La cyber-résilience des SI s'invite à Davos

Cette semaine, le rapport annuel préparatoire au sommet de Davos 2020 (The Global Risks report 2019) du prochain Forum Economique Mondial, qui ouvre ses portes cette semaine, place les cyberattaques dans le top 5 des risques mondiaux. 

Chaque année le Forum Economique Mondial (WEF) classe les risques en cinq catégories (économie, environnement, géopolitique, société et technologie) et selon deux axes avec une échelle de 1 à 5 : leur impact et leur probabilité, évalués par plus de 400 experts mondiaux. Cette démarche d'analyse des risques est similaire à celle utilisé pour les SI.
On s'en doutait un peu, mais peut-être pas avec autant de force, les cyberattaques dépassent largement le périmètre des SI, au point d'être un facteur de risque systémique global pour influencer l'avenir de la planète.

GreenSI est allé regarder le rapport du WEF de 2012 pour prendre du recul sur cette évolution, car c'est en 2012 la première fois que ce risque apparaissait aux yeux des experts mondiaux en prenant la 4eme place avec un impact de 3,5 et une note de probabilité de 3,8.
Il y a 7 ans, seuls deux risques atteignaient les 4/5 en impact :

• l'effondrement du système financier (probabilité faible mais on sortait de la crise de 2009)
• et une crise pour la fourniture en eau (probabilité plus forte, cf le monde arabe est en stress-hydrique).

Puis, le risque cyberattaques a disparu du radar du WEF pendant 5 ans, jusqu'en 2018 quand il ressors à la 3em place et enfin en 2019 où il prends la 5em place.

Les cyberattaques, et la perte d'une infrastructure critique d'information (nb: le protocole internet justement a été créé pour résister à ce type défaillances d'infrastructures réseau), rejoignent donc maintenant le club très fermé des risques pouvant avoir le plus d'impact pour la planète, aux côtés des armes de destruction massives et du risque environnemental.

Quelle prise de conscience pour celles et ceux qui œuvrent au quotidien pour la sécurité des SI que d'avoir le destin du monde libre entre leurs mains ! ;-)

Heureusement, pour ces professionnels des SI, cette prise de conscience n'a pas attendu que les sages de Davos se penchent dessus. D'ailleurs dans le dernier billet de GreenSI la cybersécurité est l'un des 5 repères à avoir sur son radar en 2020 pour piloter les SI de l'entreprise dans la transformation digitale.

Aujourd'hui les menaces sont bien réelles et surtout beaucoup plus probables. L'assureur Allianz vient d'ailleurs d'annoncer que le risque d'attaque est devenu le risque le plus important.
Mais ce risque n'est pas lié qu'aux bonnes ou mauvaises pratiques internes comme on pourrait le croire dans une démarche de la sécurité un peu trop normative. La réalité c'est que le contexte géopolitique renforce la vulnérabilité des SI des entreprises, bien au delà de ce que l'on a connu, et pas uniquement pour les opérateurs d'importance vitale.

La dernière crise géopolitique iranienne, suite à la mort du général Soleimanie, peut encore faire des dommages collatéraux dans les entreprises si l'Iran mobilise ses capacités cyber-offensives contre les États-Unis. L'état d'alerte est d'ailleurs monté et les cibles peuvent être n'importe quel symbole très visible et pouvant donner des sueurs froides à l'administration américaine. Mais pour les atteindre, les attaques peuvent passer par des cibles moins stratégiques et provoquer des dommages. Les dommages collatéraux peuvent aussi venir des réponses américaines, comme en 2010 avec le virus Stuxnet, quand ce virus que l'on dit créé par la NSA avec un rôle non officiel d'Israël, a permis de détruire les centrifugeuses Siemens iraniennes d'enrichissement d'uranium. Malheureusement il a également touché des sites industriels, un peu partout dans le monde, qui utilisaient cette même technologie d'automates Siemens...

La sécurité devient de la "cyber-résilience" pour renforcer la capacité des entreprises à répondre à ce type de menaces et de pouvoir continuer de fonctionner en mode dégradé tout en évoluant dans un milieu hostile.
Les systèmes SCADA (Système de Contrôle et d’Acquisition de Données en Temps réel) sont en première ligne. Toutes les entreprises qui les opèrent comme les usines pétrochimiques ou les systèmes de transports maritimes et aériens sont potentiellement visés. Ces systèmes pilotent des machines physiques réelles, et permettent donc d'impacter le monde réel, de le désorganiser voire de l'arrêter. Ce sont autant de "portes" sur le monde réel pour créer des dégâts à distance en passant par le monde virtuel des réseaux et du logiciel. Une alternative à un bombardement réel de l'usine.

L'interconnexion des "supply chain" entre entreprises, la sous-traitance d'activités, rendent difficile l'isolation du SI de l'entreprise qui est nécessairement intégré à son écosystème économique. D'autre part, au sein même de l'entreprise le SI connecté se développe rapidement avec l'internet des objets qui joue un rôle plus important pour la régulation et l'optimisation des processus, transformant l'entreprise digitale en une "grande usine", dont le fonctionnement, de plus en plus temps-réel, n'est pas sans rappeler celui des SCADAs, avec toujours plus de "portes" à sécuriser.
Dans ce contexte de crises géostratégiques, la motivation financière des attaques n'a bien sûr pas disparue. Elle s'est même sophistiquée et en Europe la responsabilité de l'entreprise s'est étendue avec sa responsabilité pour la protection des données clients (RGPD).

Les ransomwares sont depuis 3 ans le moyen d'extorquer des fonds aux entreprises. Les entreprises se sont adaptées, même si elles ont encore beaucoup de travail pour suivre la sophistication toujours croissante des attaques. L'arrivée de l'intelligence artificielle montera encore plus haut le niveau des attaques et donc celui des réponses.
Gagner la prochaine bataille de la cyber-résilience nécessite de nouvelles armes et une approche de la sécurité plus dynamique, voire plus offensive. Elle demande bien sûr plus de moyens. C'est ce qui est en train de se mettre en place dans les entreprises les plus exposées. Le Forum International de la Cybersécurité à Lille du 28 au 30 janvier, la référence en Europe sur la "cyber" et la confiance numérique, sera l'occasion de faire le point sur ces nouvelles menaces et les avancées des entreprises.

 

Les équipes sécurité sont donc amenées à être étoffées. Leur moyens d'action en matière de cybersécurité amenés à être déployées jusqu'aux avant-postes de l'entreprise et du réseau, pour suivre les comportements suspects. Le CISO, responsable de la sécurité des SI, a un rôle opérationnel, autant pour le renforcement de la sécurité, que pour la conduite des opérations lors des attaques, en coordination avec les moyens externes ou gouvernementaux.
Dans ces futurs conflits, les employés sont formés en amont pour réduire les risques, mais également adopter le bon comportement sur le terrain lors des attaques, comme défenseurs des actifs numériques de leur entreprise.
La cyber-résilience est devenue essentielle pour développer les activités de l'entreprise en toute confiance.Elle résulte du croisement du développement de la transformation digitale et de l'augmentation des risques de cyberattaques. La cyber-résilience se pense avec tout son écosystème (partenaires, fournisseurs, tiers...), ce qui n'est pas toujours simple dans le monde secret de la sécurité. Elle demande de nouvelles collaborations et cherche même de nouveaux alliés.
L'importance des systèmes d'information fait que le monde économique repose maintenant sur elle !

La sécurité est devenue " top prioritée"

2017 est une année charnière dans la sophistication des cyberattaques, mais aussi de la riposte puisque octobre 2017 est aussi le mois du programme de sensibilisation à la cybersécurité au niveau européen, organisé par l'ENISA l'agence européenne qui en est en charge. 

GreenSI est donc allé installer ses radars aux Assises de la Sécurité qui se sont tenues du 10 au 14 à Monaco. Un déplacement idéal pour tous ceux qui veulent, en toute discrétion, échanger avec leur pairs sur leurs expériences, rencontrer des fournisseurs et se préparer aux sujets à l'horizon comme le prochain règlement européen pour la protection des données (RGPD).

Le premier constat c'est l'impact réel des deux attaques de 'ransonware' très médiatisées ces 6 derniers mois, Wanacrypt (mai) et NotPetya (juillet), sur l'état d'esprit des entreprises.

Les équipes sécurité n'ont pas été surprises mais le reste de l'entreprise oui, notamment la Direction Générale vu l'ampleur de la couverture médiatique. Une DG qui a donc porté une attention toute particulière au sujet en demandant des bilans et des notes de recommandation, ce qui est relativement nouveau.

Bien sûr les RSSI se souviennent être déjà intervenus en avril 2014 dans les comités de direction pour expliquer le risque Heartbleed qui avait également été très médiatisé, mais cela n'a pas eu l'effet des attaques de 2017, malgré pourtant une portée médiatique à l'époque au mois 4 fois supérieure à celle de NotPetya (comparée avec Google Trends).

Face à ces cyberattaques récentes, une partie du problème bien connue est la fragilité de certains SI (voir Heureux comme un wannacrypt dans un jeu d'applications obsolètes). Une autre est le manque de moyens. Mais cela est peut-être en train de changer comme me le disait un DSI d'une grande entreprise: le poste de RSSI dédié qu'il demandait depuis plusieurs années, lui a été accordé en quelques semaines après ces cyberattaques.

L'été 2017 a donc marqué un tournant, celui où il est plus risqué de ne pas patcher un système que de le patcher. Jusque là c'était le risque métier qui avait prévalu et on évitait de toucher aux applications quand elles fonctionnaient. Maintenant c'est le risque sécurité qui est considéré en premier. Vous avez un portail dérobé qui ferme mal au fond du jardin et vous le savez. Si vous le réparez vous améliorez votre sécurité technique mais vous compliquez les livraisons du facteur qui le sait aussi et qui venait vous déposer les colis sur le perron, pratique pour le métier, jusqu'à ce qu'un cyber-hackeur ne le découvre également...

Le second constat c'est également la montée dans les priorités de l'importance de la confiance, reconnue par l'usager ou par le client.

On pourrait lire ici l'inconnue, voire la peur des amendes (jusqu'à 4% du CA mondial), avec la mise en œuvre du prochain nouveau règlement européen sur la protection des données personnelles (RGPD). Mais ce qui est plus intéressant dans les discours c'est que la confiance devient une valeur commerciale. Et GreenSI est convaincu que c'est le bon angle stratégique pour aborder le RGPD, et non simplement réglementaire. L'actualité de 2018 nous permettra certainement d'y revenir avec un prochain billet.

Et puis, pour les lecteurs de GreenSI, vous savez que le modèle de relation clients est aujourd'hui omni-canal, c'est à dire que l'ensemble des canaux de relations sont utilisés dans les deux sens et en même temps (voir API: Les dessous de l'omni-canal). 
 Une commande sur internet est confirmée sur un smartphone puis récupérée en magasin où, via un réseau, on interagit avec le client pour l'assister, voir totalement automatiser son expérience comme dans la cible sans caisse d'Amazon.

Autant de points de contacts qui sont autant de risques pour la sécurité des données des clients.

La relation client déplace donc la frontière du SI sur de nouveaux territoires, comme d'ailleurs l'internet des objets va déplacer celle des processus.
Une question stratégique pour les entreprises semble donc être d'arriver à utiliser tous les points de contacts avec les clients pour instaurer cette confiance sur les données personnelles, et qu'elle soit perçue par les clients eux-mêmes. Ainsi les clients choisiront certainement ces entreprises en priorité pour leurs achats.

Un autre avantage de cette vision stratégique sera d'éviter de faire de la cybersécurité pour la cybersécurité, de la lier aux enjeux de l'entreprise et d'y répondre autrement que par une assurance, un domaine d'ailleurs en forte croissance en France.

L'internet commercial s'est développé sur la confiance depuis son origine, avec pour sa génération 1.0 des entités de certification comme eTrust, et pour sa version 2.0 collaborative une validation par les votes des internautes eux mêmes (1-5 étoiles). Aujourd'hui, sur un site web que l'on ne connait pas, acheter un produit sans commentaire ne met pas en confiance. Et s'il n'est pas https alors passez votre chemin...

Comme les entreprises ont également des fournisseurs pour assurer leurs services, pour pouvoir s'engager globalement sur leur sécurité, elles pourront maintenant bénéficier d'un nouveau visa délivré par l'ANSSI pour s'appuyer sur des produits et services de fournisseurs certifiés.

Ces deux constats, le réveil des Directions Générales et les enjeux de la confiance perçue par les clients, portent pour GreenSI en germe une revue profonde de l'organisation et de la gouvernance de la sécurité des systèmes d'information dans les entreprises en 2018 :

• D'abord les moyens supplémentaires qui vont être affectés doivent être organisés. Et justement l'organisation de la sécurité des données par exemple n'est pas toujours très limpide entre les prérogatives du DSI, du RSSI, du DPO (qui remplace l'ex-CIL à partir de janvier 2018), du CDO - Chief Digital Officer ou du Chief Data Officer. Comme souvent, quand un sujet concerne toute l'entreprise, il y a un certain temps à trouver comment l'organiser efficacement...
  
• Ensuite parce que l'omni-canal et le développement du digital, mais également l'internet des objets, va déporter le sujet sur tous les "avants postes commerciaux" et toutes les machines de l'entreprise qui devront être sécurisés. Une rupture par rapport une organisation traditionnelle plus inspiré de périmètres hyper sécurisés fermés. Toute ressemblance avec la prise en compte du risque attentat dans les villes, pouvant survenir partout et par tous, n'est que fortuite.
  
• Et puis il y a la question que tout le monde a aux lèvres dans les allées des Assises avec la performance en baisse du modèle des antivirus: quel sera le rôle de l'Intelligence Artificielle dans les prochaines formes d'organisation de la sécurité? On peut l'imaginer comme des agents intelligents complétant le dispositif pour détecter de nouvelles situations à risque, mais également comme des agents qui chercheront en permanence à franchir les barrières de sécurité.
  
• Enfin, l'arrivée de la RGPD le 25 mai 2018 ne semble pas encore bien anticipée et bien préparée par toutes les entreprises. C'est du moins ce qu'il ressors de l'enquête réalisée par le cabinet IDC au niveau européen et présentée aux Assises. Sachant que la CNIL a lancé une alerte en début d'année pour indiquer qu'il n'y aurait pas de décalage de l'échéance...

Pour supporter la transformation digitale des entreprises, la sécurité est devenu la priorité n°1, espérons que les moyens suivront. L'évolution de la gouvernance de la sécurité est prévue en 2018 dans 66% des entreprises et même d'ici la fin de l'année pour 37% d'entre elles. Mais paradoxalement, les entreprises les plus grandes, qui ont plus de moyens pour la sécurité, n'en sont pas encore convaincues et 26% voient même cette évolution bien après 2018 (au lieu de 11% pour les entreprises de 500 à 999 salariés).

N'oubliez donc pas la sécurité dans votre prochain budget, plus qu'une contrainte, vue sous l'axe de la confiance client, elle peut devenir une stratégie différenciante.

Quand Agilité rime avec Sécurité

Tous ceux qui ont mis en place des projets agiles savent qu'ils vont se heurter au frein de ceux qui n'adoptent pas cette démarche. Ceux qui privilégient une approche d'étude globale avant toute réalisation ont du mal à comprendre ceux qui avancent par itérations successives, validées à chaque sprint par la satisfaction des clients ou des utilisateurs.

Dans ces multiples freins on trouve la sécurité, souvent mise en avant comme incompatible avec l'agilité.

En effet, comment arriver à faire homologuer avant la mise en service la sécurité d'un système qui va être spécifié, construit, testé et mis en production par morceaux ? La démarche de sécurité semble difficilement compatible avec les projets agiles. 

À tel point que certains projets agiles ont certainement du avancer en dehors de l'homologation fixée par la sécurité, sous couvert d'expérimentation ou de priorité stratégique, pour tester de nouveaux services et sans mettre en place dès le démarrage une sécurité disproportionnée avec les enjeux du pilote engagé.

Entre deux enjeux majeurs - la transformation numérique et la cybersécurité - l'entreprise doit parfois choisir le plus important des deux pour assurer sa survie : la transformation numérique ! C'est elle qui va permettre de maintenir ses revenus dans cette nouvelle économie incertaine, quitte à faire l'impasse dans un premier temps sur la démarche sécurité, le temps d'assurer l'installation des nouveaux services numériques, et y revenir ensuite une fois les premiers objectifs atteints.

Alors comment réconcilier ces deux démarches sans que l'une ignore l'autre ?

Et bien cet été, c'est l'ANSSI, l'Agence Nationale de Sécurité des Systèmes d'Information créée en 2009, qui en a certainement surpris plus d'un en publiant une note en version bêta sur comment "Intégrer la sécurité numérique en démarche Agile ?".
Cette initiative est saluée par GreenSI via ce billet pour de nombreuses raisons.

Tout d'abord elle démontre comment un organisme de gouvernance, au lieu de se cacher derrière le caractère régalien de sa mission, reconnaît l'évolution amenée par le digital et l'efficacité de l'agilité pour y répondre.

Ainsi, elle fait avancer la réflexion et propose d'y répondre en conservant l'objectif de sécurité à atteindre, mais en ouvrant un autre chemin pour s'y rendre.

Cette démarche conforte tous les RSSI - Responsable de la Sécurité des SI - qui ont déjà choisi de déchausser leurs "bottes régaliennes" pour se mettre au service des métiers. Ces RSSI sont passés du contrôle au conseil et aident les métiers à mettre en oeuvre les nouveaux systèmes souhaités au lieu de simplement en refuser les dossiers de conception quand ils ne respectent pas les attendus, même quand ces attendus sont discutables dans la nouvelle économie.

Ensuite, elle propose aux professionnels de l'informatique de consulter une version de ce document pour appel à commentaires. L'ANSSI propose de confronter sa vision au retour d'expérience pratique de mise en oeuvre dans les projets des entreprises publiques ou privées.

GreenSI trouve cette co-construction ouverte très innovante et complémentaire des travaux qui peuvent se tenir dans les commissions de groupes de DSI comme le Cigref.

Enfin, la démarche proposée est simple et pragmatique. Elle vise à répondre à une contrainte réglementaire d'homologation en contournant l'approche traditionnelle. Pour cela elle s'inspire de l'agilité, en adopte le fonctionnement, et adapte la démarche sécurité pour intégrer ces projets construits de façon itérative avec des cycles "Dev et Ops" qui s'enchaînent. La mécanique de comment intégrer cette démarche dans les sprints et les activités de développement est très bien détaillée. Globalement cela repose sur deux principes.

Le premier principe proposé est celui d'adapter le niveau de sécurité aux enjeux du projet.

Quand un projet se construit de façon itérative, ce niveau de sécurité va monter progressivement, mais surtout commence au bon niveau.
Si votre premier sprint consiste à mettre en production une page blanche avec inscrit dessus "Hello world!" (pour valider la chaîne de construction par exemple), vous imaginez bien que même si un hackeur s'empare de la page, l'impact pour l'entreprise est quasi nul et ce système n'aura pas été connecté au reste du SI. 

Dans le paradigme classique de la sécurité, l'affichage de cette page (et donc le test de la chaîne de bout en bout) n'aurait pu se faire qu'une fois l'ensemble du système homologué et le système de sécurité complet des serveurs mis en place... Même si finalement cette réponse sécuritaire porte sur 99% de fonctions encore non développées !

A la clef, le time to market, car pendant que l'on étudie et on imagine des solutions pour des problèmes qui ne sont pas encore posés, les concurrents avancent et les startups innovent. 

Le second principe est de traiter les risques de manière rigoureuse et itérative pour tendre vers l'exhaustivité.

C'est l'agilité adaptée à l'identification des risques ; mais en réajustant les objectifs de sécurité à chaque itération et en intégrant les risques induits par les interactions entre composants au fur et à mesure qu'ils sont présents ensemble dans le système. Les fameuses 99% de fonctions non développées qui passent par la page "Hello world!" n'induisent pas leurs contraintes à cette page tant qu'elles ne sont pas développées.

Les premiers retours d'expérience des professionnels de la sécurité sur le site de consultation ouvert par la DINSIC montre une très bonne réception à la fois de la démarche de co-construction de l'ANSSI, et de la nouvelle démarche de sécurité agile. Beaucoup remercient également la publication et la clarté du document d'accompagnement "Outils et bases de connaissance"qui pose les bases de la sécurité numérique.

GreenSI pense même que cette démarche peut renforcer la sécurité finale obtenue par rapport à une approche traditionnelle. Non pas que l'analyse soit plus poussée, mais parce que les femmes et les hommes de ces projets vont tout simplement collaborer et non s'affronter quand l'approche régalienne instaure des hiérarchies de pouvoirs.

• La démarche agile demande un niveau de compréhension de la sécurité par les développeurs et l'équipe projet plus élevé que dans la démarche classique ; donc demande plus de dialogue entre développeurs et l'équipe sécurité.
• De plus comme elle est itérative, à chaque itération ce dialogue va permettre l'amélioration continue, et de revenir à la marge sur les choix du sprint précédent. Les développeurs agiles font déjà cela pour l'architecture logicielle avec le "code refactoring" qui consiste à rendre générique au sprint suivant des parties du code qui avaient été produites au départ pour un seul cas, sans changer les fonctionnalités produites.

Sans aucun doute, c'est donc un processus à la fois beaucoup plus responsabilisant et très formateur à la sécurité pour les équipes projets qui améliorera la sécurité des nouveaux systèmes produits de cette façon. Bien sûr elle va demander plus de ressources aux équipes sécurité en revenant régulièrement sur des dossiers qu'ils ont l'habitude de traiter en une fois. Mais a priori c'est bien leur mission que d'améliorer la sécurité globale des systèmes donc d'explorer toutes les méthodes pour y arriver, et pas d'en imposer une à priori.

Cela n'est pas sans rappeler la démarche DevOps, quand les Développeurs et les Opérations ont commencé à se parler et ne plus se retrancher derrière les dogmes de chacun de ces métiers (comme celui des évolutions du SI globales et par paliers).

L'agilité démontre une fois de plus sa capacité de transformation des organisations. Elle est ici en train de transformer une interface de plus dans le processus collaboratif de construction du logiciel, celle entre la conception et la sécurité, car comme GreenSI aime bien l'écrire, l'agilité c'est dans toutes les directions. 

Alors, allez vite contribuer et poster votre commentaire sur le document de l'ANSSI avant le 15 septembre. Dans 5 ans quand l'agilité sera devenue une évidence pour toute monde, vous pourrez dire "j'y ai contribué !".
Ne ratez pas non plus les "Assises de la sécurité 2017" qui auront lieu le mois prochain. 

La conférence d'ouverture sera tenue par Guillaume Poupard, le Directeur Général de l'ANSSI qui "pitchait" cette semaine à l'université d'été du MEDEF pour rappeler aux patrons d'entreprises que la sécurité était d'abord leur sujet, avant d'être celui de leur RSSI.
Maintenant c'est au tour de ces RSSI de montrer qu'ils savent répondre aux enjeux d'agilité du business.

La sécurité du SI est-elle compatible avec son ouverture?

Le 16 juin se tenait la 4eme matinée API Connection sur le thème de l'ouverture des APIs à l'extérieur; des standards et de l'approche de la sécurité que cela impose.

Mais ce fut surtout la démonstration de la vulnérabilité des applications et la multiplicité de témoignages sur l'importance de la prise en compte de la sécurité, dès la phase de design, et surtout pendant la phase de développement, donc au sein du code.

Les API, ces interfaces programmatiques entre applications, sont devenues essentielles avec la transformation digitale des entreprises, quand ces dernières développent de nouveaux services sur internet, ouvrent leurs données et leurs SI, notamment vers les mobiles et les objets connectés de leurs clients ou partenaires.

Mais cette ouverture, clé de voûte du digital et des échanges de données au sein de l'écosystème numérique de votre entreprise, n'est pas sans risque. Car elle peut aussi se transformer rapidement en porte d'entrée à votre SI.

Oui, le monde digital est risqué.
Oui, les applications sont un maillon faible.
En tout cas plus risqué que le monde IT que l'on a connu, fermé et limité aux utilisateurs de l'entreprise. Car le digital, via internet, amène une interconnexion mondiale, donc augmente considérablement le nombre d'acteurs qui peuvent vouloir accéder à votre SI. Mais aussi parce qu'il impose un rythme d'évolution rapide aux applications. Et donc beaucoup plus de changements, qui a leur tour, demandent plus de tests, alors que justement on a moins de temps et parfois moins de budget. Comment résoudre cette équation?

L'accroissement des menaces liées à la cybersécurité est aussi confirmé par 85% des répondants de  l'enquête CXP-PAC publiée pour l'occasion. Se lancer dans des initiatives digitales demande donc de pouvoir rétablir la confiance, à la fois pour soi, mais aussi pour ses partenaires.

 

Car sans confiance, la transformation digitale pourrait être fragile, comme en atteste les deux témoignages qui suivent.

Thierry Floriani, RSSI de Numergy, un opérateur français de Cloud ayant notamment mis en place un SOC - Security Operations Center - pour gérer la sécurité de ses plateformes, a présenté une data-visualisation des accès à leurs datacenters dans les 5 premières minutes après la révélation de la faille Heartbleed.

L'exploitation de la faille est immédiate et mondiale. On observe une multiplication des accès aux datacenters, avec des configurations suspectes qui apparaissent rapidement et qui essayent tous les ports, un par un, de chaque serveur.
Sur une plus longue période on remarque que les attaques commencent à l'Est, notamment depuis la Chine, puis depuis l'Europe et ensuite depuis l'Amérique. Le pic se produisant à chaque fois pendant les heures ouvrées du fuseau horaire, comme si hacker était devenu un métier, avec ses heures de bureau... 

Donc oui, la mer est dangereuse, et les pirates sont minoritaires. Ils ont été remplacés par des corsaires à la solde de puissances qui organisent ces cyberattaques en fonction de leurs intérêts.
 
Autre démonstration par Sébastien Gioria, leader du Chapitre Française de l'OWASP, qui a pris l'exemple des véhicules connectés. Les applications qui permettent de localiser son véhicule et d'activer certaines fonctions à distance, existent dans les stores d'applications mobiles depuis quelques temps.

Une fois installées sur un smartphone, il est relativement simple d'accéder aux fichiers de l'application et de les mettre en langage clair. Si par mégarde les API et les clefs d'accès ou de chiffrement, sont écrites en clair dans le code, ou si la logique de sécurisation est un peu trop lisible et contournable (ex. la clef secrète s'appelle SECURE_KEY), c'est la porte ouverte à des pirates. Et avec un peu d'imagination, ils peuvent écrire de nouvelles applications, certainement moins sympathiques pour les conducteurs de ces luxueux véhicules connectés.

Les équipes de Porsche, qui vient d'annoncer en avril dernier son application sur Apple Watch, doivent certainement être mobilisées sur le sujet...

 

Comment intégrer la sécurité dans une démarche de développement?

L'OWASP, c'est une fondation américaine née en 2001 et représentée en France par une association, dont les travaux sont reconnus et cités dans des standards et des recommandations en matière de sécurité applicative, dont les guides de l'ANSSI notre agence nationale pour la sécurité des SI.La présentation de Sébastien Gioria sur les risques technologiques et les bonnes pratiques à adopter nous donne les premières pistes de la sécurisation des applications. 

La première piste, c'est de faire l'hypothèse que toute application sera piratée. Ce n'est qu'une question de temps. Nous sommes passés de l'âge de l'antivirus, où il suffisait de protéger son PC, à celui de la sécurité périmétrique qui cloisonne un système, et maintenant à celui de la sécurité applicative. En bref les applications, mobiles ou web, doivent être sécurisés intrinsèquement et ne plus supposer qu'elles vont s'exécuter sur un environnement lui même sécurisé. 

La seconde piste, c'est de connaître les faiblesses de ses applications et donc de savoir comment elles seront piratées. Plus facile à dire qu'a faire. Car cela veut dire de connaître son code et son architecture. Deux choses, qui, dans une économie numérique, ne peuvent plus se sous-traitent à un intégrateur sans être revues et recettés. Et dans le cas des sites internet, encore moins à une agence web, au profil souvent moins technique et n'ayant pas toujours de profils architectes.



La troisième serait de ne jamais stocker de secret sur le client, si on ne veut pas qu'ils soient dérobés et deviennent ensuite des portes ouvertes. Rappelez vous de la démonstration des clefs API de la voiture connectée. Il vaut mieux utiliser l'authentification sur le serveur, dès que c'est possible, et mettre en place un coffre fort sur le client, si vraiment le stockage est nécessaire.

Bien sûr entre le client et le serveur, il faut chiffrer le trafic et sécuriser les identifiants.

Tout cela va donc demander de s'intéresser et de s'impliquer plus dans le développement des applications. Mais aussi de convaincre et d'aider les développeurs à se tenir à jour sur les techniques de sécurisation qui évoluent avec les technologies et les nouvelles failles non corrigées. Pour cela, le "Top 10" des failles applicatives, document publié par l'OWASP et mis à jour régulièrement, est un bon point de départ.

Comment protéger son patrimoine immatériel?

La sécurité du SI c'est aussi celle de ses investissements. 

Car les API ont de la valeur (c'est d'ailleurs l'objet de la 5eme matinée API Connection le 9 juillet prochain). Il faut donc protéger son patrimoine intellectuel. Le juridique, au même titre que le RSSI, joue donc un rôle dans la sécurisation du SI de l'entreprise, par la protection juridique du patrimoine immatériel qu'il permet.

Lors de cette matinée, c'est Christiane Féral-Schuhl, avocate associée, et ancienne bâtonnier de Paris, qui a rappelé le droit qui s'applique au logiciel et aux API. Une loi qui a d'ailleurs introduit le droit à la décompilation en 1994, "quand c'est indispensable pour assurer l'interopérabilité entre deux logiciels" (Directive du 14 mai 1991, loi du 10 mai 1994). Les API entrent donc dans ce contexte.

On voit que l'on vient d'un autre monde, tellement fermé, qu'il fallait l'ouvrir par la loi... aujourd'hui le problème s'est inversé.
Les API sont donc protégées par le droit d'auteur, sous condition d'originalité. Aucune formalité n'est nécessaire, mais il vaut mieux, par précaution, déposer ses sources. Il est plus difficile d'obtenir un brevet, a moins de l'inclure dans un système plus global où l'interopérabilité joue un rôle important.

Quand vous utilisez des API, tracez que vous en avez bien l'autorisation du titulaire des droits (même si elles sont ouvertes).
Les API menant aux données de l'entreprise, le niveau de sécurité requis pour les administrations est celui du RGS (Référentiel Général de Sécurité) mais il n'y a pas d'obligation générale pour les entreprises, sauf dans le cas de données personnelles où la loi Informatique et Libertés s'applique.
 
Avec ces recommandations je suis sûr que vous vous sentez maintenant l'âme d'affronter les corsaires, ou d'aller vous rassurer sur la sécurité de vos applications internet auprès de vos équipes informatiques.... si vous avez pensé à bien les associer à votre stratégie digitale.

Mais vous pouvez aussi fréquenter les participants de la "Nuit du hack 2015" (#ndk2k15) qui s'est tenue le week-end dernier à Paris et où Guillaume Poupard, le Directeur Général de l'ANSSI s'est déplacé pour délivrer une keynote devant ce public aguerri aux arcanes de la sécurité informatique. Avec l'immense tâche de la cybersécurité devant elle, GreenSI ne serait pas étonné que notre agence nationale ne cherche à recruter...

Les opportunités associées au digital sont importantes, mais les risques sont bien réels et à prendre au sérieux. Espérons que ce billet vous permettra de mobiliser autour de ce sujet.

Décodage de l'actu IT 01Businesss - 5 juillet 2014

Décryptage de l'actualité de la semaine avec la croissance de 2,1% du secteur informatique au niveau mondial et le rapport inter-ministériel sur la cybersécurité. 

Et puis sur le front de la transformation numérique l'incubateur de GDF SUEZ, Darty et Philipps.

Quand le datacenter redevient stratégique

Le cloud computing s'est bien installé dans le paysage informatique et est aujourd'hui plébiscité pour le logiciel avec son modèle SaaS. Mais de nombreuses limites montrent que le cloud computing ne sera pas, avant des années, si il l'est un jour, une solution unifiée pour toute l'informatique d'une entreprise.

L'hybridation entre cloud externe (public ou privé) et infrastructure interne, sera donc la règle pour de nombreuses entreprises si ce n'est la majorité.

Après avoir exploré dans le billet précédent les enjeux de la maîtrise de son infrastructure logicielle (DSI et Facebook, même combat), il encore temps de soulever le capot de cette infrastructure matérielle interne a qui on va demander encore beaucoup, et de jeter le projecteur sur sa forteresse : le datacenter.

Le buzz et le marketing autour du cloud, avec la promesse d'une offre scalable en puissance et en volume de stockage, de coûts de possession réduits, et surtout de ne payer que ce dont on a besoin, nous ferait presque oublier qu'il reste encore des datacenters "à l'ancienne" loin de ces standards. En fait, c'est même la majorité des datacenters!

GreenSI a entendu cette semaine un professionnel se plaindre d'un refus de virtualisation de serveurs dans son datacenter outsourcé, car cela n'arrangeait pas son hébergeur... aussi vendeur de serveurs. Quelle imagination débordante!

Surtout quand on réalise qu'une telle approche reviendrait a renoncer à la scalabilité tant vantée ou à payer un sur-dimensionnement, pour pouvoir augmenter les ressources d'une application (sur une période courte comme une clôture mensuelle), Sans parler du bilan carbone de ce sur-dimensionnement qui serait détestable...

Heureusement, ce n'est pas la règle, et les datacenters, d'entreprises ou d'hébergeurs, sont bien entrés dans une phase de transition pour atteindre les performances du Cloud devenu le benchmark à atteindre.

Une étude (pdf) ommandée par Colt et présentée à quelques DSI dans un restaurant parisien cette semaine, révèle que l'âge moyen des infrastructures des datacenters en Europe est de 9 ans. Sachant que ces dernières années ont été propices à l'ouverture de beaucoup de capacité pour le Cloud, cela veut dire qu'un grand nombre de datacenters sont encore plus vieux que cela.

Pour Colt, hébergeur européen de services de collocation avec 20 centres de données dans 22 pays, les datacenters sont au bord d'une rupture, en tout cas d'une évolution forte pour s'adapter aux besoins à venir.

Dans le contexte des besoins tirés pas l'hybridation présentée ci-avant, et les nouveaux business modèles des entreprises qui se numérisent, les signes de cette rupture sont pour Colt,l'incapacité à prévoir les besoins de capacité et de stockage pour 63% des DSI interrogés.41% ont sous-estimé leurs besoins et 31% sur-estimés.

Et pire, les délais pour prendre des décisions sur la stratégie (expansion, consolidation...) se sont eux allongés par rapport à ce qu'ils étaient 12 mois avant. Alors si les projets de Bigdata et d'objets connectés sont bien devant nous, et amènent réellement une augmentation des capacités de stockage et d'analyse, il est temps de se poser des questions sur l'évolution de ses besoins et sur sa stratégie.

Les facteurs principaux de ces stratégies datacenters sont: 

• l'énergie (qui influence les coûts), 
• la localisation, 
• la gestion des risques et du règlementaire,
• et la transformation métier de l'entreprise dans les années qui arrivent.

Depuis les révélations de Snowden sur les indiscrétions de la NSA, la localisation de ses données devient un facteur important à prendre en compte pour l'évolution de son infrastructure interne. Des affaires qui ont été du pain béni pour les hébergeurs qui avaient misé sur une offre nationale ("cloud souverain").

Mais quand on est une PME avec des clients en Espagne, en France et en Italie, l'offre "nationale" atteint sa limite. Surtout si le réglementaire s'en mêle et impose de garder ses données clientèles dans chaque pays d'origine. C'est peut-être un futur avantage a court-terme pour les hébergeurs pouvant offrir de la multi-localisation en Europe. A moyen terme, on mesure en cette période d'élections européennes, l'importance de l'Europe et de sa capacité a créer un environnement de confiance européen pour nos données et les protéger des indiscrétions des américains pour ne citer qu'eux..

L'annonce en Février dernier de l'américain Salesforce, pour ouvir un datcenter en France, (mais également en Allemagne et UK) est aussi un signe de cette tendance qui impacte aussi le SaaS, d'avoir ses données le plus près du siège de l'entreprise. Celui prévu à Londres venant d'ailleurs d'ouvrir cette semaine. Les extensions de capacités ne vont vraisemblablement pas conduire a des datacenters plus grands, mais a des datacenters mieux répartis.

L'infrastructure devient stratégique. C'est l'actif majeur de sociétés comme Amazon, Facebook ou Google pour se différencier par rapport a des sociétés plus traditionnelles auxquelles elles "siphonnent" les revenus publicitaires ou commerciaux. La réorganisation dans les télécoms n'y est pas étrangère, ces derniers étant devenus de simples fournisseurs d'accès pour les clients des premiers, car la valeur est passée dans les services produits par leurs datacenters à haute performance utilisés par des centaines de millions d'utilisateurs.

Alors ne restons pas trop les bras croisés dans le virtuel où le marketing du Cloud aimerait nous endormir, et posons nous les bonnes questions sur le physique, et sur l'évolution de nos besoins en terme de capacité et de stockage, et surtout : au fait elles seront où nos données demain?