Les mauvaises pratiques IT dans les entreprises facilitent le travail des hackers

Selon une étude réalisée par un des laboratoires de HP, certaines failles sont liées à de mauvaises configurations ou des emplois inappropriés de technologies normalement sûres.

Hacker by chanpipat / FreeDigitalPhotos

Les cyber-risques continuent leur extension, comme le souligne la dernière étude sur le sujet réalisée par HP Security Research. A côté des résultats attendus (risques sur les terminaux mobiles, etc.), d’autres sont plus surprenants. Ainsi, les mauvaises pratiques de développeurs et le flou autour de définitions utilisées dans diverses études sont pointées du doigt. Et face à la collaboration de plus en plus intense entre cyber-criminels, HP appelle à développer la collaboration entre entreprises spécialisées dans la sécurité.

Or cette collaboration semble bien en berne. Ainsi, les vulnérabilités annoncées officiellement continuent de chuter (-6% en 2013 après trois autres années de baisse). HP ne croit pas un instant à une baisse réelle du nombre de vulnérabilités et estime que cette chute n’est lié qu’à la dissimulation des failles détectées. Il est cependant à noter que, toujours selon HP, 80% des logiciels examinés comprennent des failles à l’extérieur du code source, failles liées à des possibilités de configurations.

Il reste cependant des failles liées à de mauvaises pratiques des développeurs. HP dénonce ainsi un chiffrement insuffisant des données dans la plupart des applications mobiles. Certains chiffrement forts seraient tellement mal utilisés qu’il en seraient inutiles. HP attire également l’attention sur le fait que les logiciels de Microsoft, à commencer par Internet Explorer, font l’objet d’une véritable traque des failles par les hackers. Il convient donc d’être particulièrement vigilants avec eux. Enfin, HP fustige le flou de certaines définitions comme « malware ». Ce flou rend difficile la comparaison de données de sources diverses.

A propos de l’étude

L’étude Cyber Risk est réalisée chaque année depuis 2009 par le laboratoire HP Security Research. Elle compile des études multiples. Il s’agit d’une part d’études réalisées par HP, parmi lesquelles la HP Zero Day Initiative, les évaluations de sécurité HP Fortify on Demand, les études de sécurité HP Fortify Software Security Research… D’autre part, des études et référentiels d’acteurs tiers sont également utilisées : celles des laboratoires ReversingLabs, référentiel de vulnérabilités du gouvernement américain (National Vulnerability Database)…

Consulter l’étude complète (en anglais)

Source : LeMonde