Digital Trust Digest : L'actualité de la semaine

Les RSSI partagent 14 leçons apprises en 2022

The world is changing for CISOs. Amid the labor shortage, geopolitical conflict, and the rise in supply chain attacks, the pressure is on for CISOs to make good on increased budgets and provide tangible wins for their organizations. 

CSO Online asked security leaders from Google, Veracode, Thrive, Trustwave, and others to reflect on their biggest takeaways from the year and look ahead to 2023. Their answers ran the gamut, from security insurance and legislation to shift-left software testing and adopting zero trust. 

See the whole list at CSO Online. There’s a kernel of wisdom for anyone seeking a proactive approach to cybersecurity operations.

L'action du NIST vise à relancer le marché explosif de la cryptographie post-quantique

Alors que le NIST procède à la sélection finale des algorithmes PQC, le reste de l'industrie est prêt à suivre son exemple. ABI Research, une société internationale de veille technologique, prévoit que les revenus de la QPC augmenteront à pas de géant au cours des cinq prochaines années, car les organisations s'empressent de s'adapter aux nouvelles normes du NIST. 

L'avancement des travaux dans ces forums sera un signe de maturité technologique, et l'objectif des fournisseurs sera de présenter des technologies "prêtes à l'emploi" pour leurs secteurs respectifs, ce qui facilitera l'intégration et l'adoption commerciales", a déclaré Michela Menting, directrice de la recherche sur les applications en matière de cybersécurité à l'ABI. 

Crypto-agility will be mission-critical in the post-quantum era. Check out ABI’s report to see how NIST’s decision will impact your organization.

Malgré les échéances fixées par la Maison Blanche, la transition post-quantique va s'éterniser

A November 18 memo from the U.S. Office of Management and Budget demands agencies submit their first cryptographic system inventories identifying vulnerable systems, but it’s a tall order.

Most agencies have trouble getting their arms around the sheer volume of systems that depend on PKI. Meanwhile, scientists can’t agree on how to define a qubit  — the quantum mechanical analog to a bit. Only one quantum security-as-a-service company has been awarded a Phase III contract, which allows it to contract with federal agencies.

The latest memo will be just one in a flurry of directives and legislation that will position the U.S. as the global leader in protection, even though experts predict the transition will take at least a decade. To read more about “the largest upgrade cycle in all human history,” head to FedScoop.

Des mises à jour d'applications truffées de logiciels malveillants donnent un accès total aux appareils Android

Plusieurs grands fabricants d'appareils, tels que Samsung et LG, ont été victimes d'une fuite de sécurité qui utilisait des clés de fabrication pour déguiser des mises à jour d'applications infectées par des logiciels malveillants en mises à jour légitimes. 

Contrairement à la plupart des applications malveillantes, cette technique n'a pas besoin de tromper l'utilisateur pour qu'il accorde des autorisations sensibles ou qu'il clique sur un fichier ou un lien malveillant. Le simple téléchargement d'une mise à jour d'une application malveillante peut donner un accès complet à l'appareil. 

The incident is a lesson in the risks of signing code without protocols for managing code signing keys. To see where these manufacturers failed and where you can succeed, check out the full story in CPO Magazine. 

Trop de solutions d'identité, pas assez de couverture

Un nouveau rapport de One Identity, fournisseur de solutions de gestion de l'identité, montre que la grande majorité des organisations peinent à combler les lacunes en matière d'accès basé sur l'identité, en dépit d'une multitude de solutions d'identité. 

Le rapport révèle que 41 % des entreprises ont déployé au moins 25 systèmes différents pour gérer les droits d'accès, mais que 70 % d'entre elles déclarent ne pas utiliser tous les outils d'identité pour lesquels elles paient. Ces inefficacités coûtent à 42 % des entreprises plus de 100 000 dollars par an. 

Organizations will seek holistic solutions that centralize or consolidate identity management tools to solve this problem. As threat actors continue to target users, solving the identity-based access puzzle will be key to staving off social engineering attacks in the coming year. To get a sense of the full scope of identity management fragmentation, access the full report at BetaNews.

Catch up on last week’s headlines here.