Cybercriminalité: comment agir dès aujourd'hui

LES SYNTHÈSES SOLUCOM

Cybercriminalité :comment agir dès aujourd’hui

Observatoire de la transformation des entreprises

no47

2• Les Synthèses © Solucom - Octobre 2013

Cybercriminalité

Octobre 2013 - Les Synthèses © Solucom 3•

Marion Couturier est manager chez Solucom.

Diplômée de Telecom École de Management, elle intervient auprès de nos clients dans la mise en place de leur gouvernance sécurité, la réalisation de cartographies des risques et d’exercices de gestion de crise. Elle dispose également d’une large expertise sur les volets communication et sensibilisation.

[email protected]

Gérôme Billois est senior manager chez Solucom.

Diplômé de l’INSA Lyon, il conseille depuis plus de 10 ans les DSI et RSSI dans l’évaluation et la mise en place de leur gouvernance sécurité et projets de sécurisation de l’information. Il accompagne nos clients dans la préparation et la gestion de crises réelles.

[email protected]

Chadi Hantouche est manager chez Solucom.

Diplômé de l’ENSIMAG, il conseille nos clients dans la transformation de leurs modèles de sécurité, leurs stratégies de sécurité en mobilité et la mise en oeuvre de mécanismes de sécurité.

[email protected]

Marion Couturier

Chadi Hantouche

Gérôme Billois

2• Les Synthèses © Solucom - Octobre 2013 Octobre 2013 - Les Synthèses © Solucom 3•

ÉDITOLa cybercriminalité au cœur de l’entreprise numérique

Avec le développement du numérique dans les entreprises et les administrations,

les risques liés à la cybercriminalité augmentent à grande vitesse. Et ce n’est pas

seulement de la science-fiction !

Dorénavant, le sujet est présent quotidiennement dans l’actualité : atteinte à la pro-

tection des données personnelles, dénis de service, vols de données… les angles

d’attaques ne manquent pas pour des cybercriminels qui usent de moyens de plus

en plus sophistiqués. Au-delà de ce que l’on peut lire dans la presse, nous l’avons

nous-même constaté chez plusieurs clients qui ont été les cibles d’attaques complexes

et à très fort impact.

La bonne nouvelle, c’est que la prise de conscience commence à se faire. Les États

s’emparent du sujet, augmentent leurs effectifs dans ce domaine et imposent des

pratiques plus strictes dans la gestion des infrastructures vitales. Les Directions géné-

rales des entreprises s’interrogent et demandent des réponses aux Responsables des

risques et de la sécurité des SI.

Mais ces réponses ne sont pas si simples : impossible en effet de tout protéger et de

garantir une défense impénétrable contre les attaques.

Il s’agit donc plutôt de construire un plan d’ensemble combinant gestion de crise

efficace, polices d’assurance, organisation et mesures techniques. Un plan raisonné,

orienté vers une protection ciblée des actifs sensibles et vers un entraînement plus

poussé à la gestion de crise et à la communication associée.

En effet, en cas d’incident, vous serez jugé autant sur votre capacité à rétablir le

service ou à limiter le vol de données que sur la manière dont vous gérerez votre

communication vers vos clients et vos actionnaires.

Bonne lecture à tous !

Laurent Bellefin,

directeur associé du cabinet Solucom

directeur de la publication


Cybercriminalité


La menace explose et s’organise

La cybercriminalité connaît une croissance démesurée. Elle évolue à un rythme effréné, suivant une dyna-mique similaire à celle de l’utilisation des systèmes d’information au sein de la société. Cette criminalité revêt de multiples formes et comporte de nombreuses dimensions que les grandes entreprises doivent com-prendre et considérer en fonction de leurs activités.

Des motivations très variéesMême s’il est parfois difficile d’établir une limite claire entre les différentes motivations des cybercriminels, nous pouvons en distinguer 4 majeures :

• L’idéologie vise à défendre une conviction (par exemple poli-tique ou religieuse) à travers des attaques dont le but est d’inter-rompre des services à diffuser des messages partisans, ou à divul-guer les données d’une entreprise pour nuire à son image.

• Les gains financiers directs : il s’agit par exemple du vol de données bancaires (en parti-culier des numéros de cartes), de données personnelles, mais aussi de données critiques de l’entreprise comme les secrets industriels ou les informations concernant sa stratégie. Elles seront revendues par la suite ou utilisées pour réaliser des fraudes.

• La déstabilisation entre États ou le cyberterrorisme visent à détruire des systèmes ou à voler des données stratégiques afin de nuire au bon fonctionnement des services critiques ou vitaux des États.

• Par ailleurs, l’obtention de capa-cités d’attaques est une moti-vation qui se développe. Elle consiste à voler les secrets des mécanismes de sécurité (mots

de passe, certificats, failles de sécurité, etc.) ou à attaquer les SI des fournisseurs (infogérants, opérateurs de télécom, fournis-seurs de solutions de sécurité) de sociétés qui seront visées ultérieurement. Ces éléments sont utilisés plus tard pour lan-cer la véritable attaque.

Peu importe la motivation, les cyber-criminels ne se fixent plus aucune limite dans la réalisation de leurs desseins. De nos jours, ces attaques peuvent toucher n’importe quelle entreprise, quel que soit son secteur d’activité, comme l’a récemment montré l’actualité.

De nouveaux scénarios d’attaques à prendre en compteLes scénarios d’attaques les plus clas-siques sont souvent connus et maîtri-sés par les grandes entreprises. Il s’agit par exemple de l’ingénierie sociale par messagerie (phishing) ou téléphone, les dénis de service et les attaques sur les sites web.

Les motivations des cyberattaquants et quelques exemples d’États ou entreprises qui ont été ciblés


programme visait à collecter des don-nées bancaires auprès des internautes dont l’ordinateur avait été compro-mis. Un autre cas, encore plus ciblé, concerne un site dédié aux person-nels et sous-traitants du ministère de l’énergie aux USA ayant travaillé dans le secteur du nucléaire.

Les attaques destructrices sont réelle-ment apparues en 2011. Elles visent à rendre inopérante une partie du système d’information en détruisant logiquement les postes de travail et les serveurs. Ce scénario commence souvent par une intrusion silencieuse qui permet de prendre le contrôle des éléments centraux du SI et ainsi de pouvoir déployer rapidement sur l’en-semble des postes de travail un code malicieux qui détruira les données pré-sentes sur le disque dur. La Corée du Sud a connu des vagues successives d’attaques destructrices visant des grandes banques et des chaînes de média. En utilisant un malware spé-cifique capable de se multiplier et en détournant les systèmes de télédistri-bution, les attaquants ont pu détruire logiquement plus de 30 000 postes de travail.

Les grandes entreprises doivent enfin être attentives aux attaques de tiers et / ou de partenaires métiers. Dans ce cas, les attaquants visent un fournis-seur ou un partenaire clé plus facile à attaquer que la cible finale. Face à ces attaques, les sociétés visées sont sou-vent dépourvues de moyens de réponse rapides et efficaces. Par ailleurs, les problèmes de responsabilités et d’en-gagements contractuels complexifient la gestion de crise. RSA a ainsi subi en

Mais de nouvelles formes de cyberat-taques apparaissent tous les jours et il est nécessaire de se préparer à lutter contre elles.

Les attaques ciblées avec des e-mails piégés se développent. Également connue sous la dénomination spear phishing, ce type d’attaque prend la forme d’un message électronique qui semble émaner d’une personne ou d’une entreprise réputée et de confiance. Mais en réalité, il s’agit d’un message piégé qui permet de prendre le contrôle de l’ordinateur de la personne ciblée en contournant les mécanismes de sécurité présents à la fois sur la messagerie et sur le poste de travail. Ces attaques sont actuel-lement à l’origine de la majorité des incidents graves. Des cybercriminels ont par exemple tenté de détourner des fonds des entreprises Quick et Scor en usurpant l’identité des PDG auprès du service comptabilité. Heureusement, les versements frauduleux n’ont pas été réalisés, mais ce uniquement grâce à la vigilance des services comptables. Le spear phishing aurait également été utilisé avec succès contre des struc-tures comme le ministère de l’Écono-mie et des Finances et a conduit à une intrusion sur son réseau.

Un autre type d’attaque est en vogue, le waterholing. Ce terme vient d’une analogie avec les points d’eau où les prédateurs attendent patiemment des proies venues boire. Il consiste à piéger un site web particulier, connu pour être visité fréquemment par les personnes ciblées. L’attaquant réalise une intru-sion discrète lui permettant d’ajouter un code malicieux sur le site. En visitant ce site, habituellement de confiance, la personne verra son ordinateur com-promis malgré les protections en place. À titre d’exemple, des pirates sont parvenus à compromettre le site de la chaîne de télévision américaine NBC en diffusant auprès des visiteurs un cheval de Troie bancaire, Citadel. Ce

2011 une attaque visant à récupérer les informations concernant leur sys-tème d’authentification forte nommé SecurID, pour ensuite attaquer les systèmes du constructeur américain Lockheed Martin.

Enfin, il est important de prêter atten-tion aux attaques qui visent vos clients sans pour autant attaquer vos SI. Des cas d’usurpations d’identités croi-sées sont de plus en plus courants. Par exemple, les attaquants utilisent l’image d’un service public pour voler les coordonnées bancaires.

Une difficulté à évaluer les impacts de ces attaquesIl est aujourd’hui difficile d’estimer de manière fiable les pertes engen-drées par la cybercriminalité. De très nombreux chiffres circulent, allant jusqu’à comparer cette forme de cri-minalité avec le trafic de drogue en termes de gains.

La raison de ce flou est simple : les entreprises ne communiquent pas sur les incidents qu’elles rencon-trent. La plupart du temps, elles ne réalisent pas non plus d’analyse post-mortem pour évaluer les pertes directes (arrêt du SI, jours / hommes perdus, etc.) comme les pertes indirectes (contrats perdus, pro-priété intellectuelle dérobée, etc.). Cependant, nos observations sur le terrain montrent que des incidents cybercriminels importants entraînent des coûts directs liés à la gestion de crise et de remédiation dont le mon-tant varie généralement de 5 à 30 M€ par évènement.

« Les coûts directs liés à la gestion de crise varient généralement de 5 à 30 M€

par évènement »


Cybercriminalité


Face aux nouvelles menaces de la cybercriminalité, les États réagissent pour protéger les citoyens et les sys-tèmes cruciaux pour leurs activités. Devant cet enjeu militaire et écono-mique récent, des actions ont été lancées partout dans le monde. Un mouvement général qui, malgré la crise et les réductions de budget, trahit l’im-portance accordée au sujet : la cyber-défense tout comme la cybersécurité sont aujourd’hui devenues des priorités politiques. Pour les entreprises, ces démarches sont autant des opportu-nités que des contraintes.

Protéger les entreprises en cas d’atteinte à leur SIEn France, de nombreuses lois ont progressivement intégré la com-posante sécurité de l’information. Parmi les plus marquantes, nous pouvons citer :

• La loi Godfrain qui sanctionne les intrusions dans les systèmes informatiques ;

• La loi sur le secret des affaires : 2012 a vu l’adoption en première lecture d’un texte qui n’est pas encore allé plus loin dans le processus législa-tif. Inspiré du Cohen Act des États-Unis mais aussi d’autres textes européens, cette loi défi-

nit la notion « d’informations protégées relevant du secret des affaires d’une entreprise » et introduit le délit de divul-gation de ces informations. Jusqu’ici, en cas de fuite, les responsabilités pouvaient être recherchées pour vol, abus de confiance ou encore violation de propriété intellectuelle. Il est difficile de faire reconnaître des délits « virtuels » touchant des données immatérielles non reconnues par le code pénal. Les peines prévues dans ce nouveau texte sont largement plus dissuasives : 3 ans de pri-son et 375 000€ d’amendes. Dans ce nouveau cadre, les entreprises auront intérêt à iden-tifier les données concernées, les marquer et mettre en place les mesures de sécurité ad hoc pour assurer la recevabilité d’une plainte devant un tribunal.

Néanmoins, ce mouvement d’accom-pagnement aux entreprises reste en retrait par rapport à d’autres textes de loi, qui leur imposent de nombreuses exigences en matière de protection des données.

Protéger les données à caractère personnel et la vie privéeEn France, la loi Informatique et Libertés de 1978 a été modifiée en 2004, renforçant les pouvoirs de la CNIL et les obligations d’information. Le projet de règlement européen sur la protection des données à caractère personnel prévu pour 2014-2015 amè-nera de nombreuses nouveautés pour renforcer la protection de la vie privée numérique.

Tout d’abord, il allègera les formalités administratives en passant d’un régime déclaratif à l’obligation de nommer un délégué à la protection des données. Cette mesure s’accompagnera d’un alourdissement des sanctions : jusqu’à 1 M€ d’amende ou 2% du CA. Elles prendront donc une dimension autre que symbolique pour les géants du web comme Google ou Amazon…

Enfin, l’obligation de notifier toute violation d’un traitement de données à caractère personnel sera élargie à toutes les entreprises. Le Paquet Telecoms impose déjà depuis 2011 aux opérateurs de télécommunications de prévenir les autorités, puis si besoin les personnes concernées par une fuite de données à caractère personnel. Demain, ce sont toutes les entreprises qui seront concernées, quel que soit leur secteur.

Les États contre-attaquent

Trois axes de réglementation

Trois axes de règlementation


En parallèle, l’Europe propose une directive sur la sécurité des réseaux et de l’information qui va dans le même sens que cette loi en élargissant le dispositif à une coopération européenne.

Des textes à la pratique : ressources humaines e t matérielles se voient renforcéesAfin de franchir une nouvelle étape dans sa capacité de protection, l’État français lance des actions sur d’autres axes.

Le premier est celui des ressources humaines. Il s’agit de développer les compétences dans ce domaine et de former des experts à même de répondre à ces nouvelles situa-tions. Si le Ministère de la Défense va voir ses effectifs diminuer de plus de 34 000 emplois (-12,5%) d’ici 2019, certaines entités vont au contraire être renforcées. Ainsi, l’entité « Maîtrise de l’informa-tion » de la DGA (DGA-MI) va recru-ter 200 personnes d’ici à 2017 (+17%) et l’ANSSI encore près de 140 personnes d’ici 2015 (+39%). Cette dernière devrait compter près de 500 personnes 6 ans après sa création.

Au-delà de spécialistes, il est néces-saire de faire de la sécurité de l’in-formation un incontournable de tout cursus de formation informatique afin de développer les compétences, mais aussi l’appétence, des informaticiens de demain sur ces sujets. En outre, la volonté de constitution d’une réserve de spécialistes de la cyberdéfense est affichée.

Le second axe veut favoriser l’inves-tissement dans des produits de sécu-rité maîtrisés ce qui, complété par un renforcement des politiques d’achats, devrait permettre à l’État d’avoir toute confiance en ses fournisseurs. Les cré-dits consacrés aux études amont sont ainsi en train d’être triplés, passant de 10 à 30 M€ par an.

Le troisième et dernier axe s’attache aux comportements humains. Il s’agit de sensibiliser les employés des entreprises, pour prévenir au maximum les incidents, mais aussi plus largement tous les utilisateurs d’internet qui peuvent être ciblés par la cybercriminalité au travers de phishing, waterholing, etc.

Protéger les services essentiels de l’ÉtatEn cours d’adoption, la loi de programmation militaire imposera la notification des atteintes à la sécurité de leur SI aux Opérateurs d ’ impor tance v i t a le (O IV ) , les entreprises et organismes névralgiques du pays dans les différents secteurs (santé, énergie et transport notamment). Elle donne à l’ANSSI des responsabilités associées : il s’agit ainsi d’imposer des mesures de protection, de détection et traitement des incidents touchant les systèmes sensibles. De nombreuses entreprises publiques et privées sont concernées sur leur périmètre d’importance vitale et devront mettre en place les mesures définies par l’ANSSI sous peine de sanctions pénales.

Le champ d’action défensif de l’ANSSI sera également renforcé, lui permettant « d’accéder à un serveur informatique à l’origine d’une attaque afin d’en neutraliser les effets ». Des dispositifs juridiques sont prévus pour que ces actions ne rentrent pas dans le champ des articles 323-1,2 et 3 du code pénal qui répriment des actions de ce type.


Cybercriminalité


Évaluer votre attractivité pour organiserefficacement votre réponse

Les États ne pourront pas résoudre tous les problèmes liés à la cybercri-minalité. C’est la raison pour laquelle il est indispensable que les entre-prises se dotent de moyens pour agir contre ce phénomène. Ces mesures ne pourront être efficaces sans la mise en place de plans d’actions coordonnés et soigneusement réflé-chis. Et ces plans doivent être adap-tés aux enjeux métiers de chaque entreprise pour être plus pertinents et efficaces.

Identifier ce qui pourrait motiver les cybercriminels…Première étape d’une démarche de lutte contre la cybercriminalité, l’évaluation de l’attractivité consiste à évaluer quel serait l’intérêt pour un cybercriminel d’attaquer l’entreprise.

Pour cela, il est nécessaire d’évaluer à la fois les menaces qui peuvent peser sur l’entreprise et ce que les attaquants chercheraient à obtenir. Le secteur d’activité et le positionne-ment sur le marché sont des éléments déterminants. À titre d’exemple, le secteur de la finance reste une cible privilégiée pour les vols de données clients ou les fraudes. Ces attaques sont plutôt réalisées par des cyber-

criminels opportunistes qui visent les entreprises les moins bien pro-tégées. Le secteur de l’industrie est, lui, visé majoritairement pour ses données stratégiques et la propriété intellectuelle. Les attaquants auront la volonté de prendre le contrôle du système d’information et de s’y installer dans la durée pour voler les données stratégiques au fil de l’eau.

…af in de m ieux c ib l e r les réponses à apporter Suite à cette analyse de la menace, il est nécessaire de procéder à une identification rapide des actifs clés de l’entreprise. Cette action, menée avec les métiers, permettra d’identifier les périmètres géographiques et tech-niques potentiellement les plus ciblés. Loin de viser une analyse exhaustive, il s’agit à ce niveau d’identifier les 10 ou 15 périmètres les plus sensibles. Il est en effet illusoire de tout protéger. Habituellement, les systèmes de vente en ligne, les centres de R&D, les popu-lations COMEX sont des périmètres qui ressortent des analyses.

Au-delà de données internes, les relations entretenues avec certains partenaires et / ou clients peuvent augmenter l’attractivité de l’en-

treprise aux yeux d’attaquants. C’est particulièrement vrai pour les grands fournisseurs informatiques qui détiennent de très nombreuses données et des accès multiples aux SI de leurs clients.

Les impacts tels que les pertes finan-cières et les pertes de savoir-faire ou avantage concurrentiel seront bien entendu au cœur de la réflexion. Mais les problématiques liées à l’image de l’entreprise vis-à-vis de son écosys-tème et / ou de ses clients sont aussi à prendre en compte.

Cette évaluation doit s’inscrire dans une revue régulière des risques avec les métiers. En effet, les périmètres de risques peuvent très largement changer : acquisitions, lancement de projets innovants, communica-tion externe sur de nouveaux projets, etc. Tout peut être l’occasion pour les cybercriminels de lancer une cam-pagne d’attaques. L’évaluation doit donc être inscrite dans la démarche de gestion des risques globale.

Une fois cette analyse effectuée, il faut choisir les meilleurs moyens de réponse, qu’ils soient organisation-nels ou techniques.

La cybercriminalité touche tous les secteurs d’activité

Répartition des incidents de cybercriminalité par secteur d’activité


Les assurances dédiées à la couverture des risques liés à la cybercriminalité (communément appelées cyberassu-rances) sont une solution permettant de réduire les impacts sur deux axes. Le premier correspond au recouvrement des coûts lié à une attaque cybercri-minelle, tandis que le second vise à diminuer l’impact de l’incident par un apport d’expertise. Cela permet de gagner en réactivité et en maîtrise grâce à des spécialistes financés ou mobilisés par l’assureur.

Aujourd’hui, ces assurances peuvent apparaître comme une solution de protection miracle à l’évolution de la cybercriminalité et comme un outil pour répondre à l’évolution de la règle-mentation sur la notification en cas de fuite de données à caractère personnel. Ces futures obligations font augmen-ter les coûts de gestion des incidents mais aussi la probabilité de recours des clients auprès de l’entreprise... Choisir une assurance en fonction de votre exposition Si elle ne peut empêcher les inci-dents, la cyberassurance est une des composantes à étudier et inté-grer le cas échéant à la réponse face à la cybercriminalité. Elle n’est cependant pas une solu-tion adaptée à tous les contextes.

Elle doit être considérée en particu-lier si l’entreprise est dans l’un des cas suivants :

• Les attaques potentielles ont des conséquences mesurables et donc remboursables (par exemple la perte de chiffre d’affaires sur un site de e-com-merce) ;

• L’entreprise dispose d’un SI for-tement exposé sur internet où elle gère de nombreuses don-nées personnelles. Ces deux fac-teurs augmentent la probabilité d’une attaque et donc l’intérêt d’une assurance ;

• Elle dispose d’un manque d’ex-pertise sur le sujet de la cybercri-minalité et souhaite pouvoir dis-poser d’une capacité de réaction rapide. Elle s’intéressera alors aux offres packagées des cybe-rassureurs, qui lui apporteront en cas de sinistre des experts dans plusieurs domaines (juri-dique, communication, gestion de crise, forensics, etc.).

Bien souscrire pour bien vous protéger.........................Le processus de souscription consti-tue le pilier fondateur d’un transfert de risques réussi. En premier lieu, le client doit confronter les risques à couvrir avec ceux déjà couverts par

les assurances déjà souscrites. Pour ce faire, une analyse de risques et un bilan assurantiel impliquant toutes les parties de l’entreprise sont nécessaires.

Dans un second temps, il convient de choisir le courtier le mieux à même de répondre aux attentes. Il sera jugé sur son expertise cyber, sa capacité à offrir une couverture multi-assureurs et les modalités d’accompagnement au cours de la vie du contrat. Courtier et client échangent alors sur la nature même des risques à traiter, ainsi que sur la maturité du client. Le courtier identifie ensuite, grâce à sa connais-sance poussée du marché, les assu-reurs les plus à même de répondre au besoin. Il sera alors temps d’en-tamer les négociations sur les critères classiques des assurances : montant de couverture, prime et franchise. Une réunion de marché permettra aussi aux assureurs de comprendre le risque pris en échangeant sur les mesures de sécurité en place.

Une fois le contrat en place, il faudra informer régulièrement l’assureur et le courtier des évolutions du péri-mètre et mettre en place les proces-sus de déclaration et d’utilisation des services prévus. Une revue régulière permettra également en théorie d’ajuster le montant de la prime.

Une solution émergente :la cyberassurance

Les chiffres clés de la cyberassurance

•Capacité du marché (montant maximum de couverture) : +/- 20 M€ par assureur, possibilité d’aller jusqu’à 100 à 150 M€ en contrat multi-assureurs.

•Prime : 1 à 5% du montant annuel garanti;

•Franchise : de 200 K€ à plus de 1 M€ pour les grands comptes (à partir de 5 K€ pour les PME).

Frais couverts par les cyberassurances


Cybercriminalité


Adapter votre gestion de criseà la cybercriminalité avancée

Aujourd’hui, les entreprises dispo-sent de processus de gestion des incidents à même de traiter des situations classiques (virus ou indis-ponibilités). Ces moyens ne sont pas adaptés aux nouveaux scénarios de crise, et en particulier aux attaques ciblées.

A contrario, le dispositif de gestion de crise est conçu et mis en place pour adresser des événements « disrup-tifs » majeurs qui interrompent ou modifient le fonctionnement au quotidien de l’organisation. C’est un dispositif avant tout managérial, qui repose sur plusieurs briques complémentaires :

• Des mécanismes d’alerte ;

• Des personnes capables d’ana-lyser et qualifier les alertes remontées par les processus de l’entreprise ;

• Des personnes capables de réa-gir, traiter opérationnellement et prendre des décisions.

Faire face à une menace discrète et évolutive : 8 conseils éprouvés pour adapter votre gestion de crisePlusieurs enseignements issus du traitement de crises récentes chez des grands comptes français sont à prendre en compte dès maintenant pour faire évoluer le dispositif de crise et se pré-parer à une attaque ciblée.

1. Prendre du recul face aux inci-dents unitaires........................Les incidents de sécurité font la plupart du temps l’objet d’un traite-ment unitaire. Résolus un par un, il est difficile d’établir un éventuel lien entre eux. Il faut donc prendre le recul nécessaire afin de détecter des com-portements dangereux qui se cachent derrière plusieurs anomalies d’appa-rence bénigne, sans exclure la pos-sibilité d’actes de diversion (attaque de manière visible sur des éléments finalement peu sensibles, durant les périodes d’inactivité comme la nuit, etc.).

2. Mobiliser les métiers................Il faut absolument éviter de considérer de telles crises comme des incidents

purement informatiques : il s’agit en réalité d’incidents métiers, puisque ce sont principalement eux qui en subis-sent les impacts. Les métiers doivent donc être en première ligne avec des équipes capables d’identifier les sys-tèmes et données critiques.

3. Mettre en place une organisation en miroir des attaquants....................Les retours d’expérience de crises majeures des dernières années ont montré que les attaquants sont de plus en plus structurés autour de profils dis-tincts avec des expertises variées.

Le pilote de l’attaque est le « cerveau » qui a la compréhension des enjeux, de la cible et la connaissance de l’infor-mation recherchée. Les équipes d’in-trusion sont spécialisées dans l’infiltra-tion : leur rôle est d’enfoncer les portes du SI. Elles disposent potentiellement de compétences techniques avancées et ont pour but de maintenir leur pré-sence le plus longtemps possible. Les données sont ensuite extraites par une troisième équipe, souvent moins compétente et qui peut parfois réaliser des erreurs très utiles pour comprendre l’objectif de l’attaque et les moyens mis en œuvre.

Il faut donc s’organiser en conséquence. Les métiers doivent mettre en place des équipes de réaction dédiées pour identifier les systèmes et données cri-tiques. Côté SI, les équipes forensics ont pour tâche de comprendre le fonc-tionnement des attaques et donner les

Les attaques ciblées, un nouveau défi pour la gestion de crise

Les attaques ciblées ont pour spécificité de viser des informations et systèmes sensibles dans une entreprise. Ses auteurs sont mandatés pour viser une cible avec un objectif clair : voler ou altérer des données confidentielles, détruire le SI, etc. Le niveau de technicité et les moyens disponibles peuvent s’élever drastiquement.

Ces crises, qui amènent à une prise de contrôle généralisée du SI dans la durée, sont à la fois les plus redoutées, celles qui peuvent causer le plus de dégâts dans l’entreprise, mais aussi celles auxquelles les entreprises sont aujourd’hui le moins préparées. En effet, peu d’entre elles les ont intégrées à leurs scénarios de crise. Il s’agit souvent d’une succession d’attaques silencieuses : prises unitairement, leurs effets sont bénins, mais leur articu-lation amène à une large compromission. C’est également la raison pour laquelle leur existence est généralement détectée bien après leur démarrage : en moyenne, presque un an.

« Les incidents de cybercriminalité sont per-çus à tort comme des problèmes informa-

tiques alors qu’il s’agit de crises métier »


sieurs mois, dont il est parfois délicat de discerner le début et la fin.

En effet, une fois les attaques jugulées, les efforts sont loin d’être terminés : des actions de reconstruction sont nécessaires. Il faut recréer des zones de confiance, en privilégiant d’abord les fonctions les plus sensibles de l’en-treprise. Il faut également mettre sous surveillance ces zones assainies.

6. Éviter le phénomène de la « pyra-mide inversée »......................Enfin, attention à ne pas subir un phénomène de « pyramide inversée » créant des équipes à deux vitesses : les acteurs décisionnels de la gestion de crise en sureffectif par rapport à des acteurs opérationnels du SI, eux sub-mergés. Ceux-ci, seuls à disposer de la connaissance pour réaliser les actions techniques sur le SI, reçoivent souvent trop d’ordres contradictoires dans un faible intervalle de temps.

7. Penser des solutions SI dégra-dées indépendantes... . . . . . . . .Il est parfois nécessaire d’innover durant ce type de crise, et passer s’il le faut par des mesures exception-

nelles, comme l’utilisation de moyens informatiques alternatifs. Il s’agit par exemple de postes de travail décon-nectés du SI compromis, et donc hors de portée des attaques, ou encore d’adresses e-mail externes à l’abri des regards des attaquants en utilisant des services de messagerie Cloud ou grand public.

8. Prévoir les interactions externes Un contact en mesure de conserver les informations relatives à la crise confidentielles doit être identifié au préalable chez chacun des acteurs extérieurs impliqués dans une crise cybercriminalité – forces de l’ordre, assureurs, autorités de contrôle.

éléments techniques d’identification, tandis que les équipes de réaction SI doivent penser la reconstruction dans la durée, afin de ne plus subir à nouveau ce type d’intrusion.

Au cœur du dispositif, il est nécessaire qu’une cellule de pilotage coordonne l’ensemble de ces acteurs. Notons que de nombreuses fonctions transverses doivent être impliquées : la direction juridique, la communication, la rela-tion client ont notamment un rôle important à jouer durant la crise.

4. Se doter de compétences forensics et d’un outillage adapté pour com-prendre l’attaque.........................Comprendre la succession d’évène-ments nécessite des équipes dédiées avec des compétences de foren-sics (investigation numérique). Ces équipes doivent disposer de moyens techniques, outils d’analyse de traces, accès aux journaux, plate-forme de stockage des éléments techniques, etc.

5. Anticiper dès maintenant une crise au long cours........................L’un des aspects importants des com-promissions avancées est leur durée : il s’agit alors de gérer des crises de plu-

Adapter sa structure de gestion de crise à l’attaque


Cybercriminalité


selon une étude Ponemon Institute en 2012, 83% des victimes d’une fuite de données pensent que l’en-treprise n’est pas digne de confiance. Il s’agit donc de réagir de manière à minimiser cette perception en com-muniquant de manière adaptée. Identifier les scénarios redoutés pour préparer la notification aux clientsPour initier la démarche, l’entreprise doit se positionner sur les scénarios de risques qu’elle souhaite couvrir, en identifiant les scénarios redoutés les plus critiques, de par leur probabilité ou leur impact. Par exemple, un site de vente en ligne sera plus exposé à un vol de données clients par le web qu’un hôpital qui redoutera plutôt une attaque en profondeur sur le SI pour collecter des données médicales.

Plusieurs actions devront être réa-lisées en amont : cartographie des données à caractère personnel, évaluation du degré de protection

Vous préparer à la notification des fuitesde données à caractère personnel

Les exigences de notification des incidents se renforcent peu à peu. Demain, c’est l’ensemble des incidents de sécurité que les OIV en particulier devront notifier à l’ANSSI sous peine d’amende. Une nécessaire coordination devra donc être mise en place entre les différents acteurs concernés. En attendant, le sujet le plus urgent à traiter est celui de la notifica-tion relative aux clients car il a un impact direct et visible sur l’image de marque de l’entreprise. De nouvelles obligations liées aux données à caractère per-sonnel pour les entreprises Les obligations sont doubles : d’un côté, il s’agit de notifier aux autorités compétentes (la CNIL en France) la violation du traitement de données à caractère personnel, et de l’autre de notifier l’incident aux personnes concernées s’il représente un risque d’atteinte à leur vie privée.

La notification devra se faire sous 24h à partir du moment où l’atteinte aux données est découverte. S’il peut s’avérer compliqué de donner les détails nécessaires sur l’incident dans les premières heures de la crise (nombre de personnes touchées, nature de l’incident, etc.), il est préférable de réaliser tout de même la notification dès que possible. Des compléments d’informations pourront par la suite être remis à l’autorité (dans les 3 jours).

Et si l’obligation réglementaire de notification aux personnes ne touche aujourd’hui qu’une poignée d’entre-prises, nombre sont celles qui le font déjà dans un souci de transparence ou sont contraintes de fait de réali-ser cette notification : une fois l’in-formation ébruitée par les médias, elle devient inévitable. La remise en cause de la confidentialité des données des clients conduit à une perte de confiance dans la relation :

Coordonner les différentes notifications aux autorités

Si la notification aux personnes concernées nécessite de manière évidente une bonne maîtrise de la commu-nication, il ne faut pas sous-estimer la notification aux autorités et mettre en place des procédures efficaces.

Des fuites de données à caractère personnel…

L’interlocuteur en charge des notifications de violation de traitements de données à caractère personnel doit être connu et identifié par les équipes qui détectent les incidents et gèrent la crise, et intégré dans les communica-tions de crise SI. Il s’agit bien souvent du correspondant habituel de la CNIL pour les formalités déclaratives et les contrôles, en support du service juridique.

…qui sont des incidents de sécurité

D’autres autorités comme l’ANSSI ou certains services de l’État peuvent être à inclure dans la démarche de notification.

Il sera donc nécessaire de capitaliser sur les acteurs impliqués et les processus mis en place pour les fuites de données à caractère personnel pour assurer la fluidité et la cohérence des notifications aux différents organismes : cohérence des informations et des mises à jour, simultanéité des notifications, etc.

Attention, les enjeux de notification peuvent parfois s’opposer. Entre transparence et confidentialité, un juste équilibre devra être trouvé conjointement avec les autorités.


actuel (en particulier existence de chiffrement pour limiter le risque de devoir notifier les clients) mais la grande nouveauté vient des réflexions sur la notification en elle-même et sur les impacts dans l’entreprise.

Au-delà du risque pour elle, elle doit également analyser ceux du point de vue de l’individu et placer la vie privée comme enjeu premier afin de préve-nir la fraude financière, l’usurpation d’identité, etc. Les questions clés à se poser pour qualifier le risque d’at-teinte à la vie privée seront donc les suivantes :

• À quand remonte l’incident ?

• Quelles sont les données concernées par l’incident au sein du SI ?

• Quels types de données sont concernés (identification, mode de vie, etc.) ?

• Qui est concerné par les données atteintes (collaborateurs, clients, etc.) ?

• Quel est le nombre de personnes affectées ?

• Et surtout, quel usage mal-

veillant peut-il en être fait avec des conséquences néfastes pour les individus (sécurité des personnes, réputation, financier, etc.) ? - De par leur nature : don-nées médicales, opinions, etc. - De par l’usage : données ban-caires, état civil, etc.

Le résultat de cette analyse doit permettre de définir le contenu de la communication mais aussi si la personne concernée doit elle-même réaliser une action pour réduire le risque, par exemple, un changement de mot de passe.

Construire le plan de réponse d e m a n i è r e a n t i c i p é e Cadrer en amont les grandes lignes d’un plan de réponse permet d’être plus réactif le jour où un incident sur-vient, car l’ensemble des acteurs à mobiliser (relation client, marketing, RSSI, juristes, etc.) aura déjà tra-vaillé ensemble. Les canaux de com-munication doivent être identifiés et sélectionnés en fonction des canaux utilisés avec les clients : courrier, email, appel téléphonique, agence, etc. Identifier les solutions logistiques associées à la communication permet-tra une réactivité plus importante le jour J : capacité à contacter les clients (connaissance des adresses postales et électroniques), redimensionnement

des capacités du CRC, impression de

courriers en masse, assistance aux

clients victimes de fraude.

Pour éviter des effets désastreux, le

contenu de la notification doit égale-

ment être travaillé pour maximiser la

perception positive de la communica-

tion. Une étude Ponemon Institute a

montré que 61% des destinataires de

notifications les trouvent trop compli-

quées à comprendre : la part à appor-

ter aux explications et à la vulgarisa-

tion des concepts techniques parfois

compliqués prend toute son impor-

tance ! Il est également nécessaire

de présenter les risques identifiés et

de rassurer sur les actions mises en

œuvre pour protéger les données et

éviter que l’incident ne se reproduise.

La description des actions à réaliser,

les ressources complémentaires (tuto-

riels, etc.) et les contacts sont impor-

tants à mentionner pour permettre aux

clients d’en savoir plus.

Une étude menée par AllclearID a en

effet montré que 20% des personnes

notifiées cherchent à contacter l’en-

treprise pour avoir plus d’éléments et

passent entre 5 et 20 minutes avec le

service clients, ce qui peut entraîner

en plus une paralysie des canaux de

vente. Il s’agit donc bien là de bonnes

pratiques indispensables à prendre en

compte pour préserver la relation avec

les clients.

« 83% des victimes d’une fuite de données pensent que l’entreprise concernée n’est pas

digne de confiance »

2

1 2 3

Les étapes préalables à la notification


Cybercriminalité


Repenser votre modèle de sécurité pour l’adapter aux nouvelles menaces

L’objectif a longtemps été pour les entreprises d’empêcher des intrusions sur leur SI. Cette approche, si elle a de nombreuses vertus, est dépassée par des attaques qui contournent facilement les mesures de sécurité usuelles (correctifs, antivirus, etc.). Il faut aujourd’hui accepter le caractère inévitable des intrusions, et donc se préparer à y faire face. Pour cela, le modèle de sécurité doit répondre à un objectif de protection ciblée, de détection et de réaction large.

Protéger les périmètres sensiblesIl faut dans un premier temps identi-fier et « sanctuariser » les périmètres les plus sensibles : les applications métier vitales, les données critiques ainsi que les collaborateurs qui les manipulent, ou encore les infras-tructures informatiques dont la compromission pourrait avoir un effet désastreux (système de gestion du SI, outils d’administration, etc.).

Cette protection passe par la construc-tion de bastions sécurisés. Ils seront particulièrement surveillés grâce à des équipes et des moyens dédiés (annuaire spécifique, pare-feux, mécanismes de chiffrement, outils de surveillance, alerte sur modifica-tion, etc.). Il s’agit de les considérer comme des îlots indépendants du SI. Il sera aussi essentiel d’adopter une approche de sécurisation drastique des postes de travail concernés.

D’autre part, dans l’objectif de rapprocher les protections au plus près des données, la mise en place d’une cellule de sécurité applicative est une bonne pratique encore peu répandue. Son rôle est d’agir sur la robustesse des applications internes, tant au moment de leur conception que durant leur cycle de vie (correc-tifs, mises à jour, etc.). Cette ini-tiative doit aussi être portée par les équipes internes mais aussi étendue

à l’ensemble des prestations exter-nalisées (développement, héberge-ment, Cloud, etc.).

En particulier, les applications métiers les plus exposées pourront faire l’ob-jet de mesures spécifiques : ana-lyse temps réel des transactions, alerte et blocage de flux en cas de fraudes, authentification basée sur les risques, contrôle d’intégrité, etc.

Mettre en place des disposi-tifs techniques ciblés...........Se préparer à lutter contre des attaques cybercriminelles passe aussi par l’utilisation de solutions innovantes dédiées à ces nouvelles menaces. Sans prétendre à l’ex-haustivité, nous vous proposons quelques approches qui peuvent s’avérer efficaces pour lutter contre certaines catégories de cybercrimina-lité. Attention, pour bien fonctionner, ces solutions technologiques devront toujours être accompagnées d’un dis-positif humain adapté.

Se protéger contre les DDoS.......Les DDoS, attaques par saturation d’un système afin de le rendre indis-ponible, sont devenues très cou-rantes. L’approche classique pour s’en protéger consistait à réagir avec l’opérateur télécom concerné en cas d’attaques : une solution longue à déclencher et très impactante.

De nouvelles méthodes consistent à placer des mécanismes permettant de surveiller les tentatives de déni de service. Si une attaque est détec-tée, le trafic réseau est dévié auprès d’un fournisseur Cloud ou chez un opérateur. Disposant de l’outillage nécessaire pour nettoyer le trafic en isolant la partie malveillante puis en routant uniquement les flux légitimes vers l’entreprise. Une fois l’attaque passée, le trafic reprend son chemin normal.

Mettre en place des « bacs à sable » d’analyse des fichiers.................Les antivirus fonctionnent depuis longtemps à l’aide de signatures : si un fichier ou une attaque répond à un certain nombre de critères précis, il est détecté comme malveillant. Cette approche montre chaque jour un peu plus ses limites avec les failles dites 0-day (encore non divulguées publi-quement). Une méthode aujourd’hui plus efficace est de simuler dans un « bac à sable » l’exécution de tout fichier circulant sur le réseau. Si le fichier a un comportement suspect, le système de protection peut alors le bloquer.

Séparer les usages selon leur sensibilité...Les utilisateurs traitent souvent sur le même ordinateur des infor-mations sensibles, des documents bureautiques, ou encore des fichiers personnels.

Si l’utilisation de machines diffé-rentes pour chaque niveau de sen-sibilité est toujours difficile pour des raisons bien évidentes de coûts et de complexité d’usage, la virtualisation peut être une réponse technique à ce besoin. Sur un même poste, il exis-terait alors plusieurs environnements (confidentiel, bureautique, person-nel, etc.) étanches et disposant cha-cun du niveau de sécurité idoine.

Réduire les privilèges des admi-nistrateurs...........................Un chantier de diminution des droits administrateurs doit également être engagé. Trop souvent, les comptes se démultiplient et les pratiques d’ad-ministration sont dangereuses (utili-sation de poste connecté à internet par exemple). Au-delà de l’utilisation de postes dédiés, des plates-formes de rebond doivent être utilisées pour tracer les actions d’administration.


Se doter d’un dispositif de détection et de réaction élargi Les entreprises doivent être en mesure, lorsqu’une attaque survient, de la détecter, de l’analyser et de réagir correctement.

Renforcer ou créer un SOC / CERT...Avant même d’envisager le déploie-ment de solutions techniques à large échelle, il est nécessaire de se doter des compétences en interne pour coor-donner la détection des incidents et les réactions avec le recul nécessaire.

Un centre des opérations sécurité (aussi appelé SOC, CERT ou encore CSIRT) devra être créé ou renforcé. Ses activités s’articulent autour de trois axes :

• La prévention des attaques, à travers des actions de veille et de gestion des vul-nérabilités informatiques ;

• La surveillance du SI et d’inter-net, à travers la détection d’inci-dents et le suivi d’indicateurs de compromission mais aussi pour suivre et détecter les usages malicieux de votre identité (phishing, noms de domaines, réseaux sociaux) ;

• La gestion de crise : il sera le pilote technique des crises de cybercriminalité, apportant l’expertise permettant de com-prendre les incidents et réduire leurs impacts.

Lors d’une attaque, il peut être le maître d’œuvre de réaction plus « active » (demande de fermeture des sites utilisés pour l’exfiltration, envoi de fausses informations, etc.) interve-nant en dehors du SI de l’entreprise concernée.

Renforcer les opérations de détection en profitant de la puissance du Cloud...En parallèle de cette structure, il est

nécessaire de renforcer l’outillage de surveillance du système d’information. Mise en place de politique de journa-lisation et centralisation des journaux des équipements de sécurité et des serveurs les plus sensibles sont les premières actions à réaliser. D’autres plus avancées peuvent être envisagées, comme par exemple l’externalisation de cette surveillance auprès d’un MSSP (Managed Security Service Provider), ou encore le recours à des outils de cor-rélation des journaux, voire en utilisant des approches Big data.

Par ailleurs, les éditeurs de solutions de sécurité proposent de plus en plus d’outils s’appuyant sur une approche Cloud, dont le principe est d’envoyer les données à analyser à l’éditeur plutôt que de reposer entièrement sur un outil déployé en interne. Il est ainsi possible de profiter de l’expérience acquise par le fournisseur au cours d’attaques pré-cédentes (notamment au sein d’autres entreprises) et de faire intervenir des experts en sécurité pour une analyse en temps réel.

Connaître le niveau de

vulnérabilités du SI

Rôles et activités du CERT


Cybercriminalité


Conclusion

Les États investissent, les entreprises doivent emprunter le même chemin

Aujourd’hui, l’État a compris les enjeux de la cybersécurité et investit fortement dans ce domaine. En regard, les

grandes entreprises adoptent une approche encore trop timorée et réductrice face à l’évolution des menaces. Et si

certaines ont su avancer, c’est bien souvent après avoir été durement touchées par un incident. Les directions générales

commencent à prendre conscience des risques mais les investissements restent largement en retrait - souvent car il

est difficile d’avoir une idée claire de la stratégie à suivre face à une menace en constante évolution.

Changer de posture : allier protection, détection et réaction

Au vu du niveau d’expertise des cybercriminels et de la faiblesse, par construction, des systèmes d’information, il est

impossible d’empêcher toutes les attaques de réussir. Une nouvelle posture doit être adoptée, alliant une protection

avancée des périmètres les plus sensibles et une forte capacité de détection et de réaction aux attaques.

Cet équilibrage passe par une évaluation de l’attractivité de l’entreprise pour les cybercriminels et par la définition

d’une cible parmi la profusion de solutions techniques, organisationnelles et juridiques adressant la cybercriminalité.

Aucune solution ne répond intégralement au problème, la bonne approche se trouve dans une articulation de ces

différentes solutions.

Construire sa stratégie face à une profusion de solutions

À réaliser en priorité, un exercice de gestion de crise sur un ou plusieurs scénarios pertinents pour les métiers permettra

de prendre conscience du degré de préparation de l’entreprise. Il sera structurant pour définir les chantiers à court

terme, telle que la cyberassurance ou les solutions techniques ciblées (lutte contre les dénis de service, protection

des VIP, surveillance d’actifs sensibles, etc.). La préparation aux notifications des incidents aux clients et la mise en

place ou le renforcement du SOC et son outillage devront également être envisagés dès aujourd’hui pour porter leurs

fruits à moyen terme.

8

Une mobilisation transverse nécessaire


Lutter contre la cybercriminalité, c’est combiner l’ensemble des compétences de l’entreprise

Le programme de lutte contre la cybercriminalité demande une mobilisation transverse au sein de l’entreprise, y com-

pris d’acteurs encore éloignés de ces problématiques aujourd’hui. L’animateur de ce programme est le plus souvent le

Responsable de la sécurité de l’information. Le Risk manager et / ou le DSI doivent aussi jouer des rôles déterminants,

voire porter le sujet dans certains contextes. Vu la diversité des thèmes, l’ampleur des changements et les impacts

potentiels pour les entreprises, il sera souvent nécessaire de mettre en place une structure transverse. Celle-ci regrou-

pera des acteurs de la direction générale, du juridique, de la gestion des risques, de la DSI, de la communication, des

principaux métiers : en particulier de la relation client.

Ce comité existe déjà dans les entreprises les plus matures. Il suivra l’avancement des projets liés à la cybercrimina-

lité. Il participera et animera également le processus de gestion de crise. Un reporting régulier devra être réalisé à la

Direction générale sous forme d’indicateurs de risques.

Une fenêtre d’opportunité sans précédent pour agir

Aujourd’hui, la multiplication des attaques, des révélations et des actions des États offre une opportunité sans pareil

pour adresser le sujet de la cybercriminalité en profondeur. Les fonctions dirigeantes des entreprises ne sont plus à

sensibiliser, elles sont souvent en attente ! Il est grand temps de leur apporter une démarche claire et simple pour

protéger les clients et le patrimoine de l’entreprise dans la durée.


Cybercriminalité


Glossaire

ANSSI ............................L’Agence Nationale de la Sécurité des Systèmes d’Information, elle assure la mission d’autorité nationale en matière de sécurité des systèmes d’information. A ce titre elle est char-gée de proposer les règles à appli-quer pour la protection des systèmes d’information de l’État et de vérifier l’application des mesures adoptées.

Dans le domaine de la défense des systèmes d’information, elle assure un service de veille, de détection, d’alerte et de réaction aux attaques informatiques, notam-ment sur les réseaux de l’État. APT ...........................................Advanced Persistent Threats, caté-gorie de cyberattaques vidant des informations sensibles et précises dans l’organisation et dont le niveau de complexité est adapté à la cible.

Authentification forte ...............Procédure d’identification qui requiert l’utilisation d’au moins deux facteurs d’authentification de nature distinctes afin de rendre la tâche plus compliquée à un éventuel attaquant.

Certificat ...............................Carte d’identité numérique, il est utilisé principalement pour identifier une entité physique ou morale, mais aussi pour chiffrer des échanges. Il est signé par un tiers de confiance qui atteste du lien entre l’identité physique et l’entité numérique.

Cheval de Troie.(Trojan)............Logiciel d’apparence légitime, conçu pour exécuter des actions à l’insu de l’utilisateur. En général, il utilise les droits appartenant à son environ-nement pour détourner, diffuser ou détruire des informations. Les trojans sont programmés pour être installés de manière invisible, notamment pour corrompre l’ordinateur hôte.

DDoS ................................Distributed Denial of service attack (attaque distribuée par deni de ser-vice), attaque visant à rendre indis-ponible pendant un temps indéter-miné les services ou ressources d’une organisation. Il s’agit la plupart du temps d’attaques à l’encontre des serveurs d’une entreprise, afin qu’ils ne puissent être utilisés et consultés.

Faille 0-day ..............................Attaque exploitant une vulnérabilité inconnue jusqu’à ce jour dans une application, ce qui signifie que l’at-taque a lieu au « jour zéro » de détec-tion de la vulnérabilité.

Forensics ..............................Ensemble des connaissances et méthodes qui permettent de collec-ter, conserver et analyser des preuves issues de supports numériques en vue de les produire dans le cadre d’une action en justice.

Ingénierie sociale............. Escroquerie où des individus mal intentionnés utilisent leurs connais-sances (et leur audace) pour se faire passer pour quelqu’un d’autre. Ils vont tenter d’abuser de la confiance de l’utilisateur, ou de sa crédulité dans le but de lui soutirer un service ou des informations clés.

Logs / traces ........................Enregistrement séquentiel dans un fichier ou une base de données de tous les événements affectant un pro-cessus particulier (application, acti-vité d’un réseau informatique, etc.).

M S S P. . . . . . . . . . . . . . . . . . . . . .Managed Security Service Provider, infogérant proposant aux entre-prises d’externaliser la gestion de leur sécurité Informatique.

O IV. . . . . . . . . . . . . . . . . . . . . . . . . . .Opérateurs d’importance vitale, ins-tallations physiques, technologies de l’information, réseaux, services et actifs qui, en cas d’arrêt ou de destruction, peuvent avoir de graves incidences sur la santé, la sécurité ou le bien-être économique des citoyens ou encore le travail des gouverne-ments des États.

Phishing .........................Technique utilisée par des fraudeurs pour obtenir des renseignements personnels dans le but de perpétrer une usurpation d’identité. La tech-nique consiste à faire croire à la victime qu’elle s’adresse à un tiers de confiance afin de lui soutirer des renseignements personnels. Elle peut se faire par courrier électronique, par des sites web falsifiés ou autres moyens électroniques.

SOC / CSIRT / CERT© .................Security operation center / com-puter security incident response team / computer emergency res-ponse team : organismes chargés d’assurer des services de prévention des risques et d’assistance aux trai-tements d’incidents. Ces organismes sont des centres d’alerte et de réac-tion aux attaques informatiques, destinés aux entreprises et / ou aux administrations.

Waterhol ing. . . . . . . . . . . . . . . . . . Attaque se référant à un prédateur qui se terre près d’un point d’eau dans l’espoir qu’une proie s’y déplace pour boire. De la même façon, un hacker (le prédateur) utilisant cette technique n’attaque pas directement sa cible mais va plutôt compromettre un site (le point d’eau) pour que celui-ci infecte ses visiteurs.


À propos de Solucom

Solucom est un cabinet indépendant de conseil en management et système d’information.

Ses clients sont dans le top 200 des grandes entrepr ises et administrations. Pour eux, le cabinet est capable de mobiliser et de conjuguer les compétences de plus de 1200 collaborateurs.

Sa mission ? Porter l’innovation au cœur des métiers, cibler et piloter les transformations créatrices de valeur, faire du système d’information un véritable actif au service de la stratégie de l’entreprise.

Solucom est coté sur NYSE Euronext et a obtenu la qualification entreprise innovante décernée par OSEO Innovation.

Découvrez SolucomINSIGHT, le magazine en ligne de Solucom : www.solucominsight.fr

Imaginé sous forme de « club », et porté par deux directeurs du cabinet, l’Atelier Solucom est un rendez-vous bimestriel auquel sont conviés sur invitation une douzaine de clients. Certains sujets adressent les DSI, d’autres les directions métiers. L’objectif ? Identifier et réfléchir avec eux aux challenges de demain et s’y préparer. Quelques mois après chaque Atelier, la Synthèse associée est mise en ligne sur notre site internet.

Quelques thèmes récents d’Ateliers :

• L’entreprise face au risque cybercriminalité : think global !

• DSI, et si vous deveniez Cloud broker ?

• Oser la rupture dans les relations DSI / Métiers pour accélérer les transformations du SI

• Le pilotage économique : 1ère priorité du DSI !

• Smart - au-delà du buzzword, préparez la transformation !

Pour en savoir plus sur le programme, [email protected]

Tour Franklin, 100-101 Terrasse Boieldieu, La Défense 892042 Paris La Défense Cedex

Tél. : 01 49 03 25 00 Fax. : 01 49 03 25 01www.solucom.fr

Cop

yrig

ht S

oluc

om -

ISB

N 9

78-2

-918872-1

8-4

EAN

978291872184- R

espo

nsab

le d

e la

pub

licat

ion

: Lau

rent

Bel

lefin

Technology

Cybercriminalité: comment agir dès aujourd'hui