Sécurité Informatique :
le R.O.I. que vous n’attendiez pas !
Maxime ALAY-EDDINE

Cyberwatch SAS - http://www.cyberwatch.fr...
Faisons connaissance !
• Maxime ALAY-EDDINE

• 24 ans, Consultant SSI

• Président de Cyberwatch SAS

• Simulations d’atta...
- Gene Spafford (aka Spaf)
Expert SSI, membre du Cybersecurity Hall of Fame
Le seul système vraiment sécurisé est
éteint, ...
Source lolsnaps.com
4
La sécurité absolue

n’existe pas.
Il faut viser un « niveau de risque acceptable ».
5
Il faut viser un « niveau de risque acceptable ».
R.O.I.
6
Plan
• Présentation générale

• Evolution des attaques

• R.O.I. et Sécurité informatique

• Démonstration

• Projections ...
Présentation générale
Notions de base et définitions
8
Sécurité des systèmes d’information ?
9
Sécurité des systèmes d’information ?
Le système d'information représente un patrimoine
essentiel de l'organisation, qu'il...
Définition plus « concrète »
Disponibilité
Intégrité Confidentialité
11
Définition plus « concrète »… avec les mains
Disponibilité
Intégrité Confidentialité
Est-ce que mon
système fonctionne ?
Est...
Objectif
Disponibilité
Intégrité Confidentialité
Situation optimale
13
Dans l’industrie, 4 grands critères
14
Des menaces multiples
S
T
R
I
D
E
poofing
ampering
epudiation
nformation Disclosure
enial of Service
levation of Privilege
...
Usurpation d’identité
Le pirate se fait passer pour une entité.
16
Usurpation d’identité
Login
Mot de passe
17
Usurpation d’identité
Login
Mot de passe
Login
Mot de passe
18
Usurpation d’identité
19
Falsification de données
Le pirate modifie des données.
20
Falsification de données
21
Falsification de données
22
Falsification de données
23
Falsification de données
24
Source : https://nakedsecurity.sophos.com/2014/11/04/rugby-teams-site-defaced-to-read-i-love-yo...
Falsification de données
25
Répudiation
Le pirate fait croire qu’un évènement ne s’est jamais produit.
26
Répudiation
27
Répudiation
28
Répudiation
29
Répudiation
30
Divulgation d’informations
Le pirate publie des informations confidentielles.
31
Divulgation d’informations
Login
Mot de passe
32
Divulgation d’informations
Login
Mot de passe
33
Déni de service
Le pirate rend un service inaccessible.
34
Déni de service
35
Déni de service
36
Déni de service distribué
37
Déni de service distribué
38
Elévation de privilège
Le pirate obtient des droits privilégiés sur un système.
39
Elévation de privilège
40
Elévation de privilège
41
Les vecteurs sont eux-aussi multiples
Sécurité physique
Sécurité réseau
Sécurité des applications
Ingénierie sociale
…
42
Pour chaque type d’attaque, il y a une solution
Virus
Malware
IP Spoofing
Man-in-the-Middle
Injection SQL/XSS
Vulnérabilité...
Source : yannarthusbertrand2.org
Les menaces

évoluent et deviennent

de plus en plus complexes.
44
You can't defend. You can't prevent. The
only thing you can do is detect and respond.
- Bruce Schneier
Expert SSI, invente...
Lutter contre les cyber-menaces en pratique ?
Besoin'
d’exper-se'
Manque'
de'temps'
Coût'
très'élevé'
46
Les meilleures solutions ?
Clé$en$mains$
47
Evolution des attaques
Etude de la complexité et des
nouvelles cibles des pirates
48
La bombe logique - 1982
• Dossier Farewell (Vladimir Vetrov)
• Opération créée par la CIA contre un pipeline russe
• Code ...
Kevin Mitnick - 1983
• Kevin Mitnick s’introduit sur le réseau du Pentagone
• S’introduit par « défi » technique
• Ne vole ...
Morris - 1988
• Créé par Robert Tappan Morris (Cornell) en 1988
• Programme conçu pour se répliquer et se propager de
proc...
Jonathan James - 1999
• Pirate la Defense Threat Reduction Agency à 15 ans
• Installe une backdoor sur un serveur, puis un...
MafiaBoy - 2000
• Michael Calce (aka MafiaBoy) réalise des attaques par
Déni de service distribué sur des majors (Amazon, CN...
Estonie - 2007
• L’Estonie subit une attaque majeure de Déni de service
suite au retrait d’un mémorial de guerre lié à la ...
Israël - 2009
• 5.000.000 d’ordinateurs réalisent une attaque de Déni de
service distribué sur les sites gouvernementaux
i...
La Cyber-armée iranienne - 2010
• Des militants iraniens attaquent Twitter et Baidu (Google
chinois).
• Les internautes so...
StuxNet - 2010
• Virus de très haute expertise technique visant les
machines industrielles Siemens.
• Découvert en Iran et...
Sony Pictures Entertainment - 2014
• Vol massif de données (films notamment)
• Les données ont été diffusées sur Internet
•...
Ashley Madison - 2015
• Vol massif de données (60 Go)
• > 30M de comptes utilisateurs rendus publics
• Problème : pas de s...
Ashley Madison - 2015
• (source Gizmodo et Dadaviz)
• Perte financière :

- Chantage auprès des utilisateurs du site

- Cla...
Constat
• Ces attaques évoluent et deviennent de plus en plus
élaborées (Morris -> StuxNet).
• Les attaques sont maintenan...
Les pirates ne cherchent plus le défi
technique, mais la rentabilité économique ou
la diffusion d’idées politiques.
62
Quid des PME ? Des particuliers ?
63
Etude des solutions installées en entreprise
Source : La cybersécurité, Que sais-je ?
Sondage sur les solutions de sécurit...
Etude des solutions installées en entreprise
• Certaines menaces sont traitées de facto
• Les pirates se sont adaptés
• Le...
Rôle des autorités de SSI
• Autorités gouvernementales de la SSI
• 2 rôles majeurs : surveillance, information
66
Les vulnérabilités « connues » ou « historiques »
• Défauts publiés par les autorités, présents dans les
logiciels les plu...
Problème : qui suit ces alertes en continu ?
68
69
Résultat
• Cette liste constitue l’armurerie parfaite pour les pirates
• Les entreprises (en particulier les PME) sont enc...
Source : Gartner
80% des attaques réussies utiliseront au moins
une vulnérabilité connue en 2015.
71
Les pirates cherchent à maximiser leur ROI, et
évoluent en conséquence.
Nous devons donc adapter nos mentalités et
nos moy...
R.O.I. et
Sécurité informatique
Faire de la cybersécurité un
investissement capable de
protéger son patrimoine tout en
cré...
Etude du R.O.I. - Cas classique
Poste
Dépenses Recettes
74
Etude du R.O.I. - Cas classique
Poste
Dépenses Recettes
1. Si Dépenses = 1000 et Recettes = 1100, R.O.I. = +10%
2. Si Dépe...
Et dans la Cybersécurité ?
76
Etude du R.O.I. - Cas de la cybersécurité
Sécurité
Informatique
Dépenses Recettes
Pertes
77
Etude du R.O.I. - Cas de la cybersécurité
Sécurité
Informatique
Dépenses Recettes
Pertes
Cas classique :
- Dépenses = 1000...
Etude du R.O.I. - Cas de la cybersécurité
Sécurité
Informatique
Dépenses Recettes
Pertes
Cas classique :
- Dépenses = 1000...
La sécurité informatique avec une vision
classique de R.O.I. se défend mal.
Pourtant…
80
Etude du R.O.I. - Cas de la cybersécurité
Sécurité
Informatique
Dépenses Recettes
Pertes
Cas classique :
- Dépenses = 1000...
Etude du R.O.I. - Cas de la cybersécurité
Sécurité
Informatique
Dépenses Recettes
Pertes
Cas classique :
- Dépenses = 1000...
La sécurité informatique

préserve la valeur de l’entreprise.
83
La sécurité informatique

préserve la valeur de l’entreprise.
On la perçoit donc comme un outil de
réduction de risque.
84
Les biais de l’approche « Réduction du risque »
• Approche classique Annualized Loss Expectancy (ALE)
• Si je connais :

-...
Les biais de l’approche « Réduction du risque »
• Approche classique Annualized Loss Expectancy (ALE)
• Si je connais :

-...
Les biais de l’approche « Réduction du risque »
• Difficultés pour évaluer le cyber-risque :

- Quel est ma surface d’expos...
Les biais de l’approche « Réduction du risque »
Manque de données sur
l’environnement et ses enjeux.
88
• Difficultés pour ...
Les biais de l’approche « Réduction du risque »
• Question 1 - Que préférez-vous entre :





A : un gain certain de 100 €...
Les biais de l’approche « Réduction du risque »
• Question 2 - Que préférez-vous entre :





A : une perte certaine de 10...
Les biais de l’approche « Réduction du risque »
• Question 1 - Que préférez-vous entre :

A : un gain certain de 100 € — 7...
L’approche classique ALE ne pousse pas à
assainir l’écosystème.
2 solutions :

1) Créer de la valeur avec la cybersécurité...
Créer de la valeur avec la cybersécurité
• Faire de la sécurité informatique un argument commercial :

« Notre système d’i...
Créer de la valeur avec la cybersécurité
• La sécurité informatique augmente alors la valeur perçue
par le client, en term...
Réglementer l’écosystème
• Approche de l’assurance :

- Tout conducteur doit avoir souscrit une assurance auto.

- Tout sa...
Réglementer l’écosystème
• La LPM s’applique aux Opérateurs d’Importance Vitale :

- Transport ;

- Energie ;

- Télécommu...
Démonstration
Attaque par injection XSS

Visite d’un site du Darkweb
97
Projections et
réglementation
Projections sur l’écosystème et
réglementation en cours
98
Evolution globale de la sécurité
DétectionGuérison
Bruce Schneier au FIC 2015
Présent
99
Evolution globale de la sécurité
CorrectionDétectionGuérison
Bruce Schneier au FIC 2015
Présent
100
De la guérison à la prévention
• Guérison : suite à une attaque, opérations de remise en
service du système d’information....
Evolutions réglementaires
• Transposition des directives européennes en France ?
• Extension progressive de la réglementat...
103
Les menaces sont multiples, complexes.
Les technologies de protection deviennent
de plus en plus mûres et automatisées.
No...
Notre avis sur l’avenir ?
L’assainissement de l’écosystème passe par
des solutions de sécurité embarquées,
automatisées et...
Merci pour votre attention !
Questions / Réponses
106
CYBERWATCHCybersecurity as a Service
Protéger - Détecter - Corriger
contact@cyberwatch.fr
http://www.cyberwatch.fr
107
Prochain SlideShare
Chargement dans…5
×

Sécurité informatique : le Retour sur Investissement que vous n'attendiez pas

889 vues

Publié le

Présentation sur la cybersécurité réalisée pour la DFCG
Comment passer d'une approche Annualized Loss Expectancy (ALE) sur l'évaluation de ses risques informatiques, à une approche portant sur la valeur commerciale créée par des outils de cyber-protection ?

Publié dans : Technologie
0 commentaire
0 j’aime
Statistiques
Remarques
  • Soyez le premier à commenter

  • Soyez le premier à aimer ceci

Aucun téléchargement
Vues
Nombre de vues
889
Sur SlideShare
0
Issues des intégrations
0
Intégrations
3
Actions
Partages
0
Téléchargements
67
Commentaires
0
J’aime
0
Intégrations 0
Aucune incorporation

Aucune remarque pour cette diapositive

Sécurité informatique : le Retour sur Investissement que vous n'attendiez pas

  1. 1. Sécurité Informatique : le R.O.I. que vous n’attendiez pas ! Maxime ALAY-EDDINE Cyberwatch SAS - http://www.cyberwatch.fr v1.0 - 09/11/2015 1
  2. 2. Faisons connaissance ! • Maxime ALAY-EDDINE • 24 ans, Consultant SSI • Président de Cyberwatch SAS • Simulations d’attaques (Pentest) • Correcteur de vulnérabilités • Premiers pas dans la sécurité informatique à 12 ans CYBERWATCH 2
  3. 3. - Gene Spafford (aka Spaf) Expert SSI, membre du Cybersecurity Hall of Fame Le seul système vraiment sécurisé est éteint, coulé dans un bloc de béton, scellé par une pièce recouverte de plomb et protégée par des gardes. 3
  4. 4. Source lolsnaps.com 4 La sécurité absolue
 n’existe pas.
  5. 5. Il faut viser un « niveau de risque acceptable ». 5
  6. 6. Il faut viser un « niveau de risque acceptable ». R.O.I. 6
  7. 7. Plan • Présentation générale • Evolution des attaques • R.O.I. et Sécurité informatique • Démonstration • Projections et réglementation • Questions / Réponses 7
  8. 8. Présentation générale Notions de base et définitions 8
  9. 9. Sécurité des systèmes d’information ? 9
  10. 10. Sécurité des systèmes d’information ? Le système d'information représente un patrimoine essentiel de l'organisation, qu'il convient de protéger. La sécurité informatique consiste à garantir que les ressources matérielles ou logicielles d'une organisation sont uniquement utilisées dans le cadre prévu. Source : JF Pillou, Tout sur les systèmes d’information, Dunod 2006 10
  11. 11. Définition plus « concrète » Disponibilité Intégrité Confidentialité 11
  12. 12. Définition plus « concrète »… avec les mains Disponibilité Intégrité Confidentialité Est-ce que mon système fonctionne ? Est-ce que mes données sont bonnes ? Est-ce que mon système est privé ? 12
  13. 13. Objectif Disponibilité Intégrité Confidentialité Situation optimale 13
  14. 14. Dans l’industrie, 4 grands critères 14
  15. 15. Des menaces multiples S T R I D E poofing ampering epudiation nformation Disclosure enial of Service levation of Privilege Usurpation Falsification Répudiation Divulgation d’informations Déni de service Elévation de privilèges 15
  16. 16. Usurpation d’identité Le pirate se fait passer pour une entité. 16
  17. 17. Usurpation d’identité Login Mot de passe 17
  18. 18. Usurpation d’identité Login Mot de passe Login Mot de passe 18
  19. 19. Usurpation d’identité 19
  20. 20. Falsification de données Le pirate modifie des données. 20
  21. 21. Falsification de données 21
  22. 22. Falsification de données 22
  23. 23. Falsification de données 23
  24. 24. Falsification de données 24 Source : https://nakedsecurity.sophos.com/2014/11/04/rugby-teams-site-defaced-to-read-i-love-you-isis/
  25. 25. Falsification de données 25
  26. 26. Répudiation Le pirate fait croire qu’un évènement ne s’est jamais produit. 26
  27. 27. Répudiation 27
  28. 28. Répudiation 28
  29. 29. Répudiation 29
  30. 30. Répudiation 30
  31. 31. Divulgation d’informations Le pirate publie des informations confidentielles. 31
  32. 32. Divulgation d’informations Login Mot de passe 32
  33. 33. Divulgation d’informations Login Mot de passe 33
  34. 34. Déni de service Le pirate rend un service inaccessible. 34
  35. 35. Déni de service 35
  36. 36. Déni de service 36
  37. 37. Déni de service distribué 37
  38. 38. Déni de service distribué 38
  39. 39. Elévation de privilège Le pirate obtient des droits privilégiés sur un système. 39
  40. 40. Elévation de privilège 40
  41. 41. Elévation de privilège 41
  42. 42. Les vecteurs sont eux-aussi multiples Sécurité physique Sécurité réseau Sécurité des applications Ingénierie sociale … 42
  43. 43. Pour chaque type d’attaque, il y a une solution Virus Malware IP Spoofing Man-in-the-Middle Injection SQL/XSS Vulnérabilité … Anti-virus Anti-malware Anti Spoofing Chiffrement Filtrage Correcteur de vulnérabilités … 43
  44. 44. Source : yannarthusbertrand2.org Les menaces
 évoluent et deviennent
 de plus en plus complexes. 44
  45. 45. You can't defend. You can't prevent. The only thing you can do is detect and respond. - Bruce Schneier Expert SSI, inventeur du standard Bluefish 45
  46. 46. Lutter contre les cyber-menaces en pratique ? Besoin' d’exper-se' Manque' de'temps' Coût' très'élevé' 46
  47. 47. Les meilleures solutions ? Clé$en$mains$ 47
  48. 48. Evolution des attaques Etude de la complexité et des nouvelles cibles des pirates 48
  49. 49. La bombe logique - 1982 • Dossier Farewell (Vladimir Vetrov) • Opération créée par la CIA contre un pipeline russe • Code malveillant permettant de faire exploser le pipeline, sans explosif externe • Les dégâts causés étaient visibles depuis l’espace 49
  50. 50. Kevin Mitnick - 1983 • Kevin Mitnick s’introduit sur le réseau du Pentagone • S’introduit par « défi » technique • Ne vole pas de données, conserve un sens éthique • Travaille désormais comme consultant SSI 50
  51. 51. Morris - 1988 • Créé par Robert Tappan Morris (Cornell) en 1988 • Programme conçu pour se répliquer et se propager de proche en proche (Ver / Worm) • Problème : le ver a rencontré une erreur et a causé des dommages sur les ordinateurs infectés. • Plus de 6000 ordinateurs infectés, pour $100M d’amende. 51
  52. 52. Jonathan James - 1999 • Pirate la Defense Threat Reduction Agency à 15 ans • Installe une backdoor sur un serveur, puis un sniffer, pour finalement voler des accès à des ordinateurs militaires • Récupère le code source d’un logiciel de la NASA utilisé sur la Station Spatiale Internationale pour contrôler l’environnement de vie des astronautes • Accusé à tort d’une autre attaque, se suicide en 2008 52
  53. 53. MafiaBoy - 2000 • Michael Calce (aka MafiaBoy) réalise des attaques par Déni de service distribué sur des majors (Amazon, CNN, eBay, Yahoo!) • Explique avoir voulu tester des attaques pour concevoir de nouveaux dispositifs de protection • Les dégâts sont évalués à plus de $1,2Mrds • Reconverti dans la sécurité informatique 53
  54. 54. Estonie - 2007 • L’Estonie subit une attaque majeure de Déni de service suite au retrait d’un mémorial de guerre lié à la Russie. • Les services gouvernementaux sont stoppés • Les services techniques parviennent à remettre en ligne progressivement les systèmes touchés 54
  55. 55. Israël - 2009 • 5.000.000 d’ordinateurs réalisent une attaque de Déni de service distribué sur les sites gouvernementaux israéliens. • Ces attaques sont réalisées pendant l’offensive de Janvier 2009 sur la bande de Gaza. • L’origine des attaques semble être liée à un ancien état soviétique et aux organisations type Hamas/Hezbollah. 55
  56. 56. La Cyber-armée iranienne - 2010 • Des militants iraniens attaquent Twitter et Baidu (Google chinois). • Les internautes sont redirigés vers une page pirate avec un message politique. 56
  57. 57. StuxNet - 2010 • Virus de très haute expertise technique visant les machines industrielles Siemens. • Découvert en Iran et en Indonésie. • Sabotage logiciel contre le programme nucléaire iranien. 57
  58. 58. Sony Pictures Entertainment - 2014 • Vol massif de données (films notamment) • Les données ont été diffusées sur Internet • Perte d’exploitation majeure pour l’entreprise, chiffrée à plus de $100M 58
  59. 59. Ashley Madison - 2015 • Vol massif de données (60 Go) • > 30M de comptes utilisateurs rendus publics • Problème : pas de surveillance du réseau, mots de passe trop simples (Pass1234) 59
  60. 60. Ashley Madison - 2015 • (source Gizmodo et Dadaviz) • Perte financière :
 - Chantage auprès des utilisateurs du site
 - Class-Action contre l’entreprise, coût estimé > $5 M 60
  61. 61. Constat • Ces attaques évoluent et deviennent de plus en plus élaborées (Morris -> StuxNet). • Les attaques sont maintenant médiatisées (Ashley Madison, Daesh…). • Les plus connues concernent avant tout les grandes entreprises et les gouvernements. • Les techniques d’attaques s’industrialisent. • Petit à petit, création d’un milieu « cybercriminel », avec ses enjeux économiques. 61
  62. 62. Les pirates ne cherchent plus le défi technique, mais la rentabilité économique ou la diffusion d’idées politiques. 62
  63. 63. Quid des PME ? Des particuliers ? 63
  64. 64. Etude des solutions installées en entreprise Source : La cybersécurité, Que sais-je ? Sondage sur les solutions de sécurité des entreprises françaises en 2009 64
  65. 65. Etude des solutions installées en entreprise • Certaines menaces sont traitées de facto • Les pirates se sont adaptés • Les menaces les plus « techniques » sont encore oubliées : cas des vulnérabilités dites « connues ». 65
  66. 66. Rôle des autorités de SSI • Autorités gouvernementales de la SSI • 2 rôles majeurs : surveillance, information 66
  67. 67. Les vulnérabilités « connues » ou « historiques » • Défauts publiés par les autorités, présents dans les logiciels les plus répandus (8000 en 2014) • CERT : Computer Emergency Response Team • Objectif : avertir les usagers des nouvelles failles et indiquer comment se protéger Heartbleed Shellshock 67
  68. 68. Problème : qui suit ces alertes en continu ? 68
  69. 69. 69
  70. 70. Résultat • Cette liste constitue l’armurerie parfaite pour les pirates • Les entreprises (en particulier les PME) sont encore trop peu protégées contre ces vulnérabilités • Il est maintenant plus intéressant pour les pirates d’attaquer les PME que les grands groupes. 70
  71. 71. Source : Gartner 80% des attaques réussies utiliseront au moins une vulnérabilité connue en 2015. 71
  72. 72. Les pirates cherchent à maximiser leur ROI, et évoluent en conséquence. Nous devons donc adapter nos mentalités et nos moyens de défense. 72
  73. 73. R.O.I. et Sécurité informatique Faire de la cybersécurité un investissement capable de protéger son patrimoine tout en créant de la valeur 73
  74. 74. Etude du R.O.I. - Cas classique Poste Dépenses Recettes 74
  75. 75. Etude du R.O.I. - Cas classique Poste Dépenses Recettes 1. Si Dépenses = 1000 et Recettes = 1100, R.O.I. = +10% 2. Si Dépenses = 1000 et Recettes = 1000, R.O.I. = 0% 3. Si Dépenses = 1000 et Recettes = 900, R.O.I. = -10% 75
  76. 76. Et dans la Cybersécurité ? 76
  77. 77. Etude du R.O.I. - Cas de la cybersécurité Sécurité Informatique Dépenses Recettes Pertes 77
  78. 78. Etude du R.O.I. - Cas de la cybersécurité Sécurité Informatique Dépenses Recettes Pertes Cas classique : - Dépenses = 1000, Pertes = 0 - Dépenses = 0, Pertes = 5000 78
  79. 79. Etude du R.O.I. - Cas de la cybersécurité Sécurité Informatique Dépenses Recettes Pertes Cas classique : - Dépenses = 1000, Pertes = 0, Recettes = 0 - Dépenses = 0, Pertes = 5000, Recettes = 0 79
  80. 80. La sécurité informatique avec une vision classique de R.O.I. se défend mal. Pourtant… 80
  81. 81. Etude du R.O.I. - Cas de la cybersécurité Sécurité Informatique Dépenses Recettes Pertes Cas classique : - Dépenses = 1000, Pertes = 0, Recettes = 0 - Dépenses = 0, Pertes = 5000, Recettes = 0 81
  82. 82. Etude du R.O.I. - Cas de la cybersécurité Sécurité Informatique Dépenses Recettes Pertes Cas classique : - Dépenses = 1000, Pertes = 0, Recettes = 0 - Dépenses = 0, Pertes = 5000, Recettes = 0 Total : -1000 Total : -5000 82
  83. 83. La sécurité informatique
 préserve la valeur de l’entreprise. 83
  84. 84. La sécurité informatique
 préserve la valeur de l’entreprise. On la perçoit donc comme un outil de réduction de risque. 84
  85. 85. Les biais de l’approche « Réduction du risque » • Approche classique Annualized Loss Expectancy (ALE) • Si je connais :
 - mon risque
 - mes pertes potentielles • Alors Budget ≤ Risque x Pertes 85
  86. 86. Les biais de l’approche « Réduction du risque » • Approche classique Annualized Loss Expectancy (ALE) • Si je connais :
 - mon risque
 - mes pertes potentielles • Alors Budget ≤ Risque x Pertes 10% de chances d’avoir un Accident 10.000.000€ de pertes attendues si l’Accident se produit Budget ≤ 1.000.000€ pour couvrir ce risque Ex : 86
  87. 87. Les biais de l’approche « Réduction du risque » • Difficultés pour évaluer le cyber-risque :
 - Quel est ma surface d’exposition ?
 - Quel est mon niveau de sécurité ?
 - Quelles sont les menaces ? • Difficultés pour évaluer les pertes :
 - Quels sont mes principaux assets ?
 - Quelles sont mes pertes potentielles matérielles ?
 - Quelles sont mes pertes potentielles immatérielles ? 87
  88. 88. Les biais de l’approche « Réduction du risque » Manque de données sur l’environnement et ses enjeux. 88 • Difficultés pour évaluer le cyber-risque :
 - Quel est ma surface d’exposition ?
 - Quel est mon niveau de sécurité ?
 - Quelles sont les menaces ? • Difficultés pour évaluer les pertes :
 - Quels sont mes principaux assets ?
 - Quelles sont mes pertes potentielles matérielles ?
 - Quelles sont mes pertes potentielles immatérielles ?
  89. 89. Les biais de l’approche « Réduction du risque » • Question 1 - Que préférez-vous entre :
 
 
 A : un gain certain de 100 €
 B : 1 chance sur 2 de gagner 200 € (ou 0€) 89
  90. 90. Les biais de l’approche « Réduction du risque » • Question 2 - Que préférez-vous entre :
 
 
 A : une perte certaine de 100 €
 B : 1 chance sur 2 de perdre 200 € (ou 0€) 90
  91. 91. Les biais de l’approche « Réduction du risque » • Question 1 - Que préférez-vous entre :
 A : un gain certain de 100 € — 72%
 B : 1 chance sur 2 de gagner 200 € (ou 0€) • Question 2 - Que préférez-vous entre :
 A : une perte certaine de 100 €
 B : 1 chance sur 2 de perdre 200 € (ou 0€) — 64% Problèmes équivalents mais humain irrationnel. Phénomène d’aversion à la perte (Tversky, Kahneman, 1986). 91
  92. 92. L’approche classique ALE ne pousse pas à assainir l’écosystème. 2 solutions :
 1) Créer de la valeur avec la cybersécurité.
 2) Réglementer l’écosystème. 92
  93. 93. Créer de la valeur avec la cybersécurité • Faire de la sécurité informatique un argument commercial :
 « Notre système d’information a été audité pendant 5 jours par une équipe d’experts en sécurité. Avec nous, vos données sont protégées. » • Inclure des solutions de sécurité dans ses produits :
 - Voitures vendues avec des alarmes en option.
 - Infogéreurs vendent des serveurs infogérés avec une option sécurité. 93
  94. 94. Créer de la valeur avec la cybersécurité • La sécurité informatique augmente alors la valeur perçue par le client, en termes de qualité. • Le fait d’embarquer des solutions permet d’apporter en plus du confort et de la simplicité. • Ces approches réduisent le risque informatique, et en déportent le coût sur le client final. 94
  95. 95. Réglementer l’écosystème • Approche de l’assurance :
 - Tout conducteur doit avoir souscrit une assurance auto.
 - Tout salarié cotise à l’assurance chômage. • Depuis 2013, Loi de Programmation Militaire :
 - Fixe des obligations comme l’interdiction de connecter certains systèmes à Internet ;
 - Met en place de systèmes de détections par des prestataires labélisés par l’Etat ;
 - Vérifie le niveau de sécurité des SI critiques à travers un système d’audit ;
 - Et en cas de crise majeure, de peut imposer les mesures nécessaires aux opérateurs. Source cyberstrategie.org 95
  96. 96. Réglementer l’écosystème • La LPM s’applique aux Opérateurs d’Importance Vitale :
 - Transport ;
 - Energie ;
 - Télécommunications… • Les OIV doivent notifier les attaques informatiques à l’Agence Nationale de la Sécurité des Systèmes d’Information. • Au niveau européen, directives votées en 2014 permettent à chaque Etat d’avertir le public d’une attaque sur OIV… 96
  97. 97. Démonstration Attaque par injection XSS Visite d’un site du Darkweb 97
  98. 98. Projections et réglementation Projections sur l’écosystème et réglementation en cours 98
  99. 99. Evolution globale de la sécurité DétectionGuérison Bruce Schneier au FIC 2015 Présent 99
  100. 100. Evolution globale de la sécurité CorrectionDétectionGuérison Bruce Schneier au FIC 2015 Présent 100
  101. 101. De la guérison à la prévention • Guérison : suite à une attaque, opérations de remise en service du système d’information. • Détection : pendant une attaque, opérations de blocage des tentatives d’intrusion. • Correction : mise en place des barrières techniques lors de chaque nouvelle menace, avant même que les pirates ne puissent les exploiter. 101
  102. 102. Evolutions réglementaires • Transposition des directives européennes en France ? • Extension progressive de la réglementation imposée aux OIV à l’ensemble des entreprises françaises ? • Vers une assurance Cyber-Risques obligatoire ? Objectif : Atteindre la « Cyber-Résilience » européenne 102
  103. 103. 103
  104. 104. Les menaces sont multiples, complexes. Les technologies de protection deviennent de plus en plus mûres et automatisées. Nous passons d’une stratégie d’action en aval à une stratégie d’action en amont. Conclusion 104
  105. 105. Notre avis sur l’avenir ? L’assainissement de l’écosystème passe par des solutions de sécurité embarquées, automatisées et économiques, et supportées par des évolutions réglementaires. 105
  106. 106. Merci pour votre attention ! Questions / Réponses 106
  107. 107. CYBERWATCHCybersecurity as a Service Protéger - Détecter - Corriger contact@cyberwatch.fr http://www.cyberwatch.fr 107

×