Revue de la détection des menaces : Menaces internes dans la cybersécurité

À l'échelle mondiale, 67 % des entreprises connaissent entre 21 et 40 incidents liés à des initiés par an, selon le rapport The Cost of Insider Threats 2022 du Ponemon Institute. Ce même rapport révèle que la fréquence et le coût des attaques internes ont considérablement augmenté au cours des deux dernières années. Les menaces internes sont l'une des attaques les plus difficiles à prévoir et à prévenir, en raison de la difficulté à identifier les initiés. On entend généralement par "initié" un employé ayant un accès potentiel à des données sensibles. Mais un initié est bien plus qu'un simple employé, ce qui nous amène à reconsidérer la question : Qui est un initié ?

Qui est un initié ?

Sur la base de la combinaison de scénarios et des diverses définitions disponibles, une entité peut être considérée comme un initié si :

• Ils sont directement ou indirectement associés à l'entreprise.
• Ils ont un accès régulier à des informations sensibles appartenant à, ou contrôlées par l'entreprise.
• Ils exposent des données par inadvertance en raison d'une négligence ou d'un manque de savoir-faire en matière de sécurité.

Les acteurs qui agissent dans l'intention malveillante de voler des données sont appelés acteurs de la menace interne. Pour faire simple, le terme "utilisateurs" dans la section suivante ne désigne pas seulement les employés, mais toutes les parties prenantes, comme les partenaires, qui ont accès aux données de l'entreprise. De manière générale, les initiés peuvent être de deux types :

Les initiés involontaires : Ce groupe comprend tous les utilisateurs qui, par manque de sensibilisation ou par négligence des procédures de l'entreprise, finissent par exposer des données organisationnelles. Il peut s'agir de la perte de clés USB contenant des données officielles ou du non-respect par les employés des règles de sécurité des mots de passe.

Les acteurs de la menace interne : Ce groupe comprend tous les utilisateurs ayant une motivation monétaire ou personnelle pour exposer des données organisationnelles. Il peut s'agir, par exemple, d'anciens employés mécontents, d'employés actuels qui peuvent obtenir de meilleures opportunités professionnelles en échangeant des données internes, et de partenaires qui peuvent obtenir de meilleures affaires sur la base de données internes.

Pourquoi est-il difficile de repérer les menaces internes ?

Les initiés sont souvent des entités de confiance ayant des rôles organisationnels spécifiques. Vous ne seriez pas en mesure de prévoir les attaques d'une menace inexistante, c'est-à-dire jusqu'à ce qu'elles se produisent. Ce seul fait rend la prédiction extrêmement difficile. Si l'on ajoute à cela les utilisateurs par inadvertance, qui peuvent ignorer qu'ils ont exposé des données organisationnelles, la difficulté est multipliée. Selon le rapport Ponemon "Insider Threat 2022", les employés ou entrepreneurs négligents ont été à l'origine de 56 % des menaces internes. Pour identifier la source d'une menace, les spécialistes de la sécurité IT doivent surveiller les fuites involontaires et repérer les exploitations intentionnelles des failles de sécurité. Cela revient à lutter contre le feu en essayant de trouver la source de l'incendie, ce qui nous amène à la question la plus importante.

Comment atténuer les menaces internes ?

Pour lutter contre les menaces internes délicates, il est préférable d'organiser les efforts en fonction de la définition de l'initié. J'entends par là la création de stratégies de détection et de réponse aux menaces pour autant de scénarios que possible. Une combinaison d'audits de l'activité des utilisateurs, de protection des données en cours d'utilisation, en transit et au repos, de campagnes de sensibilisation des parties prenantes et de contrôles de sécurité adéquats pour les dispositifs de stockage des données sont quelques-unes des approches possibles. Plusieurs outils de détection des menaces internes sont disponibles pour lancer la surveillance de l'activité des utilisateurs et des données dans les entreprises.

Vous trouverez ci-dessous un plan approximatif pour commencer à prévenir les menaces internes. Notez que des idées d'outils et de processus permettant de mettre en œuvre les suggestions sont énumérées à la ligne suivante. Il ne s'agit pas de recommandations d'un expert en sécurité, mais d'enseignements tirés d'études continues sur les menaces internes.