Sécurité systèmes d’information : Thales espère un sursaut post-Prism

Thales surfe sur l’actualité en proposant un atelier opportunément intitulé « La cybersécurité sous quel PRISM ? » dans le cadre des Assises de la sécurité à Monaco.

Au-delà de la « naïveté » et de la « paranoïa », Stanislas de Maupeou souhaite que ce cyberespionnage à grande échelle perpétrée par les agences américaines de renseignement fasse bouger les lignes de la sécurité IT « pour reprendre le contrôle » et « retrouver la confiance » en entreprise.

« Prism est un révélateur de notre incapacité à gérer nos données », commente le Chef de projet Cybersécurité chez le fournisseur de produits et solutions de sécurité cryptographiques pour divers secteurs sensibles (infrastructures critiques pour les gouvernements et les armées, grandes entreprises, industrie financière…).

« Ce n’est que la conséquence de la domination technique et technologique des Etats-Unis et des géants comme Google et Microsoft que l’on peut présenter comme des cyber-Etats. »

Alors faut-il « faire l’autruche » ou « accepter de regarder les choses avec une certaine honnêteté » ?

Stanislas de Maupeou espère que Prism donnera le signal de la « reconquête de la confiance et de la maîtrise de nos données et des systèmes d’information ».

« Ce n’est pas infranchissable », estime le haut responsable cyber-sécurité de Thales. « Il existe des solutions de sécurité disponibles et maîtrisées. Mais il faut prendre conscience que la sécurité a un coût. »

Le tableau dressé est plutôt sombre de la sécurité des système en entreprise.

Il s’appuie sur un retour d’expérience d’investigation numérique auprès de grands comptes menée depuis trois ans.

« Il est illusoire de faire de la sécurité sur un système que l’on ne maîtrise pas », estime Stanislas de Maupeou.

La liste des lacunes flagrantes est longue et parfois cela se cumule : problème de segmentation d’architectures de systèmes,  cartographie incomplète, postes de travail insuffisamment protégés, navigateurs pas mis à jour (IE 6 en entreprise, cela se trouve encore), intrusion dans les profondeurs du système en ciblant l’Active Directory ou l’annuaire en entreprise…

Pour le « nettoyage » et la « reconstruction », Stanislas de Maupeou définit plusieurs axes prioritaires d’actions.

A commencer par un ordonnancement des actions (Diagnostic et surveillance => cartographie => Plan de transformation =>architecture cible =>exécution).

Des briques jugées essentielles doivent être remise dans le schéma global pour repartir sur de bonnes bases comme le renforcement des contrôles de proxy Internet (filtrage), la mise en place d’un réseau dédié à l’administration et le renforcement de la sécurité (mise à jour des applications).

Au-delà des systèmes d’information traditionnels en entreprise, Thales s’intéresse également aux systèmes de contrôle-commande (SCADA).

Un thème fort de cette édition 2013 des Assises de la sécurité avec l’ANSSI qui a donné le ton.

Le groupe a annoncé à cette occasion un accord de coopération pour la cybersécurité sur ce type de système avec Schneider Electric (spécialiste de la gestion de l’énergie).