Les cyber-risques dans vos applications métiers au quotidien

Lisez tous les gros titres sur la cybersécurité et vous remarquerez une tendance : elles impliquent de plus en plus des applications métier.

Par exemple, l’outil de messagerie Mailchimp affirme que des intrus ont pénétré dans ses comptes clients via un “outil interne”. Le logiciel d’automatisation du marketing HubSpot a été infiltré. Le portefeuille de mots de passe d’entreprise Okta a été compromis. L’outil de gestion de projet Jira a fait une mise à jour qui a accidentellement exposé les informations privées de clients comme Google et la NASA.

C’est l’un des fronts les plus récents de la cybersécurité : vos outils internes.

Il est logique que des acteurs malveillants s’introduisent ici ensuite ou que des employés laissent accidentellement des portes ouvertes. L’organisation moyenne compte désormais 843 applications SaaS et en dépend de plus en plus pour gérer son activité principale. J’étais curieux de savoir ce que les administrateurs peuvent faire pour assurer la sécurité de ces applications. J’ai donc interrogé un ancien collègue, Misha Seltzer, CTO et co-fondateur d’Atmosec, qui travaille dans ce domaine.

Pourquoi les applications métier sont particulièrement vulnérables

Les utilisateurs d’applications métier ont tendance à ne pas penser à la sécurité et à la conformité. En partie parce que ce n’est pas leur travail, dit Misha. Ils sont déjà très occupés. Et c’est en partie parce que ces équipes essaient d’acheter leurs systèmes en dehors de l’informatique.

Pendant ce temps, les applications elles-mêmes sont conçues pour être faciles à lancer et à intégrer. Vous pouvez démarrer beaucoup d’entre eux sans carte de crédit. Et les utilisateurs peuvent souvent intégrer ce logiciel à certains de leurs systèmes les plus vitaux tels que le CRM, l’ERP, le système de support et la gestion du capital humain (HCM) en un seul clic.

Cela s’applique à la plupart des applications proposées dans les magasins d’applications des principaux fournisseurs. Misha souligne que les utilisateurs de Salesforce peuvent “connecter” une application à partir de Salesforce AppExchange sans vraiment l’installer. Cela signifie qu’il n’y a pas de contrôle, qu’il peut accéder à vos données client et que ses activités sont enregistrées sous le profil de l’utilisateur, ce qui rend difficile la traçabilité.

C’est donc le premier problème. Il est très facile de connecter de nouvelles applications potentiellement non sécurisées à vos applications principales. Le deuxième problème est que la plupart de ces systèmes ne sont pas conçus pour que les administrateurs puissent observer ce qui s’y passe.

Par exemple:

• Force de vente offre de nombreux excellents outils DevOps, mais aucun moyen natif de suivre les applications intégrées, d’étendre les clés API ou de comparer les organisations pour détecter les modifications suspectes.
• NetSuite changelog ne fournit pas de détails sur qui a changé quoi – seulement ce quelque chose a changé, ce qui rend difficile la révision.
• de Jira changelog est également clairsemé et Jira est souvent intégré à Zendesk, PagerDuty et Slack, qui contiennent des données sensibles.

Il est donc difficile de savoir ce qui est configuré, quelles applications ont accès à quelles données et qui a été dans vos systèmes.

Ce que vous pouvez en faire

La meilleure défense est une défense automatique, dit Misha, alors parlez à votre équipe de cybersécurité de la manière dont elle peut intégrer la surveillance de vos applications métier dans ses plans existants. Mais pour une prise de conscience et une couverture complètes, ils auront également besoin d’un aperçu plus approfondi de ce qui se passe dans et entre ces applications que ces outils ne fournissent naturellement. Vous devez créer ou acheter des outils qui peuvent vous aider à :

• Identifiez vos risques : Vous devez pouvoir voir tout ce qui est configuré dans chaque application, enregistrer des instantanés dans le temps et les comparer. Si un outil peut vous dire la différence entre la configuration d’hier et celle d’aujourd’hui, vous pouvez voir qui a fait quoi et détecter les intrusions ou le potentiel d’intrusions.
• Enquêter, surveiller et analyser les vulnérabilités : Vous avez besoin d’un moyen de définir des alertes pour les modifications apportées à vos configurations les plus sensibles. Ceux-ci doivent aller au-delà des outils traditionnels de gestion de la posture de sécurité SaaS (SSPM), qui ont tendance à surveiller une seule application à la fois ou à ne fournir que des recommandations de routine. Si quelque chose se connecte à Salesforce ou Zendesk et modifie un flux de travail important, vous devez le savoir.
• Créez un plan de réponse : Utilisez un outil de type Git qui vous permet de “versionner” vos applications métier pour stocker les états précédents auxquels vous pouvez ensuite revenir. Cela ne résoudra pas toutes les intrusions et peut vous faire perdre des métadonnées, mais c’est une première ligne de remédiation efficace.
• Maintenez votre hygiène de sécurité SaaS : Affectez un membre de l’équipe pour tenir vos organisations à jour, désactiver les utilisateurs et les intégrations inutiles, et vous assurer que les paramètres de sécurité qui ont été désactivés sont réactivés – par exemple, si quelqu’un désactive le chiffrement ou TLS pour configurer un webhook, vérifiez que il a été activé sur nouveau.

Si vous pouvez mettre tout cela ensemble, vous pouvez commencer à identifier les zones dans lesquelles les acteurs malveillants peuvent pénétrer, par exemple via les webhooks de Slack, comme le souligne Misha.

Votre rôle dans la sécurité des systèmes d’entreprise

Il n’appartient pas aux administrateurs seuls de sécuriser ces systèmes, mais vous pouvez jouer un rôle important en verrouillant certaines des portes ouvertes évidentes. Et mieux vous serez en mesure d’examiner ces systèmes (une tâche pour laquelle ils ne sont pas toujours conçus), mieux vous saurez si quelqu’un a piraté une application métier.