Cybersécurité : en 2021, les entreprises paieront le prix d'une année compliquée

Le besoin urgent de s'appuyer sur une main-d'œuvre décentralisée a obligé les organisations à accélérer leur transformation numérique. Ce qui a étendu le paysage des cybermenaces. Il est difficile de prédire l'avenir, mais les réactions en chaine observées cette année ne laisseront aucun répit aux professionnels de la sécurité en 2021.

Harmonisation de la sécurité, concentrée sur le risque

Au cours de l’année qui vient de s’écouler, les dirigeants ont pu constater à quel point les risques opérationnels sont étroitement liés à ce qu’il se passe en ligne. Aussi, leur intérêt à mettre en place un dispositif de sécurité éprouvé augmentera, et ils repenseront leurs stratégies de gestion des risques en se fondant sur des attentes plus réalistes. Concrètement, davantage d’organisations comprendront que l’objectif d’un programme de sécurité est de maintenir le risque à un niveau acceptable et de permettre une résilience, et non une protection à 100%. En conséquence, elles devront répartir leurs dépenses de sécurité de manière équilibrée entre les mesures de protection et les capacités de détection et de réaction.

En termes de cybermenaces, il faut s’attendre à ce que les ransomwares évoluent, gagnent en complexité et qu’ils affectent le monde physique. Ils resteront l’un des moyens les plus simples pour les cybercriminels de rentabiliser une faille. En outre, pour obliger les organisations à payer les demandes de rançon, ils veilleront à ce qu’il soit plus difficile de se remettre des attaques. À mesure que la technologie opérationnelle ainsi que les dispositifs IoT se généraliseront, et que les protocoles de communication se normaliseront, les criminels les prendront également pour cible. D’autre part, les fournisseurs de services mobiles deviendront des cibles très lucratives pour les pirates informatiques. Face à la pénurie mondiale de compétences en matière d’IT et à la récession financière, de plus en plus d’organisations s’appuieront en effet sur les services gérés. Les cybercriminels intensifieront alors leurs attaques contre les fournisseurs de services mobiles afin de compromettre plusieurs entreprises simultanément et de monétiser leurs activités à une vitesse vertigineuse.

L’accélération rapide de la digitalisation, source de vulnérabilités à venir

De nombreuses organisations se sont précipitées dans leur transformation digitale, soit pour accélérer les projets amorcés ou bien pour tenter de rattraper leur retard. La crise du Covid-19 a en effet perturbé les processus de toute part, pour ainsi dire du jour au lendemain au moment du premier confinement. La planification et les tests ont été pratiquement inexistants et, souvent, les équipes IT manquaient des connaissances et de l’expérience nécessaires. Les organisations ont dû privilégier la disponibilité des services au détriment de la sécurité, ce qui a débouché sur des compromis fâcheux, tandis que les professionnels de l’IT confrontés à des systèmes peu familiers ont inévitablement commis des erreurs. Certaines des failles de sécurité qui en résultent ont déjà été exploitées, mais il faut s’attendre à ce que d’autres soient mises en évidence au cours de l’année à venir.

De plus, le cloud a joué un rôle majeur en permettant une transition rapide vers le télétravail successivement imposé puis recommandé, lorsque cela était possible. Cependant, la méconnaissance du modèle de responsabilité partagée et les obstacles à la sécurité dans le cloud poseront d’importants problèmes en 2021. En effet, la pénurie mondiale de professionnels de l’IT compétents en matière de gestion et de sécurité du cloud, combinée au manque de visibilité au niveau de la conception et des charges de travail du cloud, entraînera inévitablement des erreurs de configuration. Ces dernières entraineront fatalement une plus grande exposition des données, soit autant d’opportunités en plus pour les cybercriminels.

Des investissements scrutés et des assurances pour une plus grande protection

La sensibilisation accrue des dirigeants aux menaces qui pèsent sur la sécurité entraînera la mise à disposition de nouveaux budgets en faveur de programmes de sécurité, mais aussi un niveau de contrôle plus élevé. Ils exigeront des responsables IT qu’ils établissent des indicateurs spécifiques pour démontrer l’efficacité des mesures de sécurité existantes et justifier la nécessité et la valeur des nouveaux investissements. Les responsables de la sécurité devront également élaborer des plans destinés à réduire les coûts. Ils devraient notamment signaler les logiciels qui sont redondants afin d’éliminer les dépenses superflues, et examiner chaque solution pour repérer les caractéristiques et fonctionnalités inutilisées qui pourraient être exploitées, contribuant ainsi à accroître le retour sur investissement.

De plus, dans la mesure où de plus en plus de violations résultent du fait que les entreprises ne prennent pas suffisamment soin des informations personnelles de leurs clients, nous nous dirigeons vers une application plus stricte des réglementations en vigueur et vers l’adoption de nouvelles lois sur la protection de la vie privée. Les organisations devront également tenir compte de l’expiration en 2021 du délai de grâce relatif à l’application de certains mandats de conformité accordés au cours des premiers mois de la pandémie. Dans ce contexte, face au risque accru d’amendes pour non-conformité résultant de ces développements, les cyber-assurances seront davantage sollicitées. Elles présenteront leurs propres normes en matière de sécurité mais elles ne substitueront pas les normes réglementaires que les entreprises devront également respecter.