La cyber-sécurité c’est très très simple, aucune confiance.
Zéro, rien, aucune confiance en qui que ce soit et même en vous-même.
Des gros mythos
Une petite introduction secondaire pour vous révéler un truc que vous savez mais que vous éludez à chaque fois. La vague de piratages qui vous est révélée en ce moment, c’est même pas l’écume de la mer autour de l’iceberg, hein...
Il faut bien vous dire que quantité de piratages passent inaperçus. Non-surveillance déjà ; qui surveille vraiment ce genre de trucs ? Honte des services cyber qui ne veulent pas fâcher le patron ou qui ne veulent pas plomber leur promotion ; genre quand l’État met plusieurs mois à révéler le poteau. Discrétion du pirate qui se constitue une base de données par des recoupements de plusieurs piratages. Bref, on commence à monter sur l’iceberg.
Qu’est-ce qui est révélé ? En réalité, la plupart du temps, ce qui est révélé c’est qu’un pirate a mis en vente une base de données contenant les données de tel ou untel service, mais concrètement il est très rare d’entendre une entreprise ou un service public dire : ATTENTION, on s’est fait pirater.
Et puis il y a les pirates qui veulent des cryptos rapidement, et il y a des pirates qui sont dans l’investissement ou qui participent à des réseaux dont l’objectif est de maîtriser le vol du début à la fin.
Pourquoi aller vendre une base de données de millionnaires à tout le monde alors qu’on a les équipes pour aller braquer ou faire chanter ces millionnaires/milliardaires ? Là, on a mis le tuba et on regarde sous l’iceberg.
Internet : un champ de tir permanent
Il faut d’abord comprendre ce qui se passe réellement sur Internet.
Dès qu’un point d’accès, une adresse IP, un serveur ou un site est mis en ligne, il reçoit du trafic. Ce trafic est scrupuleusement, légalement douze mois, enregistré dans des logs (les journaux du serveur : IP, heure, agent, page référente, data... avec une entrée par ligne). Quiconque a déjà ouvert et analysé ces logs vous dira la même chose : même si votre site n’a que très peu de trafic normal (de vrais visiteurs ou utilisateurs), vos journaux sont pourtant pleins à craquer. Des entrées s’y ajoutent chaque seconde.
Ce trafic, en trop sur la réalité de votre service, ce sont les robots. Si une partie d’entre eux sont des robots d’indexation de Google, ou des aspirateurs de données pour entraîner des IA, la grande majorité de ce trafic est en réalité générée par des PIRATES.
Ces robots ne sont pas des humains qui tapent sur un clavier, ce sont des scripts automatisés. Ils n’ont pas la valeur temporelle ni la fatigue du travailleur humain. Ils n’ont pas d’âme et pas d’états d’âme. Ils sont capables de tester les sécurités de dizaines de milliers de sites à l’heure. Ils scannent le web en boucle et testent massivement des failles de sécurité connues. Ils se moquent de savoir qui vous êtes ou si votre entreprise est petite ; ils cherchent juste une faille à exploiter pour installer un ransomware, miner de la cryptomonnaie, voler des données, relayer du spam ou tout simplement pour taguer ou casser.
Lorsque votre service n’est pas à jour, que personne n’est en charge de vos actifs numériques, que personne ne se charge de vérifier et de patcher les nouvelles failles publiquement connues, ce n’est pas une question de savoir si vous allez vous faire pirater, mais c’est QUAND.
La 2FA, c’est du pipeau
La double authentification (2FA), souvent le SMS ou le code que vous recevez quand vous voulez vous connecter à un service, donne une fausse sensation d’invulnérabilité.
On vous fait penser, et le gouvernement français qui s’est fait pirater à de nombreuses reprises vous fait croire, que des comptes ont été compromis ; c’est un bouc émissaire facile, mais c’est très souvent faux.
Les pirates, les robots de piraterie de masse, ne passent que très rarement par un compte authentifié par des accès. La majorité des piratages sont des retards techniques sur des mises à jour ou des aberrations techniques qui laissent en libre accès des données et même des accès complets aux systèmes ou aux programmes. Et l’État français est champion toutes catégories en la matière.
Le RGPD, ce n’est pas le popup cookies
On a réduit une directive européenne complexe à une stupide bannière qui nous perturbe la navigation. La réalité est tout autre : le RGPD appliqué correctement vous évitera de distribuer des données sensibles de vos clients.
Entre la chaise et le clavier, il y a un tocard par défaut
En informatique, le problème se situe souvent entre la chaise et le clavier. Partez systématiquement du principe que l’utilisateur est une grosse faille de sécurité. Mireille ne doit pas avoir accès à l’admin et ne doit pas disposer des données. Mireille est sans doute une cruche capable de cliquer sur le premier « I Love You » qui passe, mais elle a peut-être aussi un compte crypto et pense être mal payée ou vivre dans un environnement socio-numérique toxique dont elle souhaite se venger pendant son bore-out.
Rien ne vaut une backup manuel quand on ne pane rien
L’automatisation des sauvegardes, c’est magnifique. Mais un script automatisé qui tourne dans le vide et sauvegarde des fichiers corrompus pendant six mois sans que personne ne le vérifie, ou (ne rigolez pas) des backup sauvegardées dans le même environnement/accès, c’est un crash industriel assuré. Pour survivre au piratage, vous devez disposer de copies de vos données et programmes à un endroit sûr et sécurisé. Pas sur une clé USB, mais presque.
Le jour où vos sauvegardes seront détruites, comme pour l’incendie chez OVH en 2021, vous serez bien content d’avoir fait manuellement vos sauvegardes.
Données synthétiques systématiques pour le dev
Utiliser un dump (une copie) de la base de production pour coder en local ou tester une nouvelle fonctionnalité, c’est DANGEREUX.
Et pourtant, c’est une pratique généralisée dans le monde du développement informatique. C’est tellement plus simple de prendre la vraie base de données, avec les vrais clients, les vrais numéros de téléphone, les vrais historiques, et d’installer tout ça gentiment sur le PC portable du dernier développeur junior embauché pour qu’il puisse se faire les dents et des démonstrations live en réunion pour sont programme d’acculturation.
Le risque ? Entre incompétence et malveillance, vous avez l’embarras du choix pour couler votre boîte.
Côté incompétence, vous avez le développeur qui teste son nouveau module d’e-mailing en local, oublie de désactiver l’envoi réel, et balance accidentellement un mail titré « test de m3rde 123 » à l’intégralité de vos 15 000 vrais clients à deux heures du matin. Un grand classique. Sans parler de celui qui va se faire voler son ordinateur non chiffré avec toute votre base commerciale sur le bureau.
Côté malveillance, la mutinerie. Quand vous donnez la base de prod à un employé, ne soyez pas naïf, il va fouiner. S’il est un peu malin, il va aller lire la table des transactions, les marges réelles de l’entreprise, ou les mémos du service client. Et surtout, le jour où il estimera qu’il n’est pas assez payé, il lui suffira d’exporter gentiment votre table clients_vip sur une clé USB avant de donner sa démission pour aller la revendre à votre concurrent ou la diffuser en BitTorrent ! C’est, de mon point de vue, ce qui arrive probablement à l’État français aujourd’hui.
Avec l’IA, générer des fausses données (des données synthétiques) c’est très très simple aujourd’hui ; il suffit de faire l’effort de l’imposer systématiquement et de ne donner des accès aux données réelles à... ... PERSONNE.
Dictature de la cybersécurité
Mon avis, c’est que les pirates sont des héros. On a tous rêvé de Libertalia, de ce monde libre qui surfe sur l’enfer du monde normé, bien irresponsable sous couvert de hiérarchie et de subordination, de faire un coup et de se mettre à l’ombre d’un cocotier sur une île fiscalement déserte avec un magot en Bitcoin... Alors sont-ils vraiment responsables ? Non, les responsables, c’est VOUS.
Vous devez instaurer une dictature du numérique dans votre entreprise. Vous devez être intransigeant sur la sécurité de vos données et l’objet de la collecte de ces données. Vous êtes responsable de votre sécurité et des données de vos clients. Chez vous, vous fermez vos portes et vous ne laissez pas entrer n’importe qui par des trous dans les murs ; et bien c’est pareil, ne laissez pas des accès à n’importe qui et des trous dans les scripts de vos services numériques.
Et si vous n’en êtes pas capable ? Comme pour le gouvernement français, vous devez faire autre chose ! Reprendre le papier et les crayons.