Dans la newsletter d’aujourd’hui:

Pour les abonnés gratuits:

L’édito: “Le salut cyber des TPE passera par une collaboration élargie entre tout l’écosystème.”par Frédéric Simottel

Pour les abonnés payants:

Études: Etat de la sécurité de la chaîne d'approvisionnement logicielle en 2024.

La Tribune: “Si les cyberattaques sont dévastatrices, l’utilisation de l’IA par les hackers peuvent changer la donne”

A ne pas manquer sur le web: Les budgets cyber ne sont pas au rendez-vous.

Longtemps, les TPE se sont senties à l’abri. Sans service informatique pour les alerter, sans expert extérieur pour leur vendre service, logiciel ou matériel à un prix qui leur semblait exorbitant au regard de leurs dépenses IT, et, il faut bien le dire, sans réelle menace. Les incidents se manifestaient surtout au travers d’une sauvegarde mal effectuée, une carte mère tombée en panne ou une ligne réseau dégradée. Mais je vous parle « d’un temps que les jeunes de 20 ans… ».

Le salut cyber des TPE passera par une collaboration élargie entre tout l’écosystème.

Oui, les PME et les TPE sont aujourd’hui devenues des cibles au même titre que les grandes entreprises et administrations. Ces dernières se soucient d’ailleurs beaucoup de ces petites structures avec qui elles travaillent beaucoup en partenariat, sous-traitance, etc. Les dernières rencontres des RIAMS ont d’ailleurs mis en avant l’intérêt porté par les RSSI des plus grands comptes à la sécurité de leurs tiers. L’Anssi vient d’ailleurs de tirer à nouveau la sonnette d’alarme. Les PME et TPE sont les principales cibles d’attaques à but lucratif - avec demande de rançon. Elles ont représenté 60 % des victimes en 2023 contre 53 % en 2022. Leur indice de vulnérabilité est parfois si élevé qu’il suffit d’un kit de pirate débutant, débusqué sur le darknet pour moins de 100 euros, pour les mettre à terre. Et je ne parle même pas des nouvelles opportunités offertes par l’IA générative qui offre aux hackers la possibilité de progresser par étapes dans le SI de l’entreprise.

Des scénarios d’attaque peu sophistiqués qui font souvent mouche

Peu sophistiqués, les scénarios d’attaque font souvent mouche pour des attaquants qui récupèrent aisément des comptes utilisateurs, et qui, à partir de là, vont scanner les environnements de l’entreprise. Certains réussissent même à accéder à des « comptes à privilège », soit les comptes d’administrateur, bénéficiant de fait d’une puissance de nuisance considérable. La suite, vous la connaissez : vol de données, blocage de sites en ligne, dégradation de moyens de production, espionnage industriel, actions hacktivistes, etc.

Alors certes, les industriels se penchent sérieusement sur la question. Les ESN locales, présentes aux côtés de leurs clients en région cherchent à mieux adresser ce domaine. Les plus grands également, Orange a renouvelé son offre « Cyber protection » dédiée aux TPE/PME, Docaposte y va aussi de son couplet avec un service combiné à son cloud Numspot.

Des budgets pas à la hauteur

Deux points me sont cependant remontés par mes quelques incursions en région auprès d’acteurs de la cyber mais également chez leurs clients. La première concerne le coût des solutions actuelles. Il faut bien se rendre compte que pour certains, une facture mensuelle de 1 500 euros est presque considérée comme la dépense IT de l’année. Je grossis le trait, mais à peine. Alors certes, les offres de protection cyber par abonnement permettent d’absorber ces dépenses dans un budget, mais je ne me rendais pas compte à quel point - alors que l’on parle de la protection de l’entreprise et de ses moyens de production - sortir 1 euro est un véritable effort.

La cyber en TPE ne séduit pas les experts

Un deuxième point m’a été remonté sur les compétences. Je n’étonne personne en rappelant qu’il manque environ 15 000 experts rien qu’en France pour répondre aux besoins de l’écosystème cyber (fournisseurs et clients). Mais de quels profils parlons-nous et surtout pour quelles missions. Sécuriser l’architecture du SI d’une grande banque, d’une PMI ou d’un réseau d’enseignes du commerce, ce n’est pas le même métier qu’aller sécuriser la TPE locale de 15 personnes. Plusieurs cabinets de conseils et ESN présents en région me remontent ainsi la difficulté qu’ils ont à recruter, mais surtout à conserver des techniciens et ingénieurs dans le domaine. Sans dénaturer le travail de chacun, s’attarder sur une architecture ou installer et paramétrer un pare-feu ne représente pas la même dose d’excitation d’un défi technologique à relever. Alors certes, c’est le lot de tout métier. Les premières missions sont souvent moins passionnantes. Et même, selon son parcours de carrière, on se retrouve parfois à effectuer des tâches plus basiques, sans être certain de la réelle valeur ajoutée que l’on apporte. Problème, en cyber, on manque tellement de talents que même un « jeune premier » peut se retrouver aux commandes d’un projet sophistiqué. De fait, les missions de base sont délaissées. Et c’est justement là où les ESN ont besoin de bras pour accompagner les TPE. Et au passage, inutile de jouer sur une surenchère des salaires. L’équation semble donc compliquée à résoudre.

La collaboration et le partage sont clés

Pour moi, la balle est d’une part dans le camp des fournisseurs de matériels et logiciels. Tout en conservant un bon niveau de sécurité, il faut qu’ils simplifient encore et toujours les interfaces. L’ergonomie des processus d’installation doit être accessible à un non-professionnel du domaine. L’autre axe à travailler est la sensibilisation encore plus forte des chambres de commerce et des organisations patronales locales pour davantage de collaboration entre leurs adhérents (mais aussi entre grandes et petites entreprises). Nous avons tous en tête l’exemple d’un RSSI ou d’un DSI qui, lors d’une grosse cyberattaque, est intervenu dans une autre entreprise pour apporter conseils et compétences parce qu’il avait déjà traversé la même épreuve. Collaboration et partage de l’ensemble de l’écosystème restent deux des points clés du combat à mener contre les cyberattaques.

...