Ciblé par des hackers : L’administration publique s’entraîne à se défendre contre les ennemis cybernétiques

Du matériel informatique ancien (routeurs, ordinateurs et même téléphones mobiles), même lorsque son logiciel est régulièrement mis à jour, est un appât facile pour les hackers, qui attaquent de plus en plus les entreprises, les institutions gouvernementales, les banques et les infrastructures dans le monde entier. Microsoft, par exemple, a noté une augmentation des rapports d’attaques ciblant des dispositifs de technologie opérationnelle (OT) exposés à Internet et mal sécurisés, utilisés pour la surveillance, la gestion du trafic, l’automatisation, l’industrie, l’énergie, etc., à la fin de 2023. À la fin de 2023, l’équipement OT dans les services d’eau américains a été la cible de multiples attaques de divers acteurs venant de l’extérieur du pays.

Le nombre d’attaques parrainées par l’État est également en hausse dans le monde entier, en particulier dans les pays en conflit, mais aussi en temps de paix en raison de l’espionnage ou simplement pour perturber les processus normaux dans l’économie et le secteur public, ainsi que l’extorsion qui cause des dommages financiers. Il y a eu une augmentation des cyberattaques en Croatie également, où, selon les données de la police, 1 688 de ces attaques sur des systèmes informatiques, des programmes et des données ont été signalées en 2023. Par rapport à 2022, le nombre de cyberattaques signalées l’année dernière était supérieur de 9,61 %, et les victimes ont subi un coût total de dix millions et demi d’euros, soit deux millions et demi de plus que l’année précédente.

Le nouveau est toujours mieux

Le nouveau type de crime en pleine croissance – la cybercriminalité – a été involontairement suscité par Internet et la numérisation. Une façon de se protéger contre cela est le renouvellement constant du matériel informatique et l’éducation des employés sur la cybersécurité et la protection contre les attaques de hacking. Par exemple, le secteur public croate fonctionne sur du matériel informatique qui a en moyenne entre trois et cinq ans, dont le logiciel est régulièrement mis à jour, et le matériel est continuellement renouvelé en fonction des capacités financières. Le matériel informatique utilisé par les employés d’APIS IT est renouvelé tous les quatre à cinq ans, selon les spécifications du fabricant. En plus des mises à jour logicielles régulières, des outils de sécurité avancés et un contrôle d’accès, un certain nombre d’autres mesures sont appliquées pour maintenir la résilience contre divers types de cyberattaques, telles que la sauvegarde et la récupération des données, des vérifications et des tests de sécurité réguliers, la formation des employés et la segmentation du réseau.

– En plus de ce qui précède, nous soulignons la surveillance active et la détection des menaces cybernétiques en temps réel à l’aide du système SIEM (Security Information and Event Management), qui collecte et analyse les événements de sécurité provenant de diverses sources informatiques internes. De plus, APIS IT investit continuellement dans l’application de normes de sécurité internationales (certifications) telles que ISO/IEC 27001, ISO 22301, ISO 20000, ISO 9001, ISO 14001 pour garantir une protection complète des données et des systèmes informatiques pour les utilisateurs internes et externes de nos services – déclarent-ils chez APIS IT.

Certificats de sécurité

Cette entreprise acquiert de nouveaux téléphones mobiles officiels tous les deux ans, et tous ses employés, en particulier ceux occupant des postes liés à la sécurité, mettent continuellement à jour leurs connaissances grâce à des formations sur les politiques et procédures de sécurité internes qui doivent être respectées au sein de l’entreprise (LMS interne) ou lors de séminaires et conférences externes.

– Nous encourageons l’acquisition de certificats de sécurité pertinents CISSP, CISM et CEH et promouvons les principes de programmation sécurisée, c’est-à-dire la mise en œuvre de mesures de sécurité dans le cycle de développement (DevSecOps). De plus, nous menons continuellement des campagnes d’information sur les différents types de logiciels malveillants et avertissons les employés sur la façon de reconnaître et de répondre au phishing et à toutes les autres formes d’ingénierie sociale. La participation à de grands exercices internationaux de cybersécurité tels que ‘NATO Cyber Coalition 2023’ ou ‘Cyber Europe 2024’ est particulièrement bénéfique pour nos experts en sécurité, où ils obtiennent des succès notables – notent-ils chez APIS IT.

Au ministère des Finances, les ordinateurs utilisés par les employés ont en moyenne trois ans, et ils mettent régulièrement à jour les systèmes d’exploitation pour des raisons de sécurité. Les employés sont formés en fonction des besoins des emplois qu’ils occupent, ainsi que du changement de téléphones mobiles officiels.

Tests de vulnérabilité réguliers

L’âge moyen du matériel informatique au ministère de l’Intérieur (MUP) est d’environ cinq ans. Il est renouvelé chaque année, en fonction des ressources financières, des besoins des départements individuels et en veillant à ce que le matériel le plus ancien soit renouvelé en premier.

– Pour augmenter la résilience de notre système d’information face à des menaces de plus en plus sophistiquées, nous menons continuellement des tests de vulnérabilité et des vérifications du fonctionnement du système d’information. Cela se fait par le biais de ressources internes au sein du secteur public, ainsi que par des contrats avec des entrepreneurs externes. Après avoir détecté certaines vulnérabilités, un processus d’élimination est effectué selon les recommandations reçues – déclarent-ils au MUP.

Le ministère acquiert des dispositifs mobiles sur la base d’un Accord-Cadre entre les opérateurs et le Bureau d’État central pour les marchés publics, et exceptionnellement par le biais d’appels d’offres publics, selon les besoins des services de police et des services de protection civile. En même temps, l’éducation des employés sur la cybersécurité est menée en promouvant la sensibilisation à la sécurité de l’information en sensibilisant les employés à l’importance de respecter les procédures opérationnelles de sécurité dans le système informatique et de reconnaître les menaces avec un signalement rapide aux unités organisationnelles concernées.

Éducation, tests, simulations

– L’éducation est principalement menée en interne par le biais de salles de classe électroniques ou de participation à des conférences et séminaires organisés par d’autres entités. Les employés du ministère de l’Intérieur participent continuellement à des exercices de cybersécurité qui contribuent fortement à renforcer la cybersécurité pour développer la capacité à répondre aux menaces et risques cybernétiques dans l’espace cybernétique national – déclarent-ils au MUP.

Le ministère est axé sur la prévention et la lutte contre la cybercriminalité tout en sensibilisant simultanément les citoyens aux dangers et risques d’Internet et aux moyens possibles de se protéger dans le monde virtuel. Sur son site Web et sa chaîne YouTube, le ministère publie des avertissements sur divers types de fraudes informatiques et des informations utiles sur la façon de se protéger dans le cadre de la campagne ‘Web Hero’ dans le cadre du projet ‘Renforcement de la capacité de la police à lutter contre la cybercriminalité’, que le MUP met en œuvre et finance dans le cadre du Plan national de relance et de résilience 2021 – 2026.

En Croatie, le service postal dispose d’ordinateurs portables et de bureau qui ont jusqu’à cinq et huit ans, respectivement, et chaque année, la partie la plus ancienne de l’équipement est remplacée par de nouveaux. Cette entreprise d’État change également ses téléphones mobiles officiels tous les deux ans.

– Le renforcement de la résilience aux attaques de hacking dans la Poste croate comprend des mesures techniques, organisationnelles et éducatives. Nous mettons régulièrement à jour les logiciels avec les derniers correctifs de sécurité et utilisons l’authentification multi-facteurs (MFA) pour garantir un niveau de sécurité supplémentaire lors de l’accès aux systèmes et applications. Nous éduquons également les employés sur les menaces à la sécurité, mettons en œuvre des règles et des procédures pour protéger les systèmes d’information, et effectuons des vérifications de sécurité régulières et des tests de pénétration pour identifier et éliminer les faiblesses potentielles en temps opportun – énumèrent-ils à la Poste croate. L’accent mis sur les affaires numériques place la cybersécurité en tête de la liste des priorités de la Poste croate, qui éduque régulièrement ses employés sur la façon de se protéger contre les cyberattaques potentielles et comment les reconnaître. Cela inclut l’éducation sur les e-mails de phishing, l’ingénierie sociale, les mots de passe sécurisés et l’utilisation appropriée du matériel informatique.

– Nous effectuons également des tests réguliers des employés pour reconnaître les e-mails de phishing et d’autres types de menaces cybernétiques. Les tests incluent des simulations d’attaques réelles où les employés reçoivent de faux e-mails de phishing, et leurs réactions sont surveillées. Les résultats des tests sont utilisés pour améliorer davantage l’éducation et accroître la sensibilisation aux menaces à la sécurité – déclarent-ils à la Poste croate.

Mises à jour et correctifs

Le renouvellement du matériel informatique à l’Agence de supervision des services financiers croates (Hanfa) est régulier et dépend de l’amortissement et du soutien du fabricant. Il en va de même pour les téléphones mobiles officiels, et tout l’équipement est acquis par le biais de marchés publics. De plus, Hanfa mène régulièrement des formations, des avertissements et d’autres activités pour sensibiliser et améliorer la capacité des employés à reconnaître et éviter les messages malveillants et les cyberattaques potentielles. Des formations pour les procédures de crise sont également menées.

– Nous modernisons les programmes et dispositifs informatiques par le biais de mises à jour régulières des logiciels et des systèmes d’exploitation, en utilisant des solutions antivirus et antimalware fiables, et en mettant en œuvre l’authentification multi-facteurs – déclarent-ils chez Hanfa. Pour prévenir les cyberattaques sur les institutions, les entreprises et les infrastructures, selon Leon Juranić, un expert en cybersécurité, il est nécessaire de mettre à jour fréquemment le logiciel de tout équipement technique avec les derniers correctifs de sécurité et versions.

Certaines blessures sont incurables

– De cette manière, la possibilité de compromettre l’équipement technique avec des vulnérabilités déjà connues est éliminée, et les mises à jour contiennent souvent des améliorations générales de la sécurité logicielle. Peu importe qu’il s’agisse d’un ordinateur, d’un serveur, d’un smartphone, d’un routeur ou d’un thermostat intelligent. L’équipement technique tel que les ordinateurs, les smartphones et similaires peut généralement être utilisé jusqu’à EOL (End Of Life), c’est-à-dire tant que le fabricant cesse complètement de soutenir la version respective de l’équipement, c’est-à-dire le logiciel qui l’accompagne. Bien que l’utilisation de la dernière version du logiciel sur les ordinateurs améliore la sécurité, il est important de noter qu’il existe des vulnérabilités dites zero-day, c’est-à-dire des vulnérabilités dont le fabricant de logiciels ou de matériel n’est pas au courant et ne peut pas corriger.

De telles vulnérabilités sont très prisées sur les marchés gris et noirs aujourd’hui, découvertes par des entreprises spécialisées ou des hackers individuels, et souvent vendues à des gouvernements, des services secrets, etc. Il n’y a pas de protection contre cela. Même le matériel et les logiciels les plus récents avec les derniers correctifs ne protégeront pas contre les vulnérabilités zero-day. Par exemple, pour les vulnérabilités zero-day, zero-click, c’est-à-dire des exploits qui ne nécessitent pas d’interaction de l’utilisateur avec le hacker, les prix peuvent atteindre plusieurs millions de dollars par vulnérabilité ou programme qui l’exploite – explique Juranić. À son avis, chaque employé d’une entreprise qui valorise sa sécurité devrait suivre au moins une formation de base sur les menaces cybernétiques pour être informé des bases de la cybersécurité et être familiarisé avec les techniques et méthodes les plus courantes des attaques de hackers.