L’Usine Nouvelle. – La menace cyber augmente, avec notamment une explosion des attaques aux rançongiciels. Est-ce cela qui vous inquiète le plus ?
Olivier Ligneul. – La croissance de la menace est en effet exponentielle. Dans les grandes entreprises, nous observons que parmi nos fournisseurs et partenaires, le nombre de victimes d’attaques par ransomware est multiplié par deux chaque année depuis deux ans. Un autre aspect inquiétant est l’espionnage, que ce soit pour vendre les informations collectées ou pour les exploiter à des fins malveillantes. Là aussi, on constate une hausse des attaques.
Comment évaluez-vous cette hausse ? L’espionnage est difficile à observer...
Les attaques de type espionnage sont par nature discrètes, donc très difficiles à repérer. Cependant, les outils de cybersurveillance des RSSI [responsables sécurité des systèmes d’information, ndlr] des entreprises remontent de plus en plus de signaux faibles, qui laissent penser que ce type d’activité est en croissance. Cela ressort aussi des discussions que nous avons entre acteurs du même secteur. Nous échangeons des informations sur les menaces qui pèsent sur nos environnements, en partageant par exemple les traces laissées lors de cyberattaques. Mais il est difficile d’aller plus loin.
Le risque de contagion des attaques est de plus en plus fort au sein des écosystèmes des secteurs d’activité.
— Olivier Ligneul
Peu d’acteurs veulent ou peuvent communiquer à ce sujet et l’Anssi [Agence nationale de la sécurité des systèmes d’information], qui intervient souvent suite à des cyberattaques, a pour règle de ne pas parler des victimes afin de les protéger. Pourtant, il va falloir trouver un processus de communication au sein des différents cercles de confiance, car le risque de contagion des attaques est de plus en plus fort au sein des écosystèmes des secteurs d’activité. C’est pour cela que l’une des commissions de travail organisées en amont des Assises avait pour thème l’entreprise étendue. Ces travaux sur les modalités de partage des informations vont se poursuivre.
Alors que la France va cumuler en 2022 la présidence de l’Union européenne et une élection présidentielle, des attaquants pourraient vouloir déstabiliser le pays en ciblant ses infrastructures critiques. En tant que directeur sécurité d’EDF, vous sentez-vous plus exposé ?
Je vais vous répondre en tant que président des Assises et plus généralement. Les environnements critiques sont évidemment attractifs pour l’attaquant. Cependant, ils font l’objet de mesures de sécurité complémentaires au travers de la réglementation à laquelle ils sont assujettis. L’énergie, définie comme un secteur d'activité d'importance vitale [SAIV], est aussi protégée par l’application de ces mesures. L’enjeu, aujourd’hui, est de mieux protéger les différents chaînons de l’écosystème.
C’est bien ce que confirme le rapport de l’administration américaine sur la cyberattaque contre Colonial Pipeline. Sur le plan réglementaire, la directive européenne NIS 2, actuellement en discussion, va pouvoir étendre la couverture de la protection des opérateurs essentiels à plus d’établissements. Au niveau national, nous essayons aussi de créer des CERT [centres d'alerte et de réaction aux attaques informatiques] là où il n’y en a pas encore et de les mailler pour être plus résilients au niveau de l’écosystème.
En plus du CERT-FR, piloté par l’Anssi, on voit que des CERT régionaux et sectoriels se créent. Pourquoi cette multiplication ?
La volonté de mieux communiquer au sein des secteurs est là. C'est ce que fait le secteur de la banque depuis plusieurs années.
— Olivier Ligneul
Un CERT a pour rôle de traiter les incidents quand ils apparaissent, d’analyser la menace et de faire circuler l’information. C’est un cercle de confiance, régi par une charte qui définit des règles et des processus de fonctionnement. Désormais la volonté de mieux communiquer au sein des secteurs est là. C'est ce que fait le secteur de la banque depuis plusieurs années. Cela passe par les CERT, par les groupes de travail animés par l’Anssi, le campus cyber et toutes les associations professionnelles, comme le Cesin, le Elusif et le GIP Acyma, qui opère Cybermalveillance.gouv.fr. Tout cela se consolide fortement, avec des organisations en pleine croissance.
Pourquoi se rapprocher à l’échelle d’un secteur, alors que les deux tiers des attaques aux rançongiciels sont menées par opportunisme et visent les entreprises de manière aléatoire ?
Beaucoup d’attaques sont en effet motivées par le gain possible, et non par l’activité spécifique de la victime. Mais cela n’empêche pas les attaques ciblées qui s’adaptent aux environnements de l’entreprise. C’est l’exemple de Solarwinds, où les attaquants ont infecté le fournisseur d’un logiciel afin d’attaquer les clients finaux par ce biais. Les attaques ont plus d’impact, sont beaucoup plus professionnalisées et spécifiques à la nature de l’activité de la cible.
Autant hier, les analyses a posteriori mettaient en exergue des attaques un peu génériques, pour faire tomber un site internet ou voler des données, autant aujourd’hui elles portent atteinte à la capacité d’opérer. Les attaquants s’en prennent au système au cœur de l’activité ou aux données nécessaires à celle-ci. Du côté de la cyberdéfense, on a besoin de contextualiser les menaces, de savoir ce que les attaquants connaissent ou ne connaissent pas de nos modes de fonctionnement.
Cela a-t-il des conséquences sur la manière dont les entreprises organisent leur défense ?
Nous voulons mieux partager les informations entre les acteurs de nos écosystèmes et développer une plus grande agilité dans nos moyens de défense.
— Olivier Ligneul
Les métiers de la cyber se professionnalisent. Avec de plus en plus de RSSI et d’interactions entre les acteurs cyber et les acteurs métiers. Pour savoir comment se protéger, on doit connaître quels éléments sont les plus importants aux métiers. Cela signifie davantage de communication sur ce qu’il faut défendre et comment. La manière de se protéger se professionnalise aussi. Il faut être plus rigoureux, analyser nos faiblesses... Sur la publication des vulnérabilités d’applications, par exemple, le nombre de failles à corriger est en hausse car les éditeurs sont plus pointilleux et transparents.
Sauf qu’en publiant une faille, on augmente la probabilité qu’un attaquant l’utilise. Finalement, notre stratégie et la définition de nos moyens de défense évoluent en fonction des capacités et des moyens des attaquants. C’est pour cela que l’on veut mieux les connaître, mieux partager les informations entre les acteurs de nos écosystèmes et développer une plus grande agilité dans nos moyens de défense.
