Responsable de l’approvisionnement en eau, gaz et électricité, le secteur des services publics est un pilier fondamental et critique de notre infrastructure nationale. Il est d’une importance capitale et même vitale pour le fonctionnement quotidien du pays. Alors, que se passe-t-il lorsque ces infrastructures essentielles sont menacées par les cybercriminels ?
La récente attaque par ransomware contre l’acteur américain Colonial Pipeline nous a donné un aperçu des conséquences potentielles. En mai dernier, cet oléoduc acheminant 2,5 millions de barils de carburant par jour a été mis hors service par des pirates exigeant une rançon. Après avoir payé les 3,6 millions d’euros demandés, le pipeline a pu reprendre ses activités la semaine suivante. Bien que le département de la Justice américain ait pu saisir des millions en cryptomonnaies versés en rançon aux pirates, le temps d’arrêt causé par l’attaque a entraîné d’énormes perturbations et des pénuries d’essence dans plusieurs grands États américains.
Plus les entreprises du services publics – qu’elles soient des fournisseurs de carburant, des établissements de santé, des services d’urgence, etc. ou encore d’autres organisations essentielles au fonctionnement quotidien de notre économie, s’appuient sur les données, plus l’impact des éventuelles cyberattaques augmente. Plus la pression exercée par les cybercriminels est grande, plus leurs victimes sont susceptibles de payer pour remettre leurs activités sur pieds. Ceci explique notamment la montée en puissance spectaculaire des ransomwares au cours des derniers mois.
À titre d’exemple et selon une récente étude, plus de la moitié (53 %) des entreprises du service public britanniques ont subi une cyberattaque l’an dernier. Tout comme Colonial Pipeline – et, plus récemment, JBS – l’ont appris à leurs dépens : face aux flots de tentatives d’attaques, il peut arriver que l’une d’elles finissent par aboutir. Comment les entreprises peuvent-elles se protéger contre ces cyberattaques, dans leur intérêt et celui de leurs clients ?
La faille dans l’armure
La nature hautement réglementée des industries du service public signifie que l’adoption de nouvelles technologies n’est pas chose facile. Par conséquent, 88 % des responsables informatiques admettent que le secteur de l’énergie n’a pas traditionnellement adopté à la technologie du cloud. Malgré cela, et toujours selon l’étude précédemment citée, 48 % des données du secteur sont stockées ou gérées dans le cloud public, et ce chiffre devrait atteindre 60 % dans les cinq prochaines années. En outre, 40 % des entreprises de services publics considèrent désormais que la migration d’un volume croissant de données et d’applications vers le cloud est une priorité absolue.
Bien que les services publics soient généralement résilients aux changements macroéconomiques inattendus, les conditions actuelles du marché ont forcé chaque secteur à accélérer radicalement ses plans de transformation digitale. Les services publics ne font pas exception, ce qui explique peut-être le passage soudain au cloud. En raison de cette transformation rapide, 55 % des entreprises de services publics admettent malheureusement que leurs mesures de sécurité n’ont pas suivi la complexité de leur infrastructure informatique ; ce qui signifie que leur visibilité et leur contrôle sur leurs données sont plus limités que jamais. Cette « faille » pourrait causer leur perte en cas d’attaque.
Il n’est donc pas surprenant que deux tiers (67 %) des entreprises de services publics soient préoccupées par la sécurité du cloud. Également, la réduction de la visibilité sur les données (59 %) ou le risque d’interruption de service (55 %) font partis des inquiétudes liées à cette adoption. Ces dernières sont justifiées, étant donné que deux tiers (64 %) des entreprises du secteur des services publics admettent que l’approche de leur organisation en matière de lutte contre les cyberattaques pourrait être améliorée – tandis que l’augmentation de la résilience face aux ransomwares et la gouvernance des données figurent parmi leurs trois principales priorités.
Les préoccupations relatives à la charge supplémentaire que représentent la gestion et la sécurité des environnements cloud peuvent empêcher les entreprises du service public de les adopter. Mais les plateformes modernes de gestion et de protection des données peuvent étendre leurs capacités du datacenter aux environnements cloud via une solution unique. Cela signifie que les entreprises du service public peuvent profiter des avantages des projets de transformation sans s’exposer à des risques supplémentaires ou à la charge de travail associée à la gestion d’une autre solution de protection.
Mais les entreprises doivent comprendre que c’est à elles, et non à leur fournisseur de services cloud, de protéger ces données. Il est inquiétant de constater que 88 % des entreprises du service public confient la responsabilité de la sauvegarde des charges de travail cloud à leur fournisseur de cloud, laissant ainsi potentiellement leurs données critiques vulnérables et exposées aux cybercriminels. Si la plupart des entreprises sont parfaitement conscientes de l’importance des sauvegardes, beaucoup ne comprennent pas où s’arrête la responsabilité de leur fournisseur de services cloud et où commence la leur. La plupart de ces fournisseurs utilisent des modèles de responsabilité partagée, selon lesquels leurs clients sont responsables de la protection et de la sécurité de leurs propres données.
L’arme secrète
À mesure que les entreprises transfèrent leurs données dans le cloud, elles doivent absolument connaître leur nature, leur valeur, l’emplacement de stockage à utiliser, les personnes autorisées à les consulter et leur durée de conservation. Pourtant, seulement 24 % des entreprises ont une visibilité totale sur les données non structurées dont elles disposent. Si les entreprises n’ont pas de visibilité sur les données qu’elles possèdent, comment seraient-elles en mesure de réellement les protéger ?
Il ne s’agit pas nécessairement d’une tâche extrêmement difficile. Actuellement, deux tiers (69 %) des entreprises du service public font appel à plusieurs fournisseurs pour les aider à protéger leurs données dans l’ensemble de leur infrastructure. Cela peut souvent conduire à un melting-pot d’outils et de solutions différents – qui ne sont pas toujours complémentaires et qui, en fin de compte, peuvent devenir plus une entrave qu’une aide. Mais en utilisant une solution unique de protection des données qui gère les données dans l’ensemble de leur environnement IT, les entreprises du service public peuvent avoir une vue complète sur leurs données sans avoir à supporter le coût ou la charge de la gestion de plusieurs solutions.
Cette visibilité permet de mettre en place un plan de sauvegarde robuste et automatisé, qui comprend l’optimisation des processus de continuité des activités et de reprise après sinistre, afin de protéger et de chiffrer les données critiques. L’isolement et le chiffrement des sauvegardes, la conservation de plusieurs copies et la réalisation fréquente de tests de vulnérabilité aideront les entreprises à renforcer leur résilience face aux acteurs malveillants.
Malheureusement, les organisations qui interviennent dans l’infrastructure nationale critique resteront une cible de choix. Ce n’est pas parce qu’elles ont des systèmes de sécurité peu dynamiques ou qu’elles ont d’importantes liquidités, mais parce que les hackers savent que si leurs attaques interrompent des services essentiels, les organisations auront moins de temps pour prendre une décision et seront plus disposées à payer la rançon. Comme les enjeux d’une attaque réussie sont beaucoup plus importants, la victime sera davantage encline de payer.
Malgré tous leurs efforts, la plupart des entreprises subiront au moins une cyberattaque au cours de leur existence. Dans cette situation, la responsabilité des données sera le fondement de leur défense contre les ransomwares, tandis que les sauvegardes chiffrées seront leur arme secrète. La fréquence et la sophistication des attaques par ransomwares ne cessant d’augmenter, les entreprises doivent faire évoluer leurs stratégies en conséquence. Il ne s’agit pas de remporter une bataille, mais de gagner la guerre.
À propos de Veritas Technologies
Veritas Technologies est un leader mondial en matière de protection et de disponibilité des données. Plus de 80 000 entreprises, dont 87% de celles issues du classement Fortune Internationale 500, nous font confiance pour simplifier la gestion des données et la complexité informatique. Notre Enterprise Data Services Platform automatise la protection et la récupération des données partout où elles se trouvent, assure la disponibilité 24h/24 et 7j/7 des applications sensibles et fournit aux entreprises les informations dont elles ont besoin pour se conformer à l’évolution des réglementations relatives aux données. Avec une réputation de fiabilité et un modèle de déploiement adapté à tous les besoins, Veritas prend en charge plus de 800 sources de données, plus de 100 systèmes d’exploitation, plus de 1400 types de stockage, et plus de 60 plateformes cloud. Pour en savoir plus : www.veritas.com ou suivez-nous sur Twitter @VeritasTechFR.
Déclarations prévisionnelles : Toute indication prospective des plans pour les produits est préliminaire et toutes les dates de sortie futures sont provisoires et peuvent être modifiées à la seule discrétion de Veritas. Tout lancement futur du produit ou toutes modifications en matière de capacité, de fonctionnement ou des fonctionnalités du produit font l’objet d’une évaluation continue par Veritas, et peuvent ou non être mises en oeuvre, ne doivent pas être considérées comme des engagements fermes de Veritas, ne doivent pas être prises en compte lors des décisions d’achat. Elles ne peuvent être incorporées dans aucun contrat Veritas, le logo Veritas et NetBackup sont des marques commerciales ou des marques déposées de Veritas Technologies LLC ou de ses filiales aux États-Unis et dans d’autres pays. Les autres noms peuvent être les marques déposées de leurs propriétaires respectifs.
