Menaces sur les secteurs réglementés

Chez Verizon, nous travaillons sans relâche au renforcement de la sécurité d’entreprises opérant dans différentes branches d’activité. Nous accompagnons notamment les acteurs de secteurs fortement réglementés (tels que les services financiers) pour 1) respecter un cadre règlementaire très strict et 2) déjouer des attaques d’ingénierie sociale toujours plus complexes. A minima, leurs collaborateurs devraient toujours travailler sur des équipements informatiques fournis par l’entreprise. En effet, l’usage d’ordinateurs personnels sans logiciel de conservation des données peut avoir de lourdes conséquences juridiques et financières, comme nous l’avons vu précédemment.

Rien qu’aux États-Unis, plus de 1,5 Md$ d’amendes ont été infligées depuis que la SEC a commencé à enquêter sur la tenue de registres des établissements financiers⁶. Parmi les firmes incriminées, 16 entreprises de Wall Street ont été condamnées à une amende de 1,8 Ms$
pour avoir permis à des employés de communiquer sur des opérations et des transactions sur des appareils personnels via textos/WhatsApp⁷. Malgré leur efficacité, les logiciels de gestion des appareils mobiles (MDM) ne garantissent pas une protection à 100 % des smartphones ou tablettes personnels. Dès lors, il incombe à l’utilisateur d’adopter les bons réflexes d’hygiène cyber.

Les équipements fournis par l’entreprise sont autrement plus sécurisés que les ordinateurs et smartphones personnels, sans compter qu’ils permettent à l’équipe IT d’avoir un meilleur contrôle, non seulement sur les communications internes/externes, mais aussi sur l’intégrité et la sécurité des appareils eux-mêmes. En équipant leurs collaborateurs d’appareils Verizon, les entreprises parviennent à des niveaux de protection et de contrôle de sécurité inatteignables sur des terminaux personnels.

Elles peuvent ainsi remédier aux vulnérabilités les plus répandues. Par exemple, beaucoup d’entreprises sont confrontées à des avalanches d’appels robotisés – une vraie plaie pour elles en termes de conformité. Pour les banques, la détection de ces appels automatisés s’avère toujours plus compliquée, notamment avec l’usage de deepfakes permettant aux cybercriminels de se faire passer pour des clients.

Pour lutter contre de telles attaques, Verizon propose des solutions de protection et d’authentification des appels et messages vocaux conformes aux réglementations.

Mais les services financiers ne sont pas les seuls acteurs réglementés à subir un feu d’attaques nourri. Les prestataires de santé sont également visés par l’ingénierie sociale, à commencer par le smishing et le vishing des personnels d’hôpitaux. Certains fournisseurs d’accès Internet (FAI) peu regardants sur les questions de sécurité peuvent en effet attribuer aux hackers des numéros qu’ils utiliseront pour mener leurs attaques.

Les entreprises peuvent aussi prendre les devants en faisant appel aux services de protection des dirigeants proposés par Verizon. Notre équipe de threat hunting parcourt le dark web afin de détecter et de supprimer des données d’identification personnelle de cadres et dirigeants d’entreprises (adresses e-mail, numéros de téléphone, adresses physiques...), lesquelles pouvant servir à des tactiques d’ingénierie sociale contre ces personnes, mais aussi leur famille et leurs proches.

Élaborer un plan de défense complet

Pour protéger votre réseau contre les attaques d’ingénierie sociale, vous devez commencer par bien cerner la nature des cyber-risques. Cette étape implique de définir les meilleurs moyens d’atténuer, de minimiser, de transférer ou d’accepter les risques identifiés. Étape cruciale s’il en est, cet audit vous permet d’inventorier vos assets informatiques, d’identifier vos entités à risque et de définir votre appétence au risque. À partir de là, il est beaucoup plus facile d’élaborer un plan de défense global dans la mesure où vous avez une idée précise de vos objectifs de sécurité, mais aussi des signaux à observer.

Votre plan de défense contre les attaques d’ingénierie sociale s’appuiera sur deux fonctions principales : la détection des menaces et l’application de mesures de confiance. Toutes deux ont la même importance pour détecter et neutraliser à la fois les menaces majeures et les vulnérabilités mineures.

Discipline à part entière de la cybersécurité, la détection des menaces a pour mission d’identifier et de traiter différents types de menaces dès qu’elles surviennent : cyberattaques, compromissions, violations de données et autres incidents. Le principe consiste à repérer, puis à bloquer les accès non autorisés, les malwares et autres tactiques d’ingénierie sociale. Quant à l’application des mesures de confiance, elle consiste à anticiper les attaques potentielles en faisant appel à des techniques telles que la gestion des identités, les mots de passe, le chiffrement, le contrôle d’accès et l’authentification. À elles deux, ces pratiques forment l’ossature d’un plan de défense anti-ingénierie sociale plus global, destiné à protéger les réseaux, applications, terminaux et identités.

Verizon propose la détection des menaces et l’application des mesures de confiance dans cinq grands domaines de contrôle : formation et sensibilisation à la sécurité, politique de sécurité mobile, contrôles de protection, détection/réponse et surveillance/tests portant sur les appareils, les applications, les identités et les réseaux.
 

Ingénierie sociale – Nos conseils pour élaborer un plan de défense