openspace

Une étude récente réalisée pour la 6e Annual Enterprise IT Security Survey nous apprend que 67% des grandes entreprises (plus de 5000 employés) et 59% des PME ont subies des attaques de leur système informatique en 2010. Des chiffres en augmentation par rapport à 2009.

Il est intéressant de regarder quelles sont les raisons de ces attaques, invoquées par les entreprises elles-même. En effet, pour de nombreuses entreprises ces attaques sont dues à :

- des pirates (Quelle perspicacité ! En général ce n'est pas la DSI qui attaque son propre système...)
- un manque de mesures de sécurité adéquates (oui en effet, ce point et le précédent se rejoignent !)
- l'usage que font du web les employés de la société (c'est bien connu, la pire faille de sécurité d'un système se trouve entre la chaise et le clavier)

Pour expliquer la réussite des tentatives d'intrusion, les DSI invoquent les virus, spywares, malwares, entre autres. Les autres facteurs évoqués sont la négligence des utilisateurs, comme les mots de passe trop facile à deviner, par exemple.

De ce constat, ce que je retire, c'est quand même que pour attaquer un système informatique d'une entreprise de plus de 5000 employés (c'est pas l'artisan du coin, quand même !), il suffit que ladite entreprise dispose d'une structure qui soit "sensible" aux virus et spyware, chevaux de Troie, etc. Quant aux utilisateurs, il suffit de leur donner des droits root (ou administrateur) en permanence pour qu'un mot de passe un peu trop simple soit effectivement une jolie porte d'entrée. Encore faut-il derrière que le système informatique se laisse faire sans beaucoup se défendre pour que le tour soit joué.

Les DSI accusent également l'absence de mise à jour et de correction de failles de sécurité de leurs logiciels comme facilitateur d'attaque. C'est certain. Mais entre un OS qui ne sait pas se défendre et des logiciels plein de trous, on obtient une structure passoire...

Peut-être faudrait-il commencer par penser autrement en terme de sécurité, dans les entreprises en général, et les plus grandes en particulier. Et si la faute ne revenait pas vraiment au pirate ou à l'employé mais à l'OS et l'ensemble des systèmes utilisés (serveurs, connexions, logiciels...) ? Les audits des systèmes informatiques sont en progression, pour palier les problèmes. Espérons qu'ils soient efficacent pour faire changer le point de vue, avant les comportements.