Le PDG de SolarWinds appelle à une action collective contre les attaques de l’Etat

SolarWinds PDG Sudhakar Ramakrishna a révélé qu’il parle avec ses pairs dans l’industrie pour former un consortium de partage, les entreprises de milieu de gamme qui pourraient prendre des mesures collectives pour se défendre contre les acteurs malveillants soutenus par l’État-nation, tels que la Russie APT29, ou Cozy Bear, le groupe qui a fait irruption dans la plate-forme de gestion de réseau SolarWinds pour attaquer les agences gouvernementales américaines et d’autres organisations.

Lors d’une conversation avec le directeur des opérations du Centre national de cybersécurité (NCSC), Paul Chichester, lors de la conférence CyberUK 2021 – de retour cette année en tant qu’événement virtuel après avoir fait une pause en 2020 en raison de la pandémie – Ramakrishna a discuté de l’enquête en cours sur l’attaque de Cozy Bear, qui a été le résultat d’un compromis de la plate-forme de gestion du réseau Orion de l’entreprise avec une mise à niveau logicielle entachée , qui a ensuite été remis aux victimes.

Ramakrishna a appelé l’industrie à adopter un modèle de responsabilité mutuelle et de responsabilité mutuelle entre les petites entreprises, notant que la taille seule n’est pas un indicateur de la capacité d’une entreprise à se protéger contre les cyberattaques.

« Je parle activement avec certains dirigeants de l’industrie pour former potentiellement un consortium d’entreprises de taille moyenne », a déclaré Ramakrishna, « qui, si vous additionnez toutes les entreprises de taille moyenne pourrait être une très grande entité qui pourrait prendre même potentiellement un État-nation. »

Ramakrishna a déclaré qu’il croyait qu’un tel groupe maximiserait l’échange et la collaboration de cyber-informations pour renforcer la protection collective. Il a dit que cela pourrait finalement profiter à tout le monde.

« Si nous nous engageons tous à partager cette information avec le secteur public et le secteur public, à son tour, elle formule des recommandations précises et continue d’améliorer ces recommandations et trouve un moyen non seulement d’établir la reddition de comptes, mais aussi d’assurer la réglementation pour l’aider à l’appliquer. Ensuite, nous pourrons tous arriver à un niveau de normalisation qui, jusqu’à présent, a été très ad hoc », a-t-il déclaré.

Ramakrishna a déclaré à l’audience en ligne cyberUK qu’il n’était pas nécessaire d’accepter que juste parce qu’un acteur de l’État-nation attaque une entreprise de taille moyenne que la victime n’a pas une chance de riposter.

Le PDG de SolarWinds – qui a rejoint l’entreprise peu après l’annonce de l’attaque fin 2020 – a également révélé qu’il avait été confronté à de nombreuses questions sur les raisons pour lesquelles SolarWinds, en tant que victime, avait adopté une politique de transparence accrue au sujet de l’attaque depuis son arrivée.

« Cela fait partie du défi que je pense que de nombreux fournisseurs [and] beaucoup de développeurs font face parce que quand ils ont des problèmes, il ya presque un découragement de les projeter », at-il dit. « Il y a une notion d’humiliation de la victime, implicitement ou explicitement, qui se produit, que nous devrions essayer de déraciner.

« C’est là que je pense que les partenariats public-privé sont très importants, parce qu’en fin de compte, si nous nous soucions tous de la sécurité collective de nous tous, alors nous devons mettre en pratique un système de veille collective où il y a une occasion et une incitation à sortir rapidement, à réduire les surfaces de menace », a-t-il ajouté.

Ramakrishna a déclaré que, compte tenu du temps, un acteur déterminé de l’État-nation pourrait facilement attaquer n’importe quel fournisseur de technologie, et que même si tout le monde dans l’industrie aime à croire qu’ils ne seront pas les prochains, il n’y avait aucune garantie autour de cela, qui à son avis était d’autant plus une raison d’encourager la notion de vigilance communautaire et d’échange d’informations.

Ramakrishna a ajouté que depuis l’attaque, il avait été fortement encouragé par le soutien que SolarWinds a reçu des organismes gouvernementaux, y compris le NCSC et son homologue américain, la Cybersecurity and Infrastructure Security Agency, et a également parlé positivement de la nouvelle insistance de l’administration Biden sur la cybersécurité, et la nomination d’Anne Neuberger en tant que cyber-conseiller national dédié.

« Je vois beaucoup plus de cohérence des comportements et des approches dans l’ensemble du secteur public, et cela me réchauffe le cœur qu’il y ait une plus grande propension à comprendre et à accepter qu’il ne s’agit pas d’une situation d’entreprise unique, et qu’elle devrait plutôt être prise beaucoup plus au sérieux », a-t-il dit.