Technologies

Grand Th�ma r�silience : les le�ons de Crowdstrike, 9 mois apr�s

---

En juillet 2024, une mise � jour d�fectueuse du logiciel Crowdstrike a mis hors service plusieurs millions d'ordinateurs Windows dans le monde, causant des milliards d'euros de dommages. Alain Bouill�, d�l�gu� g�n�ral du Cesin, dresse un bilan de cette panne d'une ampleur rarissime et en d�taille les enseignements pour les RSSI et DSI.

Publicit�En juillet 2024, une mise � jour d�fectueuse du logiciel de cybers�curit� Crowdstrike a mis hors service 8,5 millions d'ordinateurs sous Windows, causant des milliards de dommages. Le co�t total a �t� estim� � 5,4 milliards de dollars pour les seules entreprises du classement Fortune 500, selon une analyse de l'assureur Parametrix. Le total des dommages pourrait donc atteindre des dizaines de milliards.

Dans le cadre de notre �mission sur la r�silience, nous avons donc voulu revenir sur cette panne d'une ampleur exceptionnelle avec Alain Bouill�, le d�l�gu� g�n�ral du Cesin (Club des experts de la s�curit� de l'information et du num�rique), r�unissant des responsables de la cybers�curit� et comptant 1200 membres.

O� est le plan B ?

� On parle beaucoup de r�silience - une notion dont nous sommes abreuv�s par la r�glementation -, or l�, on a bien vu qu'il n'y avait aucun plan B �, lance-t-il d'embl�e. Selon lui, la panne de Crowdstrike � a mis en exergue un �v�nement qui peut se produire � peu pr�s n'importe quand : un gros fournisseur de services, comme Microsoft, peut �tre mis � mal par une mise � jour malheureuse, une panne, voire une injonction politique. � Or, selon Alain Bouill�, ce risque ne peut aujourd'hui �tre couvert par les RSSI ou DSI, qui sont tributaires des situations de monopole ou de tr�s forte domination de certains acteurs sur certains pans des syst�mes d'information. � Penser qu'un fournisseur qui �quipe 80% du parc mondial soit � la merci d'une pauvre mise � jour, �a fait quand m�me r�fl�chir sur la solidit� de l'�difice �, souligne Alain Bouill�.

Visionnez l'interview d'Alain Bouill� (vid�o 14 min.)

Pour le d�l�gu� g�n�ral du Cesin, le m�canisme de la panne a aussi mis en exergue la l�g�ret� des processus de mises � jour chez Crowdstrike. Ce que l'�diteur a d'ailleurs reconnu en creux, puisqu'il les a amend�s depuis (notamment via des d�ploiements graduels). � Les mauvaises pratiques qu'on combat dans les entreprises, comme l'application de mises � jour en production sans r�ellement en tester les cons�quences, c'est pr�cis�ment ce qui a �t� fait par cet �diteur �, raille Alain Bouill�. � Il s'agit d'un EDR, un outil qui doit d�tecter de la mani�re la plus efficace possible et le plus rapidement possible [des menaces], compar� � ses concurrents - et il y en a ! Des risques ont �t� pris pour garder ce niveau d'efficacit� �, regrette-t-il.

Vive le Cyber Resilience Act

Plus globalement, pour Alain Bouill�, cette panne massive souligne aussi l'absence de responsabilisation des �diteurs et constructeurs. � Nous sommes dans une industrie qui n'est absolument pas prot�g�e d'un point de vue qualit� et s�curit�. Vous achetez n'importe quel produit en supermarch�, vous avez 50 labels de qualit�. Vous regardez vos packages de logiciels, il n'y a aucune esp�ce d'engagement de la part des �diteurs sur la qualit� intrins�que de ce qu'ils vous vendent �, d�plore le d�l�gu� g�n�ral du club de RSSI.

Publicit�Et ce dernier de r�clamer un label montrant les efforts des �diteurs en la mati�re, via des audits, des tests d'intrusion, des bug bounty, etc. � Le Cyber Resilience Act (CRA) pourrait �tre la bou�e de sauvetage autour de ces questions contractuelles, pour qu'enfin, � tout le moins, on puisse avoir un engagement de la part de l'�diteur. � Le texte europ�en, officiellement adopt� en octobre dernier et qui doit entrer en application en d�cembre 2027, permettant, selon Alain Bouill�, de donner un minimum de garanties aux clients des �diteurs, via une liste de crit�res sp�cifiques auxquels devront r�pondre les produits ayant des composantes num�riques.

Visionnez l'interview d'Alain Bouill� (vid�o 14 min.)

Article r�dig� par

Reynald Fl�chaux, R�dacteur en chef CIO
Suivez l'auteur sur Twitter

Partager cet article