Le besoin critique de sécurité et d'efficacité dans les télécommunications
Ces entreprises fournissent l'infrastructure fondamentale qui permet d'offrir des services téléphoniques filaires et sans fil, ainsi que des services par satellite, par câble et par internet.
Selon un récent rapport de Nokia et GlobalData, plus de sept opérateurs de télécommunications sur dix (75%) ont subi au moins six attaques de cybersécurité sur leurs réseaux 5G dans le monde. Ces acteurs sont une cible privilégiée pour les pirates informatiques car ils construisent, contrôlent et exploitent des infrastructures critiques, largement utilisées pour communiquer et stocker de grandes quantités de données sensibles.
Étant donné que les opérateurs ont accès à ces ressources stratégiques, l'impact d'une cyberattaque peut être considérable : interruption de services cruciaux pour les clients et les entreprises, vol de données personnelles par des pirates informatiques, mais aussi possibilité pour des acteurs tiers de mettre en place une surveillance secrète. En tant que tels, ces opérateurs ont le devoir de protéger leurs systèmes et, par extension, les informations de leurs clients.
Un secteur de plus en plus ciblé
Les cyberattaques sophistiquées telles que les ransomwares, les attaques de type Man-in-the-Middle, les échanges de cartes SIM et les prises de contrôle de comptes, constituent une menace constante pour le secteur des télécommunications, offrant aux cybercriminels l'occasion de voler des données, de perturber des services essentiels ou d'intercepter des transmissions réseau. Aussi, son écosystème complexe, qui comprend l'infrastructure existante, les fournisseurs de services gérés par des tiers et les nouvelles technologies telles que la 5G, le cloud et la virtualisation, le rend vulnérable aux attaques. Par ailleurs, les organisations qui vendent des produits physiques, parmi lesquels des téléphones mobiles, des routeurs ou d'autres appareils, ont la responsabilité supplémentaire de garantir l'intégrité de tous les composants de fabrication et de protéger tout code logiciel.
Prenant ces facteurs en compte, toute cyberattaque sur une entreprise du secteur est susceptible d’induire des perturbations importantes dans les infrastructures critiques, entraînant une perte de confiance de la part des clients et des coûts élevés. Les opérateurs ont ainsi tout intérêt à chercher de manière proactive de nouvelles solutions afin d’améliorer la sécurité interne et celle de la chaîne d’approvisionnement, notamment pour respecter les nombreuses réglementations en matière de cybersécurité. Ils doivent également prendre en compte le nombre croissant de scénarios d'authentification dans lesquels les solutions actuelles sont insuffisantes, ou dans lesquels l'authentification multifacteur (MFA) basée sur un mobile pourrait causer des frictions dans l'expérience utilisateur. En outre, les opérateurs qui fournissent des services de téléphonie ou de données doivent protéger les clients contre les attaques mobiles, le SIM-swapping et la fraude, mais aussi se conformer aux réglementations en vigueur.
Tenir compte de l'évolution des réglementations en matière de sécurité
Avec la prolifération des menaces en ligne, les entreprises de télécommunications sont soumises à une pression réglementaire croissante pour adopter un MFA qui résiste aux techniques courantes telles que le phishing, et qui confère une sécurité accrue. Les institutions gouvernementales font notamment pression en faveur de deux normes d'authentification considérées comme les plus sûres : la vérification de l'identité personnelle (PIV) / la carte à puce, et la norme moderne FIDO/WebAuthn, qui permet une identification robuste à deux facteurs, l’authentification multifacteur et sans mot de passe. Les autres formes d'authentification, notamment les codes à usage unique délivrés par téléphone portable (SMS ou application push) et les mots de passe, doivent être progressivement abandonnés, car ils sont plus faciles à intercepter et à pirater.
En plus de ces recommandations, l'ANSSI exige désormais des opérateurs qu’ils procèdent à des évaluations de leurs systèmes d'information afin de répondre aux standards de sécurité. Le non-respect de cette obligation peut entraîner des amendes allant jusqu'à 150 000 euros. Aussi, les télécoms doivent se conformer à la norme de sécurité des données de l'industrie des cartes de paiement (PCI DSS) et à la directive européenne sur les services de paiement 2 (DSP2). La dernière version de la norme PCI DSS v4.0 impose notamment l'utilisation d'un système de gestion des accès robuste et résistant au phishing pour tous les comptes ayant accès aux données des détenteurs de carte bancaires.
Le secteur des télécommunications continue d’être confronté à des cyberattaques en constante évolution. Il devient donc nécessaire de protéger les infrastructures qui le composent et traitent de données sensibles. À ce titre, l'intégration par les opérateurs d'une solution de gestion des identités, en complément d’une authentification multifacteur résistante au phishing, est essentielle pour renforcer la sécurité de leurs systèmes et de leurs informations sensibles, et pour garantir la conformité aux réglementations en vigueur. Leur stratégie de cybersécurité doit désormais inclure et donner la priorité à la réduction des risques liés à l'identité, afin de contrecarrer toute menace imminente.