Retour sur le site entreprise
Secure by design (SBD) ou, en Français, sécurisé “by design”… Cela consiste à intégrer la notion de sécurité dès la conception d’un produit ou d’un service. Cela s’applique aux logiciels, aux accès Internet mais aussi à l’usage de l’email. Focus sur une approche qui gagne à être connue et zoom sur l’incontournable accompagnement des opérateurs télécom.
SBD, une approche intégrée de la sécurité informatique
Depuis quelques décennies désormais, les produits et services proposés sur le net se développent à grande vitesse. Les entreprises, de la TPE aux grandes filiales, sont désormais utilisatrices d’applications, de services et outils en ligne. Avec ces nouveaux usages, accélérés par le développement de nouveaux modes d’organisation comme le télétravail, les risques de sécurité sont plus élevés et la cybercriminalité plus présente. Outre les bonnes pratiques à distiller en interne, il est aujourd’hui nécessaire de penser « sécurité » dès la conception des logiciels via le Secure by design.
Une nouvelle définition de l’architecture sécuritaire des softwares
En effet, les nouveaux usages en ligne ont maximisé la surface d’attaque, ont développé les points d’entrée, et considérablement accru le nombre de menaces et les potentiels dommages auxquelles le système informatique est soumis. Des menaces pour les intérêts économiques de l’entreprise, mais aussi pour la sécurité des utilisateurs, des codes secrets, des diverses données.
Ainsi, l’approche « Secure by design » a pour objectif de limiter les risques et d’accroître la cybersécurité d’un produit donné, dès sa conception, et ce tout au long de son cycle de vie.
La donnée sécuritaire est ainsi intégrée dès l’architecture des logiciels, objets connectés ou applications, architecture qui est pensée pour être assez robuste et résistante face aux éventuels problèmes de sécurité (violations de sécurité, potentielles défaillances, etc.) qui se présenteraient.
Les trois grands principes du « Secure by design »
L’approche Secure by design repose sur trois grands principes qui lui confèrent son efficacité !
Ces trois grands principes majeurs sont :
- Le fait de minimiser la surface d’attaque : la surface d’attaque est le terme consacré utilisé pour représenter tous les points d’entrée avec l’extérieur que possède un système d’information (SI). Ces points d’entrée peuvent ainsi tout autant être relatifs aux réseaux (IP actives, ports ouverts, protocoles…), aux logiciels, aux actions humaines (tentatives de fishing, attaques diverses, …) que physiques, c’est à dire une véritable intrusion dans les locaux de l’entreprise. Un des principes fondateurs du Secure by design est donc d’identifier ces points d’entrées et diverses vulnérabilités du SI en termes de cybercriminalité, et de restreindre drastiquement cette surface d’attaque afin qu’elle soit moins vulnérable par le biais d’outils de surveillance et d’analyses sécuritaires régulières (tests d’intrusion notamment).
- Le fait de distinguer les privilèges en adoptant la logique du « moindre privilège » : le second grand principe consiste à distinguer, mais aussi restreindre les privilèges, c’est à dire de partir de la logique du « moindre privilège ». Ainsi, chaque utilisateur du système d’information de l’entreprise possède un rôle bien défini et une répartition claire de ses tâches. Cette logique de séparation des rôles ne lui donne accès qu’à certaines zones du SI dont il a besoin pour assurer son poste et diverses missions afférentes. Dans ce cadre de la distinction des privilèges, la sécurité du code permettant de bénéficier de nouveaux droits au sein du SI est respectée et seul les administrateurs du système peuvent répondre à une demande et accorder des droits plus privilégiés au sein de l’annuaire des usagers. Cette disposition permet de réduire le risque de violation de la sécurité des utilisateurs. Cette bonne pratique de restriction des privilèges permet le cloisonnement de l’environnement et, de fait, conduit aussi à la réduction de la surface d’attaque.
- Le choix d’une défense en profondeur : le troisième grand principe se nomme la défense en profondeur, ou defense in depth. Terminologie issue du jargon militaire, cette approche permettant de lutter contre la cybercriminalité consiste à créer une sorte de barrière face aux différentes menaces lorsqu’elles se présentent. Plutôt que de laisser la sécurité reposer sur un seul élément du système d’information, la défense en profondeur consiste à créer des barrières de défense indépendantes et coordonnées. Par conséquent, la sécurité ne dépend plus dès lors d’un élément isolé, mais bien d’un ensemble d’éléments cohérents.
À ces trois grands principes, peuvent être ajoutés la nécessité de rester vigilant vis-à-vis des services tiers, c’est à dire de toujours effectuer des analyses de vulnérabilité ou encore des tests de pénétration régulier afin de continuer à distiller les bonnes pratiques et de garantir la sécurité des utilisateurs.
À noter, enfin, qu’en cas d’erreurs dans le cadre de fonctions transactionnelles, il est impératif de maintenir la sécurité du code mentionnant l’erreur en le gardant secret. En effet, le divulguer pourrait permettre aux attaquants des informations de mieux comprendre le fonctionnement du système d’information de l’entreprise, ce qui serait hautement préjudiciable.
La nécessaire sécurisation des appareils connectés (IOT), accompagnée par l’OWASP
Ainsi, que ce soit pour des raisons économiques, de sécurité des utilisateurs ou encore de secret de l’information :
Il est aujourd’hui essentiel de penser la sécurité, le Secure by design, dès la conception et tout au long du cycle de vie, notamment dans une période d’augmentation du nombre d’appareils connectés (les IOT) et de l’accroissement du stockage des données en ligne.
L’internet des objets (c’est à dire les appareils connectés – IOT), se doit d’être Secure by design en intégrant le risque et la sécurité dès la conception des produits. Ainsi, l’idée de départ n’est plus de lutter contre les défaillances une fois constatées, mais bien de renforcer en profondeur le SI avec un système de défense proactif qui identifie et prévient les risques.
Pour accompagner les développeurs à intégrer l’approche Zecure by design, il existe une organisation internationale à but non lucratif nommée l’OWASP. L’OWASP Foundation, pour Open Web Application Security Project Foundation, réunit une véritable communauté en ligne distillant les bonnes pratiques en matière de sécurité des applications sur le web.
Cet organisme met en place des outils, énonce des principes de développement et met en lien les experts en sécurité et différents développeurs. Idéal pour se faire accompagner dans la mise en place du Secure by design, domaine pouvant être opaque aux non ou peu initiés. C’est pourquoi, quelle que soit la taille de l’entreprise, TPE, PME ou grands groupes internationaux, en matière de Secure by design l’opérateur en télécommunication joue un rôle déterminant.
Le rôle clé de l’opérateur télécom
En effet, en matière de Secure by design, l’opérateur télécom est à vos côtés pour vous aider. Afin de commencer dans cette démarche de sécurité « by design », un opérateur peut proposer à ses clients, la sécurisation de leurs flux Internet en cœur de réseau. Cette première approche est valable quels que soient le secteur d’activité et la taille des organisations.
Flux internet : des contrôles à plusieurs niveaux
Il existe tout d’abord des offres simples, très standardisées. Elles bloquent tous les contenus suspects, depuis les virus qui pourraient transiter sur le lien internet jusqu’aux tentatives d’intrusion susceptibles d’exploiter une ou plusieurs failles de sécurité. C’est le cas par exemple de l’offre Internet Sécurisé de Bouygues Telecom Entreprises. La base pour des échanges sereins !
Des offres plus poussées sont également disponibles. Elles protègent le réseau VPN-MPLS que l’opérateur fournit à ses clients. Ceci vous intéressera notamment si votre entreprise possède plusieurs sites distants : en installant un accès sécurisé à un réseau privé de type VPN-MPLS, vous créez un réseau multi sites qui protège vos données.
« En complément du réseau VPN-MPLS, nous proposons le service Gateway Sécurité qui constitue une solution tout-en-un pour répondre aux besoins accrus en cybersécurité. Cette solution Unified Threath Management (gestion unifiée des menaces) permet de déployer une sécurité multicouche des accès Internet. Elle vient compléter la sécurisation du réseau et du système d’information des clients », déclare Benoît Cayer, Chef de produits cybersécurité chez Bouygues Telecom Entreprises.
Sécurité des emails : une brique incontournable
Les solutions assurant la sécurité des emails sont elles aussi indispensables. D’un côté, il est très facile de bloquer la navigation vers des sites internet malveillants (lorsqu’ils sont identifiés comme tels). Mais côté entreprise, contrôler le flux de tous ses emails est plus complexe.
« Le flux email repose sur le protocole SMTP qui a très peu évolué en 50 ans d’existence. Et pourtant, c’est le moyen de communication le plus utilisé dans le monde. Le problème de la messagerie électronique est qu’elle rentre directement dans le réseau, de manière encapsulée, et arrive directement à l’utilisateur », analyse Benoît Cayer.
Le hic ? Les principaux emails de phishing invitent les utilisateurs à se connecter à des sites qui ne sont pas encore connus, donc pas encore bloqués par les bases répertoriant les URL malveillantes.
Mais il y a, là aussi, une parade. « Notre solution Sécurité Mail comporte un environnement complètement étanche : la sandbox. Elle réalise l’analyse comportementale de tous les emails qui n’ont pas de signature malveillante. Le risque pour l’utilisateur d’ouvrir un mail malicieux s’en trouve fortement minoré », ajoute Benoit Cayer.
La protection contre les attaques de type DDoS
Troisième niveau de réponse qu’un opérateur peut proposer à sa clientèle : se protéger contre les attaques par déni de service (DDoS). Vous connaissez ces attaques ? Les pirates se connectent tous en même temps sur le serveur d’une entreprise, ils saturent ainsi les ressources et le lien Internet, ce qui empêche l’entreprise d’utiliser sa connexion.
La riposte est simple, comme nous explique Benoît Cayer : « Ce sont des attaques le plus souvent aléatoires mais qui peuvent également être ciblées. En tant qu’opérateur, nous disposons de solutions pour s’en protéger. Dès qu’un flux important arrive dans notre cœur de réseau à destination d’un client, il est nettoyé ». C’est le principe notamment de l’offre Anti-DDoS proposée par Bouygues Telecom Entreprises.
Des prestations de conseil et d’audit pour aller plus loin
Comme nous pouvons le voir, il existe une panoplie de solutions. Imbriquées les unes aux autres, elles permettent aux opérateurs télécom de créer un très bon niveau de protection des usages internet de leurs clients. « Bien évidemment, nous pouvons aller plus loin. Notre position d’opérateur fait que nous avons développé des partenariats avec des intégrateurs et des sociétés de conseil. Nous apportons ensemble des réponses fortement personnalisées à nos clients », commente Benoît Cayer.
Des exemples de ces prestations de conseil et d’audit ? Citons les tests d’intrusion, qui vérifient que tout ce qui a été mis en place est étanche et efficace. Ou les fausses campagnes de phishing, qui testent les réactions des collaborateurs dans un but pédagogique. Prévention et vigilance avant tout !
Dans certains cas, l’opérateur peut aussi apporter une réponse “physique”, notamment avec des briques SD-WAN sécurisées. Ces équipements sont placés directement sur le site du client. La sécurité est alors qualifiée de « périmétrique », au plus proche des besoins de l’entreprise. Notez que nos solutions SD-WAN incluent systématiquement un pare-feu, un antivirus et une protection Anti-DDos. Toujours pour vous préserver des cyber-attaques qui engorgent les réseaux pour ralentir et interrompre toute connectivité.
« Quand nous parlons de “secure by design”, nous pensons à la conception même d’un accès Internet. C’est la raison pour laquelle il est essentiel de mettre en place les briques proposées par l’opérateur. Qui mieux que lui est en mesure de protéger les clients contre les cybermenaces, au cœur même de son réseau ? Nous voyons passer les attaques, nous sommes donc à la meilleure place pour protéger les flux télécom », conclut justement Benoît Cayer.
Ce qu’il faut retenir :
- Le secure by design consiste à intégrer la notion de risque et celle de sécurité dès la conception d’un produit, d’un service ou d’une application, et ce tout au long de son cycle de vie.
- Le secure by design repose sur trois grands principes : la minimisation de la surface d’attaque, la distinction des privilèges et la défense en profondeur.
- Avec le secure by design, l’idée est bien de renforcer le système avec une défense proactive qui prévient les risques en amont.
- L’organisme non lucratif international OWASP Foundation, véritable communauté en ligne, permet une diffusion de guides et de bonnes pratiques en matière de sécurité des applications sur le web.
- Contrôle des flux internet, sécurité des emails, protection contre les attaques DDoS, conseils ou audits, etc. : votre opérateur télécom est là pour vous accompagner dans le secure by design.
