Quand 10 failles connues font vaciller les systèmes d’information !

ITRUST, NOV 2014 : Saviez-vous que 10 failles de sécurité connues sont responsables de 99% des failles de sécurité des entreprises et institutions ? Un chiffre officiel (Etude du CENZIC) : 75% des entreprises ont été piratées ces 2 dernières années. Nos tests d’intrusion ont montré que l’on pouvait monter à 90% !

ITrust a conçu une étude des principales vulnérabilités informatiques, basée sur 5 années d’observation de ses Clients, plus d’une centaine tous secteurs confondus. Sur le plan de la sécurité des systèmes d’information, le top 10 des vulnérabilités se compose comme suit : systèmes trop verbeux (communiquant trop d’informations aisément), relations de confiance et propagation de la compromission (mauvaise étanchéité entre les systèmes), gestion des droits mal maîtrisée (loin du « besoin d’en connaître » normalement applicable), failles dans les protocoles d’administration (donc au cœur du pilotage technique), bases de données peu sécurisées (souvent lié aux nombreux logiciels et les bases de données associées), partages de fichiers chaotiques, serveurs à l’abandon (ayant eu leur utilité, ne servant plus, mais toujours connectés au réseau et accessibles), vulnérabilités WEB connues, (injections SQL, attaques XSS, gestion des sessions...), trivialité des mots de passe et... failles historiques !

Etonnant Livre Blanc ITrust qui nous démontre comment les principales failles « historiques » et connues de sécurité constituent le premier des dangers sur nos systèmes d’information. Nous connaissions tous l’utilisateur, représentant 50% des menaces en sécurité, d’où l’importance de l’acculturation de tout le personnel, mais les problèmes de sécurité « connus », c’est fort dommage de les trouver en tête de liste.

ITrust pénètre 9 fois sur 10 le SI de ses Clients lors des audits commandités. La présence de mots de passe par défaut sur les équipements techniques atteint 98% du panel, 8 systèmes d’information sur 10 qui subissent une attaque ou une intrusion ne le savent pas.

Les prises de conscience des dernières années, les politiques SI très orientées sécurité (Programme HOPITAL NUMERIQUE, Critères 5A et 5B de la certification HAS) vont dans le sens d’une amélioration des niveaux de sécurité mais l’on constate qu’il reste beaucoup à faire. Les outils sont là, les problèmes souvent connus, les personnels avertis et formés, alors agissons, par paliers, par étapes, pour atteindre l’indispensable maturité sécurité de nos SI de Santé !