Le renforcement de la protection contre les cyberattaques

L’Anssi préconise l’adoption de mesures préventives pour réduire les risques et les conséquences des cyberattaques.

L’invasion de l’Ukraine par la Russie s’est accompagnée d’une hausse des cyberattaques visant les entreprises occidentales. Raison pour laquelle l’Agence nationale de la sécurité des systèmes d’information (Anssi) incite les entreprises à mettre en œuvre 5 mesures cyber-préventives prioritaires. Des mesures qu’il convient d’adopter rapidement et d’inscrire dans une démarche de « cybersécurité globale et de long terme », insiste l’Anssi.

1. Renforcer les procédures d’authentification

Afin de réduire le risque d’intrusion, l’accès au système d’information de l’entreprise doit être renforcé. À cet effet, l’Anssi préconise la mise en place d’un dispositif d’authentification multifacteur. Pour accéder au réseau, on combinera ainsi plusieurs facteurs d’identification, par exemple, un mot de passe robuste et un code reçu par SMS ou via une application dédiée. Généralement, ce code aura une durée de vie limitée à quelques minutes. Dans cette configuration, le fait qu’un seul des facteurs utilisés soit connu d’un hacker ne lui permettra pas d’accéder au réseau ou au compte protégé. Ce dispositif de sécurité a été imposé à tous les établissements bancaires en 2019. L’Anssi recommande sa mise en place pour « les comptes particulièrement exposés, notamment ceux des administrateurs qui ont accès à l’ensemble des ressources critiques du système d’information et ceux des personnes exposées de l’entité (personnel de direction, cadres dirigeants, etc.) ».Pour ceux qui souhaitent en savoir plus, l’Anssi propose sur son site un guide dédié à l’authentification multifactorielle et à la gestion des mots de passe. Un document de 52 pages qui permet d’appréhender les enjeux et les conditions de mise en place et de gestion de ce type de dispositif.

2. Accroître la surveillance du réseau

Le temps de réaction est crucial en cas de cyberattaque. Plus rapide sera la réaction, moindres seront les dégâts. Mettre en place une surveillance quotidienne et globale du réseau est donc fortement conseillé afin d’être en capacité d’identifier sans retard une éventuelle compromission et de la traiter. Lorsqu’une surveillance globale n’est pas possible, l’Anssi propose une « centralisation des journaux des points les plus sensibles du système d’information. On peut lister, à titre d’exemple, les points d’entrée VPN, les bureaux virtuels, les contrôleurs de domaine, ou encore les hyperviseurs ».Rehausser le niveau de vigilance, revient également, selon l’Anssi à systématiquement « inspecter » toutes les connexions anormales sur les contrôleurs de domaine et toutes les alertes apparaissant sur les solutions antivirus et EDR (Endpoint Detection and Response).

3. Ne pas oublier les sauvegardes

« Des sauvegardes régulières de l’ensemble des données, y compris celles présentes sur les serveurs de fichiers, d’infrastructures et d’applications métier critiques, doivent être réalisées », insiste l’Anssi. En rappelant que ces sauvegardes doivent être déconnectées du réseau pour ne pas être exposées en cas d’attaque du système informatique. Attention, quelquefois des erreurs se produisent lors des opérations de sauvegarde réduisant ou anéantissant la possibilité de les restaurer (corruption des données lors du transfert ou de la compression, problème sur le support de stockage…). Aussi, les sauvegardes doivent être restaurées régulièrement afin de s’assurer que le dispositif utilisé par l’entreprise est fiable et qu’il remplira bien son rôle lorsqu’une restauration sera nécessaire suite à une cyberattaque.

4. Identifier les services critiques

Compte tenu de l’urgence, il faut prioriser les actions. À cette fin, l’Anssi conseille de réaliser un inventaire des services numériques de l’entreprise et de les classer en fonction de leur caractère critique. La protection des plus sensibles devant être renforcée en priorité. Par plus sensible, l’Anssi entend les services numériques dont le dysfonctionnement pourrait nuire à la continuité d’activité de l’entreprise. Dans ce cadre, « les dépendances vis-à-vis de prestataires doivent également être identifiées », insiste l’Anssi.

5. Préparer la gestion de crise

Une cyberattaque peut atteindre, plus ou moins fortement, le fonctionnement de l’entreprise. Il convient donc de se préparer à travailler en mode dégradé (applications hors d’usage, messagerie coupée, fournisseurs hors jeu…) « et dans certains cas, cela signifie revenir au papier et au crayon », précise l’Anssi. Une cellule de crise doit ainsi être constituée et se tenir prête à mettre en œuvre différents scénarios d’urgence. L’objectif de cette cellule est de veiller à l’application d’un plan de continuité d’activité (PCA) et/ou de reprise informatique (PRI). Un plan élaboré pour permettre à l’entreprise, de continuer à fonctionner même en mode dégradé et à mettre en œuvre, le plus vite et le plus efficacement possible, les actions qui lui permettront de renouer avec une situation normale.

Un guide baptisé « Crise d’origine cyber, les clés d’une gestion opérationnelle et stratégique » élaboré par l’Anssi et le Club des directeurs de sécurité et de sûreté des entreprises (CDSE) est librement téléchargeable sur le site de l’Anssi. Sur 80 pages, il revient sur les pratiques à mettre en place par les entreprises (PME-ETI) pour se préparer à affronter une crise cyber et pour bien réagir.

Article publié le 17 mars 2022 – © Les Echos Publishing 2022

5G : remise d’un rapport et annonce de nouvelles mesures

À l’occasion de la remise du rapport sur la 5G industrielle, qui a identifié sept freins principaux au développement de la 5G en France, le gouvernement a annoncé plusieurs nouvelles mesures.

Pour le gouvernement, la 5G est un facteur clé de compétitivité, qui vient accompagner l’automatisation des processus industriels. Démarrée en octobre 2021, la mission 5G industrielle avait notamment pour objectif de développer les usages de la 5G dans l’industrie française et d’identifier les éventuels freins à son déploiement. Premier constat : le déploiement d’usages de la 5G en France notamment dans l’industrie française reste moins important que dans d’autres pays. Selon la mission, cette situation est due à sept freins qui pointent principalement le manque de maturité de l’écosystème, l’accès aux fréquences, l’insuffisance d’équipements et de services adaptés ou encore de bonnes compétences pour déployer la 5G industrielle.

Des réponses rapides aux recommandations

Pour répondre aux recommandations de la mission, le gouvernement annonce plusieurs mesures. Le décret relatif aux redevances pour l’utilisation des fréquences dans la bande 2,6 GHz va être modifié pour simplifier l’accès à ces fréquences. Un appel à manifestation d’intérêt « Campus Fablab 5G industrielle » est, par ailleurs, lancé pour créer des lieux rassemblant au même endroit tous les acteurs pertinents (industriels, opérateurs télécoms, équipementiers, intégrateurs, fournisseurs, experts, etc.) permettant de proposer une offre de service et d’accompagnement des industriels vers la numérisation de leurs processus de production grâce à la 5G. Un nouvel appel à projets devrait également faire émerger des projets sur les réseaux privés 5G pour l’industrie, conjointement avec l’Allemagne.

Article publié le 15 mars 2022 – © Les Echos Publishing 2022

Renforcement de la vigilance cyber

Le conflit en cours entre l’Ukraine et la Russie pouvant entraîner des effets dans le cyberespace, l ’Agence nationale de la sécurité des systèmes d’information (ANSSI) propose quelques mesures préventives à mettre en place dans les entreprises.

L’ANSSI s’inquiète des possibles conséquences numériques que les tensions internationales actuelles causées par l’invasion de l’Ukraine par la Russie pourraient entraîner, notamment la multiplication des cyberattaques. L’espace numérique étant sans frontières, elles pourraient affecter des entreprises françaises. Sans céder à la panique, l’ANSSI propose tout de même d’anticiper et de se préparer à ces possibles attaques pour limiter leurs effets.

5 mesures préventives prioritaires

Elle vient de publier un dossier « Mesures cyber préventives prioritaires – tensions internationales actuelles », axé sur la mise en œuvre de 5 mesures prioritaires : renforcer l’authentification sur les systèmes d’information ; accroître la supervision de sécurité ; sauvegarder hors-ligne les données et les applications critiques ; établir une liste priorisée des services numériques critiques de l’entité ; s’assurer de l’existence d’un dispositif de gestion de crise adapté à une cyberattaque. Chacune de ces mesures font l’objet de conseils précis.

Pour consulter le dossier de l’ANSSI : www.ssi.gouv.fr

Article publié le 08 mars 2022 – © Les Echos Publishing 2022

81 % des entreprises françaises infectées par ransomware

Une récente étude met en lumière le fait que les entreprises françaises sont régulièrement victimes de rançongiciels et qu’elles n’hésitent pas à payer pour récupérer leurs données.

Selon la dernière étude annuelle de Proofpoint Inc., une entreprise spécialisée dans la cybersécurité, la France a le taux le plus élevé d’attaques par ransomware (par rapport aux États-Unis, Australie, Allemagne, Japon, Espagne et Royaume-Uni). En effet, 81 % d’entreprises interrogées disent avoir été confrontées à au moins une infection par rançongiciel (ou « ransomware »). Ces rançongiciels sont le plus souvent portés par un email via une pièce jointe contaminée ou insérés dans un logiciel téléchargeable (souvent des logiciels mis gratuitement à disposition sur internet).

Pas toujours d’accès aux données après le paiement

Selon l’étude, 56 % des entreprises touchées ont choisi de payer au moins une rançon. Parmi elles, 69 % ont payé la rançon et obtenu l’accès à leurs données/systèmes, 20 % ont payé une rançon initiale puis une ou plusieurs rançons complémentaires et ont obtenu l’accès aux données/systèmes, 4 % ont payé une rançon initiale, mais ont refusé de payer davantage et n’ont pas obtenu l’accès aux données et 7 % n’ont jamais eu accès aux données après avoir payé une rançon… Et si la France est bien placée en matière de formation généralisée à la cybersécurité (68 % des personnes interrogées ont déclaré avoir une formation à l’échelle de l’entreprise), l’étude rappelle que de trop nombreuses formations proposées à la sécurité n’abordent pas toujours le sujet du rançongiciel… Il est rappelé sur ce point qu’il existe, sur le site public www.cybermalveillance.gouv.fr, une fiche pratique portant sur les rançongiciels et détaillant les comportements à adopter pour limiter le risque d’infection et y faire face.

Pour consulter l’étude : https://www.proofpoint.com/

Article publié le 01 mars 2022 – © Les Echos Publishing 2022

L’iPhone se transforme en terminal de paiement pour les commerçants

Apple va proposer un nouveau service « Tap to pay », qui permet aux commerçants d’utiliser leur iPhone comme terminal de paiement sans contact sans qu’il soit nécessaire d’ajouter un équipement supplémentaire.

Jusqu’à présent, Apple ne proposait des services de paiement qu’aux acheteurs, grâce à Apple Pay, une application de porte-monnaie mobile où le consommateur peut télécharger ses renseignements de carte bancaire pour payer ses achats directement avec son téléphone. Pour accepter ce paiement sans contact par iPhone, le commerçant doit toutefois être équipé d’une extension externe, commercialisée par d’autres sociétés.

Au minimum un iPhone XS

Avec le nouveau service Tap to pay, Apple veut simplifier la vie des commerçants qui pour l’heure ne souhaitent pas s’équiper d’un terminal de paiement électronique (TPE). Intégré à la prochaine version d’iOS, il permettra au commerçant d’accepter directement un paiement sans contact avec son téléphone à condition qu’il possède au moins un iPhone XS (ou plus récent). Le commerçant pourra accepter les paiements réalisés à partir d’un iPhone mais aussi d’un autre smartphone équipé avec des technologies concurrentes comme Google ou Samsung Pay, ou encore avec une carte bleue dotée d’une puce NFC. Tap to Pay sera proposé aux États-Unis d’ici la fin de l’année. En revanche, on ignore encore à quel moment, les utilisateurs français verront débarquer cette nouvelle fonctionnalité sur leur iPhone.

Article publié le 24 février 2022 – © Les Echos Publishing 2022

2021, une année record pour l’action répressive de la CNIL

Lors de la journée de la protection des données, la CNIL a présenté le bilan de son action répressive pour l’année passée. L’occasion de rappeler quels types d’erreurs peuvent faire l’objet de sanctions.

En 2021, le nombre de mesures adoptées (18 sanctions et 135 mises en demeure) et le montant cumulé des amendes (plus de 214 M€) mis en œuvre par la Commission Nationale de l’Informatique et des Libertés (CNIL) a atteint des records. Et pour la première fois de son existence, elle a dû prendre une décision de liquidation d’astreinte (paiement d’une somme pour non-respect d’un ordre donné par la CNIL) envers une société sanctionnée d’une amende de 7 300 € qui a finalement payé 65 000 € supplémentaires, car elle n’avait pas procédé aux modifications demandées dans le traitement de ses données.

Défaut d’information et durée de conservation excessive

Les manquements les plus fréquents restent le défaut d’information des personnes de la collecte de leurs données, et des durées de conservation des données excessives. Sur 18 sanctions, la moitié concerne un manquement en lien avec la sécurité des données personnelles, et 4 visent une mauvaise gestion des cookies et autres traceurs. 135 mises en demeure (obligation de se mettre en conformité dans un délai maximal de 6 mois) ont également été prononcées (49 en 2020), dont la plupart concerne un manquement en lien avec l’utilisation des cookies. En parallèle, la CNIL a clos 123 dossiers à la suite des actions prises par les entreprises pour se mettre en conformité.

Article publié le 15 février 2022 – © Les Echos Publishing 2022

Les NFT revisitent la propriété numérique

De plus en plus utilisés dans le monde de l’art, les NFT permettent de certifier l’authenticité et le caractère unique d’une création numérique.

À en croire un récent sondage de l’Ifop, 75 % des Français n’ont jamais entendu parler des NFT. Une bonne raison de revenir sur cet outil particulier qui est en train de révolutionner le marché de l’art numérique et, plus largement, de préfigurer certains modes d’exercice de la propriété privée dans les futurs métavers.

Qu’appelle-t-on un NFT ?

Les NFT (non-fongible tokens ou jetons non fongibles) sont des certificats qui viennent garantir le caractère authentique et unique d’un fichier numérique. Il peut s’agir d’un fichier sonore ou d’une image fixe ou animée en deux ou trois dimensions (hologramme). Ces jetons, comme les cryptomonnaies, sont inscrits sur un réseau sécurisé (chaine de blocs ou blockchain). Ce réseau décentralisé assure leur immutabilité et leur traçabilité en cas de vente et de revente.

Qui les utilise ?

Pour le moment, c’est surtout le marché de l’art qui s’est emparé des NFT. Les créateurs trouvent dans cet outil la possibilité de donner un caractère unique à une information numérique par essence reproductible à l’infini. Concrètement, le NFT vient authentifier le fichier natif d’une création numérique en étant définitivement rattaché à lui via la blockchain sur laquelle il est inscrit. Le caractère unique que lui confère le NFT fera, si des acheteurs s’y intéressent, augmenter sa valeur même s’il existe des milliers de reproductions totalement identiques. On parle d’art crypto.

Peut-on avoir des exemples ?

En janvier 2022, le footballeur Neymar s’est offert deux NFT de deux dessins de la série des singes blasés (Bored Ape), qui en réunit 10 000. L’un des deux représente un singe portant des lunettes roses, un chapeau de fête conique en carton et soufflant dans une bulle de chewing-gum. Il remplace désormais son portrait sur son compte Twitter. Pour ces deux NFT, l’attaquant du PSG aurait déboursé la modique somme de 1,1 million de dollars. En mars 2021, l’artiste Beeple (alias Mike Winkelmann) a vendu aux enchères chez Christie’s une œuvre numérique baptisée Everyday : The First 5 000 Days. Il s’agit d’un assemblage de 5 062 œuvres numériques créées depuis 2007 par l’artiste (une par jour). Réduites et disposées les unes à côté des autres, elles forment l’œuvre numérique globale. Authentifiée via un NFT, cette dernière a été vendue 69,3 millions de dollars. 6 mois avant cette vente, Mike Winkelmann n’avait jamais vendu d’œuvre.

Et à part le marché de l’art ?

Les NFT peuvent également intéresser les simples collectionneurs. Julian Lennon, le fils du leader des Beatles, a ainsi vendu 22 400 dollars, aux enchères (Julien’s Auctions et YellowHeart,), le 7 février dernier, le NFT associé à la photo qu’il a prise de la guitare que son père lui avait offert. Lors de cette même vente, il a cédé une photo (certifiée via un autre NFT) du célèbre manteau afghan qu’avait porté John Lennon sur le tournage de « Magical Mystery Tour » (adjugé également 22 400 $). Enfin, Julian Lennon a vendu 76 800 $ la version NFT du manuscrit de la chanson « Hey Jude » écrite par Paul McCartney en 1968. Mais attention, il reste propriétaire des objets (manuscrit, guitare et manteau). Les acheteurs ne sont propriétaires que du NFT et du fichier numérique auquel il est associé. Le monde des jeux est également associé au NFT. Dans ces mondes virtuels, ils seront utilisés pour authentifier des personnages uniques (combattant, joueurs de foot…) ou certaines de leurs options (habits, pouvoirs…). Certains personnages en 3D, destinés à jouer le rôle d’avatar dans les métavers, notamment celui que nous promet Meta (anciennement Facebook), sont déjà proposés à la vente sur des plateformes abritant des NFT.

Comment créer un NFT ?

Pour créer un NFT, il faut se connecter sur une plateforme numérique spécialisée (OpenSea, Rarible, Mintable…) et y inscrire son fichier numérique (en y associant, notamment, son nom et son prix). Il faut également rédiger les clauses de cession (smart contract) qui prévoient les droits que l’acheteur détiendra sur l’œuvre. Ces clauses peuvent, par exemple, prévoir, s’il s’agit d’une ouvre artistique, que les droits d’auteur (droits de reproduction et de représentation) seront cédés à l’acheteur du NFT ou encore établir une règle suivant laquelle l’auteur du fichier touchera un pourcentage sur toutes les opérations de revente (droit de suite). Enfin, le créateur du NFT doit disposer d’un compte sur la blockchain de cryptomonnaie associée à la plateforme (l’Ethereum pour OpenSea, par exemple). Un fois créé, le NFT sera vendu aux enchères en ligne. Quant à la plateforme qui abrite le NFT, elle perçoit un pourcentage sur la vente du certificat et peut également prélever des frais lors de l’inscription.

Comment les Français appréhendent les NFT ?

22 millions d’individus, dont plus de la moitié étaient âgés de moins de 40 ans, se sont connectés à la vente de The First 5 000 Days de Beeple, selon Christie’s. Les jeunes, plus au fait du fonctionnement des nouveaux médias, semblent donc plus intéressés par les NFT que leurs ainés. Une récente enquête réalisée par l’Ifop pour Cointribune.com (janvier 2022) ne dit d’ailleurs pas autre chose. Selon elle, si seuls 20 % des plus de 35 ans ont déjà entendu parler des NFT, 51 % des 18-24 ans affirment connaître ces outils. 44 % des Français appartenant à cette tranche d’âge (et 47 % des 25-34 ans) disent, par ailleurs, avoir déjà investi dans les NFT ou souhaitent le faire, contre seulement 23 % des plus de 35 ans.

Article publié le 11 février 2022 – © Les Echos Publishing 2022

Intelligence artificielle : quelles sont les tendances en 2022 ?

Le secteur de l’intelligence artificielle continue sa progression. Une étude réalisée par Gartner prévoit ainsi une hausse de 21,3 % du marché mondial 2022 des logiciels en intelligence artificielle, et livre le top 5 des cas d’utilisation les plus porteurs.

Alors que le gouvernement a récemment lancé la 2e phase de la stratégie nationale de l’intelligence artificielle (IA) pour faire de la France un leader mondial du secteur avec une enveloppe de 2 Md€, et qu’un projet de régulation pour une IA responsable est en train de voir le jour au niveau européen, 2022 semble être bien partie pour être l’année de l’IA. Une étude de Gartner, une entreprise de conseil et de recherche dans le domaine des techniques avancées, prévoit ainsi que le marché mondial des logiciels d’intelligence artificielle devait augmenter de 21,3 % en 2022 (par rapport à 2021) et ainsi atteindre 62,5 Md$. Cependant, de nombreuses entreprises n’ont pas encore intégré de solution d’IA dans leur système informatique. Le marché ne devrait donc être mature qu’à partir de 2025, estiment les analystes.

Forte progression du knowledge Management

L’étude revient également sur les solutions intégrant une IA et sur leur développement. Il apparaît ainsi, qu’en 2021, la gestion des connaissances (ou knowledge Management) qui consiste en l’utilisation d’outils, de méthodes et de modes d’organisation pour faciliter la conservation et le partage des connaissances dans l’entreprise, devrait connaître la plus forte croissance (avec +31,5 % attendu en 2022). Elle est suivie par les logiciels intégrés dans les véhicules autonomes (+20,1 %), l’espace de travail numérique (+20 %), le big data (+19,8 %) et les assistants virtuels (+14,7 %).

Article publié le 08 février 2022 – © Les Echos Publishing 2022

Comment sécuriser ses données professionnelles

Parce que les pirates utilisent des moyens divers et variés pour s’attaquer aux données professionnelles, Bercy propose une fiche permettant de faire le point sur les différentes méthodes de piratage et les moyens de s’en protéger.

Avec le mouvement du « tout numérique » dans les entreprises, les cyberattaques prospèrent et les données professionnelles deviennent de plus en plus la cible des hackers. Pourtant, il suffit parfois d’adopter des gestes simples pour se prémunir des vols de données et sécuriser ses documents, afin de protéger au mieux ses informations. Pour aider les entreprises à améliorer la sécurité de leurs données, le ministère de l’Économie a publié une fiche de conseils pratiques.

6 méthodes de piratage les plus courantes

Cette fiche retrace les 6 méthodes de piratage les plus courantes en entreprise : le phishing, le rançongiciel, le vol de mot de passe, les logiciels malveillants, le faux réseau wifi ou encore la clé USB piégée. Pour chaque méthode, elle détaille en quoi consiste le mode opératoire des cyberattaquants, puis livre des conseils de prévention, les bonnes pratiques et les réflexes à adopter pour éviter de subir une offensive sur ses données.

Pour consulter la fiche : https://www.economie.gouv.fr/entreprises/methodes-piratage#wifi

Article publié le 01 février 2022 – © Les Echos Publishing 2022

Baromètre du CESIN sur la cybersécurité des entreprises françaises

Pour mieux cerner l’état de la perception de la cybersécurité et de ses enjeux au sein des entreprises françaises, le Club des Experts de la Sécurité de l’Information et du Numérique (CESIN) vient de dévoiler les résultats de la 7 édition de son baromètre.

L’enquête menée auprès des membres du CESIN, directeurs cybersécurité ou responsables sécurité des systèmes d’information (RSSI) d’entreprises françaises, révèle qu’en 2021 plus d’une entreprise sur deux a subi une à trois attaques cyber réussies avec des répercussions flagrantes. Ces dernières notent notamment une perturbation de la production (21 %) et/ou une compromission d’informations (14 %) voire une indisponibilité du site web pendant une période significative.

Hausse des budgets alloués à la cybersécurité

Pour 73 % des entreprises, c’est le système du phishing qui est utilisé pour attaquer, suivi de l’exploitation des failles (53 %) et de l’attaque par rebond via un prestataire (21 %). Les ransomwares concernent 1 entreprise sur 5. Pourtant, 4 entreprises sur 10 ont recours à des programmes d’entraînement à la crise cyber, 63 % d’entre elles ont généralisé le recours à l’authentification multi-facteurs (MFA) et 70 % ont mené des campagnes de sensibilisation auprès de leurs salariés notamment en télétravail. Sans compter que les budgets alloués à la cybersécurité sont encore en hausse cette année, pour 70 % des entreprises sondées.Pour consulter l’étude, cliquez ici.

Article publié le 25 janvier 2022 – © Les Echos Publishing 2021