Le PDG de SolarWinds appelle à une action collective contre les attaques étatiques

SolarWinds Sudhakar Ramakrishna, PDG de SolarWinds, a révélé qu’il discutait avec ses pairs du secteur pour former un consortium d’entreprises de taille moyenne partageant les mêmes idées et qui pourraient prendre des mesures collectives pour se défendre contre les acteurs malveillants soutenus par des États, tels que l’APT29 de la Russie, ou Cozy Bear, le groupe qui a pénétré dans la plateforme de gestion de réseau de SolarWinds pour attaquer les agences gouvernementales américaines et d’autres organisations.

En conversation avec le directeur des opérations du National Cyber Security Centre (NCSC), Paul Chichester, lors de la conférence CyberUK 2021 – qui revient cette année sous la forme d’un événement virtuel après avoir été interrompue en 2020 en raison de la pandémie – Ramakrishna a parlé de l’enquête en cours de SolarWinds sur la vaste attaque Cozy Bear, qui a été le résultat d’une compromission de la plate-forme de gestion de réseau Orion de la société avec une mise à jour logicielle altérée, qui a ensuite été livrée aux victimes.

M. Ramakrishna a appelé l’industrie à adopter un modèle de responsabilité mutuelle entre les petites entreprises, notant que la taille seule n’est pas un indicateur de la capacité d’une entreprise à se protéger des cyberattaques.

“Je discute activement avec certains leaders de l’industrie pour former potentiellement un consortium d’entreprises de taille moyenne”, a déclaré M. Ramakrishna, “qui, si vous additionnez toutes les entreprises de taille moyenne, pourrait constituer une très grande entité capable de s’attaquer même potentiellement à un État-nation.”

M. Ramakrishna a déclaré qu’il pensait qu’un tel groupe maximiserait le partage des cyberinformations et la collaboration afin de mettre en place une protection collective. Il a ajouté que cela pourrait finalement profiter à tout le monde.

“Si nous nous engageons tous à partager ces informations avec le secteur public et que ce dernier, à son tour, fournit des recommandations spécifiques, continue à les améliorer et trouve un moyen non seulement de renforcer la responsabilité, mais aussi de fournir une réglementation pour aider à la faire respecter. Nous pourrons alors tous atteindre un niveau de normalisation qui, jusqu’à présent, était très ad hoc”, a-t-il déclaré.

M. Ramakrishna a déclaré à l’audience en ligne du CyberUK qu’il n’était pas nécessaire d’accepter que, parce qu’un acteur d’un État-nation attaque une entreprise de taille moyenne, la victime n’a aucune chance de se défendre.

Le PDG de SolarWinds, qui a rejoint l’entreprise peu après l’annonce de l’attaque fin 2020, a également révélé qu’il avait été confronté à de nombreuses questions sur la raison pour laquelle SolarWinds, en tant que victime, avait adopté une stratégie de protection des données. une politique de transparence accrue sur l’attaque depuis son arrivée.

“C’est là que réside une partie du défi que je pense que beaucoup de vendeurs [and] de nombreux développeurs sont confrontés, car lorsqu’ils rencontrent des problèmes, ils sont presque dissuadés de les signaler”, a-t-il déclaré. “Il y a une notion de honte de la victime, implicitement ou explicitement, qui se produit et que nous devrions essayer d’éradiquer.

“C’est là que je pense que les partenariats public-privé sont très importants, parce qu’en fin de compte, si nous nous soucions tous de notre sécurité collective, alors nous devons pratiquer un système de veille collective où il y a une opportunité et une incitation à sortir rapidement, pour réduire les surfaces de menace”, a-t-il ajouté.

M. Ramakrishna a déclaré qu’avec le temps, un acteur étatique déterminé pourrait facilement attaquer n’importe quel fournisseur de technologie, et que même si tout le monde dans l’industrie aime croire qu’il ne sera pas le prochain, il n’y a aucune garantie à ce sujet, ce qui, selon lui, est une raison de plus pour encourager la notion de vigilance communautaire et de partage de l’information.

M. Ramakrishna a ajouté que, depuis l’attaque, il a été très encouragé par le soutien que SolarWinds a reçu des organismes gouvernementaux, y compris le NCSC et son homologue américain, la Cybersecurity and Infrastructure Security Agency, et a également parlé en termes positifs de la politique de l’administration Biden en matière de sécurité. nouvel accent mis par l’administration Biden sur la cybersécuritéet la nomination d’Anne Neuberger en tant que cyberconseillère nationale.

“Je constate une plus grande cohérence de comportement et d’approche dans l’ensemble du secteur public, et cela me fait chaud au cœur de voir qu’il existe une plus grande propension à comprendre et à accepter qu’il ne s’agit pas de la situation d’une seule entreprise, mais qu’il faut la prendre beaucoup plus au sérieux”, a-t-il déclaré.