weerapat1003 – stock.adobe.com
Les risques liés à la concentration technologique : l’incident Microsoft–CrowdStrike en lumière
Publié le : 22 juillet 2024 14:45
La récente panne mondiale de Microsoft, provoquée par une mise à jour défectueuse de la société de sécurité CrowdStrike, a mis en évidence les risques considérables pour la continuité des activités découlant de la concentration de l’infrastructure technologique mondiale entre les mains d’un nombre restreint d’entreprises, selon des experts.
Cette panne, survenue dans la nuit du 18 juillet 2024 et ayant fait la une des journaux le matin du 19 juillet, a été causée par une mise à jour de CrowdStrike qui a échappé aux contrôles de qualité avant d’être déployée à l’échelle mondiale. Cette mise à jour a provoqué un « boot loop » sur les ordinateurs, les rendant inopérables au démarrage et affichant l’infâme écran bleu de la mort.
Bien qu’il soit estimé que seulement 8,5 millions de machines aient été touchées, ce qui représente une petite fraction du total mondial, de nombreuses machines appartenaient à des organisations publiques, entraînant la diffusion rapide d’images de panneaux d’affichage hors service dans des lieux tels que les aéroports, les gares et les magasins.
Selon une étude publiée en mai 2024 par SecurityScorecard, le PDG et co-fondateur Aleksandr Yampolskiy a révélé que les produits et services informatiques de seulement 150 entreprises représentent 90 % de la surface d’attaque mondiale, tandis que 62 % de cette surface est concentrée dans les offres de seulement 15 entreprises technologiques, dont Microsoft.
Sur la base du système de notation propriétaire de Security Scorecard, l’étude a révélé que ces 15 organisations avaient toutes des évaluations de risque en cybersécurité inférieures à la moyenne. Étant donné que les groupes de ransomware ciblent systématiquement les vulnérabilités des tiers à grande échelle, cela devrait susciter de vives inquiétudes au sein des équipes informatiques.
Yampolskiy a décrit l’état de l’informatique mondiale comme une « maison précaire perchée au bord d’une falaise », affirmant qu’en concentrant des services critiques entre les mains de quelques grandes entreprises, les entreprises ont créé un point de défaillance unique.
« Lorsque je travaillais chez Goldman Sachs, la politique était de se procurer des outils auprès de plusieurs fournisseurs », a-t-il déclaré. « Ainsi, si un pare-feu d’un fournisseur tombe en panne, vous avez un autre fournisseur qui peut être plus résilient. La panne mondiale de vendredi est un rappel de la fragilité et du risque systémique de concentration de la technologie qui soutient la vie quotidienne : compagnies aériennes, banques, télécommunications, bourses, et plus encore.
Comprendre le chaos
Yampolskiy a souligné que les résultats de l’enquête mettent en évidence le fait qu’une part significative de la surface d’attaque externe mondiale est contrôlée par un petit nombre d’organisations, et que nous ne faisons qu’effleurer la surface du chaos que cela pourrait engendrer, comme l’a révélé l’incident de CrowdStrike.
Il a soutenu que cet incident illustre parfaitement l’importance croissante de connaître sa chaîne d’approvisionnement (KYSC) dans le cadre de la résilience opérationnelle, ajoutant que les équipes informatiques doivent mieux comprendre les dépendances au sein de leur entreprise et celles de leurs fournisseurs technologiques. Cette connaissance est essentielle pour répondre efficacement aux pannes, qu’elles soient causées par des cyberattaques malveillantes, des erreurs humaines ou d’autres facteurs.
« Comprendre et gérer votre chaîne d’approvisionnement est crucial pour atténuer ces risques », a déclaré Yampolskiy. « En identifiant proactivement les dépendances et les vulnérabilités potentielles au sein de votre écosystème, vous pouvez renforcer la résilience de votre organisation face à de tels événements perturbateurs.
« Une panne n’est qu’une autre forme d’incident de sécurité », a-t-il ajouté. « L’antifragilité dans ces situations provient du fait de ne pas mettre tous vos œufs dans le même panier. Vous devez avoir des systèmes diversifiés, savoir où se trouvent vos points de défaillance uniques, et effectuer des tests de résistance proactifs à travers des exercices de simulation de pannes. Pensez au concept de ‘chaos monkey’, où vous cassez délibérément vos systèmes – par exemple, en arrêtant votre base de données ou en faisant dysfonctionner votre pare-feu pour voir comment vos ordinateurs réagissent. »
En savoir plus sur la gestion des risques informatiques
-
Microsoft : Une mise à jour défectueuse de CrowdStrike a touché 8,5 millions d’appareils
Par : Arielle Waldman
-
Analyse de la plus grande panne informatique de l’histoire et perspectives d’avenir
Par : Sean Kerner
-
NCSC : Attention aux opportunistes criminels liés à CrowdStrike
Par : Alex Scroxton
-
La mise à jour de CrowdStrike a affecté 8,5 millions d’appareils Windows
Par : Aaron Tan
