80 % des TPE et des PME françaises reconnaissent qu’elles ne sont pas préparées aux cyberattaques ou ignorent si elles le sont, d’après le baromètre national de maturité cyber des TPME. Pour protéger votre entreprise des cybermenaces, il est essentiel de connaître et de maîtriser votre surface d’exposition. Plus celle-ci est importante, plus votre PME est exposée aux yeux des cybercriminels.
Dans cet article, vous allez découvrir :
- ce qu’est la surface d’exposition de votre entreprise,
- les différents éléments qui composent votre surface d’exposition,
- pourquoi celle-ci tend à s’élargir au fil du temps,
- quelles sont les conséquences d’une surface d’exposition importante,
- les bonnes pratiques pour réduire votre surface d’exposition.
1. Qu’est-ce qu’une surface d’exposition ?
1.1 Comprendre la surface d’exposition
La surface d’exposition (parfois appelée surface d’attaque) désigne l’ensemble des points faibles de votre environnement numérique qu’un cybercriminel peut exploiter pour tenter de s’introduire dans votre système d’information.
Le NIST (National Institute of Standards and Technology) présente la réduction de surface d’exposition comme une mesure de cybersécurité fondamentale. En effet, plus cette surface est étendue, plus le nombre de points d’entrée à surveiller et à maintenir en sécurité est important.
Il existe deux catégories de surface d’exposition. La surface d’exposition externe concerne tous vos actifs numériques accessibles depuis Internet, sans nécessité de se connecter à votre réseau. C’est ce périmètre qu’un cybercriminel explore en premier, et c’est là que se situent les risques les plus immédiats pour une PME. La surface d’exposition interne représente l’ensemble des actifs situés à l’intérieur de votre réseau. Pour y accéder, il faut donc d’abord s’y connecter.
1.2 Comment se compose la surface d’exposition de votre PME ?
La surface d’exposition externe ne se résume pas au site web de votre entreprise. Elle regroupe l’ensemble de vos ressources numériques visibles depuis Internet, ce qui inclut :
- Le site web principal et tous les sous-domaines associés (blog, portail client, etc.).
- Vos adresses IP publiques (qui permettent à vos équipements d’être joignables sur Internet).
- Les interfaces d’administration de vos serveurs ou d’hébergement.
- Les outils métiers accessibles en ligne : ERP, CRM, logiciel de gestion, portail RH, etc.
- Les services de connexion à distance : VPN, SSH, accès bureau à distance, etc.
- La messagerie professionnelle et sa configuration DNS.
- Les APIs exposées permettant à des applications tierces d’échanger des données
- Les plateformes de collaboration accessibles depuis l’extérieur.
- Les anciens environnements de test, de développement ou de campagne jamais désactivés.
- Les équipements connectés : box, NAS, imprimantes réseau accessibles depuis Internet.
Chacun de ces éléments représente une porte d’entrée potentielle pour les cybercriminels. Mais pour les protéger, la première étape est d’avoir conscience de leur existence.
2. Pourquoi votre surface d’exposition augmente-t-elle constamment ?
Aucune PME n’expose délibérément ses systèmes numériques aux cybercriminels. Pourtant, votre surface d’exposition tend à s’élargir naturellement au fil du temps, bien qu’il soit difficile de s’en apercevoir.
Cette augmentation de la surface d’exposition s’explique par plusieurs facteurs, à commencer par la transformation numérique de votre entreprise. Chaque nouvel outil adopté ajoute un élément supplémentaire à votre surface d’exposition : logiciel de gestion, plateforme de collaboration, solution de paiement en ligne, accès distant pour un prestataire, etc.
La plupart des PME ne tiennent pas l’inventaire de leurs actifs numériques. Or, la surface d’exposition ne se limite pas aux outils utilisés et connus. Elle inclut aussi tous les services qui ont été déployés par le passé sans avoir été désactivés, comme une application utilisée par un ancien salarié ou une ancienne version de site Internet. Ces ressources restent accessibles depuis Internet, sans mise à jour ni surveillance. Elles sont donc particulièrement vulnérables. Il en va de même pour les accès d’anciens prestataires ou de collaborateurs ayant quitté l’entreprise. Ces accès sont rarement révoqués lorsque la collaboration prend fin, et constituent autant de points d’entrée supplémentaires.
Un autre facteur d’exposition réside dans la configuration de vos services exposés sur Internet. Le directory listing, par exemple, est une option qui, lorsqu’elle est mal configurée ou laissée active par inadvertance sur votre serveur web, permet à n’importe qui de naviguer dans vos répertoires de fichiers hébergés.
3. Quelles sont les conséquences d’une surface d’exposition mal maîtrisée ?
Plus votre entreprise expose de services sur Internet, plus la tâche de les maintenir à jour devient difficile à tenir dans la durée. Or, un service non mis à jour est un service vulnérable. Beaucoup de cybercriminels exploitent les failles connues des logiciels professionnels. Si les éditeurs publient des correctifs, toutes les entreprises qui utilisent des versions antérieures s’exposent à des attaques s’appuyant sur ces vulnérabilités.
Plus votre surface d’exposition est importante, plus votre entreprise apparaît dans le radar des acteurs malveillants. Ceux-ci utilisent par exemple des scanners de vulnérabilités pour détecter automatiquement les entreprises qui n’ont pas sécurisé leurs services en ligne.
La conséquence directe d’une surface d’exposition mal maîtrisée est la cyberattaque. En moyenne, le coût moyen d’une attaque informatique est évalué à 466 000 € pour les TPE et les PME selon un rapport de l’ANSSI. Un préjudice financier dont il est souvent difficile de se relever. Et pour cause. Les attaquants peuvent par exemple exploiter une faille d’un système exposé pour déployer un rançongiciel, qui chiffre l’ensemble des données de l’entreprise et paralyse son activité, parfois pendant plusieurs semaines.
Dans d’autres cas, un service exposé peut être à l’origine d’une fuite de données sensibles à l’insu de l’entreprise. Les fichiers clients, identifiants, données comptables… se retrouvent alors dans la nature. Ces informations sont ensuite utilisées par les cybercriminels, notamment pour mener des campagnes de phishing. Elles engagent également la responsabilité juridique de l’entreprise au titre du RGPD. L’entreprise victime est tenue d’informer ses clients dont les données ont été compromises. Pour une PME dont la relation client repose souvent sur la proximité et la confiance, l’impact réputationnel peut s’avérer lourd de conséquences.
4. Comment réduire votre surface d’exposition ?
4.1 Cartographiez vos actifs exposés
La première étape pour réduire votre surface d’exposition consiste à dresser un inventaire exhaustif de vos actifs numériques visibles depuis Internet. L’objectif est de détecter toutes les expositions qui représentent une menace pour votre PME.
Pour réaliser cette cartographie, vous pouvez réaliser une analyse se basant sur votre nom de domaine principal et vos adresses IP publiques. Des outils comme Sekost vous permettent de réaliser un diagnostic à distance pour détecter l’ensemble de vos vulnérabilités et des mauvaises configurations qui exposent votre PME. Cette étape permet souvent aux entreprises de redécouvrir des services oubliés depuis des mois ou des années, et de prendre conscience de leur surface d’attaque à travers un indicateur de niveau de risque.
Demandez ensuite à votre prestataire informatique ou à votre équipe IT de corriger les vulnérabilités identifiées afin de réduire considérablement le niveau de risque.
4.2 Réduisez l’exposition au strict nécessaire
Une fois la cartographie établie, votre PME est en mesure de supprimer ou de restreindre tous ses actifs numériques qui n’ont pas vocation à être accessibles publiquement. Cela peut se traduire par plusieurs actions comme le fait de :
- Fermer les ports réseau inutilisés. Chaque port ouvert est un point d’entrée potentiel pour un attaquant.
- Désactiver le directory listing sur les serveurs web pour éviter que le contenu des répertoires soit visible de l’extérieur.
- Sécuriser les accès sensibles via un VPN. Un réseau privé virtuel (VPN) permet de restreindre l’accès à vos outils de gestion aux seules personnes autorisées, en créant un tunnel de connexion sécurisé. Sans lui, ces accès peuvent être visibles et accessibles depuis n’importe quelle connexion Internet.
- Déconnecter d’Internet les services internes critiques. Certains outils n’ont pas vocation à être accessibles depuis Internet : logiciel de comptabilité, serveur de fichiers, base de données clients… S’ils ne sont utilisés qu’en interne, leur accès doit être limité au réseau de l’entreprise.
- Révoquer les accès inutiles. Supprimez les comptes de vos anciens collaborateurs et des prestataires avec lesquels vous ne travaillez plus.
- Supprimer les services inutiles. Il peut s’agir d’un blog laissé à l’abandon, d’un doublon applicatif (par exemple, ne conservez qu’une solution de visioconférence au lieu d’en utiliser plusieurs), ou d’un espace de stockage ouvert pour partager des fichiers avec un ancien client et jamais supprimé.
- Inventorier les outils utilisés par vos collaborateurs pour éviter la multiplication de services adoptés sans validation, et dont personne ne maîtrise l’accès ni la configuration.
4.3 Sécurisez ce qui doit rester exposé
Certains services doivent rester accessibles depuis Internet, à l’instar de votre site web sur lequel vous souhaitez attirer des clients, ou d’un accès distant pour les collaborateurs en télétravail. Votre PME doit s’assurer que tous ses services accessibles sur le web soient correctement protégés.
Pour y parvenir, vous pouvez :
- Déployer un WAF (Web Application Firewall) sur tous vos services accessibles depuis Internet. Ce pare-feu applicatif filtre les requêtes malveillantes avant qu’elles n’atteignent les applications, empêchant ainsi les attaquants d’exploiter vos failles.
- Activer l’authentification multifacteur sur tous les accès distants pour bloquer les tentatives d’accès frauduleuses à vos services.
- Vérifier la configuration DNS de votre messagerie, notamment pour éviter qu’un cybercriminel puisse envoyer des emails en se faisant passer pour votre entreprise.
- Masquer les versions des applications et des logiciels que vous utilisez pour empêcher les cybercriminels de les identifier et d’exploiter des vulnérabilités connues.
- Surveiller les certificats SSL, en vérifiant régulièrement que le cadenas visible dans la barre d’adresse du navigateur apparaît bien, et en anticipant son renouvellement avant expiration.
- Maintenir tous les services à jour. Installez systématiquement les mises à jour de vos applications et logiciels pour déployer les correctifs qui comblent les vulnérabilités découvertes.
- Réévaluer régulièrement votre surface d’exposition en programmant un check-up périodique.
Conclusion
La surface d’exposition de votre PME évolue constamment. Elle grandit naturellement avec votre activité : chaque nouvel outil, chaque nouveau prestataire, chaque nouveau service en ligne l’élargit un peu plus.
La bonne nouvelle, c’est que les premières initiatives à mener ne nécessitent ni un budget important ni une expertise technique conséquente. Savoir ce qu’on expose, supprimer ce qui ne sert plus, sécuriser ce qui doit rester accessible sont souvent des actions suffisantes pour éliminer les risques les plus immédiats.
