L’infrastructure reste un vecteur d’attaque attractif
Réservez-vous une place à la table de la transformation numérique pour votre RSSI ? Tu devrais.
Plusieurs tendances poussent les infrastructures vers la clandestinité. L’adoption généralisée de l’automatisation et de l’infrastructure en tant qu’approches de code pour la gestion des fondations des applications a occulté l’importance de la myriade de technologies de réseau et d’application requises pour fournir et sécuriser les applications.
Les développeurs ne veulent pas s’embêter avec les détails de l’infrastructure, en particulier en ce qui concerne la mise en réseau. Le cloud computing cherche depuis longtemps à éliminer la nécessité de gérer l'infrastructure, en s'appuyant sur des API et des outils de configuration par glisser-déposer pour aider les personnes réticentes au réseau et à l'infrastructure à éviter de se salir les mains. Kubernetes, créé par des développeurs pour des développeurs, met astucieusement de côté le réseau et l'infrastructure en les cachant sous une couche de magie de configuration et d'orchestration.
Mais cela ne signifie pas que nous devons ignorer l’existence des infrastructures ou leur profil en tant que cible d’attaque clé.
À savoir, trois des dix principales vulnérabilités suivies par IBM X-Force en 2020 étaient des vulnérabilités liées à l’infrastructure.
J'attendrai que tu digères ça.
Les vulnérabilités des plateformes et des frameworks d’applications figurent parmi les dix premières, comme on pouvait s’y attendre. Mais trois d’entre elles, dont la vulnérabilité la plus exploitée, ciblaient les infrastructures.
Tant qu’il y aura un besoin d’infrastructures – et cela signifie dans un avenir prévisible – il existera un besoin de les protéger. L'infrastructure est le premier point de contact dans la plupart des architectures, les pare-feu, les DNS et les équilibreurs de charge prenant les devants. Il s’agit d’infrastructures critiques qui, si elles sont attaquées, peuvent détruire toute la présence numérique d’une organisation. En effet, le rapport annuel Internet de Cisco note : « Les pannes d'infrastructure continuent également d'être une menace, plus de la moitié des opérateurs étant confrontés à ce problème. »
La relation entre les infrastructures et les entreprises reste tiède. Pour être juste, les chefs d’entreprise accordent une importance presque égale à la protection des infrastructures qu’à celle des activités et des applications. Ce qui veut dire qu'ils sont réticents à protéger, eh bien, tout.
Nous avons choisi ces catégories avec une raison bien précise en tête : ensemble, elles forment la « pile » commerciale numérique. L’activité numérique s’appuie sur les applications, et les applications s’appuient sur l’infrastructure. Les trois sont indissociables dans le monde numérique par défaut d’aujourd’hui, et pourtant ils sont évidemment considérés comme des choses distinctes à protéger – ou non – en fonction de nos perceptions de leur importance en fonction de leur rôle dans l’organisation.
Le décalage que nous constatons dans l’importance accordée à la protection des principales cibles d’attaque indique que la plupart des organisations sont encore en phase de maturation dans leur parcours de transformation numérique. Les entreprises et l’informatique doivent s’unir en tant que partenaires égaux pour exploiter et protéger efficacement les activités numériques. Cela signifie que le service informatique doit considérer la protection de l’entreprise comme aussi importante que l’infrastructure, et vice versa.
Bien que le parcours de transformation numérique ait certainement été accéléré par la COVID-19 et la ruée vers le « numérique », la maturité des pratiques et des perceptions prendra du temps à rattraper son retard. Aujourd'hui, PWC rapporte qu'en raison de la COVID-19, plus de la moitié des entreprises sont « désormais plus susceptibles de prendre en compte la cybersécurité dans chaque décision commerciale, contre 25 % dans notre enquête de l'année dernière ».
C'est un bon début.
L’une des solutions pour les organisations qui n’ont pas encore adopté cette pratique est d’examiner qui est assis à la table de la transformation numérique. Bien que nous évoquions souvent la nécessité d’un siège dédié au DSI, nous sommes moins susceptibles de mentionner l’importance d’inviter le RSSI à la table des discussions.
Le rôle du RSSI a évolué au fil du temps, parfois de manière abrupte. Fondamentalement, le rôle exige de se concentrer sur la sécurité. Les entreprises ayant adopté le numérique comme outil par défaut, ce rôle s’est élargi pour devenir plus stratégique, un rôle qui consiste autant à opérer en toute sécurité qu’à opérer rapidement. Cela signifie que les RSSI doivent être impliqués dans la transformation numérique dès le début dans le but de mettre en place les politiques et les garde-fous nécessaires pour que l'organisation protège les données des clients et de l'entreprise tout en permettant l'accélération de l'activité numérique.
Si votre RSSI ne fait pas déjà partie de la conversation sur la transformation numérique, il doit le faire. L'infrastructure reste un élément essentiel de l'activité numérique et constitue toujours un vecteur d'attaque attractif. La protection de l'infrastructure reste la responsabilité du RSSI.