{"id":11786,"date":"2024-04-19T16:34:34","date_gmt":"2024-04-19T20:34:34","guid":{"rendered":"https:\/\/www.inovia.vc\/?p=11786"},"modified":"2024-04-23T14:56:15","modified_gmt":"2024-04-23T18:56:15","slug":"au-dela-des-acronymes-explorer-les-tendances-en-cybersecurite-avant-rsa-2024","status":"publish","type":"post","link":"https:\/\/www.inovia.vc\/fr\/conversations-inovia\/au-dela-des-acronymes-explorer-les-tendances-en-cybersecurite-avant-rsa-2024\/","title":{"rendered":"Au-del\u00e0 des acronymes de l\u2019industrie : Explorer les tendances en mati\u00e8re de cybers\u00e9curit\u00e9 avant la conf\u00e9rence RSA 2024\u00a0"},"content":{"rendered":"\n

Comme dans toute industrie, la cybers\u00e9curit\u00e9 \u00e9volue en fonction des tendances du march\u00e9 qui orientent l’innovation et le d\u00e9veloppement technologique. Tel qu’indiqu\u00e9 dans notre rapport 2023 sur l’\u00e9tat du logiciel canadien<\/a>, la pand\u00e9mie de la COVID-19, l’adoption g\u00e9n\u00e9ralis\u00e9e de mod\u00e8les de travail hybrides et \u00e0 distance, l’\u00e9mergence de l’IA g\u00e9n\u00e9rative et d’autres facteurs influents ont eu un impact consid\u00e9rable sur tous les secteurs, y compris celui de la cybers\u00e9curit\u00e9. En tant qu’investisseurs en phase de d\u00e9marrage sp\u00e9cialis\u00e9s en cybers\u00e9curit\u00e9, nous avons la chance d’explorer comment ces tendances influencent de nouveaux mod\u00e8les d’affaires et technologies, impactant conjointement la s\u00e9curit\u00e9 dans les secteurs priv\u00e9 et public. <\/p>\n\n\n\n

Ces derni\u00e8res ann\u00e9es, la cybers\u00e9curit\u00e9 est pass\u00e9e d’une pr\u00e9occupation p\u00e9riph\u00e9rique pour certaines industries \u00e0 cet outil critique que les organisations de toutes tailles et de tous secteurs ne peuvent plus se permettre de n\u00e9gliger (voir figure i, en anglais seulement). Pourtant, face \u00e0 cette complexit\u00e9 en constante \u00e9volution, il peut \u00eatre difficile pour les acteurs du secteur de naviguer sur le march\u00e9 de la cybers\u00e9curit\u00e9 et d’identifier les priorit\u00e9s les plus importantes. <\/p>\n\n\n\n

Notre travail d\u2019investisseur nous am\u00e8ne \u00e0 chercher constamment \u00e0 comprendre les besoins urgents en mati\u00e8re de s\u00e9curit\u00e9 du point de vue des responsables de la s\u00e9curit\u00e9 de l’information (CISO) et \u00e0 anticiper l’affectation de leurs budgets. En nous appuyant sur nos discussions avec notre r\u00e9seau de professionnels de la cybers\u00e9curit\u00e9 et sur les publications du secteur, nous avons voulu partager nos points de vue sur quatre th\u00e8mes essentiels qui fa\u00e7onneront le paysage de la cybers\u00e9curit\u00e9 en 2024. <\/p>\n\n\n\n

<\/div>\n\n\n\n

Figure i | <\/mark><\/strong>Select high-profile data breaches of 2023<\/p>\n\n\n\n

Victim<\/strong><\/th>Attack Summary<\/strong><\/th>Impact<\/strong><\/th><\/tr><\/thead>
MailChimp<\/td>\u2022 An unauthorized actor accessed MailChimp\u2019s tools used by teams interacting with customers<\/td>\u2022 Data was compromised for 133 MailChimp enterprise customers<\/strong><\/td><\/tr>
Activision<\/td>\u2022 Attackers gained access to the internal systems through an SMS phishing attack on an employee<\/td>\u2022 Bad actors were able to obtain sensitive workplace documents<\/strong> and employee information<\/strong><\/td><\/tr>
ChatGPT<\/td>\u2022 The data breach was caused by a bug in the Redis open-source library, which led to the exposure of other users\u2019 personal information<\/td>\u2022 The breach potentially revealed information (e.g., email addresses, last four digits of credit cards) about 1.2% of ChatGPT Plus subscribers<\/strong><\/td><\/tr>
Shields Healthcare<\/td>\u2022 The data breach involved unauthorized access to Shield\u2019s systems<\/td>\u2022 Attackers accessed a wide range of sensitive patient information \/ confidential data of 2.3 million people<\/strong><\/td><\/tr>
MOVEit<\/td>\u2022 The breach involved a zero-day vulnerability in MOVEit Transfer, which allowed attackers to raid MOVEit Transfer servers and steal customers\u2019 sensitive data<\/td>\u2022 As of August 2023, over 1,000 victim organizations <\/strong>and more than 60 million individuals <\/strong>were impacted
\u2022 Total estimated cost of ~$10B. <\/strong>This figure could potentially scale to at least $65B<\/strong><\/td><\/tr>
Indonesian Immigration<\/td>\u2022 The data breach involved the unauthorized access and leakage of passport data of more than 34 million Indonesian citizens<\/td>\u2022 The breached data of 34.9 million Indonesian passport holders <\/strong>was offered for sale for $10,000<\/strong><\/td><\/tr>
T-Mobile<\/td>\u2022 The breach involved two security incidents (employee and customer data exposure)<\/td>\u2022 Latest reports suggest that the personal information of millions of individuals <\/strong>could have been exposed<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n

Source: NordLayer \u2013 Breakdown of the 12 most significant 2023 data breaches<\/em><\/sup><\/p>\n\n\n\n

\n
\n
<\/div>\n<\/div>\n<\/div>\n\n\n\n

Identit\u00e9 : La dissolution du p\u00e9rim\u00e8tre<\/strong> <\/strong><\/h2>\n\n\n\n

La prolif\u00e9ration des politiques de travail hybride et \u00e0 domicile, ainsi que des applications de logiciel, a entra\u00een\u00e9 une augmentation des identit\u00e9s num\u00e9riques au sein des organisations. De plus, la transition de l\u2019environnement sur site (i.e., \u201con-premise\u201d) vers le cloud a dissous le p\u00e9rim\u00e8tre de l’entreprise et \u00e9largi la surface d’attaque<\/a>.<\/p>\n\n\n\n

<\/div>\n\n\n\n

Figure ii | <\/mark><\/strong>Number of digital identities within organizations<\/p>\n\n\n\n

\n
\n
\"\"<\/figure>\n<\/div>\n<\/div>\n\n\n\n

Source: Oasis \u2013 What are Non-Human Identities?<\/em><\/sup><\/p>\n\n\n\n

Les d\u00e9fis sont multiples : les organisations autorisent souvent l’acc\u00e8s \u00e0 distance \u00e0 partir de divers appareils, ce qui accro\u00eet les risques d’acc\u00e8s non autoris\u00e9s. De plus, avec la disponibilit\u00e9 accrue de donn\u00e9es d’identification sur le \u201cdark web\u201d, les acteurs malveillants peuvent facilement naviguer \u00e0 travers l’infrastructure num\u00e9rique d’une organisation. En outre, la nature disparate des infrastructures de gestion des identit\u00e9s et des acc\u00e8s (IAM) complique la surveillance de la s\u00e9curit\u00e9. <\/p>\n\n\n\n

Outre les outils classiques de gestion des identit\u00e9s et des acc\u00e8s (IAM) et de gouvernance et administration des identit\u00e9s (IGA), les entreprises doivent investir dans des produits qui d\u00e9couvrent les identit\u00e9s, am\u00e9liorent la posture et l’hygi\u00e8ne et surveillent les activit\u00e9s d’ex\u00e9cution pour d\u00e9tecter les comportements suspects. De plus, ces solutions doivent couvrir l’informatique fant\u00f4me et les identit\u00e9s non humaines (NHI), qui sont plus nombreuses que les identit\u00e9s humaines dans une organisation (voir figure ii, en anglais seulement). <\/p>\n\n\n\n

Plusieurs startups \u00e9mergent avec des approches novatrices pour s’attaquer \u00e0 ce probl\u00e8me critique, notamment des entreprises telles que Oasis<\/a>, Opal Security<\/a>, CloudFence<\/a>, Conductor One<\/a>, Cerby<\/a>, Silverfort<\/a>, Sempris<\/a>, et bien d’autres encore.<\/p>\n\n\n\n

<\/div>\n\n\n\n

Attaques ciblant les PME et \u00e9mergence des MSP et MSSP<\/strong> <\/strong><\/h2>\n\n\n\n

Comme nous l’avons soulign\u00e9 pr\u00e9c\u00e9demment, la cybers\u00e9curit\u00e9 est devenue une priorit\u00e9 non n\u00e9gociable pour les entreprises de toutes tailles. Avec le passage \u00e0 des mod\u00e8les de travail hybrides pendant la pand\u00e9mie de la COVID-19, les petites et moyennes entreprises (PME) sont devenues une cible de cyberattaques plus fr\u00e9quente (voir figure iii1<\/mark><\/strong><\/sup>, en anglais seulement). Les pirates informatiques ont identifi\u00e9 les PME comme des cibles vuln\u00e9rables qui disposent de mesures de cyber-protection plus faibles que les grandes entreprises. Cette dynamique a plac\u00e9 les PME dans une situation difficile, car elles ne disposent g\u00e9n\u00e9ralement pas de l’expertise, des ressources, du budget et du temps n\u00e9cessaires pour mettre en place des pratiques et des \u00e9quipes internes solides en mati\u00e8re de cybers\u00e9curit\u00e9. <\/p>\n\n\n\n

<\/div>\n\n\n\n

Figure iii | <\/mark><\/strong>Percentage of SMBs who experienced a data breach, a cyberattack, or both in the last 12 months<\/p>\n\n\n\n

\n
\n
\"\"<\/figure>\n<\/div>\n<\/div>\n\n\n\n

Source: Identity Theft Resource Center (2023 Business Impact Report, October 2023)<\/em><\/sup><\/p>\n\n\n\n

Par cons\u00e9quent, les PME se sont tourn\u00e9es vers des fournisseurs de services tiers, connus sous le nom de fournisseurs de services g\u00e9r\u00e9s (MSP) et de fournisseurs de services de s\u00e9curit\u00e9 g\u00e9r\u00e9s (MSSP), pour externaliser leurs besoins en mati\u00e8re de s\u00e9curit\u00e9 et d’informatique. Chez Inovia, nous sommes particuli\u00e8rement int\u00e9ress\u00e9s par cette tendance de march\u00e9, comme en t\u00e9moignent nos investissements dans des entreprises de cybers\u00e9curit\u00e9 telles que Cavelo<\/a>, qui a mis au point des solutions sur mesure pour r\u00e9pondre aux besoins des MSP et des MSSP. Outre Cavelo, Evo<\/a>, Zorus<\/a>, Judy Security<\/a> et Defendify<\/a> sont d’autres startups ayant adopt\u00e9 cette strat\u00e9gie de commercialisation indirecte et\/ou une strat\u00e9gie ciblant les PMEs.<\/p>\n\n\n\n

<\/div>\n\n\n\n

S\u00e9curit\u00e9 de la cha\u00eene de d\u00e9veloppement des logiciels<\/strong> <\/strong><\/h2>\n\n\n\n

Avec l’augmentation des attaques contre la cha\u00eene de d\u00e9veloppement des logiciels (i.e. \u201cSoftware Supply Chain Security\u201d), telles que celles observ\u00e9es dans les incidents SolarWinds et Log4J, la d\u00e9pendance \u00e0 l’\u00e9gard des biblioth\u00e8ques open-source est devenue \u00e0 la fois une aubaine et un fardeau pour les d\u00e9veloppeurs de logiciels. Les vastes biblioth\u00e8ques de codes open-source partag\u00e9s multiplient les vecteurs d’attaques potentielles sur un grand nombre d’utilisateurs finaux. Outre le code open-source compromis, des pipelines CI\/CD mal configur\u00e9s et vuln\u00e9rables peuvent entra\u00eener des violations. \u00c0 la lumi\u00e8re de ces incidents, l’administration Biden a introduit de nouvelles r\u00e9glementations visant \u00e0 normaliser les pratiques de d\u00e9veloppement de logiciels s\u00e9curis\u00e9s au sein des organisations<\/a>.\u00a0<\/p>\n\n\n\n

Les scanners conventionnels (SAST, secrets, etc.), avec leur nombre \u00e9lev\u00e9 de faux positifs, ne suffisent plus \u00e0 la demande, et c’est \u00e0 ce moment que les fournisseurs de solutions de gestion de la s\u00e9curit\u00e9 des applications (ASPM), tels qu’Aikido<\/a>, Ox<\/a>, Legit<\/a>, Boost<\/a> et Jit<\/a>, entrent en jeu. Ces solutions examinent minutieusement le bruit pour hi\u00e9rarchiser et corr\u00e9ler les alertes, et int\u00e8grent l’application de politiques personnalis\u00e9es. <\/p>\n\n\n\n

Repoussant encore les limites, des innovateurs tels que Socket.dev<\/a> et Endor Labs<\/a> font avancer le domaine de la s\u00e9curit\u00e9 des logiciels open-source (OSS). Ces plateformes surveillent les \u201cmalwares\u201d et le \u201ctyposquatting\u201d dans le code open-source, ainsi que les modules malveillants. Elles \u00e9valuent la qualit\u00e9 de la maintenance des projets open-source et mesurent leur fiabilit\u00e9. VLT<\/a> (une entreprise du portefeuille d’Inovia) contribue \u00e0 r\u00e9soudre ce probl\u00e8me en d\u00e9veloppant une nouvelle infrastructure de gestion de modules s\u00e9curis\u00e9e pour l’\u00e9cosyst\u00e8me JavaScript. Ensemble, ces outils et services modernes tissent un filet de s\u00e9curit\u00e9 plus serr\u00e9 \u00e0 travers la fronti\u00e8re en expansion du d\u00e9veloppement de logiciels open-source. <\/p>\n\n\n\n

<\/div>\n\n\n\n

Le double impact de l’IA sur la cybers\u00e9curit\u00e9<\/strong><\/strong><\/h2>\n\n\n\n

Les mod\u00e8les d’intelligence artificielle (IA), y compris l’IA g\u00e9n\u00e9rative, sont sur le point de r\u00e9volutionner la cybers\u00e9curit\u00e9. Si le potentiel d’innovation et les nouveaux cas d’utilisation sont vastes, les acteurs du secteur doivent reconna\u00eetre que l’IA ne profitera pas seulement aux fournisseurs de s\u00e9curit\u00e9, mais aussi aux pirates informatiques.  <\/p>\n\n\n\n

Sur le plan d\u00e9fensif, les grands mod\u00e8les de langage (LLM) offrent une opportunit\u00e9 significative d’am\u00e9liorer les capacit\u00e9s des cyber-vendeurs dans divers cas d’utilisation et d\u2019applications. Nous sommes particuli\u00e8rement int\u00e9ress\u00e9s par la possibilit\u00e9 de rendre les analystes en s\u00e9curit\u00e9 plus efficaces gr\u00e2ce \u00e0 l’auto-investigation, \u00e0 la hi\u00e9rarchisation et \u00e0 la correction des t\u00e2ches r\u00e9p\u00e9titives. Les entreprises Dropzone AI<\/a>, Arcanna<\/a> et Radiant Security<\/a> en sont de bons exemples. <\/p>\n\n\n\n

Inversement, sur le front offensif, les mod\u00e8les d’IA et les LLM donnent du pouvoir aux pirates et abaissent les barri\u00e8res \u00e0 l’attaque. Des exemples tels que \u00ab\u00a0BadGPT\u00a0\u00bb et \u00ab\u00a0FraudGPT\u00a0\u00bb illustrent la mani\u00e8re dont des chatbots d’IA malveillants peuvent \u00eatre utilis\u00e9s pour cr\u00e9er des courriels de phishing sophistiqu\u00e9s. De plus, les mod\u00e8les \u00ab bons \u00bb, mais insuffisamment s\u00e9curis\u00e9s et test\u00e9s, peuvent involontairement exposer les organisations \u00e0 des violations de cybers\u00e9curit\u00e9, \u00e9tant donn\u00e9 que l’injection de \u201cprompt\u201d devient un vecteur d’attaque courant. Cette vuln\u00e9rabilit\u00e9, ainsi que d’autres risques li\u00e9s aux applications des LLM comme l’empoisonnement des donn\u00e9es et le vol de mod\u00e8les, soulignent la n\u00e9cessit\u00e9 d’une nouvelle cat\u00e9gorie de cybers\u00e9curit\u00e9 d\u00e9di\u00e9e \u00e0 la protection des mod\u00e8les d’IA. Ces fournisseurs de s\u00e9curit\u00e9 de l’IA auront besoin de comp\u00e9tences en mati\u00e8re de s\u00e9curit\u00e9, mais aussi d’une combinaison unique d’expertise approfondie en mati\u00e8re d’IA, ce qui ouvrira la voie \u00e0 l’\u00e9mergence de nouvelles cat\u00e9gories et d’entreprises leaders dans ce domaine. Le paysage de la s\u00e9curit\u00e9 de l’IA a fait l’objet de nombreux \u00e9crits, nous n’y reviendrons donc pas ici, mais parmi les entreprises prometteuses que nous avons rencontr\u00e9es figurent Lakera<\/a>, Protect AI<\/a>, Hidden Layer<\/a>, Troj AI<\/a>, Credo AI,<\/a> Calypso AI<\/a>, Liminal AI<\/a>, Private AI<\/a>, Jericho<\/a> et Aim Security<\/a>.<\/p>\n\n\n\n

<\/div>\n\n\n\n

Nous sommes enthousiastes \u00e0 propos de l’\u00e9volution continue de la cybers\u00e9curit\u00e9 dans les ann\u00e9es \u00e0 venir. Alors que le paysage se transforme, nous sommes impatients de rencontrer de nouvelles startups et fondateurs qui apporteront des perspectives nouvelles \u00e0 ce domaine dynamique. Pour rester en contact avec la pratique de cybers\u00e9curit\u00e9 d\u2019Inovia et explorer des opportunit\u00e9s potentielles, communiquez avec Taha Mubashir<\/a>, vice-pr\u00e9sident principal, ou \u00c9tienne Gauthier<\/a>, charg\u00e9 d\u2019investissement.<\/p>\n\n\n\n

\n\n\n\n

1. Enqu\u00eate en ligne de l’ITRC men\u00e9e pour explorer les impacts de la cybercriminalit\u00e9 sur les petites entreprises telles que d\u00e9finies par l’administration am\u00e9ricaine des petites entreprises. L’enqu\u00eate a \u00e9t\u00e9 men\u00e9e en septembre 2023, couvrant les 12 mois pr\u00e9c\u00e9dents. Taille de l’\u00e9chantillon de 276 r\u00e9pondants, caract\u00e9ris\u00e9s comme \u00e9tant une personne occupant un poste de direction ou un professionnel de l’informatique dans une entreprise de 500 employ\u00e9s ou moins.<\/sup><\/em><\/p>\n\n\n\n

<\/p>\n","protected":false},"excerpt":{"rendered":"

Comme dans toute industrie, la cybers\u00e9curit\u00e9 \u00e9volue en fonction des tendances du march\u00e9 qui orientent l’innovation et le d\u00e9veloppement technologique. Tel qu’indiqu\u00e9 dans notre rapport 2023 sur l’\u00e9tat du logiciel canadien, la pand\u00e9mie de la COVID-19, l’adoption g\u00e9n\u00e9ralis\u00e9e de mod\u00e8les de travail hybrides et \u00e0 distance, l’\u00e9mergence de l’IA g\u00e9n\u00e9rative et d’autres facteurs influents ont…<\/p>\n","protected":false},"author":2,"featured_media":11796,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"_relevanssi_hide_post":"","_relevanssi_hide_content":"","_relevanssi_pin_for_all":"","_relevanssi_pin_keywords":"","_relevanssi_unpin_keywords":"","_relevanssi_related_keywords":"","_relevanssi_related_include_ids":"","_relevanssi_related_exclude_ids":"","_relevanssi_related_no_append":"","_relevanssi_related_not_related":"","_relevanssi_related_posts":"2287,2285,2284,8387,6155,2246","_relevanssi_noindex_reason":"","inline_featured_image":false,"footnotes":""},"categories":[536],"tags":[],"toolkit-category":[],"toolkit-topic":[],"class_list":["post-11786","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-inovia-insights-fr"],"acf":[],"_links":{"self":[{"href":"https:\/\/www.inovia.vc\/fr\/wp-json\/wp\/v2\/posts\/11786","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.inovia.vc\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.inovia.vc\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.inovia.vc\/fr\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/www.inovia.vc\/fr\/wp-json\/wp\/v2\/comments?post=11786"}],"version-history":[{"count":7,"href":"https:\/\/www.inovia.vc\/fr\/wp-json\/wp\/v2\/posts\/11786\/revisions"}],"predecessor-version":[{"id":11830,"href":"https:\/\/www.inovia.vc\/fr\/wp-json\/wp\/v2\/posts\/11786\/revisions\/11830"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.inovia.vc\/fr\/wp-json\/wp\/v2\/media\/11796"}],"wp:attachment":[{"href":"https:\/\/www.inovia.vc\/fr\/wp-json\/wp\/v2\/media?parent=11786"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.inovia.vc\/fr\/wp-json\/wp\/v2\/categories?post=11786"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.inovia.vc\/fr\/wp-json\/wp\/v2\/tags?post=11786"},{"taxonomy":"toolkit-category","embeddable":true,"href":"https:\/\/www.inovia.vc\/fr\/wp-json\/wp\/v2\/toolkit-category?post=11786"},{"taxonomy":"toolkit-topic","embeddable":true,"href":"https:\/\/www.inovia.vc\/fr\/wp-json\/wp\/v2\/toolkit-topic?post=11786"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}