La suite de l’histoire de la cybersécurité

Les reportages sur les cyberattaques SolarWinds, Colonial Pipeline, Capital One, Equifax et bien d’autres sont devenus trop courants. Les histoires se concentrent généralement sur Quel s’est passé, avec peu de détails sur le comment et presque rien sur le pourquoi. Mais lorsque le pourquoi n’est pas examiné, les circonstances qui ont rendu la cyberattaque possible sont rarement abordées. Quelle est la suite de l’histoire ?1

Prenons un exemple simple : une banque est cambriolée ; c’est quoi. Le comment pourrait être que l’alarme antivol ne s’est pas déclenchée. Et c’est généralement la fin de l’histoire : il y a eu un malheureux dysfonctionnement.

Mais en creusant plus profondément, nous pourrions apprendre que le système d’alarme était connu pour être vieux et peu fiable. Des fonds avaient été alloués pour le remplacer, mais un membre de la direction a décidé de les utiliser à la place pour une campagne de marketing afin d’attirer plus de clients.

j’appelle ça prise de décision semi-consciente, parce que quelqu’un a pris la décision de ne pas remplacer l’alarme antivol sans tenir compte des conséquences possibles de ce choix, à savoir la perte de tout l’argent. Essentiellement, cette décision a créé les circonstances du vol.

Ce n’est pas juste un exemple hypothétique intéressant ; notre groupe de recherche sur la cybersécurité au MIT Sloan (CAMS) a étudié de nombreuses cyberattaques et a constaté que chaque attaque majeure était le résultat d’une prise de décision semi-consciente, qui est rarement étudiée et donc rarement corrigée.

Plusieurs couches de défense

Il existe un adage selon lequel les voleurs ont un avantage car ils n’ont qu’à trouver un moyen d’entrer, tandis que les défenseurs doivent s’assurer que chaque entrée est verrouillée. Mais en réalité, les défenseurs ont souvent l’avantage.

Dans le cas d’une cyberattaque, cela s’explique par le fait que l’attaquant doit réussir plusieurs étapes, chacune offrant au défenseur la possibilité de stopper l’intrusion ou au moins d’en atténuer l’impact. En effet, l’attaquant doit trouver non seulement une voie d’accès unique mais la séquence précise d’étapes qui permettront à la cyberattaque de réussir.

Quel est le reste de l’histoire derrière notre exemple de vol de banque ? Il se peut que le président de la banque n’ait pas signalé que le président de la banque avait donné le code de verrouillage du coffre à un assistant, écrit sur un morceau de papier laissé sur le bureau des assistants, que les cambrioleurs ont pu trouver.