Guenoun Asma : «Le sujet de la cybersécurité est loin d’être uniquement technique»
Directrice de la Gouvernance IT chez Société Générale Maroc, Asma Guenoun met en lumière, à travers cette interview, les diverses formes de cyber-insécurité et les innovations permettant de les contrer. L’experte ne s’arrête pas au seul aspect technique…
Asma Guenoun, directrice de la Gouvernance IT chez SG Maroc
Quelles sont les typologies des menaces actuelles en matière de cyber-sécurité ?
Les menaces en matière de cyber sécurité sont multiples et évoluent d’une manière continue. On peut les catégoriser sous forme de menaces à facteur humain, à facteur technique ou combinant les deux facteurs tels que les menaces dites avancées et persistantes.
Les menaces à facteur humain exploitent une technique d’approche appelée l’ingénierie sociale, qui consiste à exploiter des relations socioprofessionnelles et des méthodes de manipulation psychologiques (mise sous confiance, situation d’urgence,...), pour soustraire des informations sensibles ou pousser la victime à réaliser des opérations frauduleuses, à ouvrir un document piégé, ou à cliquer sur un lien malveillant. Cette catégorie regroupe des menaces connues sous diverses appellations comme le phishing , le spear-phishing, la fraude au président, aux faux RIB, etc.
Les menaces ciblant des facteurs techniques englobent quant à elles les logiciels malveillants d’une manière générale : Ransomware, Malware, ... Ainsi que les menaces de type ‘’Dénis de service’’, qui sollicitent massivement des services exposés pour les rendre indisponibles.
En dernier lieu, l’on peut citer les menaces avancées et persistantes (APT), qui sont des cyberattaques prolongées dans la durée avec des techniques avancées et sans traces visibles. Une APT combine généralement des campagnes d’ingénierie sociale avec l’exploitation de failles techniques pour infiltrer la cible, puis surveiller les comportements et les opérations avant de passer à l’action.
La multiplication des canaux digitaux permet de renforcer le modèle relationnel au bénéfice de la proximité client, mais comment garantir la sécurité outre ces services, les données des clients ?
L’exposition des services et la forte dématérialisation des produits et parcours créent un terrain propice aux cyberattaques. En parallèle, les solutions de sécurité évoluent continuellement et bénéficient d’innovations comme le ‘’machine learning’’, le bigdata et le Cloud. Ces technologies viennent renforcer plusieurs facettes de sécurité : sécurité périmétrique, supervision de la fuite de données, intégration de la sécurité dans les développements et opérations informatiques, supervision des alertes sécurité, notamment avec un dispositif "Security Operations Center"...
Toutefois, le sujet est loin d’être uniquement technique, il doit faire partie intégrante de la stratégie de l’entreprise, et couvrir différents volets : organisationnel basé sur les processus, les politiques et une approche méthodologique de "Security by design" ; fonctionnel en sécurisant les parcours ; humain en sensibilisant les collaborateurs face aux menaces.
Le télétravail peut ouvrir de nouvelles portes à des vulnérabilités en matière de cyber-sécurité... Quelles sont les actions mises en place au niveau de Société Générale Maroc pour sécuriser ces accès ?
Société Générale Maroc disposait d’une solution d’accès distants sur un premier périmètre. Avec l’avènement de la pandémie COVID, nous avons rapidement œuvré à renforcer ce dispositif et à élargir son champ d’action, tout en veillant rigoureusement à sa sécurisation conformément aux meilleurs standards en vigueur : autorisation des accès basée sur une approche risque, chiffrement des flux de bout en bout (VPN), authentification forte, filtrage fin des accès à plusieurs niveaux, renforcement des contrôles opérationnels, détection des comportements suspects, sensibilisation aux bonnes pratiques de sécurité.
La banque digitale exige d’être de plus en plus rigoureux quant aux mécanismes d’authentification. A l’instar de la reconnaissance biométrique, quelles sont les techniques mises en place qui permettent de mieux sécuriser la phase d’authentification ?
Le renforcement de l’authentification est en effet un sujet primordial dans ce contexte de digitalisation et d’ouverture. Plusieurs mécanismes de renforcement de l’authentification sont actuellement possibles en fonction de la sensibilité des opérations :
L’IA présente de nouvelles opportunités très intéressantes en matière de cybersécurité pour identifier les menaces et les failles, et aussi pour détecter les comportements suspects pouvant donner lieu à des fraudes ou des attaques. Cela englobe l’analyse des actions clients, des utilisateurs internes, des flux d’échange de données ou des flux techniques au niveau du réseau.
Les capacités technologiques apportées par l’IA permettent aussi d’automatiser l’orchestration de la réaction face à une cybermenace. De ce fait, les experts peuvent mieux orienter leurs efforts vers des analyses contextuelles et des actions de remédiation en profondeur.
Il semble également nécessaire de s’intéresser à la cyber-sécurité au sein de l’écosystème des fournisseurs/prestataire, quelles sont les actions visant à renforcer ce volet ?
C’est un élément sur lequel la réglementation marocaine a insisté dans le cadre de la loi cybersécurité 05-20 récemment entrée en vigueur. Le principe global étant de faire preuve, à l’égard des fournisseurs et prestataires, d’un niveau d’exigence qui soit au moins similaire à celui pratiqué en interne. Notamment par des contrôles et audits des systèmes d’information des prestataires et le renforcement des clauses contractuelles autour de la sécurité.
Les menaces en matière de cyber sécurité sont multiples et évoluent d’une manière continue. On peut les catégoriser sous forme de menaces à facteur humain, à facteur technique ou combinant les deux facteurs tels que les menaces dites avancées et persistantes.
Les menaces à facteur humain exploitent une technique d’approche appelée l’ingénierie sociale, qui consiste à exploiter des relations socioprofessionnelles et des méthodes de manipulation psychologiques (mise sous confiance, situation d’urgence,...), pour soustraire des informations sensibles ou pousser la victime à réaliser des opérations frauduleuses, à ouvrir un document piégé, ou à cliquer sur un lien malveillant. Cette catégorie regroupe des menaces connues sous diverses appellations comme le phishing , le spear-phishing, la fraude au président, aux faux RIB, etc.
Les menaces ciblant des facteurs techniques englobent quant à elles les logiciels malveillants d’une manière générale : Ransomware, Malware, ... Ainsi que les menaces de type ‘’Dénis de service’’, qui sollicitent massivement des services exposés pour les rendre indisponibles.
En dernier lieu, l’on peut citer les menaces avancées et persistantes (APT), qui sont des cyberattaques prolongées dans la durée avec des techniques avancées et sans traces visibles. Une APT combine généralement des campagnes d’ingénierie sociale avec l’exploitation de failles techniques pour infiltrer la cible, puis surveiller les comportements et les opérations avant de passer à l’action.
La multiplication des canaux digitaux permet de renforcer le modèle relationnel au bénéfice de la proximité client, mais comment garantir la sécurité outre ces services, les données des clients ?
L’exposition des services et la forte dématérialisation des produits et parcours créent un terrain propice aux cyberattaques. En parallèle, les solutions de sécurité évoluent continuellement et bénéficient d’innovations comme le ‘’machine learning’’, le bigdata et le Cloud. Ces technologies viennent renforcer plusieurs facettes de sécurité : sécurité périmétrique, supervision de la fuite de données, intégration de la sécurité dans les développements et opérations informatiques, supervision des alertes sécurité, notamment avec un dispositif "Security Operations Center"...
Toutefois, le sujet est loin d’être uniquement technique, il doit faire partie intégrante de la stratégie de l’entreprise, et couvrir différents volets : organisationnel basé sur les processus, les politiques et une approche méthodologique de "Security by design" ; fonctionnel en sécurisant les parcours ; humain en sensibilisant les collaborateurs face aux menaces.
Le télétravail peut ouvrir de nouvelles portes à des vulnérabilités en matière de cyber-sécurité... Quelles sont les actions mises en place au niveau de Société Générale Maroc pour sécuriser ces accès ?
LIRE AUSSI
Société Générale Maroc disposait d’une solution d’accès distants sur un premier périmètre. Avec l’avènement de la pandémie COVID, nous avons rapidement œuvré à renforcer ce dispositif et à élargir son champ d’action, tout en veillant rigoureusement à sa sécurisation conformément aux meilleurs standards en vigueur : autorisation des accès basée sur une approche risque, chiffrement des flux de bout en bout (VPN), authentification forte, filtrage fin des accès à plusieurs niveaux, renforcement des contrôles opérationnels, détection des comportements suspects, sensibilisation aux bonnes pratiques de sécurité.
La banque digitale exige d’être de plus en plus rigoureux quant aux mécanismes d’authentification. A l’instar de la reconnaissance biométrique, quelles sont les techniques mises en place qui permettent de mieux sécuriser la phase d’authentification ?
Le renforcement de l’authentification est en effet un sujet primordial dans ce contexte de digitalisation et d’ouverture. Plusieurs mécanismes de renforcement de l’authentification sont actuellement possibles en fonction de la sensibilité des opérations :
- Authentification classique par simple mot de passe
- Vérification complémentaire au mot de passe, en contrôlant la connaissance de données personnelles (authentification à l’américaine)
- Vérification par code d'accès à usage unique (OTP), transmis par SMS ou par courriel, ou encore généré par un dispositif Soft ou hard token.
- Vérification par notification push au niveau d’une application mobile
- Vérification biométrique : empreintes digitales, reconnaissance du visage, de la voix, de l’iris...
L’IA présente de nouvelles opportunités très intéressantes en matière de cybersécurité pour identifier les menaces et les failles, et aussi pour détecter les comportements suspects pouvant donner lieu à des fraudes ou des attaques. Cela englobe l’analyse des actions clients, des utilisateurs internes, des flux d’échange de données ou des flux techniques au niveau du réseau.
Les capacités technologiques apportées par l’IA permettent aussi d’automatiser l’orchestration de la réaction face à une cybermenace. De ce fait, les experts peuvent mieux orienter leurs efforts vers des analyses contextuelles et des actions de remédiation en profondeur.
Il semble également nécessaire de s’intéresser à la cyber-sécurité au sein de l’écosystème des fournisseurs/prestataire, quelles sont les actions visant à renforcer ce volet ?
C’est un élément sur lequel la réglementation marocaine a insisté dans le cadre de la loi cybersécurité 05-20 récemment entrée en vigueur. Le principe global étant de faire preuve, à l’égard des fournisseurs et prestataires, d’un niveau d’exigence qui soit au moins similaire à celui pratiqué en interne. Notamment par des contrôles et audits des systèmes d’information des prestataires et le renforcement des clauses contractuelles autour de la sécurité.