Les 4 tendances de cybersécurité auxquelles vous devez vous préparer en 2023

Qui dit nouvelle année dit nouvelle attitude. Alors que nous venons de passer le cap de l’année écoulée et que nous commençons petit à petit à oublier nos résolutions du Nouvel An, Internet poursuit sa transformation constante. Il se réinvente sans cesse, tout comme les menaces qui vous guettent lorsque vous vous connectez. À mesure que votre « nouvelle attitude » se met tout doucement à ressembler à l’ancienne, les menaces de cybersécurité ne cessent d’évoluer. C’est pour cette raison que nous vous proposons d’examiner les nouveaux dangers qui se profilent pour l’année à venir.

L’année 2022 s’est terminée par un coup d’éclat : ChatGPT a eu un impact considérable sur la manière dont le public envisage l’IA, l’état actuel de ses capacités et ses applications potentielles. Alors que les serveurs d’OpenAI – son créateur – n’en finissent pas d’être saturés face à l’énorme intérêt suscité, il est bon de prendre le temps de réfléchir à ses répercussions, positives et négatives, sur la cybersécurité.

L’IA peut aider à rendre les mesures et les outils de cybersécurité plus efficaces pour reconnaître et contrer les menaces, mais elle simplifie également la vie des criminels. Les plateformes d’apprentissage automatique telles que ChatGPT permettent de rédiger facilement des courriers de phishing encore plus convaincants ou d’écrire et de corriger du code destiné à lancer de nouveaux logiciels malveillants fournis en tant que service.

OpenAI a créé un outil capable d’aider des millions de personnes, tels que des propriétaires de petites entreprises ou des étudiants, mais au risque d’augmenter des niveaux de menace déjà inquiétants. Préparer le public à faire face à cette nouvelle réalité constituera rapidement un aspect essentiel des stratégies de cybersécurité à tous les niveaux, aussi bien pour les grandes entreprises que pour les PME. L’attentisme n’est certainement pas une solution.

La cybersécurité n’est plus une préoccupation concernant uniquement la personne chargée de gérer le service informatique de l’entreprise. C’est une responsabilité de plus en plus partagée par les employés et leurs dirigeants. Le feu vert récent donné à la directive révisée sur la sécurité des réseaux et de l’information (SRI2) formalise cette évolution. La directive n’impose pas uniquement aux industries et services essentiels (ainsi qu’à leurs fournisseurs, parties prenantes et affiliés) de prendre des mesures pour renforcer leur sécurité, mais oblige également leurs chefs d’entreprise à suivre une formation (de sensibilisation) à la cybersécurité.

La direction devra non seulement être formée, mais les organisations devront aussi être en mesure de prouver qu’elles ont pris les mesures appropriées. Qu’il s’agisse du PDG, du directeur financier ou du directeur de l’exploitation, du gestionnaire ou du directeur, tous devront savoir ce que l’on attend d’eux. D’ici l’entrée en vigueur de la directive SRI2 prévue à partir de janvier 2024, il n’y a plus de temps à perdre pour commencer à mettre en œuvre les mesures et stratégies appropriées. Attendre serait une stratégie perdante.

Le chiffre des cyberincidents a de nouveau explosé en 2022. Il en va de même pour le nombre d’organisations ayant dû payer une rançon. Pour certaines d’entre elles, l’impact a pu être atténué, car elles bénéficiaient déjà d’une « cyberassurance », c’est-à-dire d’une formule spécifique conçue pour limiter une partie des effets d’une cyberattaque.

Vu le nombre croissant d’organisations victimes d’actes criminels, Gartner prévoit que 45 % de toutes les entreprises subiront à un moment ou un autre un piratage informatique d’ici 2025. Les experts craignent dès lors que l’obtention d’une cyberassurance devienne plus difficile, voire totalement impossible au cours des mois ou des années à venir.

Il faut au moins s’attendre à ce que les courtiers d’assurance imposent toutes sortes de nouvelles exigences à ceux qui cherchent à se protéger de cette manière. Les normes devront être renforcées, les personnes formées et les résultats démontrés. La sensibilisation à la sécurité deviendra une exigence minimale pour toute organisation souhaitant se protéger financièrement en souscrivant une cyberassurance.

Aucune guerre ne se déroule uniquement sur le champ de bataille. Les pertes civiles sont inévitables et, de nos jours, Internet peut servir d’arme dangereuse capable de cibler tout le monde globalement et aveuglément, comme une mitrailleuse. Depuis le début de la guerre en Ukraine, on assiste partout à une multiplication de cyberattaques résultant probablement d’initiatives menées par des États, en provenance non seulement de Russie ou d’Ukraine, mais aussi de leurs alliés.

Les rançongiciels représentent un résultat très concret de ce conflit et attaquent sans répit tous ceux qu’ils peuvent infecter. Bien que les criminels consacrent encore beaucoup d’efforts aux attaques ciblées, comme le harponnage (ou spear phishing), on constate une hausse indéniable des attaques « à large spectre » qui consistent pour les pirates à lancer un vaste filet sur tous ceux qu’ils peuvent atteindre et à attendre patiemment qu’une victime se présente. Quelques-uns des exemples les plus notables de cette approche, concernant notamment des hôpitaux et des administrations municipales, ont fait la une des journaux en 2022.

La seule manière de limiter la montée des rançongiciels consiste à éduquer le public. Quel que soit le niveau de vos pare-feu et autres moyens techniques similaires, certaines menaces finiront invariablement par exploiter les failles du système. Le seul moyen d’empêcher vos collaborateurs de tomber dans le piège consiste à leur apprendre à être vigilants et à agir lorsqu’ils sont confrontés à des menaces réelles.

Phished propose une approche automatisée et holistique de la sensibilisation à la sécurité. Comme sensibiliser ne suffit pas, Phished s’attache à modifier le comportement des collaborateurs, afin qu’ils sachent exactement comment faire face aux menaces dans le monde réel. La combinaison de simulations d’hameçonnage personnalisées, de points de contrôle et de formations digestes à la cybersécurité, de rapports actifs et de renseignements sur les menaces aidera votre organisation à obtenir un taux d’incidents nul.