Le coût mondial de la cybercriminalité est en hausse et a atteint un montant estimé à 5 500 milliards d’euros en 2021. À elles seules, les attaques par ransomware touchent des organisations quelque part dans le monde toutes les 11 secondes.
Les défis les plus pressants de 2023 en matière de cybersécurité
Par
Publié le 21 décembre 2022 à 6h03
5500 MILLIARDS $Le coût mondial de la cybercriminalité a atteint un montant estimé à 5 500 milliards d'euros en 2021.
Notre utilisation et notre dépendance à la technologie augmentent chaque jour, et avec elle les possibilités pour les criminels de profiter des vulnérabilités émergentes. Malgré une sensibilisation accrue et des dépenses croissantes des organisations pour se protéger et renforcer leur résilience en cas d'attaque réussie, les cybermenaces spécifiques continueront d'augmenter en 2023. Il faudra atténuer les cyber risques en gérant les menaces directes, mais il faudra disposer de ressources suffisantes pour naviguer dans un environnement réglementaire et opérationnel de plus en plus compliqué au cours de l'année à venir.
La plus grande menace : les dommages collatéraux de cybersécurité causés par des acteurs de la menace parrainés par des États
La cybercriminalité parrainée par des États est désormais l'une des formes les plus importantes d'activité cybercriminelle, et elle continuera à augmenter en 2023. Les États-nations profitent de notre dépendance accrue à la technologie pour utiliser la cybercriminalité à des fins d'espionnage, de sabotage ou pour semer la désinformation. Pendant ce temps, certains ferment les yeux sur les groupes cybercriminels à l'intérieur de leurs frontières qui ciblent le secteur privé, tant que ces cibles se trouvent dans d'autres pays.
En 2021, seul un quart des cyberattaques signalées en Europe étaient dirigées contre des administrations publiques, tandis que plus de la moitié visaient des entreprises du secteur privé dans une grande variété de secteurs. Les raisons pour lesquelles les cibles sont choisies ne sont pas toujours claires. Par exemple, en octobre dernier, quatorze aéroports américains ont subi une cyberattaque par déni de service (DoS) qui a perturbé les sites web proposant des informations sur les vols. Des hackers russophones se sont attribués le mérite de cette attaque, mais les raisons de leurs actions restent floues.
Les entreprises privées devront surveiller de près les dommages collatéraux potentiels causés dans certains cas par des acteurs de la menace parrainés par l'État dont les motivations ne sont pas toujours évidentes.
Les chaînes d'approvisionnement mondiales attaquées
La mondialisation a considérablement accru la circulation des marchandises dans le monde, mais l'interdépendance croissante des approvisionnements et des processus de fabrication signifie également que les chaînes d'approvisionnement s'étendent sur de plus grandes distances et sont devenues particulièrement vulnérables aux perturbations. Déjà fragilisé par les goulets d'étranglement des pandémies, le secteur manufacturier est devenu une cible attrayante pour les pirates informatiques. En 2021, le nombre d'intrusions dans les chaînes d'approvisionnement a augmenté de 16 % par rapport à l'année précédente.
Les fabricants et les prestataires de services adoptent souvent de nouvelles technologies numériques afin d'améliorer rapidement leur productivité, mais ils le font parfois sans accorder suffisamment d'attention aux questions de sécurité. L'introduction de la robotique et de l'internet des objets a fourni aux pirates de nouvelles voies à explorer et à exploiter. Un exemple récent est la suspension par Toyota de sa chaîne de production japonaise en février dernier en raison d'une cyberattaque dirigée non pas contre Toyota elle-même, mais contre l'un de ses fournisseurs. L'entreprise a dû retarder la production de 13 000 véhicules en conséquence.
L'essor continu des ransomwares
Les cybercriminels monétisent leurs activités via les ransomwares, et cette tactique, qui bloque l'accès aux systèmes ou aux données jusqu'au paiement d'une rançon, est utilisée sur un éventail toujours plus large d'organisations et d'entreprises de toutes tailles. En 2021, on a enregistré un nombre record de 623 millions d'attaques par ransomware ; bien plus que les années précédentes. L'adoption plus large des outils numériques et du travail à distance pendant la pandémie contribue à expliquer cette hausse. De plus en plus, les criminels ont recours à des escroqueries par hameçonnage sophistiquées et l'omniprésence de la communication numérique signifie que les pirates ont davantage de fenêtres d'opportunité à exploiter.
Les initiés malveillants deviennent une menace plus importante
Les sociétés financières sont des cibles de choix pour les cybercriminels et des cibles fréquentes de cyberattaques. Les criminels à motivation financière tentent d'infiltrer les systèmes en utilisant des tactiques telles que l'accès aux serveurs, les mauvaises configurations, la fraude, et monétisent souvent leurs activités par des ransomwares.
Près d'un tiers des violations réussies dans le secteur proviennent d'acteurs internes, dans certains cas des employés ne sachant pas qu'ils mettent leur entreprise en danger. Une formation adéquate de sensibilisation à la cybersécurité est essentielle pour éviter les incidents.
En revanche, les initiés qui aident sciemment les cybercriminels peuvent être difficiles à identifier. Pour atténuer la menace que représentent les initiés malveillants, les systèmes de cybersécurité doivent prendre en compte davantage d'informations et être capables de détecter les activités inhabituelles ou erratiques des utilisateurs. Des processus et des contrôles doivent être établis pour l'octroi de l'accès aux données sensibles et suivis de près à tout moment. L'analyse du comportement des utilisateurs et des entités (UEBA) peut s'avérer essentielle pour évaluer correctement les nouvelles recrues et surveiller les pratiques inhabituelles sur le lieu de travail.
L'évolution de l'environnement réglementaire
Les décideurs et les régulateurs du monde entier s'alarment de la menace que représentent les cybercrimes pour les infrastructures critiques et les entreprises, sans parler des risques pour les particuliers. De nouvelles législations visant à améliorer la résilience et à tenter d'endiguer la vague croissante de cyberincidents commencent à apparaître, ce qui nécessitera une plus grande attention à un paysage réglementaire en pleine évolution pour la cybersécurité.
Pressés d'agir par des cybercrimes très médiatisés impliquant des entreprises et des infrastructures, comme le piratage de Colonial Pipeline en 2021, les États-Unis ont adopté en mars dernier la loi Strengthening American Cybersecurity Act of 2022. Cette nouvelle législation oblige les entreprises à informer l'Agence de cybersécurité et de sécurité des infrastructures dans les 72 heures suivant la découverte d'une violation de la cybersécurité et dans les 24 heures suivant le paiement d'une rançon aux pirates informatiques. La loi vise les entreprises qui fournissent des infrastructures critiques, mais les détails concernant les entreprises auxquelles la loi s'appliquera et la manière dont elle sera appliquée n'ont pas encore été entièrement définis.
La nouvelle loi sur la résilience opérationnelle numérique (DORA) a été adoptée par le Parlement européen en novembre dernier et introduit un cadre complet pour la résilience opérationnelle numérique du secteur financier. Presque toutes les institutions financières réglementées entrent dans le champ d'application de la loi DORA et devront mettre en œuvre des mesures de protection suffisantes pour se prémunir contre les risques cybernétiques et autres risques liés aux TIC.
À mesure que les implications de ces nouvelles lois se précisent et que d'autres pays suivent avec leurs propres exigences, répondre aux exigences réglementaires croissantes spécifiques à la cybersécurité dans tous les pays et régions où les entreprises opèrent sera un défi croissant pour les responsables de la cybersécurité en 2023.
Un défi permanent : attirer et retenir les compétences en matière de cybersécurité
Malheureusement, l'utilisation accrue de la technologie et l'augmentation de la cybercriminalité n'ont pas entraîné une augmentation du nombre de professionnels qualifiés en cybersécurité disponibles pour résoudre les problèmes. Attirer et retenir les bons talents a été un défi pour les entreprises et le sera encore à l'avenir.
Il est essentiel de recruter des professionnels possédant les compétences requises, mais il est tout aussi important de retenir les talents une fois qu'ils sont à bord. De nombreux professionnels de la cybersécurité veulent travailler dans des organisations où leur avis sera pris au sérieux par la direction, où une gouvernance et une automatisation de la cybersécurité bien définies sont en place et où la formation et l'investissement dans la cybersécurité dans l'ensemble de l'organisation sont une priorité essentielle. Nombreux sont ceux qui veulent être mis au défi de concevoir de nouvelles solutions à des problèmes importants et de s'identifier à l'objectif principal de l'entreprise pour laquelle ils travaillent. Les organisations doivent s'attacher non seulement à répondre à leurs besoins spécifiques, mais aussi à satisfaire les attentes en matière de développement de carrière et de finalité des talents en cybersécurité dont elles dépendent.
Pour surmonter les menaces qui pèsent sur la cybersécurité, il faudra plus que de l'endurance pour affronter les batailles quotidiennes. Il est essentiel d'avoir une vision d'ensemble afin de suivre un environnement en constante évolution et de cultiver les ressources adéquates pour aider à la lutte.