Les fins d’années sont propices aux analyses et bilans des douze mois écoulés, afin d’en tirer des leçons et de préparer l’après en conséquence. En termes de cybersécurité, 2021 a vu la digitalisation s’accélérer du fait de la pandémie, et il en a été de même pour les cyberattaques. Plus particulièrement, la supply chain a concentré un volume important de ces campagnes malveillantes ; car elle reste trop souvent ignorée dans les stratégies de cybersécurité. Parce que 2022 mettra très certainement de nouveau la chaîne d’approvisionnement mondiale sous les projecteurs, les entreprises doivent dès maintenant se mettre en ordre de marche, parce qu’elles ne pourront pas (plus) dire qu’elles ne savaient pas.
Les attaques contre la supply chain vont continuer de progresser
Fidèles à la stratégie « island hoping », les cybercriminels visent toujours le plus faible maillon d’une entreprise afin de s’immiscer dans son réseau informatique. Or, alors que 84 % des entreprises ne contiennent pas efficacement les cyber-risques de leurs tiers selon un rapport de BCG, la supply chain reste encore une cible clé des hackers.
Avec la pandémie, les entreprises accélèrent leur transformation digitale afin de renforcer la visibilité, l’agilité et la résilience de leurs activités commerciales et de répondre aux besoins de leurs clients. Davantage de données critiques sont partagées chaque jour dans des chaînes d’approvisionnement mondiales de grande envergure. Toutes les organisations sont donc aujourd’hui connectées et donc susceptibles d’être le maillon faible de la chaine.
Par conséquent, les campagnes malveillantes prenant pour cible la supply chain vont être de plus en plus nombreuses. Pour se protéger, les entreprises n’auront pas d’autres choix que de renforcer la cybersécurité de tout leur écosystème, pas seulement la leur. Cela nécessitera une vue holistique sur la cyber-maturité de l’ensemble des tiers avec lesquelles elles interagissent, mais aussi d’être capables d’identifier les fournisseurs critiques et de garder un œil sur leurs pratiques de sécurité.
Les données de santé seront toujours particulièrement visées
En mai 2021, le ministère des Solidarité et de la Santé a décrété que la cybersécurité dans le domaine de la santé et du médico-social représentait une priorité nationale. En effet, ce secteur accuse un retard certain sur les attaquants.
La numérisation s’est en effet accélérée avec la pandémie ; suite notamment au développement de la téléconsultation et des traitements à distance, ou encore à la prise de rendez-vous pour se faire vacciner via des applications et des plateformes en ligne.
Cette présence digitale étendue a par conséquent agrandi la surface d’attaque et cette situation devrait continuer à s’amplifier ; soit autant d’opportunités pour les cybercriminels de mettre la main sur des données de santé, dont la vente est très lucrative sur le Dark Web. Les organisations de ce secteur doivent par conséquent s’assurer que tous les tiers avec lesquels elles interagissent ont un niveau de sécurité en accord avec leurs exigences, pour être à même de faire face au paysage des menaces.
InfoSec, achats et Codir vont davantage travailler ensemble
D’un côté, les entreprises prennent peu à peu conscience des cybermenaces qui planent sur leurs ressources et leur activité. De l’autre, tout laisse à penser que des attaques massives liées à la supply chain devraient de nouveau faire la Une des media en 2022. Ainsi, selon Forrester, 60 % des incidents de sécurité seront liés à des tiers en 2022.
C’est pourquoi il faut s’attendre à ce que les entreprises mettent en place, ou renforce, la gestion des risques liés aux tiers. De plus, cette dernière ne sera plus seulement l’affaire des équipes dédiées à la cybersécurité (InfoSec).
Le comité de direction (Codir) ainsi que les achats vont en effet vouloir prendre part à la conversation, du fait d’une sensibilisation accrue aux cyber-risques, ainsi que de leurs répercussions en termes financiers ou d’image. En travaillant de concert, ces décideurs devraient accorder une plus grande importance à la cybersécurité et à son intégration dans les processus business.
Les cyberattaques à l’encontre de la supply chain devraient donc se poursuivre et même s’intensifier en 2022. Si certaines cibles semblent évidentes,
comme le secteur de la santé, personne n’est à l’abri de ces campagnes. La prise de conscience et une mise à jour à marche forcée des stratégies de cybersécurité représentent donc les seuls leviers pour faire face à cette menace et s’assurer que tous les maillons de la supply chain soient sécurisés de manière satisfaisante. Il s’agit d’un effort collectif car toutes les organisations d’un écosystème sont aussi vulnérables que leur maillon faible.
