Les infrastructures restent un vecteur d’attaque attrayant

Lori Mac VittieIngénieur émérite et évangéliste en chef | F5

Réservez-vous une place à votre RSSI à la table de la transformation numérique ? Vous devriez.

Plusieurs tendances contribuent à rendre l’infrastructure invisible. L’adoption généralisée de l’automatisation et de l’infrastructure en tant que code pour gérer le socle des applications a occulté l’importance de la multitude de technologies réseau et applicatives nécessaires à la mise à disposition et à la sécurisation des applications.

Les développeurs ne veulent pas s’encombrer des détails techniques de l’infrastructure, en particulier lorsqu’il s’agit du réseau. Le cloud computing cherche depuis longtemps à éviter d’avoir à gérer l’infrastructure, en proposant des API et des outils de configuration par glisser-déposer afin d’aider ceux qui sont peu à l’aise avec les réseaux et l’infrastructure à ne pas avoir à mettre les mains dans le cambouis. Kubernetes, créé par des développeurs pour des développeurs, relègue habilement le réseau et l’infrastructure au second plan en les dissimulant sous une couche de configuration et d’orchestration quasi magique.

Mais cela ne signifie pas pour autant que nous devions ignorer l’existence de l’infrastructure ni le fait qu’elle constitue une cible privilégiée pour les attaques.

Ainsi, trois des dix principales vulnérabilités suivies par IBM X-Force en 2020 concernaient les infrastructures.

Je vous laisse le temps de digérer ça.

Comme on pouvait s’y attendre, le reste du classement des dix principales vulnérabilités concernait les plateformes applicatives et les frameworks. Mais trois d’entre elles — dont la vulnérabilité la plus exploitée — ciblaient les infrastructures.

Tant que les infrastructures seront nécessaires — c’est-à-dire dans un avenir prévisible — il faudra les protéger. Dans la plupart des architectures, les infrastructures constituent le premier point de contact, notamment les pare-feu, les DNS et les répartiteurs de charge. Ces infrastructures critiques peuvent, lorsqu’elles sont attaquées, mettre hors service l’ensemble de la présence numérique d’une organisation. En effet, le rapport annuel de Cisco sur Internet indique : « Les pannes d’infrastructure restent également une menace, puisque plus de la moitié des opérateurs y sont confrontés. »

La relation entre l’infrastructure et l’entreprise reste tiède. Pour être juste, les dirigeants accordent presque autant d’importance à la protection de l’infrastructure qu’à celle de l’entreprise et des applications. Autrement dit, ils ne sont guère enthousiastes à l’idée de protéger… eh bien, quoi que ce soit.

Nous avons choisi ces catégories pour une raison bien précise : ensemble, elles forment la « pile » de l’entreprise numérique. L’entreprise numérique repose sur les applications, qui reposent elles-mêmes sur l’infrastructure. Ces trois éléments sont indissociables dans le monde actuel, où le numérique est la norme. Pourtant, ils sont manifestement considérés comme des éléments distincts, qu’il convient ou non de protéger selon l’importance que nous leur accordons en fonction de notre rôle au sein de l’organisation.

Le décalage manifeste dans l’importance accordée à la protection des principales cibles d’attaque indique que la plupart des organisations doivent encore gagner en maturité dans leur parcours de transformation numérique. Les équipes métier et informatiques doivent collaborer sur un pied d’égalité afin d’assurer efficacement le fonctionnement et la protection de l’activité numérique. Cela signifie que l’informatique doit considérer la protection de l’entreprise comme aussi importante que celle de l’infrastructure — et inversement.

Si la transformation numérique a indéniablement été accélérée par la COVID-19 et la course au « tout numérique », il faudra du temps pour que les pratiques et les perceptions gagnent en maturité. Aujourd’hui, PWC indique qu’à la suite de la COVID-19, plus de la moitié des entreprises sont « désormais plus susceptibles de prendre en compte la cybersécurité dans chaque décision commerciale, contre 25 % dans notre enquête de l’année dernière ».

C’est un bon début.

Pour les organisations qui n’ont pas encore adopté cette pratique, l’une des pistes consiste à examiner qui participe aux discussions sur la transformation numérique. Si l’on évoque souvent la nécessité pour le DSI d’y occuper une place attitrée, on souligne moins fréquemment combien il est essentiel d’y convier également le RSSI.

Le rôle du RSSI a évolué au fil du temps, parfois de manière brutale. Il reste fondamentalement axé sur la sécurité. À mesure que les entreprises ont adopté le numérique par défaut, ce rôle a pris une dimension plus stratégique, consistant autant à garantir la sécurité des opérations qu’à assurer leur rapidité. Les RSSI doivent donc être associés à la transformation numérique dès le départ, afin de mettre en place les politiques et les garde-fous nécessaires pour permettre à l’organisation de protéger les données de ses clients et de l’entreprise, tout en accélérant ses activités numériques.

Si votre RSSI ne participe pas encore aux discussions sur la transformation numérique, il est essentiel de l’y associer. L’infrastructure reste un élément essentiel de l’activité numérique et une cible privilégiée pour les attaques — et sa protection relève toujours de la responsabilité du RSSI.

À propos de l’auteur

Lori Mac VittieIngénieur émérite et évangéliste en chef | F5

Lori MacVittie est ingénieure émérite et évangéliste en chef au sein du bureau du directeur technique de F5. Elle possède une expertise approfondie dans la fourniture d’applications, les stratégies d’automatisation et les infrastructures. Elle est réputée pour sa capacité à rendre la complexité intelligible, qu’elle définisse des garde-fous pour les agents d’IA, analyse des architectures multicloud fragiles ou explore les limites des systèmes évolutifs. Elle cumule plus de trente ans d’expérience dans le secteur, couvrant le développement d’applications, l’architecture informatique ainsi que l’exploitation des réseaux et des systèmes. Avant de rejoindre F5, elle a été rédactrice spécialisée dans les technologies et a reçu plusieurs distinctions. MacVittie est titulaire d’un master en informatique et est une autrice prolifique dont les publications couvrent la sécurité, le cloud et l’architecture d’entreprise. Elle est également une passionnée de jeux de société et de jeux vidéo, et assume pleinement ses avis bien tranchés sur le fromage.

Autres articles de Lori Mac Vittie