Les années 2020 se sont ouvertes sur une leçon de confiance. En 2020, l'incident SolarWinds a révélé que des attaquants avaient compromis une mise à jour logicielle largement utilisée, ce qui leur permettait d'atteindre des milliers d'organisations par l'intermédiaire d'un seul fournisseur de confiance. Cette approche par la chaîne d'approvisionnement était profondément déstabilisante, car le code malveillant arrivait par des canaux légitimes que les clients avaient toutes les raisons de considérer comme fiables. Elle a obligé le secteur à repenser la manière dont les logiciels sont conçus, signés et vérifiés.
Les infrastructures critiques sont passées au premier plan des préoccupations en 2021, lorsqu'une attaque par rançongiciel contre Colonial Pipeline a perturbé la distribution de carburant dans une partie des États-Unis. L'intrusion n'a pas eu besoin de détruire des équipements physiques pour produire des conséquences bien réelles. Elle a montré que la pression exercée sur les seuls systèmes de gestion pouvait suffire à interrompre des services essentiels dont dépendent des millions de personnes.
La fragilité des logiciels est devenue tout aussi visible plus tard dans l'année. La vulnérabilité Log4j touchait un composant de journalisation petit mais extrêmement répandu, intégré dans d'innombrables applications à travers le monde. Comme ce composant était si largement réutilisé, les défenseurs ont dû mener un effort urgent et tentaculaire pour repérer et corriger chaque système concerné. C'est devenu l'exemple emblématique de la façon dont des dépendances cachées créent un risque partagé.
Ces événements, auxquels s'ajoute un flux continu de nouvelles failles zero-day découvertes, ont défini les priorités de la décennie : sécuriser la chaîne d'approvisionnement, protéger les infrastructures critiques et réagir rapidement aux failles qui apparaissent avec peu ou pas d'avertissement.
Références#
- CISA, avis et recommandations sur la sécurité de la chaîne d'approvisionnement, les infrastructures critiques et les vulnérabilités de grande ampleur.
- NIST, le Cybersecurity Framework et les recommandations sur le développement logiciel sécurisé.