8 façons de renforcer votre sécurité à moindre coût

Comme tout RSSI le sait, maintenir une solide posture de cybersécurité coûte cher. Ce que l’on sait moins, c’est qu’il existe de nombreuses façons d’améliorer la cybersécurité à l’aide d’investissements relativement insignifiants. En pensant simplement de manière créative, un responsable de la sécurité peut améliorer considérablement la protection de son entreprise à un coût minime.

Votre organisation pourrait-elle bénéficier d’une protection supplémentaire à faible coût ? Si tel est le cas, voici huit façons d’améliorer la cybersécurité de votre entreprise sans grever sérieusement votre budget.

1. Mieux appliquer l’AMF

L’atténuation des risques doit commencer par les fondamentaux, déclare Trevor Horwitz, RSSI de la société de services technologiques de conformité TrustNet. « MFA prend directement en charge la confidentialité et le contrôle d’accès, qui sont des objectifs fondamentaux en matière de sécurité », déclare-t-il. « Dans presque toutes les violations que nous analysons, des informations d’identification compromises sont impliquées. » La plupart des organisations ont déjà accès à cette fonctionnalité. Allumez-le, notamment pour un accès privilégié, conseille Horwitz.

Randy Gross, RSSI de la société de certification CompTIA, est du même avis. « Commencez par définir clairement les joyaux de la couronne et le prochain niveau de systèmes importants, puis appliquez l’AMF et le moindre privilège dans ces environnements », recommande-t-il. « Ensuite, établissez des attentes de remédiation limitées dans le temps pour les vulnérabilités significatives de ces systèmes avant d’élargir votre attention à l’environnement plus large. »

2. Profitez pleinement de vos outils existants

Un moyen pratique de renforcer la sécurité de l’entreprise sans engager de dépenses supplémentaires importantes consiste à vous assurer que vous exploitez pleinement les capacités des solutions déjà présentes au sein de votre organisation, explique Gary Brickhouse, RSSI de la société de services de sécurité GuidePoint Security.

« La plupart des organisations ont investi massivement dans des solutions de sécurité, mais la plupart n’utilisent qu’une partie de ce que ces outils peuvent faire », explique-t-il. « En optimisant et en opérationnalisant les technologies existantes, les organisations peuvent réduire les risques de cybersécurité avec peu de dépenses. »

Brickhouse affirme que cette approche est très efficace car elle se concentre sur l’amélioration de la maturité opérationnelle plutôt que sur l’ajout de solutions technologiques supplémentaires. « Cette tactique augmente également le retour sur investissement en garantissant que l’organisation tire le meilleur parti des solutions qu’elle possède déjà », explique-t-il.

3. Organisez des exercices sur table

Ne sous-estimez pas la puissance des exercices sur table, conseille Ryan Davis, RSSI chez le fournisseur de services informatiques New Charter Technologies. «Ils garantissent presque une action positive, et le seul coût est le temps», dit-il.

Un exercice sur table oblige les participants à visualiser les scénarios du point de vue de l’exécution plutôt que d’une position théorique.

« S’entraîner dans des scénarios inattendus permet aux équipes d’exercer des muscles qu’elles n’utiliseraient pas normalement », explique Davis. « Cela permet aux membres de l’équipe de poser des questions qu’ils ne poseraient pas habituellement dans des scénarios quotidiens parce qu’ils n’ont pas le temps ou parce qu’ils n’ont pas besoin de le faire. »

Il ajoute que l’approche met également rapidement en évidence les points forts qui ne nécessitent pas davantage d’attention, ainsi que les lacunes qui doivent être comblées.

4. Utiliser la couche application

Un moyen efficace de renforcer la couverture et de réduire le risque global consiste à inclure la couche applicative dans votre stratégie de cybersécurité, explique Bill Oliver, directeur général du fournisseur de plateforme de cybersécurité SecurityBridge. Il note que les systèmes ERP sont au cœur des opérations de votre entreprise et sont la cible de mauvais acteurs depuis des années.

« La surveillance de vos systèmes ERP pour détecter les correctifs de sécurité manquants, les mauvaises configurations de sécurité, les événements de sécurité en temps réel, etc. peut vous offrir une excellente protection en matière de cybersécurité à un coût relativement faible par rapport à d’autres initiatives de cybersécurité », déclare-t-il. « Comprendre les événements de sécurité qui se produisent en temps réel renforcera considérablement le programme de cybersécurité de votre entreprise et corrigera une faiblesse présente depuis le premier jour. »

5. Implémenter des mots de passe

Les clés d’accès éliminent le plus grand vecteur d’attaque auquel la plupart des organisations sont confrontées : les informations d’identification volées ou hameçonnées, explique John Coursen, RSSI chez Fortify Cyber, une entreprise qui aide les industries réglementées à sécuriser leur infrastructure.

« Ils suppriment l’élément humain de l’authentification », explique-t-il. Coursen note que les mots de passe ont tendance à être réutilisés, hameçonnés et intégrés dans les bases de données d’informations d’identification. « Les clés d’accès ne peuvent pas être hameçonnées, car il n’y a aucun secret partagé à voler. »

Coursen observe que la plupart des fournisseurs d’identité modernes, tels qu’Azure AD et Okta, prennent déjà en charge les clés d’accès. « La technologie n’est pas difficile à mettre en œuvre : il s’agit de changer de comportement et d’amener les utilisateurs à l’adopter. »

Commencez par vos utilisateurs les plus à risque, conseille Coursen, y compris les dirigeants, les équipes financières et toute personne ayant accès aux données clients sensibles ou à l’autorité de virement bancaire.

6. Visez le cœur

Ciblez ce que les attaquants exploitent réellement, suggère Mike Wilkes, RSSI chez le fournisseur de technologies de sécurité Aikido Security. « Mettez en place des fournisseurs DNS redondants : ils sont peu coûteux, à fort impact et extrêmement sous-utilisés », dit-il. « Placez le plan gratuit de Cloudflare devant vos applications publiques et vous bénéficiez instantanément d’une atténuation DDoS et d’une couche WAF. »

Activez SPF, DMARC et DKIM, car le courrier électronique reste le vecteur d’accès initial n°1 et la mise en œuvre de ces contrôles DNS ne prend qu’un après-midi. « Activez l’authentification multifacteur partout à l’aide de Google Authenticator gratuit », explique Wilkes, tout en recommandant également de vérifier les enregistrements DNS et d’auditer l’authentification multifacteur pour déceler les lacunes.

7. Envisager la gestion des risques humains

À une époque où la grande majorité des cyberattaques impliquent des personnes, la gestion des risques humains est un moyen essentiel et rentable d’assurer la sécurité de l’entreprise, déclare Matt Lindley, directeur de l’innovation et de la sécurité de la société de formation et de sensibilisation à la cybersécurité NINJIO.

La gestion des risques humains fonctionne car elle répond aux cybermenaces les plus urgentes auxquelles la plupart des entreprises sont confrontées en établissant une culture de cybersécurité à tous les niveaux de l’organisation, explique Lindley.

« Au lieu de traiter les employés comme le maillon faible de la stratégie de cybersécurité d’une organisation, ils devraient être considérés comme son plus grand atout en matière de sécurité », déclare-t-il. « Lorsque les employés sont habilités à identifier, signaler et contrecarrer les cyberattaques, l’entreprise dispose désormais d’une couche de cybersécurité distribuée et adaptative. »

Une gestion efficace des risques humains nécessite que les responsables de la sécurité proposent une formation de sensibilisation à la sécurité engageante, concrète et personnalisée, explique Lindley. Cela exige également un haut degré de responsabilité. Il note que les responsables de la sécurité devraient être en mesure de déterminer si les interventions comportementales fonctionnent réellement en utilisant des références allant au-delà des mesures vaniteuses, telles que les taux d’achèvement.

« Cela signifie fournir des données sur les rapports de phishing et d’autres améliorations concrètes de la posture de cybersécurité de l’organisation, qui généreront l’adhésion de l’ensemble de la direction », dit-il.

8. Doubler la mise sur les fondamentaux de la cybersécurité

L’une des stratégies de sécurité les plus efficaces et les moins coûteuses consiste à mettre l’accent sur des éléments fondamentaux tels que la protection de l’identité, les correctifs, la visibilité et la sensibilisation des utilisateurs, explique Jeff Foresman, vice-président de la cybersécurité chez la société de services technologiques Resultant.

La plupart des organisations disposent déjà des outils dont elles ont besoin via des plateformes telles que Microsoft et Google, ainsi que de leurs piles de sécurité des points de terminaison et de la messagerie électronique, explique Foresman. La véritable opportunité, note-t-il, réside dans une meilleure configuration et une exécution disciplinée, comme l’application de la MFA partout, la réduction des accès administrateurs inutiles, la mise à jour rapide des systèmes connectés à Internet et l’amélioration des rapports et des réponses au phishing. « Ces mesures, à elles seules, réduisent considérablement les risques réels », explique Foresman.

Foresman note qu’une approche fondamentaliste fonctionne en ciblant la manière dont les attaquants obtiennent réellement l’accès. La majorité des violations commencent toujours par des informations d’identification compromises, du phishing, des systèmes exposés ou des erreurs de configuration, et non par des exploits avancés du jour zéro, explique-t-il. En se concentrant sur la réduction de l’identité, du courrier électronique et de la surface d’attaque, les organisations peuvent s’attaquer aux points d’entrée les plus courants.

« C’est pratique, mesurable et lié aux modèles de violations que nous constatons chaque jour, plutôt qu’aux contrôles théoriques », explique Foresman.

Voir aussi :

• Comment MFA est piraté et stratégies pour l’empêcher
• Redéfinir l’authentification multifacteur : pourquoi nous avons besoin de clés d’accès
• Gestion des risques humains : la solution des RSSI au paradoxe de la formation à la sensibilisation à la sécurité
• Les RSSI doivent repenser la table, car 57 % des incidents n’ont jamais été répétés
• La formation sur le phishing a besoin d’une nouvelle approche : voici comment repenser votre approche