blog TIC, entreprise 2.0, travail collaboratif, communication et green IT - Orange Business Services

Selon le livre blanc publié par l'institut de recherche IDC, les incidents de sécurité  « accidentels » provoqués par les collaborateurs/membres de l'entreprise sont devenus + fréquents. Selon cette publication,ces incidents pourraient avoir des conséquences + graves que les actes internes « malveillants ».
Ce rapport a aussi mis en évidence une incohérence dans la hiérarchisation des priorités  des règles de sécurité. En effet, ceux-ci ont pris le parti de se protéger en premier lieu contre des actes malveillants volontaires -plutôt que contre des actes accidentels-.

On a remarqué qu'aucune technologie n'est actuellement en mesure d'assurer une protection contre les actes des personnes travaillant dans l'entreprise. Outre le personnel même de l'entreprise, il faut englober également un grand nombre de personnes -dont les consultants, les partenaires externes, les fournisseurs ou encore les partenaires commerciaux-. 
IDC déclare qu'un « cadre global de gestion des risques est la seule solution pour gérer le risque opérationnel de manière efficace, assurer son avance concurrentielle, réduire les vulnérabilités, gérer les défauts de configurations, dimunuer le nombre croissant de violations des règles de conformité et contrôler les incidents importants de fuites d'informations de l'entreprise».

Après avoir interrogé un échantillon de 400 entreprises en France, en Allemagne, au Royaume-Uni et aux Etats-Unis, IDC a conclu que :
-52 % d'entre elles avaient caractérisé les incidents provoqués par des employés comme étant d'origine accidentelle, contre 19 % qui estimaient quant à elles que les incidents étaient délibérés.
-26 % des entreprises interrogées considéraient que les incidents étaient soient accidentels soient délibérés.

Qu'ils s'agissent d'incidents accidentels ou délibérés, leurs conséquences n'en sont pas moins graves : l'accès  à des tiers d'informations sensibles peut avoir des conséquences nuisibles à l'entreprise ( par exemple, désavantage compétitif, détérioriation de l'image de l'entreprise, mauvais audits...). Les informations sensibles à risque incluent les informations relatives aux clients et aux employés, les plans de conception, les codes sources et tout ce qui concerne la propriété intellectuelle.

L'étude a montré qu'au cours des 12 derniers mois, les entreprises ont du faire face à une moyenne de 14,4 pertes de données -dues à la négligence d'un collaborateur-  En outre, il est constaté que travailleurs intérimaires/temporaires représentent le risque le plus élevé. Un contexte économique difficile peut constituer une cause indirecte. En effet, de nombreuses d'entreprises sont dans la nécessité d'employer de + en + de travailleurs temporaires ou intérimaires. Cela alourdit de manière non négligeable la charge de travail des services informatiques. Ceux-ci doivent gérer les droits d'accès temporaires, suivre l'activité de chacune des personnes intérimaires/temporaires, désactiver les comptes utilisateurs obsolètes, tout en continuant de protéger les informations sensibles et en se conformant aux règles de confidentialité.

Les types d'incidents les plus récurrents sont la perte accidentelle de données due à la négligence d'un employé, une attaque d'un logiciel malveillant/espion émanant de l'intérieur l'entreprise, des droits de contrôle d'accès/privilège non adaptés ou des violations délibérées de la politique de sécurité des informations de l'entreprise. Les pertes de données dues à la négligence sont plus fréquentes -dans les domaines de la finance,de la santé ou dans le secteur public. Les attaques des logiciels malveillants/espions ont plus fréquemment lieu dans le secteur des entreprises de télécommunications.

43 % environ des entreprises allouent un budget spécifique aux risques de sécurité internes, et  40 % d'entre elles prévoient d'augmenter l'année prochaine leurs dépenses .

L'enquête conduite par IDC,a été financée par la société de sécurité des entreprises RSA.

+ de communications entraîne + de risques :
En parallèle, la société de sécurité des données Proofpoint a remarqué que les entreprises américaines sont « de plus en plus soucieuses du nombre croissant de fuites d'informations engendrées par l'utilisation d'e-mails, des réseaux sociaux en ligne, des blogs ou de chaines multimédia ou encore de l'usage des SMS par les employés ».

Il a été révélé que :
-33 % des 220 entreprises interrogées employaient une personne dont le travail « de base et unique » est de surveiller le contenu des e-mails envoyés, contre 15 % en 2008.
-34 % des personnes interrogées ont déclaré que leur entreprise avait été touchée par la révélation d'informations sensibles ou embarrassantes, contre 23 % en 2008. Les e-mails représentent la plus grande menace : au cours des douze derniers mois,
-43 % des entreprises ont lancé une enquête concernant une fuite d'informations confidentielles ou exclusives par e-mail.
-18 % ont  enquêté sur des problèmes ayant rapport avec une violation relative à un forum ou à un blog ( 9 % ont été contraintes de renvoyer un employé pour ce motif).
Enfin, les sites de partage multimédia tels que YouTube, les sites de réseaux sociaux (dont Facebook,LinkedIn,Twitter...), les SMS et Twitter augmentent d'autant plus la probabilté de menaces pour la sécurité.

Le site web TelecomTV a soulevé que pour les entreprises européennes, où la législation applicable aux employés est différente de celle des Etats-Unis, une politique « claire et sans équivoque » d'utilisation des e-mails et d'internet est essentielle afin d'éviter les poursuites qui risquent d'être débouter devant les tribunaux.

Le rapport de Proofpoint est téléchargeable ici.

Bien que l'actualité de Juin ait été entièrement consacrée au ver Windows, qui a déjà infecté au moins 6 millions d'ordinateurs, un nouvel arsenal est en train d'être développé dans la guerre contre les attaques Zero Day. Ces dernières exploitent la faille de sécurité existante entre le moment où la menace est découverte et celui où les protections adaptées sont disponibles afin de les contrer. Des chercheurs issus d'Intel et de l'Université de Californie à Davis ont mis au point une nouvelle manière de contrer ce genre d'attaques. Il est question d'identifier des activités suspectes dans des ordinateurs individuels et de les faire correspondre avec d'autres systèmes connectés.

La seconde partie de ce système sera fort utile aux entreprises car il s'agit d'un algorithme capable d'évaluer le coût de la mise hors tension d'un système informatique, mais également celui de laisser un logiciel malveillant se promener sur le réseau, selon www.vnunet.com. Le logiciel peut être configuré afin de prendre des mesures automatiques ou de demander une décision auprès d'un responsable informatique.

Senthil Cheetancheri, l'un des chercheurs de l'Université de Californie, pense que cette solution est la clé de l'utilité du système. « La question est de savoir si je dois éteindre le réseau et risquer une perte d'activité pendant quelques heures pour ce qui pourrait être une fausse alerte, ou le laisser en marche et courir le risque d'être infecté, » explique-t-il. « Une activité suspecte dans un réseau de 100 ordinateurs n'est pas très parlante, mais lorsque vous pouvez en compter une demi-douzaine et plus, vous savez que quelque chose est en train de se produire ».

Cet algorithme est également capable d'estimer l'importance des machines individuelles. Dans la mesure où les frais de coupure d'un serveur sont bien plus élevés que ceux d'un ordinateur individuel, le système éteindrait d'abord ce dernier.

Bien qu'elle en soit actuellement à un stade expérimental, l'équipe de chercheurs a désormais bien avancé, et tente de s'assurer que le système fonctionne sans monopoliser trop de bande passante, ni interférer avec d'autres applications. Les perspectives sont donc prometteuses, et pourraient contribuer à diminuer les maux de tête des responsables informatiques en entreprise.

Il semblerait qu'au sein de nombreuses entreprises, la collaboration 2.0 ait des difficultés à se faire adopter. Selon de récentes recherches menées par Forrester, les réseaux sociaux, blogs, wiki et autres mondes virtuels sont boudés par les employés, qui continuent de communiquer par téléphone ou par e-mail. L'étude, portant sur 3 000 travailleurs du savoir européens, a découvert qu'alors que 99 % des employés collaborent avec d'autres et 81 % travaillent avec deux personnes ou plus dans différents fuseaux horaires ou régions, les outils actuels ne répondent pas à leurs besoins.

Le cœur du problème réside dans la sécurité. Pour les personnes interrogées, la barrière principale à l'adoption de ces nouveaux outils est la question du contrôle de l'information une fois que celle-ci a été distribuée. En outre, le travail collaboratif n'est peut être tout simplement pas assez séduisant. Quarante quatre pour cent des répondants cherchent des manières plus agréables de collaborer.

Pire encore, la moitié des professionnels de la sécurité de l'information récemment sondés par Webroot, compte abandonner des projets de collaboration suite aux problèmes liés à la sécurité. L'analyse de Webroot estime que 25 % des professionnels de la sécurité seulement sont préparés à continuer en dépit des inquiétudes liées à la sécurité, et que seul 15 % d'entre eux ont déjà résolu leurs problèmes de sécurité. Les 10 % restants n'ont pas de projet de travail en collaboration.

Il semble donc que si les employés sont toujours vissés à leur téléphone et leurs e-mails, il conviendrait de sécuriser ceux-ci pour leur permettre de gérer la collaboration (comme les communications unifiées), plutôt que de leur demander d'adopter des outils inconnus (comme les mondes virtuels), qui demandent des pratiques de travail totalement différentes. http://www.vnunet.com/vnunet/news/2236179/adoption-gen-collaboration

Dénombrerait-on plus d'employés utilisant les applications personnelles au travail que ce que nous pensions au départ ? Des recherches récentes montrent que pratiquement la moitié de la bande passante au sein des environnements d'entreprise est utilisée par des applications personnelles, comme YouTube ou le partage de fichier en p2p. En effet, dans une étude récente, Palo Alto Networks, une start-up consacrée à la sécurité, affirme qu'en moyenne, 6 applications p2p ont été trouvées dans 92 % des organisations sondées dans une étude récente. Il alerte les entreprises sur le fait que cette situation est en train de leur échapper, et, indépendamment des coûts de bande passante que cela représente, cela pourrait faire bien plus de dégâts en termes de sécurité sur les organisations.

Il y a peu encore, Facebook, dont la popularité se propage à vitesse grand V, a été la victime d'une attaque d'hameçonnage (alias phishing), qui attirait les utilisateurs vers un faux site.Des utilisateurs de Facebook un peu ont été invités à cliquer sur un lien vers une page web, qui ressemblait à une page de connexion Facebook. Ces utilisateurs, un peu naïfs, se sont laissé prendre au piège. Cette page capturait en fait leurs informations une fois qu'ils avaient saisi leur nom d'utilisateur et leur mot de passe. Un virus - installé sur le PC de l'utilisateur - envoyait également une copie du message aux contacts du membre infecté. De telles attaques ont des conséquences non négligeables sur les entreprises, car la vie personnelle des employés est intimement mêlée à leur activité professionnelle. 

PricewaterhouseCoopers a publié un rapport concernant la sécurité des données, dont les résultats ne manquent pas d'intérêt. Il semble en effet que malgré les avertissements réguliers concernant la sécurisation des données, de nombreuses entreprises continuent de faire preuve d'une grande négligence à l'égard de leurs informations confidentielles. Plus précisément, les tests de piratage éthiques réalisés par PWC parviennent neuf fois sur dix à accéder à des informations hautement confidentielles.

Ce rapport avertit en outre que ce problème ne fera que s'aggraver, car les criminels organisés sont désormais les auteurs de la majorité des vols de données et des usurpations d'identité. De nombreuses entreprises sont exposées à ces risques, tout simplement parce qu'elles collaborent à l'international sans être dotées des protections adéquates, laissant ainsi leurs données à la merci de quiconque. Ces sociétés semblent croire encore que les pare-feu et protections de périmètre traditionnels suffisent à protéger leurs données, et ce malgré les avertissements émis depuis longtemps concernant l'inadaptabilité des sécurités de périmètre, par des groupes tels que le Jericho Forum.