Sécurisation des logiciels de la chaîne d’approvisionnement

82 % des professionnels estiment que la sécurité des logiciels de la chaîne d’approvisionnement doit être une priorité. Seulement 7 % d’entre eux déclarent que ce n’est absolument pas une priorité. C’est l’une des conclusions majeures de l’enquête Pulse menée auprès de 298 cadres supérieurs en technologie travaillant dans des entreprises en Amérique du Nord, en Europe, en Afrique et en Asie.

Complexité de la chaîne

De nos jours, les entreprises utilisent des outils provenant de sources très diverses. Outre les logiciels des grandes entreprises comme Microsoft, SAP ou Salesforce, les entreprises s’appuient de plus en plus sur des logiciels issus de projets Open Source. En définitive, cette diversité présente des avantages tels qu’une plus grande évolutivité et une meilleure adaptation aux besoins spécifiques de l’entreprise. Mais c’est également à l’origine d’une chaîne d’approvisionnement très complexe et cette complexité en fait un vecteur de cyberattaques.

Des incidents tels que celui qui a touché SolarWinds ont souligné cela. En outre, les entreprises semblent comprendre la nécessité de faire davantage d’efforts pour prévenir ces incidents. Cependant, ces bonnes intentions ne se traduisent pas dans les faits : seuls 51 % des personnes interrogées affirment que les logiciels de la chaîne d’approvisionnement sont pris en compte dans la stratégie de cybersécurité de l’entreprise. Cela est inquiétant compte tenu du fait que 35 % des personnes interrogées déclarent connaître quelqu’un dont l’entreprise a été touchée par une cyberattaque de la chaîne d’approvisionnement.

Tendance concernant les menaces et erreurs humaines

Il existe aussi une tendance concernant la perception des risques de menace ; elle est moins élevée pour les entreprises des personnes interrogées que pour les autres entreprises. En effet, 94 % des personnes interrogées pensent que ces cyberattaques vont augmenter dans les 12 prochains mois, tandis que près d’un tiers (32 %) pense que leur entreprise sera épargnée.

Pour prévenir ces cyberattaques, la plupart des entreprises (57 %) utilisent des outils SIEM et 51 % d’entre elles utilisent des outils externes de cybersécurité et de détection des menaces. Enfin, un peu moins de la moitié (47 %) met en œuvre une architecture réseau basée sur une approche Zero Trust.

L’adoption de cette approche et la mise en place d’outils de détection doivent être plus répandues. En effet, il est nécessaire de former les employés aux bonnes pratiques en matière de cybersécurité, même si cette formation à elle seule ne suffit pas. Même les employés hautement qualifiés peuvent être victimes d’escroqueries de type ingénierie sociale notamment lorsque ce type d’escroquerie est hautement personnalisée ou sophistiquée, à l’image des « arnaques au Président ». Les entreprises en sont conscientes et c’est pourquoi 72 % d’entre elles estiment que les erreurs des employés sont le principal vecteur d’entrée des cyberattaques de la chaîne d’approvisionnement.

Outils de cybersécurité avancés

Les logiciels tiers sont également un vecteur d’attaque majeur pour 62 % des entreprises. Dans le cas de logiciels Open Source, leur code est un vecteur d’attaque majeur pour 42 % des entreprises. C’est pour cela que les professionnels utilisent différents critères pour évaluer le risque lié à l’installation de logiciels tiers. Les critères les plus fréquemment cités par les personnes interrogées sont les certifications des logiciels pour 59 % d’entre elles, l’analyse de la documentation pour 56 % d’entre elles et le recours à des questionnaires pour 50 % d’entre elles. Cependant, les personnes interrogées ont généralement confiance (59 %) dans le fait que les éditeurs de logiciels rendront public le fait qu’elles ont été victimes d’une cyberattaque de ce type, et ce, dès qu’elles en auront connaissance.

Enfin, une des conclusions les plus importantes de cette enquête est la cause de ces incidents. La moitié des personnes interrogées invoquent de mauvaises pratiques en matière de cybersécurité, 56 % d’entre elles pointent du doigt l’absence d’une stratégie coordonnée, tandis que 60 % d’entre mettent en exergue l’utilisation d’outils de cybersécurité inadaptés.

Compte tenu du fait que les pirates informatiques cherchent à compromettre la chaîne d’approvisionnement, il est primordial que les MSP puissent offrir à leurs clients un portefeuille de solutions avancées faciles à gérer depuis le Cloud et bénéficiant de garanties complètes. C’est pour cela que le fait de travailler uniquement depuis une plateforme de sécurité unifiée destinée aux partenaires améliore la facilité d’utilisation globale. En outre, le risque d’être touché par des cyberattaques de la chaîne d’approvisionnement comme celles dont ont été victimes SolarWinds ou Kaseya est beaucoup moins élevé.