NIS 2 : Qui est concerné ? Présentation de la Directive (2/4)

Maxime CLOAREC Ingénieur Avant Vente chez Blue

Lorsqu’on est une petite entreprise, comment peut-on facilement être conforme ?

Je ne pense pas qu'il faut chercher à être conforme à la directive ou de manière générale à telle ou telle directive mais plus à considérer cela comme un levier pour demain. En effet, la directive NIS 2 formule des exigences auxquelles il faut se conformer dans le but de renforcer la sécurité de ses environnements, mais aussi d'être préparé et en capacité à faire face à une attaque informatique. Bien que difficilement applicables à des petites entreprises, quelques règles d'hygiènes vont au-delà de la bonne gestion de ses mots de passe et permettent de limiter les risques. C’est d’ailleurs ce que propose l’ANSSI dans son Guide d’hygiène informatique. Ci-après quelques exemples sous la forme d'une liste non exhaustive.

L'un des premiers enjeux que le public a compris est qu'il est recommandé de maintenir des équipements personnels à jour pour pouvoir toujours profiter d'une expérience optimisée (téléphone, tv, box tv…). Le maintien à jour de ces solutions est ancré dans la tête des gens, pour un système d'information c'est sensiblement pareil. Nous sommes trop souvent confrontés à des environnements techniques qui n'ont pas reçu de mise à jour depuis de nombreuses années et fonctionnent sur des systèmes d'exploitation dépréciés par les éditeurs. Les raisons peuvent être multiples, mais il est recommandé de maintenir à jour ces environnements techniques en conditions de sécurité lorsque cela est possible et, dans le cas où techniquement cela n'est pas envisageable, d'isoler ces environnements dans des bulles de sécurité dédiées pour limiter la surface des attaques.

Je prends souvent comme exemple, pour comparer la sécurité d'un système d'exploitation à un objet de la vie courante, celui de la passoire. De base pour faciliter l'administration ou le déploiement de solutions techniques, les administrateurs ont tendance à diminuer le niveau de sécurité des systèmes (passage d'utilisateur dans des groupes d'administrateurs, désactivation de pare-feux intégrés…) si votre application nécessite à vos utilisateurs d'accéder uniquement sur un port spécifique il n'est pas obligatoire d'autoriser à ceux-ci d'accéder ou d’émettre des requêtes sur tous les ports de la machine (#passoire). Limitez les accès aux stricts besoins de production.

Le tiering est un concept de sécurité applicable à des systèmes d’annuaires d’entreprises (Active Directory, LDAP...). L'idée étant de différencier des comptes à privilèges en fonction des couches (tiers) et périmètres fonctionnels, la finalité étant de restreindre l'utilisation d'un compte dans un tiers unique et bloquer un attaquant dans le tiers en cas de compromission.

Par exemple : en cas d'attaque de type rançongiciel (aussi appelée ransomware) seul le tiers compromis est impacté. Cela permet également de séparer les droits d'administration des Contrôleurs de Domaine, serveurs applicatifs tiers, poste de travail et ainsi limiter le risque de découverte et rejeu d'un identifiant administrateur de domaine découvert sur un poste de travail.

Composant clé des solutions de sécurité se basant sur une analyse holistique l'EDR/XDR est un rempart simple à mettre en œuvre pour lutter contre les risques du quotidien. Les solutions EDR/XDR représentent l'évolution des antivirus et firewall traditionnels. L'EDR (Endpoint Detection and Response) se concentrera sur la surveillance des événements et la collecte des données télémétriques pour un arbitrage opéré par les équipes de cybersécurité, là où l'XDR (eXtended Detection and Response) accroît les capacités de l'EDR en mettant en corrélation plusieurs couches de sécurité (terminaux, réseaux, email…) et apporte une approche plus globale.

C'est tout l'enjeu de nos services SoC Blue Cyber, faire de la corrélation des données de nos clients pour identifier les menaces et les endiguer dès l'apparition des premiers signes de compromission. La mise en place d'un agent EDR/XDR est simple et permet un premier niveau de conformité facilement atteignable pour nos clients. La seule contrainte est liée à la version des systèmes d'exploitation vieillissants qui ne sont pas forcément pris en charge... Auquel cas les 3 premiers exemples permettent de limiter les risques. Comme évoqué l'EDR/XDR est un pas simple et rapide à faire dans une mise en conformité cyber. Nos solutions Blue Cyber et les équipes dédiées à ces besoins disposent d'un panel large d'outils permettant de travailler en profondeur les risques cyber chez nos clients en étant garant au quotidien du suivi des incidents de sécurité et de leur remédiation.

Combien d'entreprises pensent disposer de solutions de backups conformes et pleinement fonctionnelles et se rendent compte, le jour où elles doivent les utiliser, que les solutions ont été mal implémentées ou que la donnée a été détruite ? En respectant les bonnes pratiques de sécurité et de segmentation des environnements techniques liés à la sauvegarde, cela permet de se donner toutes les chances demain de pouvoir recouvrer des données viables pour redémarrer telle ou telle activités. Nos équipes maintiennent des environnements de sauvegarde dans des réseaux dédiés à ces usages et s'assurent de la bonne réalisation au quotidien des processus de sauvegarde de nos clients. Nous respectons la règle dite des 3-2-1-0 pour minimiser le risque de perte de données pour nos clients.

Ces quelques exemples représentent une liste non-exhaustive des solutions simples et économiques à mettre en œuvre pour assurer un premier niveau de sécurité de ses environnements à une menace cyber. Comme évoqué, le sujet est vaste et chaque client est différent, ce qui rend unique chaque approche et c'est là l'enjeu des workshops avec nos équipes Cyber lors de l'intégration de nouveaux clients au sein de nos services SoC.

Quel est réellement l’intérêt pour une entreprise d’être en conformité avec NIS 2 ?

Plusieurs intérêts, en plus de ceux évoqués en réponse aux questions précédentes (ndlr : la directive NIS2 formule des exigences auxquelles se conformer dans le but de renforcer la sécurité de ses environnements, mais aussi d’être préparé et en capacité à faire face à une attaque informatique).

La conformité vise à apporter une prise de conscience des risques liés à la perte de ses capacités informatiques, d’étudier et d’activer des scénarios de redémarrage, mais, au-delà de ces aspects techniques, de présenter un niveau de conformité satisfaisant vis-à-vis des assureurs, des partenaires d’affaires et également de ses salariés.

Lorsqu’un maillon d’une chaîne de production s’arrête, c’est toute la chaîne qui est mise en péril. On parle de plus en plus d’entreprises victimes, mais également coupables. Une attaque informatique peut avoir des répercussions sur les activités de tous les gens dépendants de la chaîne, du fournisseur à l’artisan local, qui peuvent eux aussi en être impactés.

Au sein d’une entreprise, les personnes décisionnaires doivent intégrer l’importance de la sécurité numérique. C’est le rôle de la direction des entreprises de devoir collaborer étroitement avec leurs services informatiques pour définir clairement les responsabilités et priorités en matière de sécurité numérique. Cela inclut :

• La répartition des rôles,
• La définition des droits,
• Les responsabilités de chacun,
• L’ordonnancement précis des actions à mener.

La dépendance croissante à l’informatique implique que toute défaillance dans ce domaine peut paralyser les services essentiels, tels que la comptabilité, les relations avec les fournisseurs ou la production cœur de l’activité de l’entreprise. Certaines entreprises sous-estiment encore les risques liés à des systèmes d’information mal protégés. Cependant, sans une cyberprotection adéquate, les pertes potentielles peuvent largement dépasser les gains.

Un mauvais entretien de l’hygiène informatique peut provoquer des pannes graves et affecter l’ensemble des processus de l’entreprise. L’impact d’un incident ne se limite d’ailleurs pas aux opérations internes : il peut se répercuter sur les partenaires commerciaux, les fournisseurs, les investisseurs, les actionnaires...

Par exemple, une fuite de données, comme des contrats ou des coordonnées bancaires, peut avoir un lourd impact pour des entreprises.

Autre exemple en interne, avec la fuite de données personnelles, telles que des bulletins de salaire ou des papiers d’identité. Ces fuites peuvent entraîner des situations d’usurpation d’identité, avec des conséquences dramatiques pour les employés.