L’addiction aux produits Microsoft est porteuse de cyber-risques graves

Il est rare qu’une association professionnelle prenne partie contre un fournisseur précis, sauf, parfois, des clubs d’utilisateurs pour dénoncer une politique tarifaire trop onéreuse. Pourtant, c’est ce qu’InterCERT, communauté de CERT/CSIRT en France, a fait en dénonçant une « addiction » des entreprises envers les produits Microsoft, attitude qui serait en elle-même porteuse de risques graves pour la cybersécurité. Cette prise de position a notamment été relayée sur le blog de l’association. Les préoccupations d’InterCERT ne se limitent « pas seulement à la question de la sécurité informatique et des coûts, mais elle soulève également des interrogations quant à la souveraineté numérique. »

En se rendant dépendantes d’une offre intégrée (et simple d’usage il est vrai), les entreprises ont mis tous leurs œufs dans le même panier : annuaire, messagerie, bureautique, collaboration, bases de données… Une faille de sécurité a donc immédiatement des répercutions à la fois en profondeur sur chaque entreprise et, vue la position quasi-monopolistique de l’éditeur, sur un très grand nombre d’entreprises. Et chacun sait que des failles sont régulièrement découvertes sur ses produits. En particulier, InterCERT pointe le risque de compromission de l’Active Directory qui devient la porte d’entrée à tout le système d’information. « Faute d’alternative, les entreprises et administrations développent un point névralgique, prêtant le flan aux cyber-attaquants » dénonce l’association. A cela s’ajoute la bascule imposée dans son propre cloud public par Microsoft.

Le risque n’est pas théorique. Frédéric Le Bastard, président d’InterCERT, a ainsi raconté : « mi-2023 aux États-Unis, des douzaines de structures privées et publiques ont été piratées par la Chine, du fait de lacunes de sécurité dans des produits de Microsoft. Et dans un premier temps, seuls les clients disposant d’un contrat premium (60 % plus cher) en ont été informés par l’éditeur ! Ce qui fit dire à Ron Wyden, sénateur membre du Comité de renseignement des États-Unis que, fournir des produits non sécurisés puis faire payer aux clients des fonctions premium contre le piratage, revient à vendre un véhicule, puis à faire payer en supplément les ceintures de sécurité et les airbags ! » L’association réclame donc davantage d’actions anti-trust de la part des autorités mais, surtout, davantage de prudence de la part des entreprises en haussant au maximum le niveau le sécurité et en veillant à bien maîtriser la sauvegarde des données.