Faille de sécurité informatique : définition, erreurs courantes et solutions
Parmi les hantises de toute entreprise : la faille de sécurité. Et l’origine de la plupart des failles : une négligence humaine. Dans la quasi-totalité des attaques, les cybercriminels ciblent les salariés des entreprises. D’où viennent les failles ? Comment les combler ? Que faire pour les éviter ? Comment renforcer tout le système et sécuriser les accès Intranet et web ? Comment stocker ses données de façon vraiment sécurisée ? Autant de bonnes questions de cybersécurité à se poser pour éviter la faille… et la faillite de votre système informatique.
Qu’est-ce qu’une vulnérabilité en informatique ?
L’expression faille de sécurité désigne une faiblesse ou ensemble de faiblesses dans le système : une vulnérabilité informatique qui va permettre à un attaquant de s’introduire (dans la faille) pour atteindre son objectif : souvent des informations capitales pour votre activité. La faille constitue la porte d’entrée du cybercriminel.
La faille de sécurité porte atteinte au fonctionnement du système informatique mais avant tout à la sécurité des données de l’entreprise et peut avoir de lourdes répercussions financières et juridiques. D’où la nécessité d’un système de protection, sinon infaillible, au moins très performant.
On distingue quatre grands types de menaces :
- Déstabilisation
- Espionnage
- Sabotage
- Cybercriminalité
D’où viennent les failles de sécurité ?
Les points de départ de la plupart des failles de sécurité :
- La gestion des accès ;
- La messagerie d’entreprise ;
- Le télétravail et l’utilisation de matériel personnel (BYOD) ;
- Les logiciels obsolètes ;
- L’hébergement des données ;
- Le manque d’administration
La gestion des accès
Dans bien des PME et ETI, les identifiants et mots de passe utilisateurs ne sont pas assez rigoureusement gérés. Les erreurs les plus courantes :
- des mots de passe trop simples ;
- des mots de passe partagés ;
- une absence d’authentification « forte » comme la double authentification ;
- une rotation de mot de passe inexistante ou pas assez fréquente ;
- des utilisateurs trop peu au fait des bonnes pratiques.
Il arrive même que certains salariés ayant quitté l’entreprise aient encore accès au système : une aberration liée à une absence de gestion de l’annuaire.
La messagerie d’entreprise
LA grande porte pour la cybercriminalité. Les attaquants envoient des emails frauduleux aux liens ou pièces jointes infectés. S’installent alors malwares en tous genres selon les droits donnés à l’utilisateur… La messagerie de l’entreprise doit donc être soigneusement protégée, les droits réduits au strict nécessaire et les collaborateurs fortement sensibilisés.
Les logiciels obsolètes et l’irrégularité des mises à jour
La mise à jour d’un logiciel corrige les obsolescences et failles des programmes. Les logiciels trop anciens ne sont, par définition, plus à jour, peuvent présenter des vulnérabilités et compromettre la sécurité de toute l’infrastructure informatique. Effectuer les mises à jour de chaque logiciel en temps voulu limite le risque d’intrusion.
Le télétravail et le BYOD
Le BYOD (Bring Your Own Device) et l’utilisation d’une messagerie personnelle dans le cadre professionnel ou la consultation de fichiers depuis un ordinateur personnel peuvent être la source de failles informatiques si les appareils personnels des salariés ne sont pas alignés sur le même niveau de sécurité que les postes de l’entreprise. Télétravail et BYOD doivent donc être très bien encadrés. Un contrôle régulier de la sécurité des accès utilisateur est nécessaire.
L’hébergement des données
L’hébergement constitue lui aussi un enjeu de sécurité majeur. Un système obscur, approximatif ou mal maîtrisé peut devenir le point d’entrée pour la cybercriminalité. Vos données sont-elles en sécurité là où elles sont hébergées ? Comment se passent les sauvegardes ? Que faire en cas d’attaque ? Comment restaurer les données suite à un sinistre ? Autant de questions d’infogérance informatique à se poser. Chaque zone de flou correspondant potentiellement à une faiblesse du système. Le cloud n’est pas infaillible et nécessite surveillance et maintenance.
Outre les cyber-attaques, les données peuvent aussi être menacées par un accident. On se souviendra notamment de l’incendie du Data center d’OVH Cloud, qui a posé quelques problèmes…
Le manque d'administration
Le manque d’outils de supervision est un problème en soi. Comment surveiller le système et trouver rapidement la source des problèmes sans historique, données analytiques comparatives, ni expert compétent pour gérer les serveurs ?
Le top 10 OWASP
Le Top 10 de l’OWASP (Open Web Application Security Project) liste les préoccupations en matière de sécurité relatives aux applications web, en se concentrant sur les dix risques les plus critiques. Rédigé par des experts en sécurité informatique du monde entier, ce document de sensibilisation peut être intégré dans le processus de prévention des risques de toute entreprise. Voici 10 risques récurrents sur les listes.
Broken Access Control (Contrôle d’accès défaillant) : Les restrictions sur ce que les utilisateurs authentifiés sont autorisés à faire ne sont pas correctement appliquées. Les attaquants peuvent accéder à des données non autorisées.
Cryptographic Failures (défaillances cryptographiques) : Auparavant désignée par l’expression “exposition de données sensibles”, ce signalement désigne une défaillance liée à la cryptographie.
Injection : L’injection SQL ou SQLi est une technique permettant à un attaquant d’injecter des instructions malveillantes en code SQL, Structured Query Language, sur une application web pour manipuler ou détruire les données.
Insecure Design (conception non sécurisée) : Les « conceptions non sécurisées » révèlent un manque d’implémentation de la sécurité dans une application au moment de son développement.
Security Misconfiguration (mauvaise configuration de la sécurité) : Une mauvaise configuration de la sécurité d’une application, tout simplement.
Vulnerable and Outdated Components (composants vulnérables et obsolètes) : Des composants obsolètes ont été identifiés et désignés comme vulnérables aux attaques.
Identification and Authentication Failures (défauts d’identification et d’authentification) : Ils surviennent lorsque l’application ne parvient pas à mettre en œuvre correctement les fonctions associées à l’identité de l’utilisateur, à son authenticité et à la gestion des sessions.
Software and Data Integrity Failures (défauts d’intégrité des logiciels et des données) : Les défaillances de l’intégrité des logiciels et des données désignent un code et une infrastructure mal protégés : une application s’appuyant sur des sources non fiables par exemple.
Security logging and monitoring (journalisation et surveillance de la sécurité) : Derrière cette faille, des traces d’activités non autorisées révélées par la surveillance et l’examen des journaux d’audit électronique.
Server-Side Request Forgery (falsification de requêtes côté serveur) : La falsification des requêtes côté serveur (SSRF) est une vulnérabilité de la sécurité web qui permet à un attaquant d’inciter l’application côté serveur à envoyer des requêtes à un endroit risqué. Dans une attaque SSRF, l’attaquant peut forcer le serveur à se connecter à des systèmes externes, entraînant un risque de fuite de données sensibles.
Comment prévenir les failles informatiques ?
Pour prévenir la faille de sécurité, trois étapes dans tous les cas :
- Procéder à un audit informatique
- Détecter les éventuelles failles
- Sensibiliser les collaborateurs de l’entreprise aux risques.
Pourquoi faire un audit informatique ?
La première mesure de prévention consiste à faire effectuer un audit de sécurité du système global par un expert en informatique externe, pour plus d’objectivité.
Ce spécialiste de l’infogérance détectera les éventuelles failles et les solutions à installer pour y remédier ou les anticiper. Il recommandera également les mesures de maintenance informatique à mettre en place en fonction de vos activités et de votre budget.
Comment détecter les failles de sécurité ?
En simulant une attaque. L’expert en informatique doit réaliser des tests d’intrusion, ou pentest, pour évaluer l’état des mesures de protection. Ce hacking bienveillant permettra de s’assurer de la solidité du système de protection, et de le consolider si nécessaire.
Sensibiliser les collaborateurs aux bonnes pratiques de sécurité informatique
Utilisation des identifiants de connexion, mots de passe, matériel informatique personnel, téléchargements et installation de logiciels : les salariés de l’entreprise doivent être formés régulièrement (un minimum) aux risques et bonnes pratiques informatiques.
Quelles priorités en matière de sécurité informatique pour 2023 ?
Ces quatre grandes priorités seront communes à toutes les entreprises quelle que soit leur activité.
Protéger les endpoints pour éviter la violation de données
La solution la plus efficace est une approche à plusieurs volets comprenant la protection des endpoints (tout type de terminal susceptible de se connecter au réseau de l’entreprise depuis l’extérieur de son pare-feu, soit ordinateurs portables, de bureaux, mobiles) contre les activités cyber-criminelles, notamment par une solution EDR (Endpoint Detection and Response), incluant :
- une surveillance en temps réel ;
- la collecte des données de sécurité de chaque terminal ;
- une réponse automatisées aux attaques, sous forme de correctifs automatiques des vulnérabilités.
Prévenir les menaces avancées par e-mails
Toute entreprise peut être la cible d’une cyberattaque. Il suffit qu’un employé clique sur une pièce jointe ou un lien malveillant. La protection contre les menaces avancées par e-mails, telles que les attaques de phishing (hameçonnage) et les attaques BEC (Business Email Compromise), constitue également une priorité.
Assurer la protection contre malwares
Dans la (trop) grande famille des malwares (malicious software, logiciels malveillants), on retrouve souvent :
- les adwares (logiciels publicitaires), cachant parfois des attaques de malvertising ;
- les spywares (logiciels espions), parmi lesquels les keyloggers, enregistreurs de frappe (de mots de passe par exemple) ;
- les ramsomwares (rançons logiciels) ;
- les chevaux de Troie : qui s’introduisent dans le système et ouvrent la porte à d’autres logiciels malveillants ;
- les virus en tous genres : à l’image du virus en santé, le virus s’attache à un fichier et se propage à son ouverture. Il est capable de s’auto-répliquer en propageant son code vers d’autres programmes. Il peut attaquer un ordinateur de plusieurs façons : par un lien porteur du virus, une page infecté, une attaque de phishing.
Si les malwares endommagent rarement les systèmes, ils peuvent voler, crypter, supprimer des données clés pour une entreprise. Pour éviter les failles et leur intrusion, il faut en quelque sorte renforcer le système immunitaire du SI.
Verrouiller la sécurité des applications Cloud de collaboration
Le partage représente autant de potentielles portes d’entrée aux menaces qu’il y a d’utilisateurs. Verrouiller le cloud, l’intranet et ses accès s’impose.
Pour lutter contre la faille de sécurité : une vigilance de tous les instants
Les pirates informatiques rivalisent de créativité et le risque zéro, malheureusement, n’existe pas. Une faille Linux vieille de 10 ans avait par exemple été détectée en 2021 par Microsoft…
Pour 2023, près de 1900 vulnérabilités et expositions communes (Common Vulnerabilities and Exposures, ou CVE) critiques seraient à anticiper chaque mois, soit 13 % de plus qu’en 2022. La seule protection contre les failles informatiques consiste à instaurer un système de défense complet en profondeur.
À l’image de notre santé, celle du système informatique doit être entretenue et protégée des agressions ; restaurée si nécessaire et renforcée là où elle présente des fragilités ou carences.
L’antidote à la faille de sécurité reste une infogérance professionnelle, rigoureuse et adaptée. Elle seule permettra de renforcer jour après jour votre système informatique. Elle devra aller de pair avec une formation adéquate des salariés de l’entreprise.
