Parallèlement, ces dernières doivent également se préparer à l’émergence de nouveaux risques liés aux technologies de dernières générations telles que le Cloud, le Machine Learning ou encore les API, mais aussi les technologies à venir comme l’informatique quantique.

Face à cet environnement, les entreprises, bien qu’elles tendent à sécuriser leur système d’information, ont encore des efforts à faire en la matière.

La pandémie de Covid-19 a amplifié les risques associés au cyber et a révélé des vulnérabilités préexistantes à un monde interdépendant et interconnecté qui dépend fortement des technologies numériques.

« Le développement du télétravail a ainsi massifié les échanges et les flux de données et ce, sur des réseaux parfois non protégés, souligne Richard Lamy, directeur Programme de confiance chez Docaposte. En effet, le recours massif au télétravail a, pour beaucoup d’entreprises et de collaborateurs, été mal anticipé. Ainsi, la mise en oeuvre non maîtrisée du télétravail a éprouvé la sécurité informatique des entreprises et mis en lumière leurs faiblesses en matière de stratégie numérique. Les cybercriminels y ont vu une nouvelle opportunité et ont profité de la baisse de vigilance des entreprises en la matière pour multiplier leurs pièges ».

Les études montrent ainsi comment les hackers ont exploité l’intérêt et les préoccupations concernant la Covid-19 pour inciter les utilisateurs à cliquer sur des liens ou des pièces jointes malveillants. Hors du réseau protégé de l’entreprise, les activités des collaborateurs sont en effet plus exposées aux risques. Les retards dans la découverte et la réponse aux failles, en raison du nombre réduit d’employés sur site, ont également exacerbé la situation.

De fait, le niveau de vigilance des salariés reste un point clé de la cybersécurité et ce d’autant plus lorsqu’ils sont à domicile. D’autre part, avec le travail à distance, les directeurs des systèmes d’information (DSI) ont également perdu en visibilité sur les actions des collaborateurs. L’environnement de travail est moins contrôlé donc plus exposé, et le risque humain est amplifié, loin des protections périmétriques de l’entreprise (protection mécanique et surveillance électronique).

« États piratés, organisations pillées, hôpitaux à l’arrêt... les deux années de pandémie écoulées ont néanmoins permis de placer, enfin, la cybersécurité au coeur des enjeux de la société », constate Éléna Poincet, cofondatrice et CEO de Tehtris.

Parallèlement, le développement des nouvelles technologies ouvre également la porte à de nouvelles failles de sécurité. C’est par exemple le cas avec le Cloud, le Machine Learning ou encore les API.

Le Cloud accroît la surface potentielle d’attaque

L’accélération de la migration vers le Cloud et plus généralement de la digitalisation des entreprises n’a aussi fait qu’accroître la surface d’attaque potentielle. L’adoption massive du Cloud génère en effet de nouveaux risques que les entreprises n’avaient pas forcément à traiter avec des solutions sur sites.

Selon le Cesin (Club des experts de la sécurité de l'information et du numérique), les principaux facteurs de risques induits par le Cloud concernent ainsi la non-maîtrise de la chaîne de sous-traitance de l’hébergeur pour 48 % des entreprises, et des difficultés de contrôle d’accès déclarés pour 43 % d’entre elles.

D’autre part, 40 % indiquent des risques liés à la rareté de l’expertise parmi les architectes et les administrateurs, et une mauvaise visibilité de l‘inventaire des ressources dans le Cloud pour 38 %. Huit responsables de la sécurité des systèmes d’information (RSSI) sur dix estiment encore que la sécurisation des données stockées dans le Cloud requiert des outils spécifiques, et dans la plupart des cas (63 %), il est nécessaire d’utiliser d’autres dispositifs que ceux proposés par le fournisseur de Cloud.

Enfin, six entreprises sur dix se disent préoccupées par les sujets de souveraineté et de Cloud de confiance.

Le Machine Learning, technologie porteuse de risques

Selon Netwrix, les entreprises devront également relever les défis du Machine Learning en 2022. Plus de la moitié des grandes entreprises (59 %) utilisent déjà la Data Science et le Machine Learning. Si ces technologies offrent de nombreux avantages, elles sont également porteuses de risques. Les algorithmes de Machine Learning sont particulièrement vulnérables pendant la phase d’apprentissage, dans la mesure où des cybercriminels peuvent manipuler les données en entrée, afin de modifier les résultats.

Cela peut alors provoquer la rupture de processus critiques, voire mettre des vies en danger lorsque ces malversations touchent le secteur de la santé, ou quand elles perturbent volontairement le fonctionnement des feux de signalisation des villes intelligentes par exemple.

Les entreprises qui utilisent le Machine Learning doivent comprendre et évaluer ces menaces à leur juste mesure, et redoubler d’efforts pour s’en prémunir.

Les services d’API : nouvelle cible des cybercriminels en 2022

Alors que des statistiques récentes suggèrent que plus de 80 % de l’ensemble du trafic Internet appartient à des services API*, ce type d’utilisation accrue attire aussi l’attention des développeurs de menaces cyber.

En effet, les API riches en fonctionnalités sont devenues l’épine dorsale de la plupart des applications modernes utilisées aujourd’hui : connectivité 5G, Internet des objets, suites de productivité dynamiques basées sur le Web…

Dans la plupart des cas, les attaques ciblant les API passent inaperçues car ces interfaces sont généralement considérées comme fiables et ne bénéficient pas du même niveau de gouvernance et de contrôles de sécurité.

Pourtant, elles pourraient présenter des risques liés notamment à une mauvaise configuration des API, entraînant l’exposition accidentelle d’informations, l’exploitation des mécanismes d’authentification modernes tels que Oauth/Golden SAML pour obtenir l’accès aux API et persister dans les environnements ciblés, l’évolution des attaques traditionnelles de logiciels malveillants pour utiliser davantage les API du Cloud, telles que l’API Graph de Microsoft ou encore l’utilisation abusive potentielle des API pour lancer des attaques sur les données des entreprises, comme les Ransomwares sur les services de stockage Cloud (OneDrive par exemple).

L’utilisation des API pour l’infrastructure définie par logiciel signifie également une potentielle mauvaise utilisation conduisant à une prise de contrôle totale de l’infrastructure ou à la création d’une infrastructure fantôme à des fins malveillantes.

L’informatique quantique va rendre vulnérables les systèmes de sécurité actuels

L’informatique quantique devrait également bientôt commencer à perturber les capacités de chiffrement. En effet, la plupart des concepteurs d’algorithmes s’appuient aujourd’hui sur l’idée selon laquelle il n’existe aucun processeur suffisamment puissant pour les « craquer » dans un temps raisonnable. Cependant, l’informatique quantique va inaugurer une nouvelle ère, avec l’arrivée de processeurs capables de ce type de performance.

« La technologie quantique dispose donc de capacités de calcul bien supérieures à celles de l’ordinateur électrique, avec un multiple d’élévation au carré pour chaque Qubit supplémentaire, l’unité de compte de l’informatique quantique », précise Olivier Senot, directeur Innovation et Numérique de confiance chez Docaposte.

Parmi les différents domaines d’application de l’informatique quantique, la cryptanalyse, ou l’art de casser les clés de chiffrement RSA (système de cryptographie à clé publique pour sécuriser les données transmises sur Internet), constitue également un objectif majeur à l’échelle des États mais aussi des « hackers ».

« L’impact de l’informatique quantique sur la cryptanalyse est crucial, ajoute Olivier Senot. Aujourd’hui les clés RSA ont des spécificités liées notamment à leur taille. Plus la taille de la clé RSA est importante, plus le temps de calcul nécessaire à un ordinateur électrique pour casser cette clé est important et ce temps croît de façon exponentielle avec la taille de la clé ».

Concrètement, tous les émetteurs, et donc les utilisateurs de clés RSA au travers des certificats, qui sont extrêmement solides aujourd’hui, sont concernés. En effet, ces clés pourraient demain devenir vulnérables. L’objectif des émetteurs est donc d’intégrer dans les certificats des algorithmes dit « post-quantiques » capables de résister aux attaques de futurs ordinateurs quantiques.

Des entreprises insuffisamment protégées contre les risques liés au numérique

Bien que la médiatisation des cyberattaques ait contribué à une prise de conscience collective des risques en la matière et des conséquences qui y sont liées, beaucoup d’entreprises n’ont pas encore ou insuffisamment pris les mesures qui s’imposent pour protéger convenablement leurs activités. C’est notamment le cas des TPE et PME.

Selon l’ANSSI (Agence Nationale de la Sécurité des Systèmes d’Information), 43 % des cyberattaques viseraient ainsi les petites entreprises, peu armées pour se défendre efficacement face à ce type de risques.

Dans le même temps, le Baromètre Euler Hermes/DFCG 2021 révèle que deux entreprises françaises sur trois ont subi au moins une tentative de fraude cette année. Les grandes entreprises, bien que disposant de moyens plus importants pour se protéger, sont également aussi à la peine.

Selon IBM, 62 % des organisations mondiales ne peuvent pas affirmer qu’elles sont équipées pour faire face à une cyberattaque. À cet égard, toutes les entreprises sont concernées, grandes, moyennes ou petites. Or, les conséquences sont d’autant plus graves pour les petites et moyennes entreprises, car elles sont moins en mesure de supporter les pertes financières qu’une cyberattaque pourrait causer.

Les budgets alloués à la cybersécurité étaient pourtant en hausse en 2021. 70 % des entreprises françaises interrogées dans le cadre du baromètre annuel du Cesin sur la cybersécurité confirment cette tendance, contre 57 % en 2020. Elles sont 56 % à vouloir allouer plus de ressources humaines à leur organisation. 84 % vont acquérir de nouvelles solutions techniques, tandis que 62 % d’entre elles ont recours aux offres innovantes issues de Start-up.

Cependant, alors que les entreprises investissent massivement dans la sécurité des données et du Cloud pour s’adapter aux changements permanents provoqués par le verrouillage, tels que le travail à distance et la numérisation accélérée, les acteurs malveillants ont souvent une longueur d’avance et continueront de cibler les faiblesses afin de provoquer des perturbations, de voler des données et faire de l’argent.

Il est donc indispensable que les entreprises prennent les mesures nécessaires pour prévenir toute tentative de risques liés au numérique, dont les cyberattaques. Une prévention qui passe par la protection du système d’information et une sensibilisation des salariés à la sécurité des données.

Quelques chiffres 20 % des responsables d’entreprises ont déclaré avoir été confrontés à une violation de la sécurité due à un travailleur distant. Le télétravail des collaborateurs doit être bien préparé pour atténuer les risques d’attaques. (Source : Malwarebytes, Covid-19’s impact on business security) Effet Covid-19 Lors de la crise sanitaire, près d’une entreprise sur deux a remarqué une recrudescence des attaques suite à la généralisation du télétravail.  (Source : Euler Hermes/DFCG, 2021)