Comptes à privilèges : un sujet qui reste largement technique

C’est à l’occasion des Assises de la Sécurité, début octobre, que CyberArk a présenté les résultats de la neuvième édition de son étude annuelle sur le paysage de la menace. Réalisée à partir du sondage de 673 dirigeants et responsables de sécurité informatique à travers le monde, cette étude semble mettre en évidence une prise de conscience des risques liés au détournement de comptes à privilèges.

Ainsi, 61 % des sondés la place en tête des attaques les plus difficiles à contrer, contre 44 % l’an passé. L’installation de logiciel malveillants rassemble 21 % des suffrages, devant la phase reconnaissance des attaquants dans le système d’information, à 12 %. Surtout, pour 38 % des sondés, le détournement de comptes à privilèges représente le risque de sécurité le plus élevé. Mais comment en arrive-t-on là ? Pour 72 % des sondés, le risque vient surtout du piratage de mot de passe, devant le hameçonnage, cité par 70 % d’entre eux.

La surprise, c’est le niveau de confiance affiché par les sondés : 55 % d’entre eux estiment être en mesure de détecter un détournement de compte à privilège en l’espace de quelques jours. Et ils sont encore 44 % à penser pouvoir empêcher des attaquants de s’infiltrer sur un réseau spécifique.

Lors d’un entretien avec la rédaction, Jean-François Pruvot, directeur régional France de CyberArk, estime que la médiatisation de certains incidents joue un rôle important dans la prise de conscience. Et de faire référence au mot de passe de compte YouTube qui traînait sur les murs de la rédaction de TV5 Monde au moment où la chaîne a été victime d’une attaque informatique : « ça concourt à la prise de conscience des décideurs ». Et souligner également le rôle de l’Agence nationale pour la sécurité des systèmes d’information (Anssi), qui « recommande de surveiller les comptes à privilèges ».

Mais la prise de conscience dépasse-t-elle le cercle des responsables de l’informatique et de la sécurité des systèmes d’information ? Non, hélas, le sujet reste très technique : « si l’on ne parle pas aux experts ou aux personnes de l’informatique, le sujet [des comptes à privilèges] ne parle pas. Il est clair que l’on n’a pas atteint le niveau des dirigeants ou du comité de direction », mais si celui-ci semble toutefois plus sensible aujourd’hui à la sécurité du SI ».

Et Jean-François Pruvot d’attribuer cela à la transformation numérique que traversent les entreprises : « l’innovation portée par cette transformation implique une autre façon de consommer l’informatique ; l’informatique supporte tous les processus ; ces processus sont supportés par une infrastructure et celle-ci est gouvernée par des comptes à privilèges ». Les responsables de ces infrastructures sont donc plus sensibles à la question : « on l’a vu aux Assises de la Sécurité. Il y a un an, on expliquait ce que l’on faisait ; aujourd’hui, on nous demande comment l’on fait pour protéger ces comptes à privilèges ».

Mais s’agit-il plus de conformité et de traçabilité que véritablement de protection ? « Dire le marché a complètement basculé de projets de conformité à de la cybersécurité, non, pas encore. Mais les grandes entreprises, très sensibles à la confiance et à la réputation de la marque, ont fait ce changement d’approche en faveur d’une sécurité proactive afin d‘augmenter leur résilience. C’est vrai dans les grands comptes, mais pas tous toutefois ».

CyberArk vient de renforcer son offre avec le rachat de Viewfinity. Ses outils sont notamment utilisés par la SSII CetSI, ainsi que par AxaIM qui présentait son projet de contrôle des comptes à privilèges à l’occasion de l’édition 2014 des Assises de la sécurité.