Les innovations du monde numérique ne cessent de s'enchaîner à un rythme effréné et d'influencer la société, comme en témoigne une année 2016 riche en événements. Moi-même amateur de vol télécommandé, j'ai été captivé par l'introduction des drones d'une startup de la Silicon Valley au Rwanda pour acheminer du sang et des médicaments, un exemple fascinant de l'influence positive que peut avoir l'Internet des objets sur la société. J'attends également avec impatience l'annonce du prix Tricorder XPRIZE de 10 millions d'euros, début 2017 : la fiction pourrait devenir réalité grâce à un appareil portatif sans fil conçu pour diagnostiquer et suivre les problèmes de santé.
Que puis-je espérer en 2017, du point de vue de la cybersécurité ? À mon avis, 2017 et le début de 2018 verront une évolution passionnante des technologies de cybersécurité, car les entreprises se préparent à la date butoir imposée par la nouvelle législation de l'Union Européenne. Nous avons là une rare opportunité d'observer et de prendre la mesure de nos capacités, et de vérifier si elles sont toujours adéquates, aussi bien au regard des nouvelles normes qu'à long terme. Ces normes seront un coup de pouce bienvenu pour nous propulser vers l'avenir, les professionnels de la sécurité étant souvent très pris par l'adoption des innovations technologiques actuelles et la gestion des cyber-risques en constante évolution.
Voici donc mes prévisions pour les 12 prochains mois :
1. En 2017, les entreprises doivent se préparer à la date butoir de mai 2018, à laquelle la législation européenne changera la donne par le biais du RGPD et de la directive NIS.
- Les entreprises devront enfin prendre le contrôle des montagnes de données qu'elles ont collectées et générées, et comprendre la valeur et les risques que celles-ci représentent.
- Nous pourrons voir fleurir de nouvelles initiatives assez rapidement, puisque l'Union Européenne vise à s'assurer que les entreprises assument leur responsabilité sociétale numérique.
- Les leaders de la cybersécurité devront veiller à ce que leurs technologies répondent correctement aux risques auxquels elles font face, et à exploiter les meilleures pratiques actuelles (dites « de pointe ») en mettant en œuvre des méthodes et des mesures clairement documentées. Trop souvent, les experts de la sécurité s'accrochent à leurs pratiques héritées en considérant qu'il est inutile de modifier ce qui a fonctionné par le passé. À cet égard, 2017 sera véritablement une année de changement.
2. Les entreprises seront vulnérables, car immobilisées par leur ignorance de ce qu'est une stratégie efficace de sécurité des terminaux de nouvelle génération.
- Les attaques uniques se multipliant, les organisations cherchent depuis longtemps de nouvelles solutions, que ce soit pour compléter ou remplacer les approches par signature. Cependant, les nouvelles approches disponibles étant nombreuses, les professionnels hésitent trop longtemps, attendant la confirmation de leur future stratégie relative aux terminaux de nouvelle génération. Avec la multiplication des ransomwares, chaque attaque est de trop et l'adoption de technologies de nouvelle génération ne doit plus attendre.
3. Le domaine de la cybersécurité ne va pas cesser d'évoluer.
- Les ransomwares auront toujours une influence commerciale. Il est probable que ces cyberattaques ciblent un éventail plus étendu de plateformes et continuent d'exploiter des techniques déjà utilisées (notamment les attaques de type APT) afin d'accroître les profits. Tant que ces menaces seront lucratives, elles resteront privilégiées des attaquants et pourraient les détourner du développement de menaces ciblant d'autres technologies.
- Les attaques de type DDoS se recentreront sur l'espace commercial, lequel dépendra de plus en plus des revenus en ligne.
- Le vol d'identifiants ciblé, quant à lui, permettra aux attaquants de déplacer leur action en dehors des réseaux commerciaux. Les entreprises européennes se tournant davantage vers le cloud, le vol d'identifiants – que ce soit par ingénierie sociale ou par des attaques – permettra aux attaquants d'atteindre nombre de leurs objectifs en restant très brièvement dans le réseau des entreprises, voire sans y pénétrer.
4. Bien que les compétences supérieures de cybersécurité soient assez performantes, les praticiens sont très recherchés et les capacités d'externalisation sont inadaptées à l'évolution de la demande (le volume de travail, les services de cloud hybride/sur site, la réponse aux incidents, les exigences des SOC de nouvelle génération, la formation et la maîtrise de l'IA/des systèmes de méga-données).
- Avec l'accumulation continue des informations dans lesquelles puiser pour prévenir les cybermenaces, nous ferons forcément face à de nouveaux problèmes de sécurité. L'offre en experts en sécurité était déjà insuffisante et le sera toujours en 2017. Il est dès lors nécessaire de repenser la manière dont les talents humains seront employés dans notre domaine. De nos jours, il existe trop de processus de cybersécurité compartimentés et dépendants de l'action humaine ; ils peuvent et doivent être consolidés et automatisés à mesure que les meilleures pratiques évoluent. Dans un marché où les talents sont rares, l'ergonomie et l'automatisation doivent être traitées sur un pied d'égalité avec les compétences.
5. La plupart des sociétés décideront si la cyber-assurance s'ajoutera à leur stratégie d'investissement. Nombre d'entre elles réaliseront que les assureurs sont un élément utile pour les RSSI soucieux d'expliquer et de justifier les cyber-risques auprès de leurs cadres supérieurs, afin que ces derniers en prennent toute la mesure.
6. Les incidents inter-domaines conduiront les organisations à arrêter de compartimenter l'IdO/la technologie opérationnelle et les systèmes privés/professionnels, car elles prendront conscience que tout cela fait partie d'un même « cyber »-tissu.
- Il est probable que les services essentiels souffrent davantage d'interruptions, à l'instar de l'incident en Ukraine et de la récente attaque DDoS par le logiciel malveillant Mirai, entre autres.
- Ces dernières années, des attaques ont eu lieu sur des systèmes automobiles et il y a fort à parier que les attaquants chercheront à étendre leur activité latéralement et à s'en prendre à d'autres systèmes autonomes, à mesure que ceux-ci gagnent en popularité. Citons comme cibles potentielles les centres-villes sans conducteur, le bouton Amazon ou encore les drones, de plus en plus utilisés par les entreprises commerciales.
Il sera intéressant de voir lesquelles de ces prévisions deviendront réalité les 12 prochains mois. Si j'en crois mon expérience, certaines d'entre elles se réaliseront bien avant l'année prochaine, tandis que d'autres peuvent prendre plus de temps ; et, comme toujours, nous aurons sans aucun doute des surprises. Ma seule quasi-certitude est que le monde du numérique continuera d'avoir une influence positive et passionnante sur nos vies, et je suis fier de faire partie de la communauté mondiale de la cybersécurité qui s'efforce de contribuer à son épanouissement.
Quelles sont vos prévisions de cybersécurité pour 2017 ? N'hésitez pas à partager votre avis dans les commentaires.
