Qu'est-ce qu'une attaque de la chaîne d'approvisionnement et comment puis-je m'en protéger ?
Avec une hausse de 650 % des attaques visant la chaîne d’approvisionnement en l’espace d’une seule année, ce type d’attaque constitue une préoccupation croissante pour les MSP et les prestataires informatiques. En effet, 97 % des entreprises ont été touchées par une faille de cybersécurité au sein de leur chaîne d’approvisionnement. Également appelée « attaque de la chaîne de valeur » ou « attaque par un tiers », une attaque de la chaîne d’approvisionnement cible un fournisseur tiers de confiance qui propose des services ou des logiciels essentiels à la chaîne d’approvisionnement. Les attaques de la chaîne d’approvisionnement se distinguent par le fait qu’elles exploitent la confiance qu’une organisation accorde à ses fournisseurs pour pénétrer dans son environnement ; leur objectif est d’accéder à ses systèmes, de voler des données sensibles ou de prendre le contrôle à distance de ses systèmes.
L'impact des attaques de la chaîne d'approvisionnement varie et le résultat peut être une attaque de ransomware largement répandue, des campagnes de spear phishing, l'insertion de logiciels malveillants (qui peuvent souvent prendre un certain temps à être détectés), le vol de propriété intellectuelle (IP) ou d'informations d'identification ou l'intrusion dans le réseau.
L'évolution des attaques contre la chaîne d'approvisionnement
Auparavant, les attaques contre la chaîne d'approvisionnement étaient des menaces de source étrangère. Elles se concentraient sur les logiciels espions installés sur les composants matériels. Les cybercriminels ont évolué et ont identifié un meilleur retour sur investissement potentiel en attaquant un composant en amont qui affecterait plusieurs victimes au lieu de cibler une victime à la fois.
Les fournisseurs de logiciels et de technologies de l'information constituent donc une cible attrayante. En y accédant, il est possible de propager le logiciel malveillant à de nombreuses autres cibles par le biais de ces connexions.
Aujourd'hui, les attaques de la chaîne d'approvisionnement ciblent les relations de confiance entre les produits logiciels commerciaux, les produits matériels commerciaux, les composants logiciels, les API de tiers et les composants logiciels libres, ce qui permet des attaques plus évolutives.
Pourquoi les MSP devraient-ils s'en préoccuper ?
Les MSP sont responsables de la sécurité informatique de leurs clients. Vos clients vous font confiance pour leur fournir des solutions informatiques sécurisées et doivent s'assurer que vous êtes conscient des risques d'attaques de la chaîne d'approvisionnement. En entamant une discussion sur les attaques de la chaîne d'approvisionnement et les risques liés aux tiers, vous pouvez améliorer votre relation avec vos clients, instaurer la confiance et les informer sur les questions qu'ils devraient poser à leurs fournisseurs.
Que peuvent faire les MSP pour éviter une attaque de la chaîne d'approvisionnement ?
Pour protéger vos clients contre les attaques de la chaîne d'approvisionnement, vous devez d'abord mettre de l'ordre chez vous. En outre, vous devez, au minimum, procéder à une évaluation de base de la sécurité de vos fournisseurs de logiciels.
Pour vous faciliter la tâche, nous avons dressé une liste de mesures simples que les MSP devraient prendre pour réduire les risques que vos clients soient victimes d'une attaque de la chaîne d'approvisionnement :
Décisions et actions tactiques que vous pouvez prendre au quotidien :
Audit de l'informatique parallèle non approuvée
Tenir à jour l'inventaire des actifs logiciels
Évaluer la posture de sécurité des fournisseurs, identifier les dépendances
Valider le risque fournisseur
Développer un processus de réponse aux incidents
Actions stratégiques autour de la sécurité des logiciels et de la chaîne d'approvisionnement :
Utiliser Endpoint Detection & Response (EDR)
Déployer de solides politiques d'intégrité du code
Maintenir une infrastructure/architecture de construction et de mise à jour hautement sécurisée
Construire des mises à jour logicielles sécurisées dans le cadre du cycle de vie du développement logiciel
Mettre à jour et comprendre les dépendances existantes
Étant donné que les PME disposent de ressources limitées pouvant être consacrées à l'évaluation des risques par des tiers, plus les MSP peuvent faire pour s'assurer que vous et vos fournisseurs investissent dans la sécurité, mieux c'est.
Voici une liste de mesures que vous pouvez prendre pour réduire le risque d'attaque visant la chaîne d'approvisionnement.
