Certains des plus grands noms de l’informatique et des fournisseurs de services, dont AT&T, Cisco, Fortinet, VMware et Intel, ont lancé aujourd’hui un groupe industriel promettant des solutions qui améliorent la sécurité des données et des réseaux informatiques.
Appelé Network Resilience Coalition, le groupe espère résoudre deux des plus gros problèmes des DSI, RSI et administrateurs de réseau : l’incapacité à installer les mises à jour critiques en temps opportun et le manque de visibilité sur le réseau afin que le personnel informatique puisse détecter les irrégularités.
Mais ils incluent également de mauvaises pratiques telles que le codage en dur des mots de passe dans le matériel et les logiciels et, comme l’a souligné un orateur lors d’une conférence de presse annonçant le groupe, comprendre pourquoi une entreprise a de bons correctifs d’appareils dans une zone de son réseau et mauvais dans une autre partie.
Un autre problème concerne les services informatiques qui conservent des produits non pris en charge dans leur environnement ou qui sont pris au dépourvu lorsque les fabricants annoncent qu’un produit est soudainement retiré.
Les entreprises technologiques doivent trouver des moyens de résoudre le problème persistant des mises à jour logicielles et matérielles et des correctifs non mis en œuvre, a déclaré le groupe dans un communiqué de presse, tout en encourageant les organisations à avoir une meilleure visibilité sur leurs réseaux afin de mieux atténuer les cyberrisques.
Un objectif : la création d’un rapport contenant des recommandations claires et exploitables pour améliorer la sécurité du réseau pour les fournisseurs de technologie, les utilisateurs de technologie et ceux qui créent ou réglementent la politique de sécurité.
« La résilience des réseaux est vitale pour la santé de notre économie et de notre monde interconnecté et il est nécessaire de se concentrer sur la manière d’améliorer la sécurité de l’écosystème plus large en travaillant ensemble », a déclaré Ari Schwartz, coordonnateur du Center for Cybersecurity Policy & Law et directeur général des services de cybersécurité du cabinet d’avocats Venable de Washington, DC, dans un communiqué de presse. « Trop souvent, nous voyons des organisations être victimes d’une cyberattaque parce qu’une mise à jour critique ou un correctif existant n’a pas été créé. »
Le Centre est une organisation à but non lucratif qui rassemble des leaders de l’industrie et des décideurs politiques pour trouver des solutions qui peuvent aider à améliorer la sécurité numérique des réseaux, des appareils et des infrastructures critiques.
Les membres initiaux du groupe comprennent également Broadcom, le groupe britannique BT, Juniper Networks, Lumen Technologies, Palo Alto Networks et Verizon.
Lors d’une conférence de presse ce matin, des experts ont parlé des problèmes et des solutions possibles.
Une solution : la législation. Paul Waller, directeur technique principal du National Cyber Security Centre du Royaume-Uni, a noté que l’année dernière, le gouvernement a adopté la Product Security and Telecom Infrastructure Act pour encourager les fabricants de matériel et de logiciels à partager des informations sur la gestion de la sécurité des appareils de l’Internet des objets.
Le régime, qui entrera en vigueur en avril prochain, obligera les fabricants de produits connectables britanniques à se conformer aux exigences de sécurité minimales.
Le Royaume-Uni encourage également les développeurs à rejoindre un programme de sécurité dès la conception pour les amener à mieux coder les applications. La réduction du nombre de vulnérabilités devrait réduire le nombre de problèmes de correctifs.
Au Canada, la Loi sur la protection des systèmes informatiques critiques proposée par le gouvernement et les modifications proposées à la Loi sur les télécommunications imposeraient des obligations aux fournisseurs d’infrastructures essentielles.
Au cours d’une conférence de presse, Brad Arkin, responsable de la sécurité et de la confiance de Cisco Systems, a noté qu’en 2017, Cisco avait publié un correctif particulier pour l’un des produits de son entreprise, suivi au début de 2018 par un avis indiquant que la vulnérabilité était exploitée. Néanmoins, en avril de cette année – cinq ans plus tard, les agences de cybersécurité américaines et britanniques ont dû publier un avertissement indiquant que des cybercriminels exploitaient toujours le produit non corrigé. « Cela montre que notre système actuel ne fonctionne pas », a-t-il déclaré.
Adaptation et traduction française par Renaud Larue-Langlois.
