Faîtes-vous partie du problème ?
Tout le monde est exposé au risque d'une attaque de la supply chain, mais sommes-nous tous conscients de nos responsabilités ?
La supply chain est en train de changer, cela ne fait aucun doute. Il y a quelques années à peine, il s'agissait d'une structure linéaire, essentiellement unidimensionnelle, relativement facile à contrôler et à gérer.
Ce n'est absolument plus le cas : elle implique dorénavant de nombreuses entités extrêmement diverses, depuis les auto-entrepreneurs jusqu'aux multinationales, sans oublier les start-ups.
Prenons l'exemple d'Amazon. Ce géant du e-commerce possède des milliers de fournisseurs de toutes tailles. Chacun de ces nœuds représente une voie d'accès potentielle au réseau d'Amazon... Pour les pirates informatiques, c'est autant de voies d'attaques possibles vers une entreprise qui a affiché un bénéfice d'exploitation de 7,7 milliards de dollars au deuxième trimestre de 2021.
L'effet papillon
Du point de vue de la sécurité, ces nouveaux modes d'approvisionnement posent évidemment question : une attaque menée via un petit sous-traitant peut rendre une grande entreprise vulnérable. Et c'est là que se situe le problème : même si les grandes entreprises disposent de l'expertise et des ressources nécessaires pour assurer leur sécurité, les petites entreprises avec qui elles travaillent ne se considèrent pas comme « assez intéressantes » pour être la cible d'une attaque… ou bien elles estiment qu'elles n'ont pas les moyens d'assurer un niveau de sécurité adéquat.
Harri Ruusinen, Global Sales Engineering chez WithSecure, voit là une réelle tendance structurelle. « Pour les grandes entreprises, la sécurité est devenue un mode de vie. Elles comprennent que les certifications sont importantes et que des vérifications doivent être menées. Les petites entreprises, à l'inverse, sont prises au dépourvu lorsque leurs clients leur demandent d'adhérer à certains protocoles. Il est possible que les pirates informatiques ne soient pas intéressés par vos données, mais ils peuvent être intéressés par celles de vos clients. »
Tuomas Miettinen, Technical Sales Enablement Manager chez WithSecure, explique qu'une violation de données peut causer des dommages incalculables, même aux petites entreprises. « Souvent, les petites entreprises ne comprennent pas que ce type de gestion des risques est essentiel. Si elles sont responsables d'une violation de données, elles risquent de faire face à de graves conséquences car tout est question de confiance. Une fois que la confiance est perdue, il est très difficile de la récupérer. »
La première étape
Lorsque les petites entreprises comprennent qu'elles peuvent mettre à mal toute une chaîne d'approvisionnement et s'aliéner définitivement des clients, de vives craintes peuvent surgir. Pour autant, dans le contexte actuel, elles cherchent à faire des économies partout où cela est possible, et l'idée de devoir dépenser pour la sécurité est intimidante.
« Bien sûr, pour les grandes structures, une équipe dédiée est nécessaire pour mettre en place les contrôles de sécurité adéquats et assurer une visibilité suffisante. Les petites entreprises, elles, peuvent commencer par vérifier que les composants essentiels de sécurité sont bien en place, et veiller à utiliser uniquement des solutions sécurisées. Elles doivent aussi s'assurer qu'elles protègent toutes les données qu'elles traitent. C'est là qu'elles peuvent solliciter l'aide de partenaires, qui seront heureux de fournir un service de qualité et une visibilité accrue pour faire face aux risques et aux attaques », explique Tuomas Miettinen.
« La première étape consiste à évaluer la situation : votre entreprise pourrait-elle vraiment se permettre d'être victime d'un cyberincident qui pourrait conduire à une attaque de la supply chain ? Puis vient l'installation d'un système de protection des endpoints (EPP) et d'un système EDR (Endpoint and Detection Response). Vous devez disposer des capacités nécessaires pour prévenir les attaques, les détecter, et y répondre. Et vous devez savoir qui contacter si vous soupçonnez une violation de données. Faites appel à un partenaire de cybersécurité capable de vous aider chaque fois que cela est nécessaire… Faites confiance à un expert qui dispose de plusieurs dizaines d'années d'expérience dans la lutte contre les cybermenaces », poursuit Harri Ruusinen.
Pour en savoir plus sur votre rôle dans la supply chain, nous vous invitons à lire cet article : La sécurité de la supply chain est la responsabilité de tous | WithSecure™
Et après ?
Comme nous le savons tous, les pirates informatiques utilisent des approches de plus en plus sophistiquées. Il vous faut donc garder toujours une longueur d'avance. À quoi devez-vous être vigilant pour anticiper les attaques de la supply chain ?
Collaborer est essentiel. Pour autant, une collaboration accrue implique davantage d'interconnexions, et donc d'un plus grand risque d'attaque. À l'ère du cloud, chacun doit être conscient de sa responsabilité au sein de la structure.
« Vous devez prendre soin de vos collaborations cloud. Vous avez peut-être créé une communauté cloud désormais utilisée par plusieurs de vos partenaires. Il s'agit de votre service, mais des organisations externes y partagent des fichiers. Vous devez assurer votre propre sécurité, mais aussi éviter que ces autres entités n'importent des risques », explique Tuomas Miettinen.
« Il incombe à chaque entreprise de prendre soin de ses identifiants, c'est-à-dire de ses noms d'utilisateur, de ses mots de passe et de ses authentifications multifactorielles. L'objectif est de compliquer au maximum le vol des identifiants, car ces derniers peuvent être très facilement utilisés dans des attaques de la supply chain », avertit Harri Ruusinen.
Pour finir, quels sont les conseils de nos experts ?
La réponse de Tuomas Miettinen est la suivante : « Bien que le machine learning et l'IA soient d'une aide précieuse, vous devez garder à l'esprit que les êtres humains doivent toujours prendre les décisions finales. Croyez-le ou non, nous restons supérieurs aux machines ! Les technologies permettent d'éliminer une grande partie du bruit de détection et elles créent de la visibilité, mais les êtres humains doivent donner le verdict final. »
« Pour faire simple : achetez de bons services cloud avec une plateforme bien sécurisée, sans pour autant oublier les responsabilités qui vous incombent », conclut Harri Ruusinen.
Crédit photo - Miltiadis Fragkidis