Personne n’aime imaginer que des menaces internes puissent exister au sein de son entreprise et exposer l’organisation à un risque de fuite de données, ou être à l’origine d’une amende pour non-conformité s’élevant à plusieurs milliers de livres sterling. Cependant, la menace interne est bien réelle. Selon de nombreux rapports, les menaces internes sont à l’origine d’un grand nombre des problèmes de sécurité auxquels nous sommes confrontés aujourd’hui.Le « Cybersecurity Insiders Insider Threat Report », par exemple, a révélé que 68 % des organisations estiment que les menaces internes sont de plus en plus fréquentes. Dans une enquête menée par Egress, intitulée «2020 Insider Data Breach Survey », la quasi-totalité des responsables informatiques ayant répondu ont déclaré que le risque de fuite de données par des personnes internes constituait une « préoccupation majeure ».
On entend souvent dire, dans le secteur de la cybersécurité, que les menaces internes sont les plus difficiles à gérer ; après tout, comment détecter un acte malveillant ou une fuite accidentelle de données ? Voici notre guide sur les menaces internes et les moyens de les prévenir.
Types de menaces internes
Un « initié » désigne toute personne qui travaille actuellement pour votre organisation ou qui y a travaillé par le passé. Cette définition englobe aussi bien les salariés que les non-salariés, tels que les prestataires. La notion d’« initié » peut également s’étendre à un partenaire commercial ou à une entreprise issue de votre écosystème de fournisseurs. Les télétravailleurs viennent eux aussi renforcer les préoccupations d’une entreprise en matière de sécurité liée aux initiés ; une enquête d’IBM révèle en effet que les problèmes de sécurité sont exacerbés par le fait que les entreprises ne veillent pas à ce que les politiques de sécurité relatives au télétravail soient respectées.
L’initié par hasard
Un article de l’EC-Council indique que 64 % des incidents de perte de données sont imputables à des personnes internes qui « avaient de bonnes intentions » ; en d’autres termes, des accidents se produisent. Le terme générique de « menaces internes accidentelles » recouvre un large éventail d’« accidents ou d’incidents » possibles. Certains de ces incidents sont simplement dus à une méconnaissance des risques de sécurité lors de l’exécution d’une tâche ; d’autres, comme le phishing ou l’ingénierie sociale, résultent du fait que des individus sont manipulés par des forces extérieures. La mauvaise configuration des systèmes informatiques constitue un autre domaine où, bien qu’il s’agisse d’un incident accidentel, des forces extérieures peuvent exploiter un système. Les incidents accidentels impliquant des personnes internes se résument souvent à quatre types de problèmes principaux :
- Le facteur « oups » : une incompréhension ou un manque de connaissances concernant les processus de sécurité et les risques. L’étude d’Egress a révélé que 31 % des fuites de données étaient dues au fait qu’un employé avait envoyé des informations par e-mail à la mauvaise personne.
- Supercherie: manipulation par des forces extérieures, par exemple le hameçonnage. L’étude d’Egress a révélé que 41 % des fuites de données accidentelles étaient dues à un e-mail de hameçonnage.
- Mauvaise pratique en matière de sécurité : pratiques insuffisantes d’une entreprise en matière de sécurité, ainsi qu’un manque de mesures coercitives et de formation dans ce domaine
- Manque de compétences en matière de sécurité: mauvaise configuration des systèmes due à une formation insuffisante ou à un manque de compréhension des questions de sécurité au niveau de l’administration informatique
Les initiés malveillants
Les employés et les personnes extérieures à l’entreprise qui ont délibérément l’intention de nuire aux systèmes informatiques ou de voler des données sont qualifiés de « malveillants ». Contrairement aux acteurs internes agissant par inadvertance, les menaces internes malveillantes sont généralement motivées par des raisons telles que l’appât du gain ou la vengeance. Un rapport de Fortinet consacré aux menaces internes a révélé que 60 % des entreprises s’inquiétaient du risque de fuite de données causée par une menace interne malveillante. L’enquête s’est également penchée sur les motivations des acteurs internes malveillants, les trois principales raisons étant les suivantes :
- Fraude (55 %)
- L’argent (49 %)
- Vol de propriété intellectuelle (44 %)
Des initiés malveillants sont même recrutés sur le dark web ; un rapport fait notamment état d’une annonce publiée sur le dark web proposant à un employé de banque de jouer le rôle d’initié malveillant, cette mission étant rémunérée 370 000 roubles (4 400 £) par mois pour une heure de travail par jour.
Exemples de menaces internes
Que la fuite de données ou tout autre incident de sécurité soit le fruit d’un acte malveillant ou d’une erreur, les conséquences sont les mêmes. Les fuites de données et autres problèmes de sécurité entraînent des amendes importantes pour non-conformité, une perte de confiance des clients dans la capacité d’une organisation à protéger les informations sensibles, voire une baisse de la valeur des actions de l’entreprise. Vous trouverez ci-dessous trois exemples d’attaques menées par des initiés qui ont causé un préjudice à l’entreprise :
L’employé mécontent: Une entreprise spécialisée dans la distribution d’équipements de protection individuelle (EPI) pendant la pandémie de Covid-19 a été victime d’un employé en colère. Cet ancien employé, «Dobbins », a créé deux faux comptes d’utilisateur avant d’être licencié. Une fois licencié, Dobbins s’est connecté au système à l’aide de ces faux comptes. Il a ensuite modifié près de 12 000 enregistrements, en supprimant plus de 2 000. Il a finalement désactivé les faux comptes. En procédant à ces modifications, Dobbins a gravement perturbé la livraison des EPI aux professionnels de santé.
Intention malveillante à but lucratif : un employé de BUPA a provoqué une fuite de données touchant 547 000 clients, ce qui a conduit l’ICO britannique à infliger une amende de 175 000 £ à BUPA. Cet employé a utilisé le système CRM de l’entreprise pour s’envoyer les données personnelles des clients de BUPA, avant de tenter de revendre les comptes compromis sur le dark web.
Les accidents arrivent, mais ils sont souvent inexcusables: la « Commission d’enquête indépendante sur les abus sexuels sur mineurs » (IICSA) a fait l’objet d’une enquête après qu’un employé eut envoyé un e-mail groupé à 90 victimes potentielles d’abus sexuels sur mineurs. Cet employé avait simplement utilisé le champ « Cc » au lieu du champ « Cci » pour saisir les adresses e-mail. L’ICO britannique a infligé une amende de 200 000 £ à l’IICSA en vertu de la loi sur la protection des données (DPA2018).
Comment détecter et limiter les menaces internes au sein de votre organisation
Même s’il peut être difficile de détecter et de prévenir les attaques internes, il existe des moyens d’en minimiser l’impact. Voici cinq mesures qui aideront votre organisation à maîtriser les menaces internes :
Formation à la sensibilisation à la sécurité
Étant donné que de nombreuses menaces internes sont accidentelles, les formations de sensibilisation à la sécurité peuvent jouer un rôle important dans la réduction de ce risque cyber. Ces formations devraient aborder les aspects liés aux menaces internes accidentelles, tels que :
- Hygiène de sécurité: par exemple, sensibiliser les collaborateurs à l’importance d’envoyer des données de manière sécurisée.
- Hameçonnage: veiller à ce que les collaborateurs soient bien informés des techniques d’hameçonnage par e-mail et autres, et qu’ils soient conscients du risque de vol d’identifiants via des sites d’hameçonnage.
- Sensibilisation à la conformité: veiller à ce que les collaborateurs soient conscients du rôle qu’ils ont à jouer pour garantir le respect des obligations réglementaires.
« Zero Trust »
De nombreuses menaces internes sont dues à une utilisation abusive ou inappropriée des privilèges et à un contrôle insuffisant de l’accès aux données sensibles. Le modèle « Zero Trust » repose sur le principe « ne jamais faire confiance, toujours vérifier ». Concrètement, cela signifie que les employés et/ou les appareils utilisés sont soumis à des contrôles lorsqu’ils tentent d’accéder à des ressources.
Ces défis reflètent le caractère sensible des ressources ; ainsi, plus les données ou les applications sont sensibles, plus il est nécessaire de s’assurer que la personne qui y accède est bien celle qu’elle prétend être. Une architecture « zero trust » combine des technologies adaptées et une approche architecturale permettant de compartimenter les différentes zones d’un réseau. Parmi les technologies permettant de mettre en œuvre une architecture « zero trust », on peut citer la gestion des informations et des événements de sécurité (SIEM) et un courtier de sécurité d’accès au cloud (CASB).
Authentification et autorisation
Le principe d’une authentification et d’une autorisation robustes repose sur une architecture « zero trust ». L’authentification et l’autorisation tenant compte du contexte ajoutent une couche de contrôle importante à l’accès aux données sensibles. L’utilisation de l’authentification à deux facteurs (2FA) ou multifactorielle (MFA) pour accéder aux applications d’entreprise, en particulier dans le cadre du télétravail, doit être rendue obligatoire. Associés à un système de surveillance, ces processus constituent une couche de sécurité robuste.
Recherche de signes de comportements inhabituels
Les menaces internes malveillantes peuvent être difficiles à détecter, mais certaines technologies basées sur l’apprentissage automatique (ML) peuvent faciliter la détection de ces menaces et alerter votre équipe de sécurité en cas d’activité inhabituelle. L’une d’entre elles est la surveillance des employés sous la forme de l’UEBA (User and Entity Behaviour Analytics, ou analyse du comportement des utilisateurs et des entités). L’UEBA sert à détecter les comportements inhabituels en utilisant l’apprentissage automatique pour repérer les schémas de comportement anormaux lorsque des personnes interagissent avec des appareils et des réseaux.
Lutte contre le phishing et le spam
Les technologies qui empêchent les e-mails de hameçonnage d’atteindre la boîte de réception des employés dès le départ peuvent contribuer à prévenir les fuites accidentelles commises par des collaborateurs. Des solutions peuvent être mises en œuvre pour empêcher les employés d’accéder à des URL malveillantes. Ces services logiciels sont généralement proposés sous forme de plateformes basées sur le cloud. Le filtrage des e-mails et l’analyse du contenu des URL constituent un filet de sécurité utile pour renforcer la formation à la sensibilisation à la sécurité.
Nos collaborateurs constituent notre plus grand atout, et nous devons veiller à ce qu’ils le restent en leur donnant les moyens d’agir grâce à la formation et en les protégeant, ainsi que notre entreprise, grâce aux meilleures technologies de sécurité disponibles.