriblement complexe a pourtant une raison d’être : l’authentification forte, garante de l’identité du titulaire du certificat. Peut-être pas une garantie absolue de légitimité, pas une garantie de contenu non plus, mais la garantie d’une société enregistrée, légitimement propriétaire du nom de domaine concerné et avec un certificat validé selon une procédure drastique.

Let’s Encrypt, se contente de vérifier le contrôle du nom de domaine (DV, Domain Validation). Il suffit de cliquer sur un lien dans un email ou de renseigner un record TXT sur la zone DNS du nom de domaine. Or l’enregistrement de noms de domaine dans la plupart des TLD est purement déclaratif. Il est assez facile d’enregistrer un nom de domaine, de demander un certificat à Let’s Encrypt et de publier un site web en HTTPS://.

Résultat des courses ?

En cinq ans, l’ensemble des sites de phishing et sites frauduleux sont passés en HTTPS://. Dès 2016, Vincent Lynch alertait sur ce problème, 15 270 certificats contenant le terme « Paypal » avaient été émis par Let’s Encrypt, dont 14 766 frauduleux.

Le marché a été tiré vers le bas en termes de niveau d’authentification. Let’s Encrypt est loin d’être le seul responsable, Google et Mozilla, du haut de leurs 70% de parts de marché, ayant largement soutenu l’initiative, les gros hébergeurs du Cloud ont suivi, de même que les Autorités de Certification, challengées sur les prix. Nous avons aujourd’hui un web sécurisé avec 77% (novembre 2019) de certificats dont la légitimité du propriétaire n’est pas vérifiée.

L’authentification forte change la donne 

Le web est devenu chiffré par défaut. Est-il plus sûr pour autant ? Rien n’est moins sûr. L’internaute, éduqué depuis 20 ans à vérifier la présence du cadenas dans sa barre d’adresse, fait confiance à un web dont tous les sites frauduleux affichent le cadenas de sécurité. L’Internet est aujourd’hui confidentiel, mais il n’est pas sûr pour autant.

Il est urgent de revenir à l’authentification forte. L’authentification forte garantit un ensemble d’étapes obligatoires, drastiques et contrôlées pour l’obtention des certificats. Les procédures sont édictées par le CA/B Forum, renforcées régulièrement et suivies d’audit des Autorités de Certification.

23% des certificats sont encore délivrés sur la base de l’authentification forte, la plupart dans le monde de l’entreprise où les RSSI poussent pour la préserver. Nous devons tous nous appuyer sur eux, et soutenir les initiatives supportant les certificats OV (Organization Validation) et EV (Extended Validation), en particulier EV pour garantir l’identité des sites visités par les internautes. Si l’identité sur Internet semble avoir été quelque peu oubliée depuis quelques temps au profit de la confidentialité, elle risque de revenir rapidement sur le devant de la scène, poussée notamment par les internautes et le besoin de protection des données personnelles.