Les e-mails constituent le point faible: comment les exploitants d’infrastructures critiques devraient agir maintenant

Qu’il s’agisse du secteur de la santé, de l’approvisionnement en énergie, les autorités, des systèmes financiers ou des transports publics: les infrastructures critiques (KRITIS en allemand) constituent l’épine dorsale de notre société. Dans un monde de plus en plus interconnecté, l’e-mail reste le moyen de communication central, mais constitue également une porte d’entrée privilégiée pour les cyberattaques.

Ce sont en particulier les organisations en Allemagne, en Autriche et en Suisse qui sont de plus en plus visées et sont donc soumises à des réglementations nationales et européennes de plus en plus strictes. Afin de résister aux menaces dans le monde numérique, outre les mécanismes de protection classiques comme le filtre anti-spam et la protection contre les virus, des mesures étendues sont désormais nécessaires pour démontrer la conformité aux règles (preuve de compliance). Pour cela, des ressources supplémentaires sont nécessaires. C’est pourquoi les solutions de sécurité intelligentes et adaptables sont plus demandées que jamais.

Le scénario des menaces: complexe, professionnel, ne connaissant pas de frontières

Les organisations d’importance systémique en Allemagne, en Autriche et en Suisse sont de plus en plus touchées par des attaques qui exploitent de manière ciblée des failles dans le trafic des e-mails. En font partie:

• Des campagnes ciblées de phishing et de spear phishing qui misent sur la confiance et la personnalisation;
• Attaques Business Email Compromise (BEC) visant à voler des données d’accès ou à détourner des transactions financières;
• Attaques de la chaîne d’approvisionnement par le biais d’e-mails compromis d’émetteurs tiers.

Ces attaques deviennent de plus en plus tenaces et sophistiquées et font souvent partie de campagnes coordonnées – avec un potentiel de dommages considérable.

Pourquoi les e-mails sont-ils si vulnérables?

De nombreuses organisations critiques (KRITIS) ont investi dans la protection du périmètre et la surveillance du réseau. Pourtant, l’e-mail reste souvent le maillon le plus faible, et ce pour trois raisons principales:

1. Erreur humaine: même un personnel bien formé peut être manipulé avec des e-mails de phishing personnalisés.
2. Environnements informatiques hétérogènes: les anciens systèmes et les applications cloud modernes ne sont souvent pas suffisamment intégrés.
3. Communication transfrontalière: les e-mails traversent régulièrement les frontières nationales, ce qui complique le contrôle et la protection.

Pression réglementaire croissante

Dans le même temps, les législateurs des trois pays de la région Allemagne-Autriche-Suisse (zone DACH) tirent la sonnette d’alarme:

• Allemagne: la loi sur la sécurité informatique 2.0 oblige les exploitants de KRITIS à mettre en œuvre des directives de sécurité nettement plus strictes.
• Autriche: la LNI applique la directive européenne NIS au niveau national et exige des normes élevées en matière d’obligations de déclaration et de mesures de protection.
• Suisse: la stratégie nationale de cybersécurité (NCS) fixe des exigences claires pour les secteurs KRITIS, même sans appartenance à l’UE.
  

Une chose est claire: les exigences augmentent avec l’augmentation de la communication numérique.

Sécurité moderne des e-mails – ce qui compte maintenant

Pour faire face à la menace et répondre aux exigences réglementaires, une approche globale est nécessaire:

• Analyse des menaces basée sur l’IA qui s’adapte en temps réel aux nouveaux modèles d’attaque;
• Identification d’anomalies basée sur le comportement afin d’identifier à temps les activités suspectes;
• Chiffrement de bout en bout pour une confidentialité maximale;
• Mécanismes de réaction automatisés pour agir rapidement et de manière ciblée en cas d’urgence.

Un impératif stratégique – pas un thème technique marginal

La sécurité des e-mails va bien au-delà du filtre anti-spam et de l’antivirus: il s’agit de protéger l’intégrité opérationnelle, la sécurité publique et la résilience nationale.

Conclusion: pour les organisations KRITIS dans la zone DACH, la sécurité des e-mails est obligatoire. Face à des menaces complexes et à des directives strictes, des systèmes de défense intelligents sont indispensables. L’e-mail reste la principale porte d’entrée – nous devons la protéger.