Pour une capacité de prédiction de risques potentiels et d’actions proactives de prévention

Nous entendons parler chaque jour d’actions de piratage de données qui affectent des organisations de toutes tailles, jusqu’aux plus importantes, et concernant au total sur l’année 2016 plusieurs milliards de données personnelles. Comme le volume de données personnelles et commerciales ne cesse de croître, et d’une manière quasi-exponentielle, les risques, tant légaux que financiers, représentés par ces piratages de données ne cessent eux-aussi d’augmenter de façon considérable.

Pour illustrer concrètement l’ampleur du problème, précisons qu’aux Etats-Unis seulement, un record de 1093 actes de piratage de données visant des entreprises a été enregistré en 2016, ce qui représente une augmentation de 40% par rapport à 2015 (source : rapport de l’ITRC (Identity Theft Resource Center) et de CyberScout).

Certes, il faut toujours prendre les statistiques avec précaution, et en l’occurrence, la présidente de l’ITRC, Eva Velasquez, souligne qu’il n’est pas facile de déterminer précisément la part de cette augmentation qui correspond strictement à un plus grand nombre d’attaques, en la distinguant de la part imputable au fait qu’un plus grand nombre d’états américains a rendu cette information disponible.

Quoiqu’il en soit précisément, il n’est guère douteux que l’augmentation constante du nombre de piratages soit une réalité. En ce qui concerne les secteurs les plus touchés en 2016, il faut mentionner celui des entreprises commerciales (494), suivi par l’industrie de la Santé (377), le secteur de l’Education (98), le secteur militaire et gouvernemental (72), et le secteur financier (52).
 
Les attaques de types hacking/skimming/phishing ont représenté 55,5% du total en 2016, une augmentation de 17,7% par rapport à 2015. La mise à disposition malencontreuse d’informations sensibles par email ou via des sites Web arrive au deuxième rang, avec 9,2%, suivie par l’erreur humaine de la part d’employés avec 8,7%. Par ailleurs, 52% de toutes les attaques recensées ont exposé des numéros de Sécurité Sociale, et 13,1% de ces attaques ont exposé des informations de cartes de crédit ou de débit.

En parallèle, l’organisme 10Fold a publié récemment la liste des 10 piratages les plus importants de 2016, et cette liste ajoute encore plus de poids à cette inquiétante réalité. Il s’agit de Yahoo, FriendFinder, Myspace, LinkedIn, VK Russia, Dailymotion, Tumblr, Dropbox, la Commission Electorale des Philippines, et la base de données nationale de la population Turque. Ces 10 piratages ont exposé au total plus de 2,8 milliards de données personnelles.
Selon Angela Griffo, vice-présidente de l’activité cyber sécurité 10Fold, « si 2015 fut, aux Etats-Unis, l’année du piratage du secteur de la Santé – impactant environ 40 millions d’individus – 2016 a été l’année du piratage des réseaux sociaux : 5 des 10 piratages les plus importants ont concerné des réseaux sociaux. 4 d’entre eux ont impacté plus de 640 millions de personnes. Mais le cinquième, Yahoo, a été impacté de manière encore plus considérable, puisque, de l’aveu même de Yahoo, des données personnelles de plus de 1,5 milliard de personnes ont été dérobées ».

Quelque soient les motifs initiaux des pirates, le vol de données personnelles expose potentiellement les personnes concernées à des usurpations d’identité et à la fraude.
Dans ce contexte, comment les entreprises peuvent-elles se protéger au mieux ? Deux grands types de solutions sont à considérer, et de manière conjointe.

• Le premier type de solutions est d’ordre procédural et organisationnel, et impulsé par des institutions et organismes comme la Communauté Européenne et la CNIL en France. Le nouveau règlement européen sur la protection des données personnelles (en anglais : GDPR, pour « General Data Protection Régulation ») est paru au journal officiel de l’Union Européenne le 4 mai 2016 et entrera en application en 2018. L’adoption de ce texte doit permettre à l'Europe de s'adapter aux nouvelles réalités du numérique. 

o Parmi les objectifs visés, figure celui de responsabiliser les acteurs traitant des données (responsables de traitement et sous-traitants), et de mettre en œuvre une série de mesures du type :
♣ formation et sensibilisation permanentes des collaborateurs
♣ test régulier des installations et des procédures existantes,
♣ réaction aux incidents, sur la base d’un plan de gestion de crise prédéfini,
♣ sécurisation du risque de défaillance des partenaires.

o Voilà des mesures évidemment très nécessaires, mais qui resteront largement insuffisantes, car très essentiellement réactives, si elles ne sont pas accompagnées de moyens internes puissants de détection et de prévention des attaques. Ce besoin est renforcé par l’énorme prolifération d’équipements connectés, offrant des niveaux de sécurité très disparates selon les fournisseurs. Jamais l’utilisation de l’expression « maillon faible de la chaîne » n’a été aussi appropriée : il suffit d’un équipement connecté infecté ou piraté pour créer des brèches potentiellement très dommageables pour l’entreprise concernée.

o Par ailleurs, toutes les enquêtes menées sur le sujet confirment que les solutions traditionnelles non-Big Data (c’est-à-dire en silos, partielles, n’utilisant que des échantillons et des agrégations) sont de plus en plus inopérantes pour contrer des attaques de plus en plus sophistiquées, et encore plus inadaptées lorsqu’il s’agit de prévention. L’accroissement de ces faiblesses est renforcé par l’interconnexion sans cesse croissante entre les réseaux et par la disparition également croissante des frontières entre réseaux du fait de la généralisation des connexions à distance, notamment via toutes sortes de réseaux mobiles plus ou moins sécurisés : ceci entraîne qu’il est de plus en plus difficile d’avoir une vision précise de l’activité sur les réseaux, et que les sources potentielles de faiblesses sur les réseaux exploitables par des individus mal intentionnés ne cesse de croître.

• En conséquence, un deuxième type de solutions s’avère très nécessaire en complément du premier : il s’agit d’un ensemble de solutions analytiques relevant du domaine du Big Data, permettant aux entreprises de :
o Mettre en place des solutions offrant des capacités en temps réel ou quasi-réel d’analyses non-limitées de tout le détail du trafic réseau (pas d’échantillonnages, ni d’agrégations), et de corrélation d’évènements de toutes natures,
o Réduire les temps de réponse aux évènements réseau suspects,
o Améliorer l’efficacité des contrôles et des audits,
o Analyser et évaluer les trafics réseau entrants et sortants, pour répondre en temps réel ou quasi-réel aux questions : quoi, qui, quand, comment?
o Mettre en place une capacité de prédiction de risques potentiels, et d’actions proactives de prévention.

• L’expérience montre que pour satisfaire l’ensemble de ces besoins, il faut mettre en œuvre un écosystème BI (Business Intelligence) intégrant de manière très étroite, en fonction des besoins, tout ou partie des composantes suivantes :
• Un Datawarehouse d’Entreprise Intégré,
• Une plateforme de « découverte » en temps quasi-réel de phénomènes cachés et de tendances insoupçonnées,
• Un ‘Lac de Données’ (‘Data Lake’ en anglais) pour stockage à bas coût d’énormes volumes de données, tant structurées que non-structurées, dont on sait que seule une toute petite partie présente une véritable valeur d’analyse (les « pépites ») mais que l’on veut pouvoir analyser dans son intégralité pour ne pas courir le risque de rater ces pépites, vu les enjeux considérables qu’elles représentent en matière de cyber-sécurité.
• Un moteur CEP (‘Complex Event Processing’) lorsqu’il est besoin de corréler en temps quasi-réel de grands volumes d’évènements individuels pour produire des ‘évènements complexes’ représentant des informations utiles.

En ce qui concerne la plateforme de « découverte », elle doit posséder des capacités éprouvées de ‘détection a priori’ de phénomènes potentiellement dangereux par l’application combinée d’algorithmes sophistiqués aux énormes volumes de données tant structurées que non-structurées qui traduisent les trafics des réseaux, et notamment des réseaux IP. Les phénomènes ainsi détectés doivent ensuite pouvoir être combinés pour enrichissement avec d’autres informations gérées au sein du Datawarehouse, ou directement exploitées pour action immédiate.

Vu l’impact économique très important et croissant des cyber-attaques, la question n’est plus vraiment de savoir s’il est opportun de se doter de telles solutions analytiques Big Data, mais de déterminer quels sont les délais les plus courts pour le faire.

Jacques Hoeusler est Consultant Principal chez Teradata International. 
Ingénieur Civil des Mines et diplômé de l’Université de la Sorbonne, il est spécialiste des questions Big Data, et possède une grande expertise des environnements IT dans l'industrie des télécommunications et réseaux. Après 14 ans dans le Conseil en Management, il a rejoint AT&T en 1995 puis Teradata en 2007.