Ça commence à bien faire !

Il y a quelques semaines, c'était le ransomware Cryptolocker. Une vacherie qui encrypte les fichiers de l'utilisateur, et bien évidemment si le malheureux veut accéder à nouveau à ses propres données il doit sortir sa CB. Si cela ne touchait encore que les fichiers locaux des disques durs, mais il y a eu des cas de pertes de données sur les partages de fichiers d'entreprise. Inutile de dire que les hôpitaux, alertés par le ministère et les instances nationales (DGOS, ANSSI, etc.) ont pour certains coupé les flux de messagerie, pour d'autres carrément déconnecté l'établissement d'Internet en attendant les analyses des éditeurs d'antivirus.

Cette semaine, c'est le tour des attaques de hackers djihadistes – suites aux évènements que l'on sait concernant Charlie Hebdo – de menacer les grands sites institutionnels. Le CHU de Strasbourg a vu sa page Web défigurée, et l'on dénombre des attaques en masse : la cathédrale de Nantes, d'autres hôpitaux, etc. Pour certains cela se limite à des défigurations de sites vitrines, pour d'autres à des attaques en DoS, pour d'autres enfin à des tentatives d'intrusion.

Le côté positif de la situation, c'est que nous avons tous plus ou moins été contraints de faire un tour général de nos DMZ : tel serveur non patché depuis la Saint Glinglin, tel autre avec des mots de passe admin par défaut dans une interface accessible depuis Internet, etc. A tel point que l'on se demande d'ailleurs qui sont les vrais couillons dans l'histoire : pourquoi faut-il attendre qu'une bande d'illuminés annoncent – publiquement en plus – des attaques massives pour mettre à jour nos sites ? A quoi sert un RSSI si c'est pour se rendre compte, à quelques heures de l'attaque, que le site Web n'a jamais été audité, les versions de l'OS antédiluviennes et aucune gestion des comptes d'administration ?

La sécurité périmétrique du SI, c'est avant tout une question de niveau. Si tout le monde est à 100 et vous à 50, même si vous n'êtes pas une cible en termes d'enjeux financier vous courez un risque certain. L'objectif n'est pas d'être totalement sécurisé – cela n'existe pas – mais de ne pas l'être moins que les copains. Et à ce petit jeu dans le monde de la santé on n'est clairement pas bons.

Il était une fois deux missionnaires dans la savane qui tombent nez à nez avec un lion affamé. D'instinct les deux infortunés prennent leurs jambes à leur cou pendant que le lion entame sa poursuite. Tout en courant, l'un des deux missionnaires demande à l'autre :

• pourquoi cours-tu ? Tu penses que l'on arrivera à lui échapper en courant plus vite que lui ?
• Je ne cherche pas à courir plus vite que lui, lui répond le second, je cherche juste à courir plus vite que toi !