Du 20 au 24 septembre 2020, le système d’information de PiaLab a essuyé près de 40.000 tentatives d’intrusion en force brute sur une partie de ses serveurs. Ce sont des attaques ayant réussi à déborder nos premières mesures de sécurité, dont des dispositifs anti-DDoS et de liste noire (3.000 adresses IP ont quand même été bannies sur les quatre jours). En moyenne notre SI a subi plus d’une attaque toutes les 10 secondes et 31 adresses IP bannies par heure, au-delà de sa première ligne de défense.
Fort heureusement, si notre défense périphériques n’a pu bloquer tous les assauts, nos dispositifs de défense en profondeur ont fonctionné sans faillir : systèmes d’exploitation et dépendances sans faille connue et robustes, systèmes de détection d’intrusion pro-actifs, dispositifs de contrôle d’intégrité, etc. conformément aux exigences des ISO 27001/ISO 27701…
Ainsi, après une semaine de « forensics » (expertise technico-légale), non seulement les menaces ont pu être éloignées vers notre première ligne, mais l’absence d’exploitation de vulnérabilités a pu être confirmée. Nous publions cette nouvelle un mois après afin de pouvoir assurer ces faits : notre système d’information a résisté conformément à nos plans, et nos mesures ont été efficaces. Les tentatives d’intrusions, c’est tous les jours. Elles nécessitent de prendre ce sujet au sérieux, nécessitant la mise en place de moyens pour les contrôler afin prémunir les organisations des risques auxquels elles sont exposées (vol d’information, arrêt de processus vitaux, tromperie, pertes financières, incapacité de tenir ses engagements, condamnations administratives, civiles ou pénales).
Le principe en cybersécurité est toujours le même : il ne s’agit pas de savoir si un système est piratable ou non, ni quand une attaque se produira, mais si nous, les humains responsables de ces systèmes, serons capables de contenir la prochaine crise cyber qui surviendra. C’est le défi en cybersécurité : il s’agit d’une position défensive où une seule vulnérabilité dans un système complexe suffit pour que les attaquants prennent le dessus. Et comme pour les pandémies, le principe des 3P et des 3S est un rappel précieux :
Prévenir les risques, se Préparer, prendre des Précautions ;
faire des Stocks (PCA/PRA), mettre en place des Sentinelles (indicateurs de sécurité) et Simuler des situations de crise.
Nous croisons les doigts et mettons tout en œuvre pour que le jour où les conséquences seront sérieuses ne soit pas demain. Ne fanfaronnons pas : ce jour arrivera chez nous, et également chez vous !
Alors si ce n’est pas déjà fait, questionnons-nous sur les actions à déployer et sur leur efficacité : pour un €uro dépensé en cybersécurité, c’est potentiellement 40€ d’économisé sur le risque, à garder en tête pour la Préparation des budgets 2021 !
