Propos recueillis par Jean Kaminsky
Wannacry, les leçons de la crise. « Il y aura un avant et un après », affirme Alain Bouillé, président du Cesin, association de RSSI, et RSSI lui-même au sein d’un grand groupe.
Il y a deux principales leçons que la communauté de la sécurité doit tirer de la vague mondiale d’attaque de ransomware de juin, selon lui. La première est la nécessaire mise à jour sans délais des systèmes d’exploitation, la seconde la concentration sur « les bijoux de famille » de l’entreprise à protéger, si on ne peut plus tout suffisamment défendre.
Solutions-Numériques – Quelles principales leçons tirez-vous de la crise?
A.B. : « Il y a aura un avant et un après. Cette propagation mondiale était totalement inédite. Elle montre que tout le monde a les mêmes équipements avec potentiellement les mêmes failles, et que l’on peut donc mettre le monde entier à terre de manière simultanée ! »
S.N. – On sait que la mise à jour de Windows, et notamment les patches disponibles en mars aurait pu éviter les attaques. Les DSI retardent ces mises à jour, pour procéder aux tests notamment. Faut-il changer cette pratique ?
A.B : Avant, on était confrontés aux impératifs de l’informatique, plus précisément de la production informatique : ‘ On ne peut pas arrêter les machines’. On a privilégié le fonctionnement ».
Les entreprises se sont souvent résignées à des délais de plusieurs semaines pour la mise en place des patches en faisant des choix parfois implicites entre la continuité de service et la sécurité. Désormais, avec cette crise, la probabilité qu’une attaque perturbe la production devient plus grande que le patch perturbe le fonctionnement d’une application. Il va sans doute falloir faire des choix différents à l’avenir d’autant que les dégâts deviennent trop importants : c’est la première fois qu’on ferme une usine à cause d’une attaque informatique !
S.N. – On fait donc sans délai les mises à jour, on corrigera si nécessaire ensuite ?
A.B : On s’achemine vers une évolution continue des systèmes d’exploitation qui évite les heurts des grosses mises à jour tous les 5 ans. C’est ce que propose Microsoft avec la mise à jour continue de Windows 10. Il n’y a plus la révolution du changement d’OS quand Windows change de version, et il n’y a plus les patches à installer. Mais cela pose des problèmes incommensurables aux entreprises qui doivent continuer à faire tourner des applications souvent anciennes. Le poids du ‘legacy’, on le sait est important.
S.N. – Les cibles sont désormais industrielles. Comment expliquez-vous l’interruption de production chez Renault ?
A.B. : Je ne connais pas le dossier, il faudrait interroger le constructeur. Mais l’extrême connectivité nous rend extrêmement vulnérables. Quand tout est interconnecté, la surface d’attaque est immense. Les Objets connectés seront notre prochain défi!
S.N. – Quelles autres leçons tirez-vous pour l’avenir de cette crise ?
A.B. :Il va falloir faire de la sécurité autrement. Se montrer plus agile, rapide, agir en amont. Et faire des choix : on avait avant une approche systémique, on bâtissait un bunker. On sait désormais qu’on ne peut plus tout sécuriser aussi bien. On doit se focaliser sur les « bijoux de famille » de l’entreprise ce qui oblige à faire des choix.
