Le temps est venu de faire le bilan des derniers mois et de tenter de prévoir ce qui attendra les entreprises en 2023.

Si certaines technologies s’essoufflent voire arrivent en bout de course, d’autres – comme l’informatique quantique ou la blockchain – doivent faire l’objet d’une attention particulière de la part des entreprises, afin d’en exploiter pleinement le potentiel ou, à l’inverse, se prémunir des dangers qui leurs sont inhérents.

Car qui dit nouvelle tendance ou nouvelle technologie, dit également nouvelles brèches par lesquelles les hackers pourraient s’engouffrer.

Les attaques dites « basiques » seront toujours les plus efficaces et lucratives en 2023

Les boites de messagerie professionnelles compromises, les attaques ciblant les identités ou les systèmes d’authentification multifactoriels (MFA), les ransomwares ou encore le phishing, figureront certainement parmi les techniques d’attaques classiques qui continueront d’être efficaces et sources de revenu pour les cybercriminels. Et pour cause, de nouvelles failles dans les systèmes de cybersécurité sont inévitables et le facteur humain continue d’intervenir dans l’équation. Le phishing et les systèmes de forçage MFA émergeants sont plus sophistiqués que jamais, rendant la sensibilisation à la cybersécurité importante mais plus complexe que jamais.

En 2023, les équipes de sécurité des entreprises doivent continuer de prendre en compte l’erreur humaine. Dans cette optique, adopter une posture de sécurité davantage offensive que défensive est une bonne approche. Il se peut d’ailleurs que les clients des services MDR soient davantage enclins à demander à leurs fournisseurs des fonctionnalités axées sur la proactivité plutôt qu’uniquement sur la réaction.

Les attaques vont être plus rapides

L’utilisation d’automatisation et de concepts de machine learning ou d’intelligence artificielle va continuer d’augmenter l’efficacité des attaques informatiques. Preuve en est la diminution du temps entre la première étape d’un ransomware est la demande de rançon, qui a été divisé par 15 dans les trois dernières années. Le temps de détection et le temps de réponse continuent d’être les éléments-clé du système de défense, qui doivent être réagis par les mêmes principes d’automatisation et d’intelligence artificielle. A cela devra s’ajouter la précision de la défense, qui doit s’adapter à l’environnement de menaces réel et la mise en place de mesures de protection adaptées.

Le VPN est mort

A l’évidence, la tendance au télétravail n’est pas prête de s’essouffler. La sécurisation des collaborateurs, dispersés dans divers lieux, va, elle, continuer d’évoluer. En 2023, l’approche Zero Trust remplacera progressivement celle reposant sur les VPN. Et pour cause, les frontières des réseaux d’entreprise ne ressemblent plus du tout à ce qu’elles étaient : les employés accèdent désormais à la plupart des applications professionnelles via des applications Cloud (SaaS) et les équipes IT ne sont pas enclines à faire face aux risques inhérents aux réseaux privés des employés. Considérer chaque appareil et compte utilisateur comme une potentielle menace est donc la clé pour soutenir et sécuriser les collaborateurs travaillant à distance.

Pourquoi essayer de forcer l’entrée quand on peut corrompre ?

En 2023, les cybercriminels profiteront de la situation économique négative, nourrie notamment pas l’inflation, pour s’introduire dans les systèmes des entreprises. Fragilisés par cette situation, les employés des entreprises seront plus activement utilisés par les cybercriminels pour arriver à leurs fins. Les pirates mettront de côté leurs compétences en matière de piratage et cibleront plutôt les employés vulnérables travaillant pour des fournisseurs tiers, tels que les compagnies de transports, les acteurs des chaînes d’approvisionnement, les fournisseurs d’accès Internet et de solutions logicielles.

Les entreprises doivent donc rester vigilantes et sécuriser non seulement leurs propres périmètres de réseau, mais aussi s’assurer que leurs fournisseurs sont sûrs.

Va-t-on continuer à utiliser des mots de passe ?

La récente brèche de sécurité qui a touché Uber met en évidence la fragilité des systèmes d’authentification dits MFA. Cependant, même si la technologie des mots de passe s’essouffle, il est peu probable que ces derniers disparaissent complètement l’année prochaine.

Ils devraient cependant être de moins en moins utilisés à l’avenir. Les prochains mois devraient s’inscrire sous le signe de la sécurisation des comptes par toutes les mesures possibles, y compris des mots de passes plus forts. Les gestionnaires de mots de passe seront alors particulièrement sollicités, et figureront à leur tour dans la liste des cibles d’intérêt des hackers.

Les stratégies de sécurité ne pâtiront pas de l’inflation

Les entreprises de toutes tailles et de tous secteurs seront susceptibles de réduire leur budget et leurs effectifs pour faire face à la situation économique, mais ces coupes ne devraient pas avoir d’impact direct sur les équipes dédiées à la sécurité.

Les normes européennes actuelles et futures impliquent par ailleurs que les conseils d’administration et les dirigeants des entreprises devront être de plus en plus attentifs à leur conformité et à leur rigueur sécuritaire.

En outre, les initiatives telles que la mise en place de labels de sécurité – tels que le « cyberscore » en France – accentueront l’importance du rôle des équipes de sécurité au sein des entreprises. Elles devront également travailler plus intelligemment et parfois revoir leur approche pour faire face à l’évolution du paysage économique et technologique.

La blockchain nécessitera plus de contrôle si elle veut traverser 2023 sans tumulte

Les technologies blockchain ont connu une année 2022 difficile du point de vue de la sécurité. L’année 2023 sera également tumultueuse, à moins que la blockchain ne s’éloigne du code comme loi. Actuellement, une trop grande confiance est en effet attribuée aux développeurs et à leurs compétences en matière de codage. Les équipes chargées de la sécurité de la blockchain doivent ainsi intégrer davantage de contrôle de sécurité et avoir des compétences en matière de détection et de réponse plus solides pour dissuader les acteurs malveillants.

Les multiples piratages survenus en 2022 ont fortement ébranlé la confiance des utilisateurs dans la sécurité des blockchains. Heureusement, les blockchains savent que les clients sont tout aussi préoccupés par la sécurité de celle qu’ils ont choisi que par ses caractéristiques. Par conséquent, les acteurs du secteur consacreront probablement les ressources appropriées pour en améliorer leur sécurité au cours des prochains mois. Outre le vol de cryptomonnaies, la disponibilité et la stabilité devraient être une priorité en 2023. Si les pannes et les ralentissements se poursuivent, certaines blockchains pourraient perdre des utilisateurs et s’effondrer.

L’informatique quantique est sur la ligne de départ

Les mesures visant à se préparer à l’arrivée de l’informatique quantique ne seront certainement pas massivement adoptées l’année prochaine. Cependant, les professionnels devraient garder ce sujet en tête pour 2024. Le niveau de risque inhérent à l’utilisation de l’informatique quantique ne compense pas tout à fait l’investissement particulièrement important qu’elle nécessite. Cela dit, les entreprises qui auront le plus besoin de l’informatique quantique (services financiers, entreprises dédiées à la défense ou qui utilisent des données extrêmement sensibles, etc.) devraient commencer à évaluer les risques dès maintenant.

En conclusion, il est très probable que 2023 s’inscrira dans la prolongation de 2022. Les événements des derniers mois nous ont rappelé, si besoin était, que la cybersécurité est un enjeu global.

La digitalisation continue de tous les acteurs augmentant considérablement le nombre de points d’entrée pour les hackers, la sensibilisation doit donc être plus intensive. Car si la technologie ne cesse d’évoluer et, avec elle, la marge de manœuvre des cyberattaquants, il faut apprendre de 2022 que le salut en matière de cybersécurité passera indubitablement par une sensibilisation exhaustive de tous les publics.

La version originale de cet article a été publiée par Le Journal du Net le 15 décembre 2022.