La sécurité de l'email dans un environnement réglementé par la SEC : ce qu'il faut savoir

Que faut-il pour sécuriser un fonds de 18 milliards de dollars contre les cyberattaques ? Le 1er décembre, nous avons organisé un webinaire avec Dan Bennett, CTO de Castlelake, pour le découvrir. Nous étions accompagnés de Rois Ni Thauma, Head of Cyber Governance chez Red Sift. Au-delà de ce défi individuel, nous nous sommes intéressés à la manière dont la sécurité d'une entreprise au sein d'un secteur très soudé peut engendrer un effet de réseau contribuant à protéger l'ensemble des entreprises et des investisseurs contre des attaques d'usurpation d'email dangereuses et coûteuses.

Castlelake est une société d'investissement privée mondiale spécialisée dans les opportunités basées sur des actifs. En tant que CTO, Dan est responsable à la fois de la cybersécurité globale de l'entreprise et de l'utilisation des logiciels pour optimiser les rendements et accroître l'efficacité des opérations liées à leurs actifs.

J'ai commencé ma carrière dans la finance, c'est donc pour moi un retour aux sources. Avant de rejoindre Red Sift, j'ai passé environ sept ans dans la banque d'investissement et le private equity, à travailler avec des entreprises qui, en apparence, ressemblent beaucoup à Castlelake. Aucune, cependant, n'exploitait les logiciels de manière aussi élégante et efficace que Dan et son équipe.

Les équipes qui utilisent les logiciels comme moyen d'agir plus rapidement et plus fiablement ont plus de chances de l'emporter. J'aime à croire que c'est cette approche qui a conduit Dan à choisir OnDMARC de Red Sift comme solution d'authentification des emails sortants et de DMARC pour l'entreprise.

Lors d'un récent appel avec Dan, nous avons discuté du nombre de contreparties qui échangent avec une authentification sortante faible. Je me suis proposé pour approfondir la question et utiliser notre technologie pour analyser l'ensemble de l'univers réglementé par la SEC afin d'évaluer les politiques d'authentification des emails, ou leur absence.

Nous avons commencé par récupérer une liste des 18 281 entreprises enregistrées auprès de la Securities and Exchange Commission. Ensuite, pour les 15 254 entreprises pour lesquelles un domaine web a pu être trouvé, nous avons analysé leur DNS afin de déterminer leur politique DMARC et leurs enregistrements SPF. Pour un secteur qui repose autant sur la confiance, les résultats sont plutôt alarmants.

Seulement 5 % de l'ensemble des entreprises ont adopté DMARC en mode de protection, une politique selon laquelle les emails non authentifiés envoyés en leur nom sont rejetés ou mis en quarantaine par le destinataire.

À peine 12 % collectent des rapports DMARC, ce qui crée un angle mort considérable que les attaquants peuvent exploiter.

Il convient de souligner l'énorme diversité parmi l'ensemble des entreprises réglementées par la SEC. Elles vont des grandes banques de premier plan aux petites sociétés de courtage familiales avec une clientèle d'investisseurs particuliers, en passant par des fintechs à croissance rapide dotées d'une licence pour bousculer le marché. Cela expose un vaste éventail de contreparties au risque de devenir victimes d'usurpation d'identité, avec des degrés de sophistication très variables en matière de cyberdéfense.

Au cours de notre conversation, nous avons émis l'hypothèse que c'est peut-être cette diversité qui explique la lenteur de l'adoption. Bien que les grandes banques aient été parmi les premières à adopter DMARC, cette adoption n'a pas réussi à se « diffuser » vers la grande majorité des petites entreprises, comme le montrent nos données. Dans d'autres secteurs, comme la construction, les grands entrepreneurs exercent une influence considérable sur l'ensemble des chaînes de valeur, ce qui conduit à une adoption rapide de normes telles que la sécurité sur site. Ces effets sont plus faibles dans la finance, où les chaînes d'approvisionnement sont plus diffuses, voire de nature circulaire. Si la pression ne vient pas du régulateur, il revient alors aux entreprises de se sécuriser elles-mêmes et d'influencer leur réseau immédiat.

Dan a fait remarquer que « l'email est de loin le principal moyen par lequel la finance communique avec son écosystème de contreparties, de fournisseurs et de prestataires. Probablement à un volume et un niveau de dépendance qui surpassent ceux d'autres secteurs, en raison de la nature des relations ».

En matière d'email, il faut vraiment être deux pour danser le tango. Il incombe autant au destinataire de vérifier la provenance d'un message qu'à l'expéditeur de rendre cette provenance vérifiable en premier lieu. C'est précisément le rôle de DMARC et des deux protocoles, SPF et DKIM, sur lesquels repose cette norme.

Les RSSI et CTO comme Dan chez Castlelake vont de plus en plus loin dans l'application de ce principe en insistant pour que les contreparties mettent de l'ordre dans leur authentification sortante. Ils le font en renforçant leur vigilance sur les emails entrants et en soumettant à un examen plus strict les emails qui ne respectent pas les normes d'authentification de base. « On ne peut pas jeter la pierre aux autres quand on habite une maison de verre. Je ne peux pas renforcer les contrôles de ma passerelle pour restreindre un email en fonction du respect de ces protocoles si ma propre maison n'est pas en ordre ».

L'authentification des emails sortants est souvent plus difficile à faire accepter : étant donné qu'il s'agit de flux sortants, cela semble par définition être le problème de quelqu'un d'autre. Mais dans la finance, ce qui semble être le problème de quelqu'un d'autre peut rapidement devenir un risque systémique. C'est pourquoi elle constitue un élément fondamental de la pile de sécurité actuelle et une composante nécessaire pour « mettre de l'ordre dans sa maison ».

“We have an obligation to secure every email we send out as well as those we receive. You need to be careful who you let in through your front door, but equally as cautious if you’re sending nasty people out of your house.” Dan Bennett, CTO at Castlelake

Lorsque les résultats de l'activité dépendent de transactions fréquentes et fluides avec un nombre croissant de partenaires et de contreparties de confiance, empêcher des acteurs malveillants d'usurper l'identité de Castlelake à l'extérieur est tout aussi important que de se défendre contre les menaces externes qui cherchent à s'infiltrer.

Heureusement, la mise en place de l'authentification des emails sortants est aujourd'hui bien plus simple qu'auparavant. Grâce aux rapports DMARC et à des solutions logicielles comme OnDMARC, cette tâche peut être en grande partie automatisée. La plus grande crainte de la plupart des entreprises qui mettent en place la protection DMARC pour la première fois est de bloquer accidentellement des emails légitimes, que ce soit pendant la mise en œuvre ou par la suite, lors de l'ajout de nouveaux services d'envoi. Notre logiciel est conçu pour s'adapter aux environnements d'email dynamiques et rend la configuration claire, observable et fiable, afin que des équipes comme celle de Dan puissent se concentrer sur la prochaine menace tout en rendant les services financiers plus sûrs pour tous les acteurs concernés : « Cela fait désormais partie de l'architecture de notre entreprise. C'est un système qui fonctionne et que nous nous contentons de surveiller. »