Les petits ruisseaux (d’emails) font les grandes rivières

Anecdote : au marché noir, une adresse email volée vaut entre 0,0005$ et 0,01$ lorsqu’elle est revendue dans un lot de 1000.

Les informations provenant de comptes volés ont un prix dans l’économie cyber-criminelle. Mais les pirates informatiques ne touchent qu’une fraction de centime par compte compromis, et ciblent donc plus volontiers les comptes possédant un nombre élevé d’utilisateurs. Les services SaaS majeurs, et tout spécialement ceux comptant des millions d’utilisateurs, sont des cibles de choix.

Les fournisseurs de ces services ne font pas étalage d’une éventuelle brèche de sécurité - ils ne souhaitent surtout pas donner des idées aux pirates, et encore moins provoquer la panique chez leurs clients. Ces clients peuvent par conséquent tout ignorer d’un piratage pendant des semaines, voire des années après la détection de la brèche de sécurité.

Il y a quelques semaines, c’est le service de partage de fichiers Dropbox qui s’est retrouvé sous les projecteurs. Il a indiqué qu’en 2012, 68 millions de mots de passe avaient été volés suite à la réutilisation d’un mot de passe par l’un de ses employés, mais ce n’est qu’aujourd’hui - quatre ans après les faits - que les mots de passe ont été réinitialisés.

Les entreprises qui utilisent les services SaaS doivent se demander jusqu’à quel point elles accepteraient d’être laissées dans l’ignorance lorsque des données sont volées ou lorsque des comptes sont compromis. Ce que je veux dire, c’est comment savoir si les fichiers que vous stockez aujourd’hui sont en sécurité ? Un point à méditer.

Les responsables de la sécurité informatique et les équipes de sécurité souhaiteraient bien évidement avoir connaissance du problème immédiatement, afin d’avoir une chance de limiter les dommages. Le facteur temps est également primordial vers la fin du trimestre lorsque les annonces sont obligatoires pour être en conformité avec la législation.

Mais alors, quelle est la meilleure stratégie pour utiliser le Cloud en toute sécurité ? Comment les entreprises peuvent-elles vérifier les accès, les pare-feux et autres systèmes de détection des menaces dès qu’elles le souhaitent ?

Chez CTERA, nous conseillons à nos clients :

  • De déployer les services sur des Clouds privés virtuels ou sur des systèmes internes/sur site, intégralement situés derrière votre pare-feu. De cette façon, vous conservez vos informations à l’écart des cibles SaaS à forte visibilité, et minimisez par conséquent la valeur de la cible.
  • De verrouiller l’accès au système pour autoriser exclusivement les utilisateurs derrière leur pare-feu, et de limiter l’accès administratif aux pare-feux et aux applications, aux seuls employés connus et fidèles.
  • De mettre en place des politiques rigoureuses en termes de robustesse des mots de passe et des taux de rafraîchissement.
  • De ne surtout pas attendre de recevoir un email d’un fournisseur de service qui se retrouve dos au mur : surveillez vos données selon vos conditions.
David Darmon, VP Sales EMEA chez CTERA