En avril, le gouvernement a indiqué que la moitié des entreprises britanniques avaient subi une violation de données au cours des douze derniers mois, un chiffre encore plus élevé pour les moyennes entreprises (70 %) et les grandes entreprises (74 %). Il a constaté que les mesures de base en matière de cybersécurité, de gestion des risques et de la chaîne d'approvisionnement, ainsi que de réponse aux incidents, font encore défaut dans une part inquiétante de ces organisations.

Mais qu’en est-il des six derniers mois ? Nous n'en sommes qu'à la moitié de l'année, mais certains thèmes importants sont déjà apparus et domineront probablement le discours sur la sécurité et la conformité en 2024. Nos cinq principaux sont :

Le NVD est en crise

L'exploitation des vulnérabilités est de nouveau à la mode. Mandiant affirme que 38 % des intrusions en 2023 ont débuté de cette manière, soit une augmentation annuelle de six points de pourcentage. C'est une mauvaise nouvelle pour les responsables de la sécurité des réseaux car la base de données nationale des vulnérabilités (NVD) du NIST, sans doute la source d'information la plus importante au monde en matière de vulnérabilités, est pratiquement paralysée depuis plusieurs mois. En tant que référentiel standardisé de données CVE enrichies, elle est devenue un élément crucial des processus automatisés de gestion des correctifs et des vulnérabilités de nombreuses entreprises, ainsi que de leurs outils de sécurité. Le ralentissement soudain du traitement des CVE depuis février a contraint les équipes de sécurité à rechercher en urgence des sources de renseignements alternatives.

Verizon affirme que les détections d'exploitation de vulnérabilités comme vecteur d'accès initial pour les violations de données ont bondi de 180 % en glissement annuel en 2023. Cela représente désormais 14 % de toutes les violations, ce qui signifie que les équipes de sécurité doivent réfléchir d'urgence à des sources supplémentaires d'informations sur les CVE, comme le programme CVE , en plus d'améliorer le renseignement sur les menaces et d'autres tactiques.

Les ransomwares vont de mal en pis

En janvier dernier, le Centre national de cybersécurité (NCSC) a averti que les rançongiciels allaient « très certainement accroître le volume et l'impact des cyberattaques au cours des deux prochaines années ». Il a insisté sur le caractère particulièrement préoccupant des rançongiciels, affirmant que l'intelligence artificielle (IA) allait donner un avantage considérable aux attaquants en matière d'ingénierie sociale et de reconnaissance. Autrement dit, l'IA sera utilisée pour créer des contenus d'hameçonnage extrêmement convaincants, difficiles à repérer, et pour rechercher les vulnérabilités connues des organisations ciblées. Le rapport ISMS State of Information Security 2024 a révélé que 29 % des organisations avaient subi une attaque par rançongiciel au cours de l'année précédente.

On ignore si l'IA est déjà utilisée de cette manière. Néanmoins, depuis le début de l'année, les groupes de ransomware sont à l'offensive, malgré quelques succès isolés des forces de l'ordre, comme le démantèlement de LockBit et la dissolution de BlackCat/ALPHV . Les organismes de santé ont une fois de plus été victimes de ces attaques. Les fournisseurs américains Change Healthcare et Ascension ont été les premiers touchés ; Change Healthcare devrait enregistrer des coûts supérieurs à un milliard de dollars suite à l'attaque. Le NHS England a été durement frappé après que le ransomware Qilin a mis hors service un de ses fournisseurs. L'attaque a initialement entraîné l'annulation de plus de 800 opérations programmées et de 700 consultations externes.

Étant donné que les auteurs de ransomwares parviennent généralement à leurs fins via des vecteurs d’attaque relativement simples (compromission RDP, phishing, exploitation de vulnérabilités), il semble que les organisations doivent continuer à se concentrer sur les bases pour rester en sécurité.

Les appareils Edge subissent des coups

Le réseau périphérique semble être le nouveau terrain de prédilection des cyberattaques d'État. Le NCSC a été parmi les premiers à tirer la sonnette d'alarme cette année, affirmant que les acteurs malveillants ciblent de plus en plus les produits de sécurité périmétrique (tels que les applications de transfert de fichiers, les pare-feu, les VPN et les équilibreurs de charge) suite aux améliorations apportées à la conception des logiciels clients. Ces produits constituent une cible idéale, car le code y est généralement moins sécurisé par conception que celui des logiciels clients, ce qui facilite l'exploitation des failles. De plus, le NCSC souligne l'absence de journalisation efficace sur les dispositifs périphériques.

Ces six derniers mois ont été marqués par une véritable vague d'attaques de ransomware et de cyberespionnage, notamment l'exploitation massive des passerelles Ivanti Connect Secure et Policy Secure , des équipements FortiGate et d'un système F5 BIG-IP obsolète . Un récent rapport d'Action1 a révélé un taux d'exploitation record des équilibreurs de charge entre 2021 et 2023, tandis qu'un autre fournisseur a constaté une augmentation de 22 % du nombre de vulnérabilités (CVE) liées aux services et infrastructures périphériques entre 23 et début 2024.

Le NCSC exhorte les organisations à passer des produits de périmètre hébergés sur site aux produits de périmètre hébergés dans le cloud et à utiliser des pare-feu pour bloquer toutes les « interfaces, portails ou services de logiciels Internet » inutilisés.

Boule de neige des risques liés à l’Open Source

Les risques liés à l'utilisation de logiciels libres sont connus depuis un certain temps. Les cybercriminels dissimulent de plus en plus souvent des logiciels malveillants dans des composants tiers et les placent dans des dépôts officiels, espérant qu'un développeur pressé par le temps les téléchargera. Cependant, en avril, une menace encore plus insidieuse a été mise au jour suite à une découverte fortuite : une opération sophistiquée menée pendant des années pour infiltrer et implanter un logiciel malveillant de type porte dérobée dans un composant libre populaire appelé xz Utils. Le groupe à l'origine de cette escroquerie a déployé des efforts considérables pour dissimuler ses activités malveillantes, tout en manipulant le mainteneur initial, Lasse Collin, afin qu'il accepte leur identité de développeur en tant que contributeur « de confiance ».

La mauvaise nouvelle pour les équipes de sécurité est que de nombreuses tentatives d'imitation ont été découvertes depuis , laissant présager une crise croissante pour les logiciels libres. Environ 79 % des personnes interrogées par ISMS.online déclarent que leur activité a été impactée au cours de l'année écoulée par un incident de sécurité causé par un fournisseur tiers ou un partenaire de la chaîne d'approvisionnement. À l'avenir, une surveillance accrue des chaînes d'approvisionnement logicielles, incluant les nomenclatures (SBOM), des analyses de vulnérabilité régulières et des politiques de gouvernance plus rigoureuses, sera indispensable.

Les problèmes de conformité se multiplient

Pour paraphraser Benjamin Franklin, rien n'est certain en ce monde, hormis la mort, les impôts et les nouvelles obligations de conformité. L'année 2024 l'a bien démontré, avec le lancement de la loi européenne sur l'IA , une nouvelle loi sur la sécurité de l'Internet des objets au Royaume-Uni , des propositions de nouvelles règles de sécurité pour les centres de données britanniques , un système de certification européen en matière de cybersécurité, et bien d'autres choses encore. Les entreprises ont également constaté que la date limite de mise en conformité avec la norme PCI DSS 4.0 était passée en mars et s'activent actuellement pour préparer la norme NIS 2.

Nombreux sont ceux qui peinent à gérer la charge de travail. Selon une étude d'ISACA, les programmes de protection de la vie privée, en particulier, souffrent d'un manque de financement et de personnel. Les outils et processus obsolètes n'arrangent rien.

La conformité aux meilleures pratiques du secteur peut constituer une base solide pour la mise en œuvre de programmes de conformité réglementaire dans des domaines tels que la sécurité de l'information (ISO 27001) et l'IA (ISO 42001). Mais alors qu'ISMS.online constate que 59 % des organisations prévoient d'augmenter leurs dépenses dans de tels programmes au cours de l'année à venir, près de la moitié (46 %) déclarent qu'il faut 6 à 12 mois pour se conformer à la norme ISO 27001. 11 % affirment qu'il faut 12 mois. -18 mois. Avec le bon ensemble d’outils intuitifs et préconfigurés, cela ne devrait pas être aussi difficile.