Le temps de la sécurité des accès par mots de passe est révolu, place à l’analyse comportementale et de l’environnement des utilisateurs. Face à la recrudescence des cyberattaques, les moyens et méthodes traditionnels de protection et de sécurité du SI et des données sensibles et/ou personnelles tendent à laisser la place à des techniques de détection de signaux faibles et des menaces sans signature. La construction d’une empreinte numérique infaillible de l’utilisateur déterminée à partir de son lieu de connexion, fréquence et habitudes est en marche.

Principal acteur de la sensibilisation cyber des entreprises et des administrations en France, l’Agence Nationale de la Sécurité des Systèmes d’Information anime la communauté de la filière sécurité en France, donne des conseils et délivre des certifications et labels ciblés (SecNumEdu, SecNumCloud…). Au cours du Grand Entretien de la rédaction avec le délégué régional de l’ANSSI, seront notamment abordés les priorités 2019 de l’agence, ainsi qu’un éclairage local sur les cybermenaces en cours et les moyens à mobiliser pour limiter les risques.

La virulence des cyberattaques couplée à l’ingéniosité des pirates pour exploiter aussi bien les faiblesses techniques qu’humaines, amènent les entreprises à repenser leur stratégie de sécurité des SI. En plus des traditionnels tests d’intrusion, le recours à un hacker éthique dont le profil s’étend du professionnel chevronné de la sécurité en entreprise au passionné autodidacte – permet de découvrir un point de vue inédit sur sa sécurité. (avec RSSI,DSI, CISO, DPO …)

Deux démonstrations de test d’intrusion seront effectuées en direct : une première sur l’exploitation de failles web liées à des environnements cloud et une seconde autour de l’USB Rubber Ducky où quand la clé USB devient un clavier USB.

Le Hacking étique est complémentaire aux tests d’intrusion traditionnel car l’évolution perpétuelle de notre SI suite à son éclatement dans le Cloud ou ses interconnexion avec les objets connectés, augmente sa surface d’attaque et demande plus de proactivité dans l’identification de ses faiblesses. Les cybercriminels sont plus innovant et sans limite de moyen. Il faut donc changer notre approche sur les techniques d’audit. Par contre il est important de définir le périmètre de l’ensemble de ces exercice et rappeler qu’ils doivent respecter un cadre légal.

De la formation aux moyens de communication en passant par la prise de contact avec les équipes terrain, les moyens d’action à mener pour sensibiliser les collaborateurs aux risques cyber sont nombreux. Comment activer un plan cybersensibilisation et gagner l’adhésion des utilisateurs ? Eléments de réponse et pistes de réflexion autour d’un cas concret.