SystemX Blog

Catégorie : Cybersécurité

  • Crise sanitaire et cybersécurité : quels enseignements pour l’anticipation des crises cyber de demain ?

    Crise sanitaire et cybersécurité : quels enseignements pour l’anticipation des crises cyber de demain ?

    « Tous connectés, tous impliqués, tous responsables », c’est en ces termes que Guillaume Poupard, directeur général de l’ANSSI, faisait état de sa préoccupation face au niveau grandissant de la menace numérique en janvier 2019. Un an jour pour jour après sa déclaration, la France comme de nombreux pays, a vu arriver sur son territoire les premiers cas de patients atteints de la Covid-19. Depuis, 7 milliards d’humains ont été touchés par la propagation de la pandémie. Le coupable ? Un virus qui depuis plus d’un an paralyse la planète et oblige les dirigeants de nos pays à mettre un coup d’arrêt à leurs activités économiques. Les répercussions sont complexes et même impossibles à évaluer tant le virus a paralysé toutes les activités humaines, de l’enseignement au tourisme en passant par la culture.
    Un an après, cette pandémie est toujours omniprésente, d’autant qu’elle semble être repartie de plus belle en Europe, obligeant la France et plusieurs pays à renforcer les mesures sanitaires déjà en place. Néanmoins, une année offre un niveau de recul suffisant pour dresser un premier bilan. Au-delà de l’aspect sanitaire et les drames que vivent les familles des victimes et des personnes impactées, la situation que nous vivons actuellement est un formidable exemple de résilience et devrait tous nous conduire à en tirer des enseignements.
    Dans cet article, nous allons faire le parallèle entre la sécurité sanitaire et la sécurité numérique. Nous allons transposer les enseignements tirés de cette crise au monde informatique afin d’éviter, ou du moins de mieux gérer, une crise cyber à l’échelle mondiale que beaucoup annoncent déjà

    Ce début de 21è siècle a été marqué par trois crises majeures qui ont impacté le monde entier et démontré sa globalisation. Tout d’abord, la crise sécuritaire dont les attentats du 11 septembre 2001 furent le point d’orgue. Puis 10 ans plus tard, la crise de la dette dans la zone euro en conséquence de la crise financière liée aux « subprimes ». Et enfin, une décennie après, la crise sanitaire actuelle liée à la pandémie de la Covid-19.

    Grace à internet et à la digitalisation des activités humaines, nous avons fait preuve, lors de cette crise sanitaire, d’un grand degré de résilience en maintenant de nombreux secteurs vitaux tel que l’économie, l’éducation et jusqu’à une certaine mesure la culture. Mais ne nous y trompons pas ! Notre degré de résilience fut à la hauteur de notre degré d’impréparation tant sur le plan sanitaire que technologique. Cette crise sanitaire a mis en lumière l’ampleur du chantier numérique qui a dû, sous la contrainte et du jour au lendemain, accélérer pour répondre aux besoins d’interactions virtuelles d’une société privée d’interactions physiques. Cette marche forcée ne s’est pas faite sans conséquences. Les précautions d’usage ont dû être négligées préparant le terrain à une « cyber pandémie » annoncée. Cette crise d’un nouveau genre risque de paralyser nos infrastructures numériques et par conséquence nos activités en un claquement de doigts, ou devrais-je dire en un clic !

    Ce scénario catastrophe, que nous pourrions qualifier de « cyber Armageddon », est plus proche de la réalité que de la science-fiction. D’ailleurs, des exemples ont déjà eu lieu à plusieurs reprises durant la dernière décennie mais de manière localisée à l’échelle d’une ville ou d’un territoire. Ce fut le cas par exemple en 2018 quand la ville d’Atlanta aux États-Unis fut paralysée par une attaque cyber. Par ailleurs, le déploiement en cours de la nouvelle génération de technologies de communication sans fil 5G aura de profonds impacts sur nos infrastructures numériques. L’hyper-connectivité et l’interdépendance de ces réseaux est comparable à l’abolition des frontières numériques, rendant accessible tant le petit objet connecté du quotidien que la voiture, le train, l’usine, voire la ville. À ce niveau, l’ampleur et les répercussions d’une attaque cyber seront considérables et la quantification de leurs impacts difficile, voire impossible, à réaliser, notamment si des vies humaines sont affectées.

    Il semble désormais évident qu’une telle crise numérique est probable. Voyons comment nous pouvons « tirer profit » des enseignements de la crise actuelle pour mieux gérer les crises numériques du futur.

     

    Avant toute crise, l’anticipation est de mise !

    La sécurité, qu’elle soit sanitaire ou numérique, est principalement une question d’anticipation. Anticiper une crise est une activité pluridisciplinaire qui mobilise d’importants moyens humains et financiers. Dans le secteur sanitaire, la gestion des crises et des urgences est encadrée par des standards (ex. ISO 22325). Dans ces standards, les activités d’anticipation et de gestion de crise sont organisées en 5 phases : prévention, mitigation, préparation, réponse et récupération. En cybersécurité, la gestion de la crise est de la responsabilité des CERT (Computer Emergency Response Teams – centre d’alerte et de réaction aux attaques informatiques) dont la méthodologie de travail est grandement inspirée de ces 5 phases.

    • La prévention repose sur une bonne connaissance de la menace qui sera mise à profit dans l’évaluation des risques. En cybersécurité, les activités de veille (Cyber-Threat Intelligence) réalisées par les analystes et les experts peuvent être comparées aux activités des épidémiologistes qui étudient les nouveaux virus et analysent leurs modes de propagation. Dans ce type d’activités, le partage d’information, la collaboration et les liens de confiance entre les laboratoires sont essentiels pour mettre en place des mesures préventives adéquates. En cybersécurité, la collaboration entre les CERT est une tendance actuelle forte qui tend à être intensifiée dans le futur afin d’éviter de reproduire les erreurs de cette crise sanitaire.
    • La mitigation englobe les mesures d’atténuation ou d’annulation du risque. La crise sanitaire nous a démontré à quel point l’évaluation du risque est importante afin de sélectionner et d’engager les mesures nécessaires pour faire face à la menace. Malheureusement, de nombreux évènements récents ont démontré qu’un grand nombre de PME/TPE Françaises et Européennes n’ont à ce jour aucun Plan de Continuité d’Activité (PCA) ou Plan de Reprise d’Activité (PRA). Pire, beaucoup n’ont même plus de sauvegardes en adéquation avec leurs besoins opérationnels alors que leurs activités dépendent entièrement de systèmes et/ou de données externalisés. On ne le dira jamais assez, ne pas avoir de PCA/PRA relève de la négligence quand on connaît la nature et l’étendu des conséquences d’une attaque cyber. De même pour le déploiement et la mise en œuvre de solutions de protection adaptées et à l’état de l’art (pare-feu, bastion, sondes de détection, SIEM, personnel qualifié, formé et entrainé, etc.).
    • La préparation regroupe les mesures anticipatoires visant à garantir une réaction rapide et efficace face à une crise. La crise que nous vivons doit être étudiée et enseignée comme un cas d’école. Elle illustre à la perfection la nécessité de la mise en adéquation des moyens humains, matériels et organisationnels nécessaires à la gestion d’une crise. Le nombre de lits de réanimation, d’appareils d’assistance respiratoire, d’aides-soignants, d’infirmiers, de médecins, de réanimateurs, etc. Une bonne préparation implique également une maitrise des nombres de patients admis, une bonne coordination des équipes et la capacité de l’organisation (i.e. l’hôpital) à s’adapter (déprogrammations, transferts de patients, mobilisation d’autres catégories de retraités, etc.) pour faire face à un nombre de patients fluctuant de jour en jour. Vous l’aurez compris, transposé à la sécurité numérique, l’exemple est criant et démontre bien l’intérêt de s’assurer que les moyens nécessaires à la gestion d’une crise cyber seront bien là quand il le faudra.
    • La réponse intervient pendant la crise et consiste à mettre en application toutes ou partie des mesures anticipatoires prévues dans le cadre de la phase de préparation. Si nous revenons à notre crise sanitaire, nous pensons tous aux réponses apportées par le gouvernement telles que le port du masque, la distanciation sociale, l’hygiène sanitaire, le confinement, etc.  Des mesures qui parlent à tous et illustrent la nécessité d’être correctement préparé. Et si dans le monde réel, la mise en place de distanciation sociale a permis de ralentir la progression du virus, la mise en application d’une telle mesure en informatique relève de l’impossible tant les systèmes sont interconnectés. Des lors, seules les solutions de protection et de détection seront à même de mettre en œuvre l’équivalent de la stratégie « tester, tracer, isoler ». En sécurité informatique, l’isolement se traduirait par une ségrégation des réseaux, une mise sur liste noir d’une adresse IP (Blacklist), ou d’une mise en quartenaire d’une station de travail. Par ailleurs, la réponse à la crise de la Covid-19 a mis en évidence la capacité (humaine et matérielle) dans les services de réanimation de notre pays, nos stocks de masques, de consommables, notre dépendance vis-à-vis des chaînes d’approvisionnement se trouvant à l’autre bout du monde. En informatique, on ne parle plus de patients mais plutôt de nombre de requêtes que nos serveurs pourront gérer lors d’une tentative d’attaque par déni de service, de la formation de notre personnel à l’hygiène cyber, au nombre d’opérateurs du SOC (Security Operation Center) capable de surveiller les systèmes vitaux de notre nation, du degré de dépendance de notre système par rapport aux chaînes d’approvisionnement (matérielles et logicielles) de pays tierces. Vous l’aurez compris, l’analogie est frappante !
    • La récupération, ou le redressement, vise à rétablir les fonctions du système dans leur état nominal, voire amélioré suite à une crise. Cette phase offre une opportunité aux décideurs d’apprendre des erreurs qui ont pu être faites ou de remettre en cause certains choix qui se sont révélés inadaptés lors de la réponse. Les mesures de récupération, quand celles-ci sont anticipées, sont souvent simples à mettre en place. Il s’agit par exemple de reconstituer les stocks de masques pour la santé. En informatique, ce sont les données stockées dans le cloud qu’on restaure afin de permettre le système à revenir à son état initial d’avant l’attaque, ou presque. Plus rarement, Il s’agit parfois de remplacer des équipements endommagés ou dont la performance n’a pas été à la hauteur des promesses. La récupération consiste également à changer de stratégie afin d’anticiper la prochaine crise. Dans le secteur sanitaire, on parle de relocaliser certaines productions, de former davantage de personnels, d’améliorer la gouvernance et le partage d’information. Autant de mesures, qui sont directement transposables à la cybersécurité. La pénurie de personnels qualifiés en cybersécurité est une préoccupation depuis un certain temps et la tendance est à la hausse. La coordination et le partage d’informations entre les nations sont balbutiants et les tensions géopolitiques ralentissent les coopérations alors que les cyber-criminels n’ont aucune frontière et coopèrent au sein de groupes de renommée internationale.

     

    Il est certain que l’année 2020 restera longtemps gravée dans notre mémoire collective. Au-delà de la crise sanitaire, elle aura été marquée par un « exode numérique » massif des individus et des organisations vers une société virtuelle où les interactions ont pu continuer à avoir lieu, à bonne distance et dans le respect des gestes barrières et des mesures sanitaires en vigueur.

    Comble du paradoxe, cette digitalisation forcée est la clef de voûte de la résilience économique, pédagogique et culturelle de notre société mais également son talon d’Achille. Dans l’urgence, la nécessité de connecter nos systèmes à internet nous a presque fait oublier que cela impliquait également de connecter internet à nos systèmes ! Dans ce contexte, la célèbre citation « Tous connectés, tous impliqués, tous responsables » de Guillaume Poupard prend pleinement son sens.

    Si la transition des interactions physiques vers des interactions numériques, appelée digitalisation, commence à être maitrisée, la sécurisation de ces interactions continue de poser de réels problèmes aux professionnels de la sécurité, et notamment quand celle-ci est réalisée précipitamment. Les conséquences numériques de la Covid-19 ne sont pas encore connues et ne le seront que bien des années plus tard. Les enseignements tirés de cette crise sanitaire doivent nous inciter à prendre la mesure de la menace qui nous guette et éviter que cette digitalisation accélérée ne devienne une épée de Damoclès au-dessus de nos têtes, nous citoyens, organisations et gouvernements. Une situation que nous avons tous intérêt à éviter au risque de devoir prendre des mesures drastiques pour contenir une menace qui finira par nous dépasser. On le sait tous, le cout de la sécurité n’est pas négligeable. Cependant, face à une crise cyber majeure et comparés à l’ampleur des conséquences d’une telle crise, ces couts paraitront bien dérisoires s’ils contribuent à la maitriser, voire l’éviter.

  • Cyber-immunité des systèmes industriels : entre mythes et réalité

    Cyber-immunité des systèmes industriels : entre mythes et réalité

    L’industrie constitue un écosystème privilégié d’innovations technologiques et de gains de productivité. Sur le plan stratégique, le tissu industriel occupe également un rôle déterminant pour la souveraineté et l’indépendance économique et énergétique d’un pays. En 2010, l’attaque Stuxnet, visant les installations nucléaires iraniennes, a révélé au grand jour l’ampleur de la menace qui pèse sur ces systèmes industriels. Depuis, la liste des incidents ne cesse de s’allonger. Dans cet article nous nous intéressons à la menace qui pèse sur les installations industrielles et apporterons un premier éclairage sur les différentes stratégies de défense mises en place.

    Digitalisation et cyber-menace : les deux faces d’une même pièce

    Les systèmes industriels doivent constamment relever de nouveaux défis afin de faire face à une concurrence mondiale accrue. C’est ainsi que ce secteur s’est massivement digitalisé ces dernières années en vue d’automatiser ses processus et d’optimiser son efficacité. Comme le démontre une étude récente de PwC [1], d’ici 2020, 907 milliards de dollars seront dépensés afin de permettre à la majorité des entreprises de passer le cap de la digitalisation. Cette évolution de paradigme industriel s’inscrit dans une démarche globale, appelée « Industrie 4.0 », « Internet industriel », « Internet des objets Connectés Industriels (IIoT) » voire « Usine digitale ».

    Au-delà du débat terminologique, intégrer le digital au sein d’une usine ou d’une installation industrielle se traduit systématiquement par de profondes transformations portées par de nouveaux composants matériels et/ou logiciels. Lao-Tseu disait « celui qui a inventé le bateau a aussi inventé le naufrage ». De ce fait, la transformation digitale peut être une « arme à double tranchant ». D’une part, elle apporte son lot d’innovations et de sophistication et, d’autre part, elle étend la surface d’attaque et rallonge la liste des vulnérabilités et des menaces auxquelles ces systèmes industriels peuvent être exposés.

    Typiquement, un système de contrôle industriel (ICS, Industrial Control System) représente l’ensemble des équipements et logiciels utilisés pour contrôler et surveiller les éléments constitutifs d’une installation industrielle. Ces éléments reposent sur des technologies éprouvées comme les Automates Programmables Industriels (API), les Systèmes Numériques de Contrôle-Commande (SNCC) et les systèmes de contrôle et d’acquisition de données (SCADA).

    Traditionnellement isolés des systèmes d’information de l’entreprise, ces composants industriels dits opérationnels voient leurs cloisons s’atténuer progressivement pour une inter-connectivité massive avec l’IT, localement en réseau ou via Internet (i.e. le Cloud). Cette convergence entre systèmes d’information et réseaux industriels n’est pas dénuée de risques, notamment lorsqu’il s’agit d’instrumenter des équipements non informatiques avec des objets connectés industriels (OCI, IIoT pour Industrial Internet of Things). Par ailleurs, désormais davantage exposés, ces composants utilisent souvent des logiciels et/ou protocoles de communication propriétaires rendant difficile leurs évolutions pour faire face aux nouvelles menaces.

    Une menace en perpétuelle évolution

    En 2005, un ver informatique, appelé Zotob, a été à l’origine d’un déni de service massif qui a affecté 13 usines automobiles de DaimlerChrysler aux États-Unis. L’attaque a duré moins de deux heures et les dégâts ont été estimés à plus de 14 millions de dollars. Le ver a initialement infecté les postes de travail du système d’information pour se propager par la suite vers le réseau industriel. Deux ans plus tôt, une attaque similaire exploitant le ver Slammer avait rendu inopérant les systèmes de sûreté de la centrale nucléaire de Davis-Bess aux États-Unis. Bien que les deux attaques ne soient pas ciblées, l’absence de cloisonnement entre systèmes d’information et réseaux industriels a facilité leur progression et aggravé leurs préjudices. L’enseignement principal de ces deux incidents réside justement dans le manque d’enseignements dont ont fait preuve les responsables de DaimlerChrysler suite à l’attaque sur la centrale nucléaire. Une simple mise en place d’un filtrage rigoureux entre le réseau IT et industriel leur aurait permis d’éviter facilement l’attaque.

    Quinze ans plus tard, la situation est toujours aussi préoccupante. Bien que le degré de sensibilisation vis-à-vis de la menace cyber ne soit plus le même qu’en début du siècle, la prise de conscience des industriels, bien qu’encourageante, est à relativiser. En effet, la menace a changé de dimension. Les attaques récréationnelles massives ont été reléguées au second plan en faveur d’une nouvelle génération d’attaques plus ciblées, plus sophistiquée et aux conséquences d’une extrême sévérité. Que ces attaques émanent d’espérions industriels, de criminels, d’hacktivistes, de terroristes ou de groupuscules soutenues par des états hostiles, le constat est le même. Désormais, le visage de la menace a évolué. Il n’est plus représenté par le jeune hackeur doué, à la recherche de sensations fortes, mais par des membres de commandos suréquipés, surentrainés et surmotivés. Il s’agit désormais de professionnels dont la mission principale est de mettre à mal la sécurité de l’installation industrielle de leurs cibles.

    L’importance des chaînes de défense pour une stratégie de sécurité de bout-en-bout

    L’écart entre le niveau de la menace et le degré de protection est en train d’atteindre son paroxysme. Preuve de ce déficit, la longue liste d’attaques visant les installations industrielles depuis Stuxnet et leurs impacts sur l’économie mondiale. Bien que la prise de conscience de la gravité de la menace cyber ne soit pas récente pour les services de l’État et les grands groupes, celle-ci n’est qu’à ses premiers balbutiements quand il s’agit de petites ou moyennes entreprises (TPE/PME) [2]. Or, une chaîne n’est pas plus solide que son maillon le plus faible et les capacités techniques, humaines et financières limitées des TPE-PME en font des proies faciles. C’est d’ailleurs ce qu’a souligné Guillaume Poupard, Directeur général de l’ANSSI (Agence nationale pour la sécurité des systèmes d’information) lors de l’édition 2019 du Forum International de la cybersécurité (FIC) : « Les attaquants ont compris que pour toucher certaines cibles, il était beaucoup plus efficace de s’en prendre aux prestataires, à la supply chain ». C’est d’ailleurs ce que démontre une étude de terrain menée depuis 2016 par l’IRT SystemX sur la quantification du risque informatique sur l’ensemble du territoire français, avec une soixantaine de petites entreprises et d’associations de loi 1901 victimes d’attaques [3-5].

    Alors que le directeur de l’ANSSI milite pour mobiliser tous les acteurs de la sécurité pour une défense collective, solidaire et globale à l’échelle de la France, voire de l’Europe, certaines voix n’hésitent plus à évoquer le sujet longtemps tabou de la défense offensive. Motivée par une situation qu’ils qualifient de « cyber-guerre », cette ligne de défense proactive est notamment portée par la Ministre des Armée, Florence Parly, au travers du volet offensif de la doctrine cyber-militaire dévoilée au FIC en janvier 2019.
    Tandis que la sécurité collaborative prônée par l’ANSSI met l’accent sur l’importance de la coopération entre les acteurs de la sécurité industrielle, la doctrine soutenue par le ministère des armées vise à instrumenter le lien entre la cible à son attaquant. Ces instruments offensifs ont pour objectif de neutraliser et mettre hors d’état de nuire la source de l’agression.

    Cependant, la plupart des entreprises visées par les cybercriminels, notamment les TPE/PME, sont très loin de ce niveau de sophistication et n’ont certainement pas la capacité de l’atteindre à court et moyen terme. Nous introduirons ci-dessous une troisième stratégie de sécurité centrée sur l’entreprise et sa gestion interne de la sécurité. Portée par des industriels et des académiques, cette approche repose sur des concepts bio-inspirés tel que « immunité », « vigilance » et « résilience ». A terme, cette approche vise à sensibiliser les entreprises à la pratique d’une sécurité robuste, complète et évolutive afin d’inscrire la mise en œuvre de politiques de sécurité interne dans un processus d’amélioration continue de la qualité de protection.

    Cyber-immunité : vers une stratégie de protection adaptative

    Le concept de cyber-immunité vise à reproduire par mimétisme les phénomènes d’autoprotection observés chez certains êtres vivants (par exemple l’Homme) pour mieux appréhender la menace cyber. En réalité, le principe de cyber-immunité fait partie d’une approche globale visant à intégrer « by design » des fonctions de protection, de détection et de réaction afin d’assurer la continuité de l’activité métier malgré les perturbations liées à des actes malveillants.

    Comme illustré dans le schéma ci-dessous, ce changement de paradigme par rapport à la pratique classique de la sécurité informatique repose sur l’intégration synergétique des concepts de cyber-immunité, cyber-vigilance et cyber-résilience afin de fournir une approche de sécurité industrielle intégrale, dite à 360°.

    1. La cyber-immunité vise à renforcer le système vis-à-vis des menaces connues. Cela implique le déploiement et la mise en œuvre de solutions de protection adaptées à l’état de l’art. Ce principe vise également à immuniser le personnel, souvent considéré comme le maillon faible de la chaîne de sécurité, en le sensibilisant et en le formant au respect des règles définies au sein de la politique de sécurité de l’entreprise. Enfin, la cyber-immunité se nourrit des expériences passées en inscrivant le système dans un processus d’amélioration continue de la qualité de la protection. Cela passe, à titre d’exemple, par une gestion efficace des correctifs et des procédures de maintien en conditions de sécurité et maintien en condition opérationnelles.
    2. La cyber-vigilance vise à maintenir le système dans une posture de méfiance permanente vis-à-vis des menaces du cyber-espace industriel. Cela se traduit par la mise en œuvre de mécanismes de surveillance des activités du système ainsi que le déploiement de solutions de détection d’intrusions. Enfin, la posture de vigilance ne saurait être complète sans une tâche de veille régulière afin d’identifier les nouvelles menaces et de s’y préparer.
    3. La cyber-résilience a pour objectif de doter le système industriel de capacités de réaction rapides et adaptées à la menace. L’objectif est d’ajuster la réaction à l’ampleur de l’attaque et cela englobe les procédures de mitigation d’attaques et de remédiation. La menace étant inévitable, le but de la cyber-résilience est de garantir la continuité des activités industrielles, même en mode dégradé, malgré la menace.

     

    Dans cet article, nous avons apporté un premier éclairage sur l’importance de la menace pesant sur les systèmes industriels. Nous avons également motivé l’intérêt d’une stratégie de cadrage simple, efficace et adaptée. Cette stratégie de cadrage, appelée « sécurité auto-adaptative », repose sur la synergie entre les concepts bio-inspirés d’immunité, de vigilance et de résilience appliquée à la pratique de la cybersécurité. Dans un prochain article, nous développerons ces trois volets et motiverons leur adéquation par rapport la mise en œuvre d’une sécurité évolutive en milieu industriel et accessible à des acteurs aux moyens limités tel que les TPE/PME.

     

    Références : 

    [1] : https://www.pwc.fr/fr/espace-presse/communiques-de-presse/2018/avril/transformation-digitale-industriels-francais-prevoient-economies-augmentation-revenus.html

    [2] : https://www.chefdentreprise.com/Thematique/digital-innovation-1074/Infographies/Plus-PME-cinq-est-victime-cyber-attaque-335996.htm

    [3 ] : https://www.irt-systemx.fr/wp-content/uploads/2017/10/ISX-IC-Cyber-Risque.pdf

    [4] : https://blog.irt-systemx.fr/le-piratage-informatique-en-france-un-cyberimpot/

    [5] : https://www.lepoint.fr/economie/les-cyberattaques-un-risque-pour-les-pme-aussi-03-11-2017-2169603_28.php

  • Le piratage informatique en France : un cyberimpôt

    Le piratage informatique en France : un cyberimpôt

    Face au « cyberimpôt » que représentent les fraudes et attaques numériques, chiffrables en centaines de millions d’euros annuels pour l’économie, il devient urgent de repenser à moindre coût la sécurité intrinsèque de nos communications, plutôt que de se contenter d’apposer chez l’utilisateur final des couches de sécurité onéreuses sur un substrat insécurisé.

    Une étude de terrain menée depuis 2016 par l’IRT SystemX sur la quantification du risque informatique sur l’ensemble du territoire français, avec une soixantaine de petites entreprises et d’associations loi 1901 victimes d’attaques, révèle que le seuil symbolique de 1 % de probabilité d’être victime d’une attaque par chiffrement de données, par an, est largement franchi.
    Aujourd’hui, réunir quelques dizaines de petits patrons, par exemple de TPE, est la quasi-certitude statistique de trouver parmi cet auditoire une victime sur l’année.

    Des centaines de millions d’euros de préjudice

    Deux types d’attaques ressortent du paysage : d’une part les cryptovirus (chiffrer vos données, puis vous réclamer une rançon), d’autre part la fraude « au président » (ainsi que les faux ordres de virements) trop hâtivement circonscrite à ne relever que de l’ingénierie sociale.
    Chacun des deux engendre un préjudice annuel chiffrable en centaines de millions d’euros au moins. L’espionnage par voie numérique s’ajouterait à ce duo, mais sa faible détectabilité le maintient dans l’ombre, hormis lorsqu’il décide de se rendre visible, par exemple avec les captations de mots de passe permettant les prises de contrôle de votre messagerie.
    Le volume, souvent sous-évalué, des attaques par cryptovirus est atténué par leur faible coût financier unitaire, typiquement de quelques milliers d’euros pour une petite PME, loin en cela des sommes, parfois surévaluées, lues dans les gros titres de presse.
    Le fait que la médiane et le mode soient quant à eux encore bien au-dessous de ce montant moyen dessine une pyramide des préjudices faite d’une base très large, constituée d’une majorité de victimes pour lesquelles le dégât restera modeste, souvent grâce à la présence de sauvegardes régulières.
    Mais la pointe, avec son étroitesse, montera très haut dans sa traduction pécuniaire, jusqu’à devenir létale pour des entreprises aux trésoreries souvent tendues.

    Des ponctions unitairement tolérables, collectivement considérables

    Pareille pyramide explique mieux la médiatisation de quelques cas graves, voire mortels, qui forment la partie visible de l’iceberg, mais masquent la banalisation insidieuse des attaques à bas coût : logique d’acceptabilité intellectuelle d’ailleurs entretenue par les pirates, dont les rançons demandées ont un montant usuel de l’ordre de 2 000 à 3 000 euros, c’est-à-dire tolérable dans l’arbitrage qu’un entrepreneur sera tenté d’effectuer entre endosser les conséquences des pertes de données ou s’en « libérer » par rançon (libération illusoire, puisque les observations montrent la récurrence future des répliques d’attaques pour qui aura déjà été victime).
    Qui a payé… paiera, ou tout au moins y sera exposé sans limite de durée. Quoique ces répliques soient automatisées pour la plupart, tel cas récent chez un artisan a montré que les pirates s’étaient ménagé un accès via le dispositif informatique domestique de ce gérant pour revenir chiffrer à nouveau les données sur son système d’information professionnel dans les semaines suivantes.
    Le coût général de ces cryptovirus commence à être cerné, malgré une omerta qui a longtemps régné çà et là : de manière cocasse et paradoxale, il ressort de nos études sur le terrain une règle empirique que plus une entreprise possède un service communication structuré, plus elle sera réticente à communiquer sur les attaques subies.

    1 à 2 milliards de dégâts pour les cryptovirus
    Les cryptovirus causent chez les seules entreprises de moins de 50 employés un montant de préjudice estimable à plus de 700 millions d’euros par an. Élargie à l’ensemble des entreprises, établissements publics et associations de loi 1901 françaises de toutes tailles, cette estimation aboutit à un coût de l’ordre de 2 milliards par an, en gardant à l’esprit qu’il s’agit de l’option basse des fourchettes dégagées.

    Le préjudice national est difficile à cerner

    Rapporté à notre PIB national, de l’ordre de 2 100 milliards, un tel montant semblerait équivalent à 1 pour mille. Mais cette comparaison est pourtant impropre.

    Message de demande de rançon par cryptovirus
    Message de demande de rançon par cryptovirus (capture d’écran).

    En effet, d’une part le chiffre d’affaires qu’aura perdu telle entreprise mise à l’arrêt du fait du piratage se traduira parfois en commandes pour son concurrent (et pour son fournisseur, on se souvient d’un pirate allemand lié familialement à un petit prestataire informatique, qui espérait ainsi générer des clients demandeurs de secours), mais donc pas par une perte pour le PIB : les préjudices individuels ne s’additionnent pas pour constituer le préjudice collectif.
    D’autre part, ces recensements de jours de travail ou de commandes perdus, et des frais tels que de remise en route, mesurent mal les manques à gagner futurs, ceux qui résultent d’investissements annulés par l’entreprise. De même, ils ne donneront qu’une perception comptable tronquée des dégâts indirects à long terme causés par la mort d’une entreprise.
    Il serait plus juste de raisonner en termes de nuisance au fonctionnement économique, qui oriente trop d’investissements vers une sécurité, d’ailleurs imparfaite, plutôt que vers de l’équipement productif ; qui mobilise des temps/homme croissants au détriment d’autres tâches plus utiles, enfin qui accapare l’esprit des décideurs confrontés à ces risques.

    Un cyberimpôt

    Voyons en tout cela un impôt, qualifiable de cyberimpôt, qui handicape l’économie, nuit aux relations interentreprises et dérentabilise en partie la numérisation de ces sociétés. Ce cyberimpôt rogne le constituant immatériel qu’est la confiance, qui permet d’ouvrir un courrier électronique sans hésitation, et avec elle la fluidité de l’activité.
    Cet impôt s’alourdit au fil des années, en proportion de l’augmentation des attaques, et affecte l’emploi ainsi que la dynamique des producteurs de richesses.
    Si la tendance à l’aggravation se maintient, l’adage voulant que « l’impôt tue l’impôt » – hérité de Jules Dupuit (X1822) – se transformerait en « le cyberimpôt tue l’économie » ; d’ailleurs, les niveaux d’ores et déjà observés attestent d’un seuil intermédiaire, résumable en blessure pour l’économie, devenant mortelle pour quelques-uns.

    Fuites aux capitaux

    Une autre matérialisation de cette ponction apparaît sous forme de sortie des capitaux : les rançons versées par les entreprises, quoique difficiles à estimer concernant les très grandes entreprises, qui répugnent à communiquer sur ces sujets sensibles pour leur image de marque, constituent pour l’essentiel des sorties de cet argent hors du territoire français.
    Ce racket est un tribut versé par la France. Sur ce point cependant, les torts élevés subis par l’ensemble des victimes des cryptovirus se prolongent par des sorties de capitaux quant à elles faibles. Le dégât direct général se révèle environ 35 fois supérieur à ce qu’encaissera le pirate, c’est-à-dire son « chiffre d’affaires » : ce type d’attaque casse beaucoup, saccage le patrimoine d’une société, mais récupère assez peu de butin.
    Ainsi, la monnaie « exfiltrée » de France par ce type d’attaque se compte en dizaines de millions d’euros, avec un plancher vraisemblable de l’ordre de 20 millions pour les entreprises de moins de 50 personnes.
    Ajoutées aux « fraudes aux sentiments », très actives sur les réseaux sociaux et visant en particulier les personnes en situation de solitude, et à l’ensemble des autres types d’attaques, le flux sortant d’argent se mesure au total en centaines de millions d’euros par an, soit pour comparaison plus de 1 % du déficit de notre balance courante (de 24 milliards en 2016).

    Les fraudes « au Président »

    En comparaison, les « fraudes au président » s’avèrent source de sortie de capitaux plus importantes, estimables à plus de 100 millions d’euros par an. Le ministère de l’Intérieur évoque environ 80 millions d’euros captés par an sur les dernières années, montants massivement transférés hors de France, mais reconnaît qu’il ne couvre pas tout le périmètre réel.
    Par leurs razzias ciblées sur les comptes bancaires des entreprises ainsi ponctionnés, de tels voleurs « propres » ne les tuent pourtant pas moins, comme en atteste une entreprise de 60 employés liquidée après avoir retrouvé ses avoirs bancaires vidés fin août – autre période prisée des pirates – en 2015.

    Vers une asphyxie de l’économie ?

    Ces niveaux de préjudice, individuels comme collectifs, auxquels s’ajoute un pretium doloris lui aussi sous-estimé, alors qu’il s’agit de crises anxiogènes et déstabilisatrices, ne constituent plus un épiphénomène mais un fait central dont la présence passe de la simple gêne au handicap ou à la douleur.
    Toute future aggravation forte, comme la pente actuelle semble l’y conduire, conduirait à terme à une asphyxie lente du tissu économique. Certainement serait-il bon, à l’instar de ce que préconise Louis Pouzin (50), en première étape de repenser à moindre coût le fonctionnement en soi de nos réseaux de télécommunication, plutôt que de se contenter d’apposer chez l’utilisateur final des couches de sécurité onéreuses sur un substrat insécurisé.
    Faute de quoi, sinon, à terme le cyberimpôt tuera cette fois le cyber.

    Cet article a été publié dans le magazine « La Jaune et la Rouge » en avril 2018.

  • Sécurité numérique de la mobilité partagée, connectée et autonome : pour une nouvelle approche de la R&D

    Sécurité numérique de la mobilité partagée, connectée et autonome : pour une nouvelle approche de la R&D

    La mobilité partagée, connectée et bientôt autonome se construit autour de la coopération de systèmes d’information disparates opérés par des acteurs multiples grâce à l’hyperconnectivité de ses composantes (du smartphone aux moyens de transport eux-mêmes). La protection de ces systèmes d’information, des données qu’ils véhiculent et des services qu’ils offrent nécessite des arbitrages complexes entre la facilité d’usage, le coût et les gains attendus pour la sécurité, la sûreté de fonctionnement, le respect d’un droit numérique en évolution permanente et la compréhension et l’anticipation du marché et de ses acteurs. Trois axes complémentaires sont à privilégier dans une approche globale et interdisciplinaire — sciences mathématiques et informatiques, sciences économiques, sociales et du comportement — de la cyber sécurité : la protection des acteurs (industriels et utilisateurs finaux), la sécurisation des produits et services et le respect de la vie privée de l’usager.

    Une étude de terrain, menée par l’IRT SystemX auprès de TPE/PME victimes de cyber attaques (principalement rançongiciels et « fraudes au président ») a montré un taux d’attaques réussies ainsi qu’un préjudice humain largement sous-estimés. Des grandes entreprises ont vu également certaines de leurs usines ou filiales paralysées par des logiciels malveillants récents et évolutifs pour lesquels les contre-mesures s’avèrent difficiles en environnement contraint. Chaque entreprise devra à l’avenir former ses responsables et ses prestataires au cyber risque, mieux urbaniser ses systèmes d’information pour les rendre plus résistants, faire appel à des services de confiance et s’entraîner régulièrement à la gestion d’une crise cyber.

    La correction de la fragilité des systèmes industriels et des services est un sujet de recherche en soi. Les nouveaux produits et services de la mobilité en sont un exemple frappant et ceux-ci devront être sécurisés au plus tôt de leur conception. Les objets dits connectés, directement accessibles aux pirates, devront embarquer de nouvelles briques logicielles et matérielles immunes à des attaques dont l’outillage se partagera assurément. Et leur résilience nécessite de nouvelles approches. Des techniques de protection feront appel à des avancées dans la prévention (veille sur les menaces, analyses massives, simulations sur plateformes dédiées) et à des techniques de prédiction de défaillances par détection de signaux faibles (intelligence artificielle appliquée à la cybersécurité, filtrage et correction en temps réel, systèmes experts pour assister les opérateurs humains). Seule une mutualisation de la supervision et du traitement des incidents sera à même de gérer les nouveaux modes opératoires des attaquants bientôt, eux-mêmes, robotisés par les avancées de l’intelligence artificielle.

    La liberté de circulation est garantie par l’article 13 de la Déclaration universelle des droits de l’homme. La protection des données à caractère personnel et le respect de la vie privée sont aussi des droits fondamentaux majeurs dont le nouveau règlement européen sur la protection des données personnelles appuiera les principes centraux de consentement éclairé pour l’usager et de notification aux autorités de contrôle des failles pour les acteurs. Ce règlement, qui entrera en application le 25 mai 2018, introduit le concept du « privacy by design » qui appelle à des travaux de recherche novateurs. Il a été démontré que seules quatre informations spatio-temporelles de géolocalisation permettent d’identifier un individu avec une probabilité supérieure à 95% sur un territoire d’environ 80 000 personnes[1]. De nouvelles voies dont certaines relèvent encore de la recherche fondamentale sont donc à explorer : anonymisation, pseudonymisation, randomisation et protection de données personnelles différentielles. Elles feront appel à des briques technologiques encore peu usitées comme le chiffrement homomorphe, la signature de groupe, la preuve à divulgation nulle de connaissance, la communication anonyme, la recherche chiffrée dans les bases de connaissance. L’IRT SystemX, avec l’aide de ses partenaires, s’engage dans la voie de ces recherches de tout premier plan.

    [1] Yves-Alexandre de Montjoye, César A. Hidalgo, Michel Verleysen & Vincent D. Blondel (2013) Unique in the Crowd: The privacy bounds of human mobility, Nature Scientific Reports 3, 1376

    Cet article est extrait de livre blanc « RÉINVENTER LA MOBILITÉ URBAINE ET PÉRIURBAINE À L’HORIZON 2030 : 24 propositions pour l’Île-de-France dans le cadre de Paris 2024 ».