Selon le "Rapport d'activité 2023 de Cybermalveillance" les attaques par rançongiciel ont augmenté en moyenne de 12% pour toutes les catégories de publics en 2023 et plus précisément :
- 9% pour les entreprises et les associations ;
- 32% pour les collectivités et administrations.
Face au cyber risque, le Parlement européen et le Conseil de l’Union européenne ont adopté en juillet 2016 la directive sur la sécurité des réseaux et des systèmes d’information connue sous l’appellation « directive NIS » puis NIS2 en 2022. NIS2 élargit le nombre d'entreprises concernées et renforce les mesures à mettre en œuvre.
La directive NIS 2 (Network & Information Security) poursuit 2 objectifs.
- Promouvoir la sécurité numérique auprès d’entités ne disposant pas d’expertise en la matière.
- Leur permettre de mettre en place les mesures de protection de base face à la cybercriminalité.
Cette directive européenne sera déclinée en droit français en octobre 2024.
Le constat
La cybercriminalité est omniprésente et de plus en plus massive. Ce phénomène s'est malheureusement confirmé en 2023 selon les grandes tendances suivantes :
- L'hameçonnage qui est la menace prédominante pour tous les publics ;
- Le "Quishing" : l'hameçonnage par QR code ;
- L'escroquerie au faux conseiller bancaire ;
- Le faux support technique ;
- Le piratage de compte en ligne ;
- le retour en force des programmes malveillants (virus) ;
- Les rançongiciels dont les attaques ont augmenté en 2023.
De très nombreuses attaques passent sous le radar des médias. Elles concernent les structures de taille intermédiaire (TPE/PME).
Ces attaques ciblent désormais les chaînes de sous-traitance pour se rapprocher de leurs clients finaux.
L’objectif de la directive NIS 2 est clair
Elever le niveau global de sécurité numérique en France et en Europe, en permettant aux entités concernées de mieux se protéger face à la menace. La directive NIS 2 définit un périmètre d’application pour apporter davantage de protection, face à des acteurs malveillants toujours plus performants et mieux outillés.
NIS-2 ne vise pas les attaques ciblées mais les attaques « à grosses mailles ». C’est-à-dire les attaques massives qui représentent plus de 95% des cyberattaques.
IMPORTANT : même si vous n'êtes pas concernés directement par cette directive, elle définit un ensemble de bonnes pratiques et de recommandations qu'il est bon d'appliquer.
Qui est concerné ?
A l’échelle nationale, NIS 2 s’appliquera à des milliers d’entités appartenant à plus de dix-huit secteurs qui seront désormais régulés.
Environ 600 types d’entités différentes seront concernés, parmi eux des administrations de toutes tailles et des entreprises allant des PME aux groupes du CAC40.
Les principaux critères d’intégration ont été définis au niveau européen. Il s’agit principalement du nombre d’employés, du chiffre d’affaires et de la nature de l’activité réalisée par l’entité.
IMPORTANT : la chaîne de sous-traitance est aussi impactée si le donneur d'ordres est concerné par la directive.
Quid des collectivités territoriales ?
Le niveau de la menace contre les collectivités territoriales est élevé et cela a des effets délétères au niveau sociétal. La directive NIS 2 prévoit la régulation d’entités privées et des administrations publiques et offre la possibilité pour les Etats membres de réguler les collectivités territoriales.
Cette régulation étant optionnelle, il est trop tôt pour détailler la manière dont les collectivités seront intégrées. Au regard de leur niveau de préparation et du niveau élevé de la menace à laquelle elles sont confrontées, il apparait cependant important de se saisir de cette opportunité.
Mardi 30 janvier, Absys et son partenaire technique Systancia ont organisé une matinale sur ce sujet avec le témoignage du SICTOM Pézenas-Agde.
De nombreux clients ont répondu présent à notre invitation sur le thème de la directive NIS2 et de la solution technique proposée par la société Systancia.
Systancia propose une plateforme qui unifie la gestion des identités et des accès (IAM), la gestion des accès à privilèges (PAM) et l'accès distant Zero Trust (ZTNA) au sein d'une seule et même expérience utilisateur. En voici deux éléments constitutifs.
- Solution PAM dite solution bastion. Elle permet de tracer et surveiller des utilisateurs à pouvoirs (avec enregistrement vidéo ou non). Elle peut aussi analyser en temps réel des données et comportements afin de détecter des actes suspicieux ou anormaux. Un produit PAM peut également offrir des fonctionnalités de coffre-fort et de gestion d’identifiants. Enfin, elle permet de s'assurer de l'identité de l'opérateur (biométrie, codes à usage unique...).
- Le concept de Cleanroom. La solution Systancia Cleanroom est dédiée à la sécurité des postes d’administration ; en particulier, elle dissocie l’environnement d’administration de l’environnement habituel de travail.
