De nombreuses personnes vivent à proximité de la ville de Tampa, en Floride, pour diverses raisons, l’une d’entre elles étant de pouvoir transiter régulièrement par l’un des meilleurs aéroports des Etats-Unis, le Tampa International Airport (TIA). Malheureusement, comme beaucoup d’autres en ce moment, TIA a récemment fait les frais d’une compromission de sa sécurité informatique. Mais plus que d’autres, comme il s’agit d’un aéroport international, TIA a dû prendre la peine de s’expliquer.
De ce que nous savons des failles constatées, la liste s’apparente à tout ce qu’il ne faut pas faire en matière de sécurité informatique. TIA a recruté une personne pour travailler sur un projet Oracle. Cette personne a communiqué ses identifiants VPN, ses comptes (privilégiés) et ses mots de passe à près d’une dizaine d’autres personnes dont certaines travaillant pour une agence de recrutement, qui se sont connectées au système des dizaines de fois depuis Mumbai et Pradesh, en Inde, des Emirats Arabes Unis et du Cachemire, en Inde.
Ce cas particulier met en scène la collision malheureuse de VPN mal sécurisés, des accès non contrôlés de prestataires et de la non observance des bonnes pratiques de gestion des mots de passe. Plusieurs personnes ont été licenciées, dont le directeur et le responsable informatiques. TIA en est venu à paralyser ses processus métier en prenant la décision radicale, mais probablement nécessaire, de ne plus autoriser l’accès au réseau informatique de l’aéroport qu’aux équipements délivrés par les autorités aériennes compétentes et non plus aux appareils électroniques personnels.
Suite à cette compromission, parce que TIA n’avait pas correctement encadré les conditions d’accès dès le départ, l’aéroport a dû revenir à ses pratiques d’il y a 20 ans.
Or des alternatives existent :
- Ne jamais faire aveuglément confiance à des prestataires extérieurs dès qu’il s’agit de la sécurité de VOS informations. Désignez clairement les tierces parties, les prestataires et les consultants qui travaillent pour vous. Les prestataires de services IT et sociétés de conseil ne sont pas réputés pour la rigueur de leur sécurité informatique. Ce n’est pas parce qu’ils détachent des consultants que leur posture de sécurité est nécessairement mature. Vérifiez comment ils recrutent les profils des professionnels qu’ils envoient en mission et s’ils leur dispensent des formations de sensibilisation aux pratiques de sécurité.
- Pour l’accès des tiers à votre environnement, d’autres solutions existent que de passer par un VPN et de simplement prier pour que chacun observe les bonnes pratiques. Une solution avec une connexion de courtage permet de contrôler qui a accès à vos systèmes IoT, par quel moyen, où, quand et comment. Séparez bien les choses : vous pouvez très bien autoriser des tierces parties à collaborer à vos projets, sans leur délivrer un grappin façon IP pour s’infiltrer sur votre réseau interne.
- Ne pas accorder d’accès libre sans restriction. Instaurez une procédure mature de traçabilité de vos prestataires du moment où ils font une demande d’accès au moment où vous le leur accordez et où vous le révoquez. Ainsi vous êtes informé et vous faites preuve de responsabilité.
- Surveiller ce qu’ils font de leur autorisation d’accès. Prévoyez de jeter un œil par-dessus leur épaule chaque fois que vous le souhaitez. Enregistrez toute l’activité. Ce qui est gênant dans le cas du piratage de TIA, c’est que même après les investigations de sécurité, les auditeurs étaient « incapables de dire quelles données spécifiques ont pu être transférées. » L’enregistrement systématique des activités des prestataires qui se connectent à vos réseaux et systèmes permet de toujours savoir qui a fait quoi exactement. C’est une bonne pratique à observer en toutes circonstances, pour une gestion de projet, le suivi de facturation, la conduite d’un audit de sécurité annuel et la gestion post-compromission dans le cas d’un incident comme celui de l’aéroport TIA.
- Renforcer la sécurit&eaeacute; des mots de passe. Dans le cas particulier de TIA, il semble qu’aucun contrôle des règles de gestion des mots de passe ait été exercé. Une solution de référentiel sécurisé de mots de passe/identifiants peut permettre de régler cette situation rapidement. Vous éliminez le risque lié à des mots de passe dupliqués, faciles à deviner, partagés, ainsi que les menaces que posent les comptes partagés ou intégrés aux systèmes.
Chaque cas de compromission est source d’enseignements, ce sera le cas à long terme pour l’aéroport de Tampa.