Insider Threat

Définition

La menace interne (Insider Threat) désigne le risque que représentent les individus ayant un accès légitime aux systèmes d'information d'une organisation — employés, anciens employés, prestataires, sous-traitants, partenaires — qui utilisent cet accès pour causer un préjudice, intentionnellement ou par négligence. Les insiders sont classifiés en trois catégories. Les insiders malveillants (Malicious Insiders) agissent intentionnellement pour voler des données, saboter des systèmes, ou faciliter une attaque externe. Motivations : gain financier (revente de données, fraude), vengeance (après un licenciement, une évaluation négative, ou un conflit), espionnage (pour un concurrent ou un État), et idéologie. Les insiders négligents (Negligent Insiders) causent des dommages par inadvertance : mauvaise configuration de partages cloud, envoi d'emails au mauvais destinataire, réponse à un phishing, ou non-respect des politiques de sécurité. Les insiders compromis (Compromised Insiders) sont des employés dont les credentials ont été volés par des acteurs externes qui utilisent ensuite leurs accès légitimes — la frontière avec la menace externe est floue. La détection des insiders malveillants est particulièrement difficile car leurs actions sont souvent indistinguables des activités légitimes. Un analyste qui télécharge des rapports confidentiels peut le faire dans le cadre de son travail ou pour les revendre. Les signaux d'alerte comportementaux (qui nécessitent une UEBA) incluent : volumes de téléchargement anormaux, accès à des données hors périmètre habituel, connexions en dehors des horaires, utilisation de périphériques USB non autorisés, et comportements atypiques corrélés avec des événements RH (préavis, conflit, évaluation négative, difficultés financières). La prévention des insider threats repose sur une combinaison de contrôles techniques (moindre privilège, DLP, UEBA, PAM, contrôle des supports amovibles) et de contrôles organisationnels (culture de sécurité, procédures RH pour les départs, contrôle des antécédents, programme de signalement). L'équilibre entre la protection et la vie privée des employés est un défi légal et éthique important, particulièrement en Europe sous le RGPD. Les coûts des incidents d'insiders sont considérables : selon le Ponemon Institute, le coût moyen d'un incident insider threat dépasse 15 millions de dollars, avec un temps de résolution moyen de 85 jours. Les incidents d'exfiltration de propriété intellectuelle par des employés partant chez un concurrent sont parmi les plus coûteux.