Par Herve Liotaud, VP Western Europe chez SailPoint, qui s'est penché sur les nombreuses expériences qui ont touché les organisations de tous les secteurs au cours des deux dernières années.
Au cours de ces années vraiment imprévisibles, nous avons été témoins d'incidents monumentaux et records contre des organisations critiques - comme Colonial Pipeline et Kaseya - qui ont éclaté à la suite d'attaques ciblées capitalisant sur des mots de passe faibles et exposés. J'aimerais que ces événements soient inhabituels, mais malheureusement, ce type d'attaque est devenu trop courant, les mauvais acteurs réussissant à voler des informations personnelles identifiables (IPI) et à infiltrer les réseaux des entreprises avec des conséquences désastreuses.
Si des changements significatifs ne sont pas apportés à court terme, les entreprises connaîtront sans doute une "IDpocalypse", c'est-à-dire le moment où des organisations entières ne pourront plus revendiquer leurs propres identités numériques. Voici pourquoi.
De plus en plus, accélérées par les efforts de transformation numérique, les entreprises déplacent l'essentiel de leur travail quotidien dans des environnements cloud, leurs employés, entrepreneurs et partenaires commerciaux accédant à leurs systèmes à distance. Pour une grande entreprise typique, cela implique qu'il y a maintenant des milliers ou des millions d'identités - humaines et non humaines - accédant à des informations commerciales critiques à travers des centaines ou des milliers de points d'accès, souvent avec très peu de surveillance. Et, comme si cela n'était pas assez effrayant, cela s'inscrit dans le contexte de nouvelles menaces qui apparaissent chaque seconde. Ainsi, lorsque nous lisons les détails derrière le dernier gros titre d'une violation, ils sont généralement liés à l'identité du travailleur. Si leurs identités compromises sont effectivement tombées entre les mains de mauvais acteurs, ils sont devenus les "morts-vivants" de leurs organisations. Les cybercriminels ne se contentent pas de voler nos identités numériques, ils les utilisent pour se faire passer pour nous. Par conséquent, les entreprises doivent commencer à redéfinir leurs stratégies de cybersécurité pour faire face à cette menace imminente ou risquer d'ouvrir la voie aux cyber-gangs pour qu'ils construisent une armée de "zombies d'entreprise" afin de mener leurs attaques les plus destructrices et les plus préjudiciables.
Qu'est-ce qui est le pire : Un zombie ou un voleur ?
Il ne fait aucun doute que les ransomwares ont pris d'assaut le monde numérique, les pirates informatiques malveillants ayant profité de la pandémie pour en tirer des bénéfices, qu'il s'agisse de mettre hors service d'importants secteurs de l'économie américaine ou d'extorquer de grosses sommes d'argent à des entreprises ou des entités gouvernementales pour éviter une interruption de service généralisée. Ces attaques ont même incité l'administration Biden à classer la cyberdéfense parmi les priorités de la sécurité nationale, à juste titre. Cependant, la dure réalité est que les ransomwares ne sont qu'une petite composante d'un ensemble beaucoup plus vaste de risques de sécurité qui menacent la stabilité d'une entreprise. Selon le rapport annuel de l'ISACA sur l'état de la cybersécurité en 2021, seuls 9% des répondants ont été victimes de méthodes d'attaque par ransomware. Bien que cette attention portée aux ransomwares soit certainement justifiée, elle a quelque peu détourné l'attention du tableau plus large de la cybersécurité.
À la suite de la pandémie, de nombreuses entreprises se sont empressées d'offrir à leur personnel un accès à distance à leurs systèmes et applications pour éviter d'interrompre leurs activités quotidiennes essentielles. En conséquence, nombre de ces employés ont adopté de nouveaux outils et applications pour accroître leur productivité, souvent en contournant les technologies approuvées par l'équipe informatique, introduisant ainsi des risques inconnus dans leurs environnements. Si le vol d'informations d'identification par des attaquants pour pénétrer dans une entreprise n'a rien de nouveau, la vitesse et le volume auxquels les organisations et les individus ont adopté de nouvelles approches pour rester opérationnels ont facilité considérablement le vol d'identités pour les mauvais acteurs. Pour lutter contre ce phénomène, les entreprises réalisent qu'elles doivent redoubler d'efforts pour s'assurer que les bonnes personnes ont accès aux bonnes informations. Mais, parce que d'autres disciplines de sécurité ont été éclipsées par les ransomwares ces derniers temps, de nombreuses organisations ont perdu de vue une stratégie complète de cybersécurité, y compris la sécurité des identités.
La confiance aveugle dans les plates-formes tierces ouvre grand les portes
Aujourd'hui, plus que jamais, les individus donnent leurs informations personnelles et sensibles à des plateformes tierces sans évaluer les risques associés, et les cybercriminels y prêtent attention et en profitent. Aujourd'hui, cela est d'autant plus risqué que de nombreuses organisations sont passées du BYOD (bring your own device) au BYOE (bring your own environment). En conséquence, nous avons brouillé la ligne de démarcation entre ce que les utilisateurs de l'entreprise utilisent pour leur travail et leur usage personnel, offrant ainsi des points d'accès supplémentaires aux mauvais acteurs. Compte tenu de tous les comptes qu'une personne possède entre ses applications personnelles et professionnelles, il n'est pas surprenant que les informations d'identification soient souvent dupliquées à travers cette frontière. Mais cela signifie qu'une fois qu'un mauvais acteur a accès à une application personnelle - qui est généralement moins sécurisée que les applications approuvées par le service informatique - il dispose d'une passerelle pour accéder facilement aux données de l'entreprise. Selon le rapport Verizon 2021 Data Breach Investigations Report, 61% des violations sont attribuées à l'utilisation d'informations d'identification.
Bien que nous ayons vu l'activité cybercriminelle de cet ordre augmenter, la bonne nouvelle est que les entreprises peuvent maintenant prendre des mesures pour atténuer les risques. Grâce à une formation appropriée en matière de cybersécurité, les organisations peuvent s'assurer que leurs employés ont une hygiène de sécurité de base - comme la gestion des mots de passe - et sont équipés pour agir en tant que première ligne de défense contre les menaces potentielles. En l'absence de pratiques de sécurité solides (en particulier dans un environnement distant et déplacé), les entreprises s'ouvrent à un paysage de menaces plus large, sans visibilité adéquate des points faibles, ce qui les expose à « l'IDpocalpyse »."
Redéfinir les priorités en matière d'identité est le seul moyen d'éviter l'IDpocalpyse.
Historiquement, la connexion sécurisée des bonnes identités avec les bons accès a été un processus incroyablement alambiqué, avec de multiples étapes manuelles souvent impliquées pour appliquer les politiques d'accès de l'entreprise. Ces dernières années, avec l'explosion des nouvelles applications SaaS, l'augmentation du taux de rotation de la main-d'œuvre et l'apparition d'identités "non humaines", l'ampleur de ce défi a largement dépassé les capacités humaines. Selon un rapport de Netskope, une entreprise moyenne utilise aujourd'hui plus de 1 000 applications, qui prennent souvent en charge des dizaines ou des centaines de milliers d'identités. Comprendre qui doit avoir accès et pourquoi, si ce n'est pas automatisé, est un processus laborieux et source d'erreurs pour la plupart des grandes entreprises. Cependant, cet environnement de tâches et de processus à forte intensité humaine n'a pas à être le cas aujourd'hui. En exploitant la puissance de l'IA et du machine learning dans une offre de sécurité de l'identité, les entreprises peuvent s'assurer qu'elles connectent en toute sécurité les bonnes personnes à la bonne technologie à l'échelle et au volume de l'entreprise d'aujourd'hui. L'objectif de la sécurité de l'identité est d'aider les entreprises modernes à éviter les risques liés à l'identité dans leurs environnements hautement dynamiques.
L'accès sécurisé est le fil rouge qui relie les personnes à la technologie de manière sûre et efficace. Lorsqu'il est au cœur de la sécurité de l'entreprise, il complique la tâche des attaquants et, en fin de compte, cela devrait être l'objectif principal de toute forme de cyberdéfense. Si les entreprises accordent l'attention nécessaire à la protection de leurs actifs les plus vulnérables - leurs identités - elles peuvent prévenir l'IDpocalypse imminente et garder les zombies hors de leurs entreprises.