Symantec a dressé un bilan de l'année 2010, tant au niveau de l'entreprise que sur les enseignements des récentes attaques. Avant de rentrer dans les détails, le spécialiste de la sécurité est revenu sur la vie de la société. Elle se porte bien en affichant 6 milliards de dollars de chiffre d'affaires. Elle a réalisé plusieurs acquisitions, PGP, Guardian Edge et enfin Verisign. Pour Eric Soares, vice-président et general manager Europe de l'Ouest, ces mouvements s'inscrivent dans la stratégie de la société qui s'articule autour de deux priorités les personnes et les informations, en créant un espace de confiance. Ce dernier passe par 3 étapes : protection de l'infrastructure, la classification de l'information, définition des politiques de sécurité et leur contrôle. Un focus tout particulier a été souligné par Laurent Heslault, directeur des technologies de sécurité de l'éditeur. Il a ainsi cité un ancien PDG de Symantec « la donnée est la monnaie du 21 ème siècle ». Il a constaté des évolutions des fonctions des responsables de la sécurité au sein des entreprises, « aux Etats-Unis, on commence à voir apparaître des CISO, à côté des CSO, en France aussi le RSSI bascule vers le RSI ». La prise de conscience que l'information est importante au sein de l'entreprise est plus forte souligne le dirigeant, « nous sommes clairement dans un mode rustine, où les entreprises nous appelle pour nous demander d'intervenir sur la mise en place de solution de DLP, par exemple ».

Un avant et un après Stuxnet

Laurent Heslault a dressé les tendances de la sécurité pour l'année 2011, mais a insisté sur le virage que constitue la découverte de Stuxnet.  « Il y a eu un avant et un après Stuxnet » précise le responsable et de « saluer » la complexité, le niveau de développement de ce ver « là où certains programmes malveillants pèse entre 2 et 10 ko, Stuxnet pèse 600 ko ». Cette menace évoluée touche principalement les infrastructures critiques reposant sur des systèmes Scada. Les réseaux d'eau, d'électricité, les lignes de fabrications pharmaceutiques par exemple se retrouvent exposés à ce genre d'attaques. Laurent Heslault confie « Stuxnet a eu au moins le mérite qu'un dialogue s'installe entre les responsables de la sécurité informatique et ceux en charge des infrastructures. Les systèmes Scada sont équipés de vieux systèmes d'exploitation, non patchés et donc très vulnérables ».

Autres inquiétudes, les failles « 0 Days » qui se multiplient et le business autour de ces vulnérabilités aussi. Selon Laurent Heslault « cela se vend très cher, plusieurs milliers de dollars ». La stéganographie (le fait de cacher des informations au sein d'un flux vidéo, image ou dans un site) est un sujet d'appréhension, car elle demande beaucoup de ressources pour les déchiffrer. Paradoxalement, le cloud n'est pas assimilable à un risque supplémentaire en matière de sécurité « cela apportera des choses positives si cela est bien construit » conclut l'expert de l'éditeur.

 

Illustration : Laurent Heslault, directeur des technologies de sécurité de l'éditeur