« 69% des RSSI [Responsable de la Sécurité des Systèmes d'Information] français ont interdit l’utilisation de WhatsApp dans l’entreprise », déclare Gigamon dans une étude sur la sécurité du « cloud hybride ». À défaut de comprendre pourquoi ils auraient interdit la messagerie, nous avons par contre découvert pourquoi Gigamon s'en vanterait.
« Si seulement 24 % des entreprises dans le monde ont interdit ou envisagent d’interdire ChatGPT, 100 % d’entre elles sont préoccupées par TikTok et le Metaverse, tandis que 99 % s’inquiètent de WhatsApp », indique une étude consacrée à la « sécurité du cloud hybride » publiée par l'entreprise de sécurité pour le Cloud Gigamon :
« 60 % des entreprises dans le monde ont d’ailleurs d’ores et déjà interdit l’utilisation de WhatsApp pour des raisons de cybersécurité – un chiffre qui atteint 67 % en Allemagne et 69 % en France. »
L'étude ne précise pas en quoi l'interdiction de WhatsApp améliorerait la cybersécurité, ni comment les entreprises pourraient interdire à leurs employés d'utiliser WhatsApp ou des messageries encore plus sécurisées comme Signal depuis leurs terminaux personnels, non plus que ce pourquoi les Français et Allemands auraient (un peu) plus peur de WhatsApp que les autres.
Tout juste, apprend-on, dans le communiqué de presse associé, que 30 % des RSSI et DSI français interrogés « sont toujours en train d’évaluer les risques et envisagent de prendre une décision prochainement », mais sans que Gigamon n'explicite les risques dont il serait question, pas plus que de leur évaluation.
Crédits : Twitter
L'étude n'en est pas moins sous-titrée « Perception vs. Réalité », sans que Gigamon ne s'explique sur ce qui relèverait de la perception, non plus que de la réalité, des problèmes de cybersécurité que poserait WhatsApp. Intrigués, nous avons donc entrepris de remonter à la source, afin de pouvoir contextualiser les résultats présentés.
L'étude en question ne porte pas sur un échantillon « mondial », mais sur les réponses apportées par 1 020 directeurs des systèmes d’information (DSI), vice-présidents et responsables de la sécurité des systèmes d’information (RSSI), ingénieurs et architectes cloud, directeurs techniques et analystes de la sécurité du cloud, dont 200 aux États-Unis et en France, 160 à Singapour et en Australie, et 150 en Allemagne et au Royaume-Uni.
À défaut d'être pleinement représentatif, on notera également que 42 % travaillent dans des entreprises comptant entre 501 et 1 000 employés, et 58 % dans des entreprises de plus de 1000 employés. Qu'il s'agit donc de répondants censés disposer de moyens, tant humains, financiers, que techniques et organisationnels, en matière de cybersécurité.
Gigamon précise que l'étude a été effectuée fin avril 2023 par Vitreous World, un cabinet de conseils et d'études de marché britannique sous-titré « The Home of Trusted Data » (« La maison des données fiables »), mais dont le site web n'a étrangement plus été mis à jour depuis 2018.
Sur LinkedIn, Vitreous World précise « respecter les plus hauts niveaux d'intégrité dans tout ce que nous faisons », et que sa « mission est de créer un environnement où tous les éléments de notre prestation de recherche sont complètement transparents et responsables » :
« En utilisant toutes les mesures de contrôle de qualité disponibles et les meilleures pratiques de l'industrie, nous permettons à nos citoyens Vitreous World de se concentrer sur leurs objectifs fondamentaux tout en sachant que les données fournies résisteront à un examen minutieux. »
Un camembert totalisant 206 % de réponses
Interrogés sur les facteurs clefs qui les empêchent de bien dormir la nuit, 55 % des répondants mentionnent l’exploitation d’angles morts dont ils ne soupçonnent pas l’existence (en rouge sur l'infographie), 31 % la sophistication et la complexité croissantes des attaques (vert), 30 % le manque d’outils et de visibilité pour sécuriser l’organisation (jaune), 25 % des investissements insuffisants en matière de cybersécurité (violet), 24 % « une nouvelle législation sur la cybersécurité, plus ciblée et plus conséquente, à laquelle il faut se conformer » (gris), 22 % la pression du conseil d’administration (saumon), et 19 % le manque de personnel expérimenté en matière de cybersécurité (pénurie de compétences, en bleu). Aucune trace de WhatsApp parmi ces questions.
Signe que la méthodologie n'est pas forcément des plus rigoureuses, Gigamon fournit un diagramme circulaire (« pie chart », ou camembert en français) pour illustrer les réponses à ce QCM qui, étant à choix multiples, totalise donc 206 % de réponses.
Gigamon précise par ailleurs que les personnes interrogées en France ne seraient que 36 % à être préoccupées par l’exploitation d’angles morts non découverts, contre 56 % (dans le texte, 55 % sur le camembert) de l'ensemble des personnes interrogées.
Un delta d'autant plus troublant que Gigamon explique dans la foulée que les répondants français déclareraient dans le même temps être les plus apeurés par WhatsApp, mais sans que Gigamon n'explique le lien entre l'application de messagerie et les réponses proposées dans le QCM, et alors même que cette notion d' « angles morts » est la seule qui pourrait être reliable à WhatsApp.
101 % des Singapouriens ont été victimes de cyberattaques
Dans d'autres graphiques, Gigamon explique en outre que 90 % des responsables IT et sécurité ont subi une violation de données au cours des 18 derniers mois (et ce, alors que les questions ne portaient, elles, que sur les seuls 12 derniers mois), que 59 % ont été victimes d’une cyberattaque réussie au cours des 7 à 9 derniers mois, et que 93 % prévoient une augmentation des attaques contre la sécurité du cloud au cours des 12 prochains mois.
Les réponses diffèrent cela dit énormément en fonction du pays des répondants, et si aucun répondant australien ou singapourien n'estime avoir subi de violation de données l'année écoulée, ils ne sont que 2 % en France, 9 % aux États-Unis, 10 % en Allemagne et 16 % au Royaume-Uni.
Un chiffre d'autant plus étonnant que 40% des Britanniques interrogés s’inquièteraient de ne pas disposer des outils ou de la visibilité nécessaires pour sécuriser correctement leur organisation, contre 30 % de l'ensemble des personnes interrogées. Ceux qui déclarent être le moins attaqués seraient donc, dans le même temps, ceux disposant du moins de visibilité à ce sujet, sans que Gigamon n'explique, une fois de plus, ce paradoxe.
Des taux de réponse de 80 à 101 % dans les deux premiers questionnaires, le troisième étant, lui, à choix multiples.
Gigamon précise que 69 % des fuites de données évoquées auraient été identifiées à l’aide d’outils de sécurité et d’observabilité, 18 % parce que les utilisateurs avaient constaté un ralentissement des performances des applications, probablement dû à une attaque par déni de service (DoS) ou à une exfiltration de données en transit ou, plus marginalement, parce qu'ils n'avaient pas pu accéder au système d'information (9 %) ou que des données propriétaires avaient été divulguées sur le dark web (4 %).
Si, là encore, les données montrent de grandes disparités régionales, Gigamon s'étonne que « près d’une violation sur trois » n’ait pas été détectée par les professionnels de l’IT et de la sécurité et leurs outils. Mais n'explique nullement pourquoi, les taux de réponse à la question « avez-vous été victime d'une attaque au cours de l'année écoulée » vont de 80 (alors qu'il n'y a pas de réponse « ne se prononce pas - NSP ») à 101 % (à Singapour), pas plus que pourquoi les taux de réponse de Singapour, de l'Australie et de la France à la question « comment avez-vous détecté ces violations ? » atteignent, là encore, les 101 %.
Ces chiffres de non-détection seraient « encore plus inquiétants » aux États-Unis et en Australie, qui grimpent respectivement à 48% et 52%, alors que dans la région EMEA, près d’une personne sur cinq (18%) n’était pas en mesure d’identifier la cause première de la violation subie par son organisation.
93% des logiciels malveillants se cachent derrière un chiffrement
50 % des décideurs interrogés déclarent « ne pas savoir avec certitude où sont stockées leurs données les plus sensibles et comment elles sont sécurisées », et un RSSI / DSI sur trois « n’a qu’une confiance limitée en la matière ».
Interrogés de manière plus précise sur le niveau de visibilité dont ils disposent sur leur infrastructure de cloud hybride, un peu moins de la moitié (48 %) déclarent disposer d’une bonne visibilité sur les données se déplaçant latéralement, 35 % sur le réseau, 30 % sur les données chiffrées.
Pour Gigamon, « le trafic est-ouest (données circulant latéralement au sein d’une organisation) n’est généralement pas perçu comme une menace aussi importante que le trafic nord-sud (de l’extérieur vers l’intérieur), et les outils de sécurité et de surveillance peuvent donc l’ignorer complètement » :
« Il en va de même pour le trafic chiffré ; il est possible que les organisations négligent de reconnaître le danger majeur que ces données peuvent représenter, malgré les études qui ont montré que 93% des logiciels malveillants se cachent derrière un chiffrement. »
Des manques de visibilité majeurs, notamment sur le trafic chiffré
En introduction de son étude, Gigamon explique qu'elle révèlerait « un écart entre la perception et la réalité dans la sécurisation » de leurs infrastructures de cloud hybride, à mesure que « des manques de visibilité majeurs sont apparus, notamment au niveau du trafic chiffré, des données se déplaçant latéralement ou encore des angles morts “inconnus” » :
« En réalité, la quasi-totalité des personnes interrogées dans le cadre de ce rapport “Sécurité du cloud hybride : perception vs. réalité” ont subi une violation de données et, plus inquiétant encore, de nombreuses violations n’ont pas été détectées par les professionnels de l’IT et sécurité. »
De plus, « près d’une faille de sécurité sur trois n’est pas détectée par les professionnels de l’IT et de la sécurité », et « un tiers des RSSI ne savent pas avec certitude comment leurs données les plus sensibles sont sécurisées », résume Gigamon :
« Derrière tout cela se cache une réalité : il n’a jamais été aussi important d’obtenir une visibilité en temps réel sur toutes les données en mouvement, c’est-à-dire une observabilité avancée. »
Cette notion d' « observabilité avancée » est la « baseline » de Gigamon, qu'elle définit comme le fait d' « ajouter de l'intelligence en temps réel au niveau du réseau pour renforcer la performance des outils de surveillance et d'observabilité basés sur les métriques, les événements, les logs et les traces afin de réduire les risques de sécurité, d'offrir une meilleure expérience utilisateur et de simplifier les opérations ».
Plus de 7 000 attributs de protocole couvrant 3 500 applications
En l'espèce, un fichier .pdf de présentation de l'un des outils de Gigamon, GigaVUE-FM, explique que l'analyse des paquets en profondeur (Deep packet inspection, ou DPI), permet d'identifier « plus de 7 000 attributs de protocole, d'application et de comportements de l'utilisateur couvrant 3 500 applications » (dont BitTorrent, Facebook, Gmail, Hotmail, LinkedIn, Twitter, WhatsApp, Yahoo, YouTube, Zimbra), « notamment » :
- Identification : utilisateur de médias sociaux, noms de fichiers et de vidéos, et requêtes SQL
- HTTP : identification de l'URL, niveaux des codes de réponse de commande
- Paramètres DNS : éléments multiples, y compris demandes/réponses, requêtes et identifiants d'appareils
- Communications par courrier électronique IMAP et SMTP avec adresses de l'expéditeur et du destinataire
- Identification des services : audio, vidéo, chat et transferts de fichiers pour la VoIP et la messagerie
- Sensibilisation du client/réseau : sessions VoIP (SIP, RTP) et sessions d'utilisateurs mobiles/de plans de données
GigaVUE-FM permettrait ainsi de visualiser et bloquer « des actions telles que les utilisateurs de médias sociaux et les noms de fichiers/vidéos demandés ». Son tableau de bord QRadar montrerait pour sa part des « activités malveillantes potentielles : connexions à distance suspectes, connexions à partir de systèmes non autorisés, nombre anormalement élevé de connexions d'utilisateurs par hôte et utilisation d'algorithmes de chiffrement faibles » (« use of weak ciphers », en VO).
Or, c'est précisément cette technologie de DPI, développée dans un laboratoire du CNRS (voir l'enquête que l'auteur de cet article y avait consacrée, « Au pays de Candy »), qui avait été exploitée par la société française Amesys pour commercialiser ses systèmes de surveillance de masse de l'Internet, à l'échelle d'une nation, notamment en Libye.
- Pour le gouvernement, le commerce du DPI vers la Libye est libre
- Surveillance de masse : quatre Français mis en examen pour « complicité de tortures »
- Au Pays de Candy - Enquête Sur Les Marchands D'armes de Surveillance Numérique
À défaut de comprendre les incohérences statistiques de l'enquête, non plus que ce pourquoi 60 % des personnes interrogées, et 69 % du panel français, aurait décidé d'interdire WhatsApp, on comprend mieux pourquoi les communicants de Gigamon ont pu décider de mettre ce chiffre en avant.
Cela ne saurait préjuger de la qualité des produits et prestations de Gigamon, qui se targue d'équiper 83 des entreprises du classement Fortune 100 (les 100 principales entreprises des États-Unis), 9 des 10 principaux opérateurs de réseaux mobiles, 8 des 10 principaux prestataires de soins de santé et 7 des 10 principales banques mondiales.
Mais cela n'explique toujours pas, par contre, en quoi cette « observabilité avancée » du cloud hybride empêcherait les employés d'utiliser leurs terminaux personnels tout en passant par les réseaux mobiles plutôt que le Wi-Fi ou le VPN d'entreprise pour communiquer via des messageries chiffrées en général, et WhatsApp en particulier.
Commentaires (36)
#1
A ce niveau là, l’étude relève du grand art …
Ça a du être une purge d’analyser ce “rapport”
#1.1
anéfé ;~)
#1.2
Le genre de truc où on a mal a la tête après, mais a cause de se faire des facepalm.
Mais merci de l’article pour montrer le niveau de compétence des marketeux de la boite
#2
Mouais, avec un panel de « 1 020 directeurs des systèmes d’information », j’ai un peu du mal a voir comment c’est représentatif.
Merci pour l’article!
#3
À défaut d’expliquer pourquoi les DSI français bloque WhatsApp, de mon côté je le bloque partiellement car cette Appli utilise un nombre invraisemblable de ports et dIP différentes qui rendent long et compliqué de la white listé….
#4
La vraie question, ce n’est pas pourquoi 69 % des RSSI français interdisent WhatsApp, mais est-ce que réellement 69 % des RSSI français interdisent WhatsApp ?
#5
C’est possible, si c’est une question à choix multiples.
#5.1
oui mais déjà un camembert c’est déconseillé pour plus de 2-3 catégories parce que c’est dur après de comparer les proportions rapidement, mais si en plus tu en fais un qui somme à 206% ça ne sert plus à rien vu que le seul moyen de comparer c’est de lire les chiffres (qui du coup pourraient se passer d’un plot). Plein d’arguments sont développés là sur pk les camemberts c’est mal : https://www.businessinsider.com/pie-charts-are-the-worst-2013-6
c’est pas supposé être de la déco, sinon autant mettre des chatons mignons ;)
#6
“survey rapport”. Ils sont bilingues on dirait !
#7
On l’aura compris : gigamon équipe 110% des plus grosses entreprises.
#8
Bienvenue dans le monde merveilleux du marketing des sociétés de sécurité informatique
#9
Quand j’ai lu ça je me suis dis non, ils vont quand même pas recommander d’éviter TLS?
En fait non, c’est pour vendre leur solution qui “déchiffre ssl”
J’imagine que s’ils tapent si fort sur WhatsApp & co, c’est que ces protocoles échappent à leur surveillance
#10
D’ailleurs je trouve ça assez gonflé de parler de zero-trust en faisant de l’observabilité basée sur du déchiffrement SSL. C’est à peu près le contraire du zero-trust. (Trust nobody.. except me)
#10.1
“Zero Trust” parce que Gigamon n’aurait pas accès à ce qui serait déchiffré, contrairement aux utilisateurs de sa ou ses solutions ?…
Sinon, je note qu’à défaut de mettre en avant ses solutions de SSL Decryption (bonne pioche, merci !), la VO de leur CP ne met pas WhatsApp en avant, mais titre sur le fait que “Nearly One Third of Security Breaches are Going Undetected by IT and Security Professionals” & relève que “70 percent lack visibility into encrypted data, a number that rises to 79 percent in Germany”…
#11
Le rôle du RSSI est de protéger l’entreprise de ses méchants employés. La sécurité dans les grosses boites ce n’est pas empêcher de rentrer, mais empêcher de sortir.
Dans une boîte le RSSI m’a interdit d’installer un certificat TLS sur un serveur intranet. L’explication est qu’ils doivent être en mesure de surveiller tous les flux réseaux qui doivent donc tous transiter en clair.
#12
Le rêve de nos dirigeants … et des services de renseignements.
#13
Les RSSI ce sont pas bien souvent ces personnes hautement intelligentes qui imposent aux salariés des mots de passe à méga rallonge, et de le changer tous les mois ? Ce qui fait qu’on retrouve ces derniers collés sur un post-it sous (voir sur !) le clavier ?)
Ces personnes qui vont un excès de zèle totalement contre productif ?
Qui prennent tellement les utilisateurs pour des idiots qu’ils leur bloquent absolument tout. Et du coup les utilisateurs ne peuvent rien faire (même de productif), et sont tellement considérés comme des bébés qu’ils perdent tous réflexes de sécurité et deviennent bien plus dangereux.
Je crois que je préfère laisser passer du Whattsapp ^^
#14
Ce qui est stupide puisque les proxy d’entreprise ont une fonction de déchiffrement du traffic HTTPS via certificat root installé sur les postes utilisateurs.
#14.1
?? C’est vraiment possible ça ? Courant ? Légal ?
#14.2
Oui , c’est une sorte de MITM fait par l’entreprise. C’est le cas dans la plupart des grosses boites. Zscaler vend ce genre de produit (ZIA par exemple).
Faut bien inspecter le traffic https
Du coup, il met son propre certif à la place, et comme son root CA est dans le magasin racine de confiance, ben ça passe niquel avec les navigateurs.
#14.3
Oui c’est légal, car l’entreprise est responsable de l’usage fait par ses employés de l’accès Internet fourni. C’est assez courant dans les grandes entreprises.
C’est par contre évidemment encadré et une utilisation abusive peut être condamnée (il me semble qu’il y a déjà eu des jugements cassant des licenciements utilisant ce moyen aux Prud-Hommes). La CNIL avait émis des recommandations sur l’analyse de flux HTTP/HTTPS en 2015, avant le RGPD, mais les principes affichés se retrouvent dans le règlement (qui puise une partie de ses origines dans la loi française). Les recommandations étant notamment, et évidemment, que les employés en soient informés ainsi que la minimisation de la collecte des données.
L’ANSSI avait également publié des recommandations de sécurité relatives à l’analyse des flux HTTPS.
En soit, il s’agit de la meme responsabilité pour l’employeur que celle qui fait qu’il ne peut pas aller lire les boîtes mails de ses employés ou leurs dossiers personnels sans raisons valables.
#14.4
Sur le site de l’ANSSI
Edit : grillé
#15
Remarque d’un total novice en la matière, mais… Je me questionne réellement sur l’utilité d’un chiffrement s’il peut être déchiffré à tout va…
En tout cas, drôle d’étude en effet. Bel article sur une étude qui ne mériterait pas ce qualificatif !
(édit : correcteur orthographique qui me fait faire des erreurs)
#16
Avant d’avoir lu l’article j’aurais juste dit “bah doit y’avoir une relation avec le pourcentage de personnes ayant un titre de RSSI et n’y connaissant rien à l’informatique”
#17
Merci Jean-Marc pour cette analyse approfondie de ce rapport qui permet de remettre l’église au milieu du village.
À la vue de toutes les inepties relevées, on peut se demander sérieusement si une partie de ce rapport ne sort pas directement de ChatGPT. Si ça a été écrit par un humain, il y a un sérieux problème de compétences en matière d’enquête et d’analyse des résultats.
#18
Bof, si tu lis les pseudo papiers de beaucoup de boites d’informatique leurs études bidons sont majoritairement orientées pour vendre leur solution. On a de très bon exemple sur le site developpez qui traduit la plupart des cas.
#18.1
C’est moche que ce genre d’études soient récurrentes… J’ai toutefois l’impression que ça n’est pas cantonné à l’informatique… Malheureusement…
#19
Je bosse dans un grand groupe et on nous a récemment interdit d’utiliser WhatsApp pour nos échanges professionnel, que ce soit sur téléphone pro ou perso. Les groupes qui avaient été créé par certaines équipes ont été supprimé.
On n a pas eu le droit à une explication de pourquoi cette nouvelle règle.
Mais ça me semble assez logique qu’ils veulent que tous les échanges passent par les messageries et outils internes sur lesquels ils ont un contrôle.
#20
Même si c’est le cas ça implique de faire confiance en leur solution : d’une part qu’elle soit bien intentionnée, et d’autre part qu’elle n’ait aucune faille :-) En déchiffrant SSL autrement que pour le destinataire légitime, on augmente la surface d’attaque et on introduit un tiers supposément de confiance.
Non pas que ça m’étonne (c’est du marketting malheureusement classique), mais employer le terme “lack of visibility” quand la question posée était “quelle est votre visibilité sur les données chiffrées”, ce n’est pas du tout neutre: bien sûr qu’on n’a pas de visibilité sur les données chiffrées … mais en même temps, est-ce que ce n’est pas un peu le but??
#21
Cela peut aussi être pour éviter que les données de l’entreprise se retrouve sur les serveurs de Meta, accessible à un pays qui mène une guerre économique contre ses alliés, ou encore pour éviter qu’elles soient accessibles à un attaquant qui usurperait l’identité d’un contact.
#22
Je n’ai pas compris pourquoi vous parlez des téléphones personnels et usages personnels, si WhatApp était interdit ce serait bien sûr dans le cadre pro, de même par exemple qu’on nous interdit d’utiliser le cloud OneDrive ou WeTransfer pour échanger des fichiers au lieu de passer par des disques locaux, etc.
#22.1
à défaut de savoir pourquoi ces DSI&RSSI interdiraient WhatsApp, on peut émettre l’hypothèse qu’il s’agirait d’éviter les fuites de données et/ou boucles de communication non-contrôlées/archivées ; or, il suffit donc de recourir à ses terminaux perso pour contourner une telle interdiction…
#22.2
Les terminaux perso sont encore plus interdits, de base, et concernant WhatsApp on se souvient de l’affolement de Snowden lorsqu’on lui disait que le gouvernement français l’utilisait, il disait bien d’arrêter ces bêtises car en gros c’était compromis ou en passe de l’être, et de passer à Signal/Wire.
Donc quel que soit le point de vue (envie de plus de contrôle OU de plus de secret face aux États-Unis qui nous mènent une guerre économique), WhatsApp est à éviter, et peu importe si certains le disent pour de mauvaises raisons.
Il y a eu pas mal de grosses actualités liées à WhatsApp aussi, fuites de numéros, gouvernements dans l’embarras suite à la diffusion de leurs conversations (Royaume-Uni…), ça a dû contribuer à la mauvaise pub même si ce n’est pas l’appli elle-même qui est en cause.
#23
Si on pousse le bouchon plus loin, une grande partie des entreprises confient l’ensemble de ses communications sur les serveurs MS via l’outil Teams.
Si la sécurité est importante, on héberge sa propre solution comme avec Nextcloud Talk qui ont fait énormément de progrès. Et en plus, derrière, c’est une entreprise allemande.
Alors oui, je suis d’accord il y a le problème de l’interpolarité se pose mais à un moment si les entreprises veulent de la sécurité, il ne faut pas mettre tout oeufs dans le même panier et rester logique. Mais non, lobby quand tu nous tiens.
#24
C’est limite la base… En cas de fuite de données, tu dois savoir ce qui se passe. Et ça permet de traiter les virus/ransomwares avant qu’ils n’arrive sur le poste ciblé.
Certaines applis/sites le détectent (j’imagine en utilisant l’empreinte du certificat réel) et ne fonctionnent pas sur ce type de filtrage ( Netflix il me semble, Apple store aussi, et certains sites Ms…)
#25
C’est aussi parce que toute les entreprises ne fournissent pas un téléphone Pro à tout leur salariés. Donc si on utilise un tel perso, précisions est faite de ne rien transmettre de Pro via whatsapp, après libre à chacun de transmettre ce qu’il veut de perso par le canal qu’il veut.