Comment l'UE peut imposer une sécurité de l'email renforcée

Résumé exécutif : Cet article examine comment l'UE peut combler proactivement les failles de sécurité de l'email en s'appuyant sur la directive NIS2 pour imposer des normes robustes et harmonisées telles que DMARC, DKIM et SPF dans tous les États membres. En agissant maintenant, l'UE protège non seulement son écosystème numérique, mais établit également une référence mondiale en matière de bonnes pratiques de cybersécurité.

• La directive NIS2 représente une opportunité décisive pour l'UE d'imposer l'adoption universelle des protocoles de sécurité de l'email (DMARC, DKIM, SPF), en s'attaquant à des vulnérabilités de longue date et en harmonisant les normes dans tous les États membres.
• Les récentes initiatives de grands fournisseurs (Google, Yahoo!) et les normes du secteur (PCI DSS 4.0.1) ont rendu les bonnes pratiques d'authentification de l'email plus courantes, mais les exigences existantes restent insuffisantes, ce qui souligne la nécessité de mandats plus stricts et applicables à l'échelle de l'UE.
• Une action coordonnée de l'UE, menée par des organismes tels que l'ENISA et le NIS Cooperation Group, peut favoriser la mise en œuvre d'une sécurité de l'email robuste, combler les lacunes réglementaires et positionner l'UE comme un leader mondial des bonnes pratiques de cybersécurité.

En tant qu'épine dorsale numérique de la communication moderne, l'email demeure une vulnérabilité critique pour les organisations à travers l'Europe, souvent exploitée en raison de mesures de sécurité obsolètes ou incohérentes. La future directive NIS2 de l'UE, qui s'appuie sur l'héritage du RGPD, représente une opportunité décisive d'imposer des normes de sécurité de l'email plus strictes et harmonisées dans tous les États membres.

En exigeant l'adoption de protocoles tels que DMARC, DKIM et SPF, et en tirant parti de son influence réglementaire, l'UE ne peut pas seulement protéger son propre écosystème numérique, mais aussi établir un précédent mondial en matière de bonnes pratiques de cybersécurité. Alors que certains États membres montrent déjà la voie, le moment est venu d'adopter une approche unifiée à l'échelle de l'UE qui comble les lacunes et garantit une protection robuste pour tous.

La directive sur les systèmes d'information en réseau 2 (NIS2) est la suite de la directive sur les systèmes d'information en réseau (NIS) qui, en 2016, est devenue la première législation à l'échelle de l'UE sur la cybersécurité, exigeant des États membres de l'Union européenne (UE) qu'ils transposent une multitude d'exigences dans leur droit national et collaborent avec les fournisseurs de services essentiels et numériques pour améliorer la cybersécurité. NIS2 comprend des conditions plus strictes concernant les amendes administratives devant être possibles. La sécurité de l'email est l'une des nombreuses exigences explicites couvertes par la directive.

En tant que l'un des plus grands blocs commerciaux au monde, l'UE a la capacité de favoriser un écosystème plus sûr pour les consommateurs. Nous avons pu observer cette dynamique avec le Règlement Général sur la Protection des Données (RGPD) et la directive ePrivacy (ePD), qui ont conduit à des améliorations significatives en matière de confidentialité et de protection des données, ainsi qu'à une attention rapide du grand public.

De plus, lorsque l'UE adopte des normes réglementaires plus strictes, elle établit souvent un précédent mondial, influençant les politiques et les pratiques au-delà de ses frontières. Un bon exemple est celui des directives qui s'appliquent de manière extraterritoriale, affectant toute organisation qui fait affaire avec l'UE ou traite des données personnelles d'UE. Bien que le RGPD soit une réglementation spécifique à l'UE, de nombreuses entreprises américaines, conscientes de la complexité liée au maintien de politiques de données distinctes, ont choisi d'appliquer les normes du RGPD de manière universelle à tous les utilisateurs, et pas seulement aux citoyens de l'UE.

Cette approche simplifie non seulement la conformité, mais élève également la protection des données à l'échelle mondiale et présente un retour sur investissement positif. De même, si l'UE impose des normes de cybersécurité plus strictes, telles que celles définies dans la directive NIS2, il est probable que les entreprises situées en dehors de l'UE adoptent ces normes plus élevées pour garantir des opérations et une conformité sans faille, créant ainsi un effet de « ruissellement » qui renforce les pratiques de sécurité à l'échelle mondiale. Tout en évitant les difficultés liées à la non-conformité, telles que les amendes financières et autres sanctions non financières.

L'email est par défaut non sécurisé, ne nécessitant aucune authentification, autorisation, ni même chiffrement en transit. Tous ces aspects ont dû être développés et ajoutés a posteriori. Quiconque a dû configurer un service d'envoi d'email a forcément rencontré DomainKeys Identified Mail (DKIM) et Sender Policy Framework (SPF), deux mécanismes qui aident à autoriser et authentifier l'envoi d'emails. DKIM en particulier fournit une autorisation et une authentification cryptographique forte des emails.

Cependant, que se passe-t-il si l'email ne peut être vérifié comme « passant » DKIM ou SPF, laissant au destinataire le soin de décider par lui-même ? C'est là l'objectif principal de Domain-based Message Authentication, Reporting, and Conformance (DMARC). Développé pour fournir aux propriétaires de domaines un mécanisme leur permettant d'indiquer explicitement que les destinataires d'emails doivent rejeter tout email non autorisé par DKIM ou SPF. Cela signale qu'ils ont correctement configuré tous les services autorisés à envoyer des emails en leur nom.

Votre email est-il sécurisé ?

Connaissez-vous votre statut DMARC actuel ? Vérifiez gratuitement dès maintenant.

Le soutien à DMARC, DKIM et SPF par toutes les parties de l'écosystème de l'email, tant du côté des expéditeurs que des destinataires, a été fort dans certains secteurs mais inégal ; ce n'est qu'au début de 2024 qu'ils sont devenus des mandats de facto de l'industrie, grâce en partie aux nouvelles exigences pour les expéditeurs en masse de Google et Yahoo! et aux bonnes pratiques recommandées par la norme de sécurité des données de l'industrie des cartes de paiement (PCI DSS 4.0.1).

L'impact des nouvelles exigences a été considérable : après seulement six mois, Google a rapporté une réduction de 65 % des emails non authentifiés, 50 % d'expéditeurs en masse supplémentaires suivant ces bonnes pratiques et 265 milliards de messages non authentifiés en moins.

Néanmoins, la barre fixée par Google et Yahoo! reste relativement basse, n'exigeant qu'une politique DMARC faible de « none » – qui n'ordonne pas au destinataire de rejeter les emails non autorisés. Les organisations n'ont pas encore été contraintes de correctement inventorier et configurer tous leurs systèmes d'envoi d'emails, et les utilisateurs de fournisseurs d'email moins stricts que Google ou Yahoo! restent plus vulnérables aux attaques d'usurpation d'identité qu'ils ne devraient l'être. De même, à l'heure actuelle, la norme PCI DSS 4.0.1 encourage l'utilisation de DMARC, DKIM et SPF pour toutes les organisations traitant des données de cartes de crédit.

L'application de DMARC, où les organisations atteignent une politique de p=reject, nécessitera une coopération et une réglementation mondiales considérables, et l'UE, à travers la directive NIS2, est bien équipée pour mener cette initiative, du moins pour les organisations ayant un impact démesuré sur la société européenne.

L'article 21 oblige les États membres à veiller à ce que ces entités essentielles et importantes :

« prennent des mesures techniques, opérationnelles et organisationnelles appropriées et proportionnées pour gérer les risques posés à la sécurité des réseaux et des systèmes d'information que ces entités utilisent pour leurs opérations ou pour la fourniture de leurs services, et pour prévenir ou minimiser l'impact des incidents sur les destinataires de leurs services et sur d'autres services.

Compte tenu de l'état de l'art et, le cas échéant, des normes européennes et internationales pertinentes, ainsi que du coût de la mise en œuvre, les mesures visées au premier alinéa garantissent un niveau de sécurité des réseaux et des systèmes d'information adapté aux risques existants. Lors de l'évaluation du caractère proportionné de ces mesures, il est dûment tenu compte du degré d'exposition de l'entité aux risques, de la taille de l'entité et de la probabilité de survenance d'incidents ainsi que de leur gravité, y compris leurs conséquences sociétales et économiques. »

Directive NIS 2 – Union européenne

Bien que la directive originale ne mentionne pas explicitement la sécurité de l'email, l'annexe d'un acte d'exécution qui prolonge la directive le fait, exigeant des entités concernées qu'elles :

« adoptent un plan de mise en œuvre pour le déploiement de normes de communication par email modernes, convenues au niveau international et interopérables, afin de sécuriser les communications par email et d'atténuer les vulnérabilités liées aux menaces liées à l'email, et établissent des mesures pour accélérer ce déploiement ;

élaborent et maintiennent un inventaire complet, précis, à jour et cohérent de leurs actifs. Elles enregistrent les modifications apportées aux entrées de l'inventaire de manière traçable. »

Commission européenne

Bien que cela ne soit pas explicitement indiqué dans le texte ci-dessus, « sécuriser les communications par email pour atténuer les vulnérabilités » peut être le mieux réalisé en adoptant les outils disponibles, notamment DMARC, DKIM et SPF. DMARC représente notamment les meilleures mesures de cybersécurité proactives et raisonnables qui offrent une protection à votre organisation et sont conformes aux bonnes pratiques.

Outre Transport Layer Security (TLS), le protocole sous-tend le chiffrement en transit pour presque toutes les communications internet, y compris l'email ; aucun autre standard ou mécanisme n'offre la même facilité de mise en œuvre et le même impact. SPF, bien que également largement utilisé, est un mécanisme beaucoup plus faible que DKIM. S/MIME est bien moins répandu en raison de la complexité de son déploiement. Peut-être Mail Transfer Agent Strict Transport Security (MTA-STS) pourrait-il être un autre candidat, mais il reste délicat dans certaines circonstances.

Des progrès ont été réalisés, plusieurs États membres de l'UE disposant déjà de mandats pour DMARC et DKIM, généralement au moins pour les organismes publics, étendant parfois l'exigence à certains secteurs d'infrastructures critiques.

• La Tchéquie exige depuis au moins 2021 que les organismes publics ainsi que les entités importantes et essentielles mettent en œuvre DMARC et DKIM
• Le Danemark exige depuis au moins 2022 que les organismes gouvernementaux mettent en œuvre DMARC et DKIM
• L'Estonie exige depuis au moins 2023 que les organismes publics mettent en œuvre DMARC, en plus de MTA-STS ou DANE
• L'Irlande exige depuis au moins 2022 que les organismes de service public mettent en œuvre DMARC et DKIM.
• Les Pays-Bas exigent depuis au moins 2018 que les organismes publics mettent en œuvre DMARC et DKIM
• La Pologne exige depuis au moins 2023 que le secteur public et une partie du secteur privé mettent en œuvre DMARC et DKIM
• L'ancien État membre, le Royaume-Uni exige DMARC pour les services numériques gouvernementaux depuis au moins 2016

Les 21 autres États membres n'ont aucun mandat national, et seuls quelques-uns ont même produit une forme de directive ou de recommandation à l'intention de leurs organismes publics ou entreprises.

L'UE, avec ses 27 États membres, peut être la plus efficace lorsque tous sont unis, réduisant ainsi les obstacles liés aux frictions lors de la comparaison des réglementations actuelles d'un pays à l'autre. En effet, des progrès sont déjà réalisés par un NIS Cooperation Group chargé de fournir des orientations aux autorités compétentes des États membres concernant la transposition et la mise en œuvre de la directive.

Dès 2017, le CERT-EU, l'équipe d'intervention d'urgence en matière de cybersécurité de l'UE elle-même, a publié ses propres recommandations préconisant l'utilisation de DMARC. Le CERT-EU est membre du réseau européen des CSIRT qui soutient le NIS Cooperation Group et a été établi par la directive NIS originale. L'ENISA, l'Agence de l'Union européenne pour la cybersécurité, est également membre du NIS Cooperation Group et est chargée d'aider les États membres à mettre en œuvre la politique et le droit de l'Union en matière de cybersécurité de manière cohérente par rapport à la directive NIS. Dans cette optique, l'ENISA et le NIS Cooperation Group ont déjà produit plusieurs lignes directrices au bénéfice de tous les Européens, notamment pour les élections, les réseaux 5G, les registres de noms de domaine, le signalement des incidents et la divulgation des vulnérabilités.

Des progrès supplémentaires sont nécessaires et bien que l'email soit non sécurisé par défaut, nous disposons de tous les outils, tant techniques que réglementaires, pour le sécuriser, du moins en Europe. Il ne manque plus qu'une action décisive aux niveaux européen et national. Alors, l'ENISA pourrait-elle contribuer à favoriser l'adoption de réglementations en matière de sécurité de l'email ? En bref, oui, si l'ENISA incitait le NIS Cooperation Group à fournir des orientations claires et pratiques pour répondre aux exigences légales en matière de sécurité de l'email, cela pourrait créer un environnement de coopération entre les États membres susceptible de garantir une sécurité de l'email renforcée pour tous les citoyens de l'UE. En travaillant ensemble, l'UE pourrait être le premier organisme membre à montrer l'exemple et à ouvrir la voie pour le reste du monde.