Olivier Ligneul (EDF) revient sur les leçons cyber après deux années de crises

Le Directeur Cybersécurité du Groupe EDF nous livre son analyse sur les principaux points du rapport DBIR (Data Breach Investigations Report) 2022 de Verizon et nous fait part de ce qui a changé depuis deux ans dans sa stratégie de défense anti-cybercriminalité.

>> Cette interview est réalisée dans le cadre du petit déjeuner Alliancy et Verizon « Cybersécurité des entreprises : Comment s’adapter en intégrant les enseignements de deux années de crises ? », du 6 juillet 2022 au Campus Cyber. Retour sur les leçons cyber évoquées durant cette matinée.

L’édition 2022 du rapport DBIR de Verizon met en avant une progression de 13 points des ransomwares par rapport à 2021, soit plus que pendant les cinq années précédentes cumulées. Ils sont maintenant à 25 %. Le constat est-il similaire de votre côté ?

Olivier Ligneul : Je rejoins le constat d’une explosion des attaques par ransomware. Ces attaques sont désormais menées de manière systématique et elles ciblent plutôt les entités de petite et moyenne taille, y compris dans les grands groupes. Ces attaques sont très industrialisées et nous faisons face, d’une manière récurrente et permanente, à de nouveaux cycles d’attaque. Elles visent les entités de taille moyenne, car les mécanismes de protection y sont moins importants que dans les grosses structures centralisées critiques. Et cela attire moins l’attention d’acteurs étatiques ou d’acteurs liés aux aspects critiques des entreprises.

Pour aller plus loin, consultez l’interview de notre autre grand témoin lors de cette matinée : Thierry Auger, Corporate CIO et Group CISO de Lagardère.

Toujours selon le rapport de Verizon, la chaîne d’approvisionnement (supply chain) a été responsable de 62 % des incidents d’intrusion dans les systèmes cette année. Quelle est votre réaction sur ce point ?

O.L. : Nous avons constaté une légère augmentation, mais sans que cela n’explose, de l’implication de la supply chain dans les incidents, sachant que le niveau était déjà très élevé. Nos écosystèmes, que ce soient les relations de rang 1 ou de rang 2 (les relations de nos relations), se font toujours autant attaquer. Cela nous impacte fortement, car nos procédures prévoient de couper tous les liens avec un partenaire victime d’une attaque, afin de nous préserver, le temps qu’il rétablisse la situation.

Dans le secteur de l’énergie qui est le nôtre, nous commençons à nous organiser par rapport aux attaques « supply chain », car c’est un phénomène que nous subissons depuis trois ou quatre ans. Quand une structure de notre supply chain est attaquée, et quand elle est commune à plusieurs acteurs de l’énergie (Engie, TotalEnergies ou EDF), l’un de nous trois va au contact du partenaire touché, réalise avec lui un état des lieux et l’accompagne dans la prise de décisions permettant la remédiation, tout en tenant au courant les autres de la situation.  Cela démultiplie nos capacités de réaction et optimise nos capacités opérationnelles.

Depuis deux ans, qu’avez-vous modifié dans votre stratégie de cyberdéfense ?

O.L. : Depuis deux ans, nous avons doublé le nombre de ressources opérationnelles internes au groupe consacrées à la cybersécurité. Cela vient du constat que les ressources dont nous disposions ne suffisaient pas et que le sujet est trop stratégique pour qu’il soit autant externalisé.

Nous avons donc réinternalisé l’ensemble des ressources dédiées à la gestion de notre SOC. Les seules ressources qui restent externalisées aujourd’hui concernent, d’une part, le maintien en conditions opérationnelles des outils du SOC (nous ne sommes pas éditeur de logiciels, ni de produits de sécurité) et, d’autre part, tout ce qui touche aux activités de premier niveau. Ce dernier point est d’autant plus justifié que nous sommes en train de déployer un SOAR (Security Orchestration, Automation and Response, NDLR) qui est maintenant opérationnel et commence à prouver son efficacité.

Quelles autres mesures avez-vous prises ?

O.L. : Concernant notre SOC, nous avons augmenté de manière drastique le nombre d’exercices, de manière à bien tester nos différentes infrastructures internes. Nous avons aussi très fortement augmenté le nombre d’acteurs qui intègrent les différentes applications et solutions du groupe, d’une manière plus importante en termes de volume et de rapidité. Cela nous permet de bénéficier d’une meilleure réactivité, au regard d’un flux de plus en plus important d’applications et d’infrastructures que nous souhaitons surveiller.

Du côté de notre VOC (Vulnerability Operation Center, NDLR), nous avons industrialisé la recherche de vulnérabilités et notre capacité à remédier. Cela représente des dizaines de milliers de composants à patcher.

Quant à notre CERT, dont les effectifs ont triplé en trois ans, il a augmenté le nombre de missions qu’il porte. Il mène de plus en plus de missions de CTI (Cyber Threat Intelligence, NDLR), ce qui permet de mieux contextualiser les événements ou l’exposition au risque par rapport à des publications de vulnérabilités critiques, de threat hunting et de réponses à incident en lien avec nos petites et moyennes structures.

A lire aussi : Chez EDF Renouvelables, le “cloud vertical” doit s’adapter à une stratégie multi-fournisseurs, multi-géographies

Quelles leçons urgentes tirer en France des chocs cyber provoqués par les nouvelles formes de conflits auxquels nous assistons ?

O.L. : Le conflit en Ukraine et la crise sanitaire, ont généré en Europe de nombreuses réflexions quant au thème de la souveraineté. À ce titre-là, nous devons commencer à nous interroger sur ce qui doit être protégé, notamment de l’espionnage, dans un contexte géopolitique où différents acteurs renforcent leur souveraineté. En complément des agressions « visibles », car souvent médiatisées, relatives aux attaques de type ransomware, il faut également se pencher sur la protection du patrimoine et des processus clefs de l’entreprise face à des tentatives d’actions d’espionnages qui su multiplient.