Extension de l’authentification du courrier électronique
Le courrier électronique ne fonctionne plus. Ou du moins, c’est une faille de sécurité béante depuis des décennies. Les pirates l’adorent car il est facile à exploiter. Faux courriels, domaines usurpés, simples astuces, dégâts considérables. Mais il existe une solution. Aujourd’hui, la plupart des responsables informatiques sont d’accord : nous devons aller plus loin dans l’authentification des courriels.
Un an après que Google et Yahoo ont renforcé la sécurité grâce à des protocoles d’authentification du courrier électronique tels que DMARC, 87 % des décideurs informatiques souhaitent que ces règles soient étendues. Pourquoi ? Parce que le phishing et la fraude par courrier électronique ne disparaissent pas d’eux-mêmes. Lorsque de mauvais acteurs peuvent se faire passer pour des expéditeurs légitimes, ils font des ravages, volent des données, installent des logiciels malveillants ou sèment tout simplement le chaos.
Une authentification plus forte oblige les expéditeurs d’e-mails à prouver qu’ils sont bien ceux qu’ils prétendent être. Pas de preuve ? Pas de livraison. Il s’agit d’un concept simple, mais dont les implications sont considérables. Il est temps de généraliser ces règles.
Google et Yahoo fixent la norme
De grands acteurs comme Google et Yahoo ont modifié le marché l’année dernière. Ils ont établi de nouvelles normes d’authentification du courrier électronique, indiquant ainsi aux entreprises : « Sécurisez votre courrier électronique ou soyez bloqués » : « Sécurisez votre courrier électronique ou soyez bloquées ». L’impact a été immédiat.
77 % des organisations qui ont adopté de nouvelles mesures de sécurité pour le courrier électronique l’ont fait en raison de ces politiques. Il s’agit là d’une influence. Et cela a fonctionné : l’adoption de DMARC est passée de 37 % à 45 % en l’espace d’un an seulement.
Les entreprises ont compris ce qu’il fallait faire : évoluer ou risquer d’exposer votre entreprise à des attaques de phishing incessantes. Aujourd’hui, le marché évolue dans la bonne direction. La question est de savoir si les entreprises vont se lancer à fond ou se contenter du strict minimum.
La confiance dans la sécurité du courrier électronique augmente
Voici une bonne tendance : Les responsables informatiques sont plus confiants dans leur capacité à lutter contre le phishing. Le nombre de professionnels de la sécurité qui se disent « très confiants » dans leurs défenses contre le courrier électronique est passé de 27 % à 36 %. C’est un progrès.
« Mais soyons réalistes, 36 %, ce n’est pas suffisant. Cela signifie que près de deux tiers des responsables informatiques n’ont toujours pas confiance dans la sécurité de leur propre messagerie. Et c’est un problème.
Il y a un an, seuls 29 % des professionnels de l’informatique connaissaient les exigences en matière d’authentification du courrier électronique. Aujourd’hui, les choses changent. Une plus grande sensibilisation permet d’améliorer la sécurité. Et une meilleure sécurité permet de réduire le nombre de violations.
Le défi consiste à s’assurer que les entreprises prennent réellement des mesures significatives pour se protéger. La sécurité est un état d’esprit, pas un cadre.
DMARC
DMARC (Domain-based Message Authentication, Reporting, and Conformance) n’est pas un obscur protocole informatique. Il s’agit d’un puissant moyen de défense contre le phishing et le spam. Et il fonctionne, lorsqu’il est correctement mis en œuvre.
Voici ce que disent les données : 81% des organisations utilisant DMARC déclarent qu’il répond à leurs attentes en matière de réduction du phishing et du spam. Par ailleurs, 15 % d’entre elles déclarent qu’il a même dépassé leurs attentes. Cela représente un taux de satisfaction de 96 %, du jamais vu dans le domaine de la cybersécurité.
Pourtant, certaines entreprises hésitent encore. Pourquoi ? Parce que la mise en œuvre correcte de DMARC demande des efforts. Elle nécessite un alignement des domaines, l’application d’une politique et une surveillance. Mais les bénéfices sont évidents : moins de faux courriels, moins d’escroqueries et une diminution massive du risque de failles de sécurité.
Par ailleurs, les exigences de Google et de Yahoo en matière de sécurité du courrier électronique ont été approuvées à 85 % par les responsables informatiques, ce qui prouve que ces changements étaient attendus depuis longtemps.
La sécurité de base ne suffit pas
« Trop d’entreprises ne s’engagent qu’à moitié. Elles mettent en œuvre DMARC mais ne vont pas assez loin. Une politique de sécurité faible est aussi mauvaise que l’absence de sécurité ».
Gerasim Hovhannisyan, PDG et cofondateur d’EasyDMARC, est très clair à ce sujet : Les entreprises doivent aller au-delà de la mise en œuvre de base et adopter une politique de « p=rejet ». Qu’est-ce que cela signifie ? C’est simple : au lieu de se contenter de signaler les courriels suspects, il faut les rejeter purement et simplement. Pas d’exceptions. Pas d’échappatoire.
Google et Yahoo ont prouvé que des améliorations progressives de la sécurité pouvaient changer le secteur. Il est temps que les entreprises fassent de même. Si les entreprises ne prennent pas les devants, la prochaine grande faille dans la messagerie électronique n’est qu’une question de temps.
La sécurité du courrier électronique évolue. La seule question qui se pose est la suivante : votre entreprise suivra-t-elle le mouvement ?
Principaux enseignements pour les dirigeants
- Amélioration de l’authentification du courrier électronique : Les responsables informatiques soutiennent massivement le renforcement de l’authentification des courriels, 87 % d’entre eux préconisant des protocoles plus rigoureux pour lutter contre le phishing et le spam. Les décideurs devraient évaluer et mettre à jour leurs cadres actuels de sécurité du courrier électronique afin de mieux atténuer ces risques.
- L’influence des principaux fournisseurs : Les mandats de Google et Yahoo ont établi une nouvelle norme, incitant 77 % des organisations à adopter des mesures de sécurité améliorées. Les dirigeants devraient se servir de ces références comme d’un catalyseur pour améliorer leurs propres pratiques de cybersécurité.
- Confiance croissante dans les mesures de sécurité : La confiance dans la sécurité du courrier électronique a augmenté, la proportion de professionnels de l’informatique se sentant « très confiants » étant passée de 27 % à 36 %. Les dirigeants devraient continuer à investir dans des solutions de sécurité complètes et dans la formation du personnel pour poursuivre sur cette lancée.
- Nécessité d’une mise en œuvre globale : Bien que la mise en œuvre de DMARC ait augmenté, de nombreuses organisations utilisent encore des mesures de base au lieu d’une politique stricte de « p=rejet ». Les décideurs doivent faire pression pour une mise en œuvre complète afin d’assurer une protection totale contre les menaces basées sur le courrier électronique.
