Quels types d'entreprises sont vulnérables ?

Bertrand Braux

01net.

le 26/11/2008 à 17h00

envoyer
par mail

imprimer
l'article

01net. : Quel est votre tableau de chasse ? Quelle entreprise connue pour son imperméabilité avez-vous réussi à pénétrer ?
Philippe Humeau : C’est une question à laquelle il m’est difficile de répondre, car je signe avec tous mes clients un contrat de confidentialité. Ils ne veulent bien entendu pas que l’on sache qu’ils ont eu des failles de sécurité. Il y a cependant des entreprises qui nous ont laissé parler d’elles, car nous avons collaboré sur leur sécurité. Nous avons par exemple travaillé avec Dassault, qui a une mentalité sur ce sujet vraiment impressionnante. Ils nous ont exposé la manière dont ils souhaitaient procéder, c'est-à-dire : tout nous montrer et, si malgré tout nous parvenions à entrer, nous devions apporter les corrections nécessaires. Nous travaillons aussi avec beaucoup de banques et des compagnies d’assurances.

Quelle est la taille des entreprises que vous testez en général, et quel est votre taux de réussite ?
Au-delà de 500 ou 1 000 personnes, on considère qu’une entreprise commence à être sensible aux risques d’Internet. Quant au taux de réussite, nous parvenons la plupart du temps à rentrer, c'est-à-dire dans plus de 90 % des cas. Ces entreprises se sont peut-être occupées trop tard de leur sécurité et, quand elles veulent faire un test, c’est pour savoir ce qu’il y a à corriger. Elles savent que l’on trouvera, car nous sommes connus pour trouver. La seule question est : que doit-on faire ensuite pour corriger le problème ?

Ce taux de réussite concerne aussi les grosses entreprises ?
Oui, surtout les grosses entreprises, car, plus une entreprise est importante, plus elle a une surface d’exposition aux risques importante également. Une société de dix personnes est beaucoup plus difficile à attaquer, car il y a peu de présence sur Internet, peu de personnes à piéger, pas de service achat où l’on pourrait par exemple envoyer un cadeau piégé, comme une imprimante contenant un cheval de Troie…

Cela fait partie des techniques que vous utilisez ?
Oui. On peut aussi envoyer un faux livreur de pizzas pour brancher une clé USB contenant un cheval de Troie sur le poste de la secrétaire qui est à l’entrée. On peut aller jusque-là. Il faut se plonger dans le contexte du client. Ce dernier souhaite savoir si on peut lui voler une ou des informations qui pourraient être données ou vendues à la concurrence.