30 juillet 2019
Comment un correctif logiciel gratuit Cela finira par coûter 700 millions de dollars ?
Quand vous ne l'installez pas.
La plus grande fuite de données de l'histoire nous rappelle brutalement l'importance de mettre en place une politique de gestion des correctifs .
Une dure leçon sur les mauvaises pratiques de correction
En septembre 2017, Equifax a révélé avoir subi une fuite de données ayant exposé les informations personnelles de 150 millions de personnes. Des informations de cartes de crédit, des numéros de sécurité sociale et d'autres données sensibles ont été dérobées. Selon un article récent de CNN , Equifax versera entre 300 et 400 millions de dollars pour indemniser les personnes concernées par des services de surveillance du crédit, et 275 millions de dollars d'amendes civiles.
Ce qui a sans doute le plus incrédule le public, c'est de savoir que la faille aurait pu être évitée . La vulnérabilité du réseau résidait dans un correctif critique d'une application web, divulgué par Apache deux mois auparavant. Equifax a reconnu avoir eu connaissance de ce correctif , mais ne l'avait pas installé.
Une politique de gestion des correctifs laxiste crée un risque énorme
Bien que la faille de sécurité chez Equifax soit la plus importante connue à ce jour, aucun secteur n'est à l'abri des cyberattaques. Les données personnelles ne sont pas les seules cibles. Les cybercriminels menacent les réseaux électriques , les données gouvernementales, les technologies de pointe , les équipements hospitaliers et les systèmes de contrôle, ce qui pourrait paralyser les transports. Parmi les autres attaques notoires, on peut citer :
Le ver SQL Slammer de 2003 (déjà ?) a infecté tous les serveurs SQL non patchés sur Internet ; 75 000 instances SQL en 10 minutes. Le correctif Microsoft est resté disponible pendant six mois.
• L’ attaque de ransomware WannaCry de 2017 a mis hors service 45 groupes hospitaliers du NHS à travers le pays, malgré deux mois d’avertissement du NHS et un correctif de Microsoft.
En 2018, le centre médical de l'Université de Washington (UW Medicine) a subi une violation de données concernant 973 024 dossiers suite à une faille de sécurité non corrigée sur son serveur web. Ces fichiers contenaient des informations de santé personnelles (ISP) de patients.
Aucun secteur n'est à l'abri des cyberattaques. Le risque le plus important réside dans les mauvaises pratiques de surveillance et de déploiement des correctifs. Si l'application des correctifs est strictement appliquée dans le secteur de l'énergie et des services publics , elle devrait constituer une priorité informatique dans tous les secteurs, compte tenu de l'importance des données personnelles et confidentielles en jeu.
La gestion des correctifs nécessite la bonne technologie
Les correctifs (logiciels et micrologiciels) peuvent provenir de sources multiples, notamment le fabricant, les plateformes de recherche de correctifs et les recherches manuelles sur le Web pour les systèmes existants. Le problème n'est pas que le service informatique ne sache pas comment trouver un correctif . Le défi (et l'opportunité) pour l'entreprise est de mettre en place une politique de gestion des correctifs utilisant un système de suivi centralisé pour tous les équipements réseau. Ainsi, le personnel concerné sera responsable de l'application des correctifs dans les délais impartis. De plus, les correctifs critiques pourront être déployés dès réception d'une notification.
Une bonne vigilance en matière de cybersécurité est un investissement. Les technologies de l'information (TI) et les technologies opérationnelles (TO) ne peuvent plus fonctionner en silos, car les réseaux et les systèmes d'information convergent. Le meilleur retour sur investissement est obtenu en utilisant plusieurs sources d'information sur les correctifs et en centralisant ces informations dans un processus de remédiation, avec une documentation irréfutable des interventions réalisées.
Une solution centralisée doit pouvoir s'intégrer à tous les systèmes de surveillance et de reporting de la cybersécurité afin de fournir une source unique d'information fiable pour toutes les actions liées aux correctifs. L'investissement dans un « centre de commandement » permet aux équipes d'exploitation et de sécurité informatique d'être chacune responsable de leur rôle dans la protection de l'infrastructure informatique . Lorsque les équipes IT et OT collaborent à l'aide d'un logiciel qui collecte les données et automatise les tâches manuelles liées à l'application des correctifs, on peut s'attendre à de meilleurs résultats.
Conclusion
Il est temps de ne plus considérer la gestion des correctifs comme un simple centre de coûts informatiques, mais plutôt comme un coût réel d'une violation de données et d'un accès compromis aux informations les plus précieuses de votre organisation. Avec l'essor des appareils intelligents et la complexification des logiciels, les vulnérabilités se multiplient, tout comme le nombre de correctifs. En résumé, une politique proactive de gestion des correctifs, pilotée par des règles automatisées, doit être un élément essentiel de toute stratégie de sécurité informatique en profondeur. Un système d'entreprise qui responsabilise les acteurs en matière de gestion des correctifs pour l'ensemble des actifs informatiques et opérationnels sera bien mieux protégé contre les cybercriminels.
