Parce que… c’est l’épisode 0x005!

Shameless plug

Description

Cette description a été faite à l’aide de GLM 5.3 Flash, à partir de la transcription qui a été effectuée par ElevenLabs Scribev2. Aucune vérification humaine n’a été faite. Si vous découvrez des erreurs ou des inexactitudes, vous pouvez m’en faire part afin que je procède aux modifications appropriées.

Une actualité chargée pour le secteur

L’épisode débute avec l’annonce du Sécur, prévu les 15 et 16 avril 2021, dont une possible surprise sera dévoilée sous peu. L’actualité est ensuite particulièrement sombre. Beneva a subi un incident de sécurité majeur qui l’a maintenue hors fonction pendant près d’une semaine. Au moment de l’enregistrement, Promutuel subit elle aussi une attaque déstabilisante. Damien souligne d’ailleurs une augmentation des attaques dirigées vers le Canada, Vincent ajoutant que l’aéroport de Vancouver a aussi été touché. Face à cette recrudescence, la vigilance doit être rehaussée, car les appels frauduleux et les courriels inattendus qui paraissent parfois très légitimes se multiplient. Vincent invite à appliquer la philosophie du Zero Trust, c’est-à-dire n’accorder sa confiance à quiconque, surtout quand une communication n’était pas attendue.

La leçon de SolarWinds

À l’échelle mondiale, l’attaque contre SolarWinds retient l’attention. Un acteur étatique a réussi à injecter des versions malicieuses du logiciel dans le système de mise à jour de la compagnie. La situation crée une dichotomie troublante, car les experts recommandent justement de maintenir les logiciels à jour, mais cette bonne pratique est devenue le vecteur d’infection. FireEye, de même que des agences américaines importantes comme le DHS, auraient été touchées. On n’est plus face à un amateur isolé dans son sous-sol, mais à des acteurs brillants, capables et déterminés. Vincent rappelle aussi l’époque du serveur Windows Update placé en zone démilitarisée, qui pouvait être détourné vers un faux serveur distribuant des patches infectés. Les professionnels devront devenir plus vigilants, tester les mises à jour en sandbox et appliquer une posture de Zero Trust même envers les sources autoritaires.

Un regard respectueux sur la gestion d’incidents

Nicolas, qui a souvent agi comme gestionnaire d’incidents, exprime beaucoup de respect pour les équipes qui vivent ces moments difficiles. Cette gestion demeure complexe, notamment à cause de la circulation parfois déficiente de l’information. Il déplore la tendance de certains pairs à dénoncer rapidement les entreprises touchées sans évaluer la qualité réelle de leur sécurité. Selon lui, quand la maison est en feu, on l’éteint, on n’appelle pas les journalistes. Les entreprises mobilisent leurs ressources pour régler le problème au plus vite, comme le souhaitent leurs clients. Nicolas compare d’ailleurs les post-mortem d’incidents à des audits internes, des exercices souffrants, et Vincent, auditeur interne de carrière, ne peut qu’abonder. Concernant Beneva, les dernières nouvelles indiquent qu’aucune donnée n’aurait été compromise et que l’attaque aurait été contenue, une bonne nouvelle.

La confiance aveugle envers les logiciels

La discussion s’élargit ensuite à la confiance accordée aux tiers. Installer un logiciel, même sur un ordinateur personnel, revient à faire confiance aveuglément à un fournisseur inconnu. En entreprise, la multiplication des produits et des appliances provenant de fournisseurs variés impose une lourdeur administrative considérable aux équipes de sécurité opérationnelle, qui devront surveiller chacune de ces sources avec vigilance.

La vie privée au cœur des préoccupations

Les animateurs abordent les changements d’Apple avec iOS 14, qui rendra opt-in toute consommation d’informations permettant d’identifier l’utilisateur. Vincent rappelle que la loi sur la protection des renseignements personnels exige de ne recueillir que l’information nécessaire à l’objet du dossier, un principe souvent bafoué. Il ne mâche pas ses mots envers Facebook, qui a utilisé la caméra et la géolocalisation des utilisateurs à leur insu, a payé des amendes, puis ose maintenant se plaindre publiquement des nouvelles règles d’Apple. Nicolas ajoute que le modèle d’affaires de Facebook repose sur la revente d’informations et que les lois canadiennes, sans mordant, n’ont jamais réussi à encadrer ces pratiques. Vincent raconte aussi avoir demandé ses données personnelles à Facebook, Google et Apple. Il a constaté avec stupeur que la géolocalisation n’apparaissait pas dans le dossier, alors que les messages Messenger et les historiques de visites de profils y figuraient. Cette absence jette un doute sur la transparence réelle de l’entreprise, d’autant que l’exercice coïncide avec l’arrivée du RGPD. Damien avait d’ailleurs soulevé des réserves sur les effets réels de ce règlement européen.

Le faux argument du rien à cacher

Nicolas démonte facilement l’adage selon lequel on n’a rien à cacher en demandant à ceux qui le prononcent leur numéro de carte de crédit. Vincent préfère parler d’éléments qu’on ne désire pas divulguer, simplement pour conserver le contrôle et le privilège de garder certaines informations pour soi. Nicolas renchérit que ces informations enlèvent l’autonomie et que des réflexions éphémères deviennent permanentes une fois diffusées.

Les fournisseurs ne vendent pas la sécurité

Les deux conviennent que les compagnies de sécurité vendent un produit ou un service, pas la sécurité elle-même. Elles restent des entreprises faillibles et FireEye ne mérite pas la stigmatisation médiatique. Vincent précise que l’acheteur doit faire sa due diligence, établir ses critères, comprendre les démonstrations et négocier des contrats clairs sur les responsabilités de chaque partie. Nicolas ajoute que la sécurité ne vit pas en vase clos et doit être guidée par les affaires, qui connaissent la valeur réelle des actifs à protéger.

Une industrie criminelle bien organisée

Les animateurs concluent que le jeu a changé. La cybercriminalité est devenue une branche du crime organisé, motivée par l’argent, qui dérobe des centaines de milliards par année. Vincent annonce un futur épisode statistique pour démontrer l’ampleur du phénomène. Les PME, notamment manufacturières, sont des cibles faciles qui n’investissent pas assez, et certaines ferment sans que personne n’en entende parler. Le Canada, avec ses belles entités et ses richesses, est devenu une cible intéressante. La situation ne va pas aller en diminuant, alors il faut redoubler de vigilance.

Contributeurs

Nicolas-Loïc Fortin Vincent Groleau
Nicolas-Loïc Fortin LinkedIn Vincent Groleau LinkedIn Twitter

Crédits

Télécharger .m4a (53.8M) Télécharger .mp3 (35.0M)

Tag: fuite