Sécurité systèmes d’information : Thales espère un sursaut post-Prism
Assises de la sécurité IT : Stanislas de Maupeou, Chef de projet Cybersécurité chez Thales, appelle à reprendre le contrôle de SI en entreprise. « Ce n’est pas infranchissable », estime-t-il.
Thales surfe sur l’actualité en proposant un atelier opportunément intitulé « La cybersécurité sous quel PRISM ? » dans le cadre des Assises de la sécurité à Monaco.
Au-delà de la « naïveté » et de la « paranoïa », Stanislas de Maupeou souhaite que ce cyberespionnage à grande échelle perpétrée par les agences américaines de renseignement fasse bouger les lignes de la sécurité IT « pour reprendre le contrôle » et « retrouver la confiance » en entreprise.
« Prism est un révélateur de notre incapacité à gérer nos données », commente le Chef de projet Cybersécurité chez le fournisseur de produits et solutions de sécurité cryptographiques pour divers secteurs sensibles (infrastructures critiques pour les gouvernements et les armées, grandes entreprises, industrie financière…).
« Ce n’est que la conséquence de la domination technique et technologique des Etats-Unis et des géants comme Google et Microsoft que l’on peut présenter comme des cyber-Etats. »
Alors faut-il « faire l’autruche » ou « accepter de regarder les choses avec une certaine honnêteté » ?
Stanislas de Maupeou espère que Prism donnera le signal de la « reconquête de la confiance et de la maîtrise de nos données et des systèmes d’information ».
« Ce n’est pas infranchissable », estime le haut responsable cyber-sécurité de Thales. « Il existe des solutions de sécurité disponibles et maîtrisées. Mais il faut prendre conscience que la sécurité a un coût. »
Le tableau dressé est plutôt sombre de la sécurité des système en entreprise.
Il s’appuie sur un retour d’expérience d’investigation numérique auprès de grands comptes menée depuis trois ans.
« Il est illusoire de faire de la sécurité sur un système que l’on ne maîtrise pas », estime Stanislas de Maupeou.
La liste des lacunes flagrantes est longue et parfois cela se cumule : problème de segmentation d’architectures de systèmes, cartographie incomplète, postes de travail insuffisamment protégés, navigateurs pas mis à jour (IE 6 en entreprise, cela se trouve encore), intrusion dans les profondeurs du système en ciblant l’Active Directory ou l’annuaire en entreprise…
Pour le « nettoyage » et la « reconstruction », Stanislas de Maupeou définit plusieurs axes prioritaires d’actions.
A commencer par un ordonnancement des actions (Diagnostic et surveillance => cartographie => Plan de transformation =>architecture cible =>exécution).
Des briques jugées essentielles doivent être remise dans le schéma global pour repartir sur de bonnes bases comme le renforcement des contrôles de proxy Internet (filtrage), la mise en place d’un réseau dédié à l’administration et le renforcement de la sécurité (mise à jour des applications).
Au-delà des systèmes d’information traditionnels en entreprise, Thales s’intéresse également aux systèmes de contrôle-commande (SCADA).
Un thème fort de cette édition 2013 des Assises de la sécurité avec l’ANSSI qui a donné le ton.
Le groupe a annoncé à cette occasion un accord de coopération pour la cybersécurité sur ce type de système avec Schneider Electric (spécialiste de la gestion de l’énergie).
| Thales sécurisent les systèmes d’information de 19 des 20 plus grandes banques mondiales |
| En matière de cybersécurité, Thales peut être considéré comme le poids lourds en France. Mais son expertise est reconnue au niveay mondial. Depuis 2001, le groupe technologique qui s’implique dans les secteurs gouvernementaux, militaires, industriels et financiers, exploite un centre opérationnel de cybersécurité sur les infrastructures critiques. Il compte parmi ses clients 50 pays dont 21 pays de l’OTAN. Dans le monde civil, les solutions de Thales sécurisent les systèmes d’information de 19 des 20 plus grandes banques mondiales, trois grandes sociétés informatiques, quatre sociétés pétrolières et dix sociétés high-tech. Le groupe Thalès dispose d’un effectif global de 65 000 collaborateurs dans 56 pays (dont 25 000 ingénieurs et chercheurs et, sur cette population, 1500 orientées cyber-sécurité). Le chiffre d’affaires groupe s’élève à 14,5 milliards d’euros en 2012, précise-t-on dans le dossier de presse. |
