Pour obtenir des résultats mesurables, les organisations ont besoin d’un programme continu de gestion de l’exposition aux menaces qui répond à des questions spécifiques.
La cybersécurité regorge de cadres, de réglementations et de directives qui indiquent aux organisations ce qu’elles doivent faire. Zero Trust, NIST, CIS Controls, CMMC, DORA, NIS2 et maintenant Continu Threat Exposure Management (CTEM) fournissent tous des conseils précieux et décrivent les résultats souhaités.
Le défi est que la plupart s’arrêtent au « quoi ». Ils expliquent rarement le « comment ».
Ce n’est pas une critique. C’est intentionnel. Les cadres établissent des principes, définissent les attentes et décrivent les résultats souhaités. Ce ne sont pas des guides de mise en œuvre.
En conséquence, les responsables et les praticiens de la sécurité doivent déterminer comment traduire les principes en processus, attribuer la responsabilité, établir les responsabilités et mesurer le succès. Ces décisions déterminent souvent si un cadre donne des résultats ou s’il devient une autre initiative qui ne va jamais au-delà des bonnes intentions.
Le Gartner® Le cadre CTEM fournit une vision claire à travers ses cinq phases : portée, découverte, priorisation, validation et mobilisation. Pourtant, de nombreuses organisations qui comprennent ces phases ont encore du mal à créer un programme CTEM qui produit systématiquement des résultats mesurables.
Comprendre CTEM est la partie la plus facile
La plupart des équipes de sécurité n’ont pas de problème de connaissance du CTEM. Gartner a clairement documenté les phases, les fournisseurs ont construit des messages autour d’elles et d’innombrables présentations expliquent le fonctionnement du CTEM. Le défi est que comprendre un cadre et le faire fonctionner sont deux choses très différentes.
La question n’est pas de savoir si les éléments existent, mais si ces éléments fonctionnent ensemble pour réduire l’exposition au fil du temps. C’est là que l’écart apparaît, car le défi n’est pas de comprendre le CTEM. Cela transforme le CTEM en un modèle opérationnel reproductible qui produit systématiquement des résultats mesurables.
L’industrie s’est concentrée sur les phases
La plupart des discussions du CTEM se concentrent sur le cadre lui-même : quelle est la portée ? Comment le découvre-t-on ? Comment priorisons-nous ? Comment fait-on pour valider ? Comment se mobiliser ? Ces questions aident les organisations à comprendre le cadre, mais elles peuvent également créer l’illusion que l’adoption du CTEM consiste simplement à exécuter les phases.
Les organisations qui ont le plus progressé se concentrent sur un ensemble différent de questions :
- À qui appartient le processus ?
- Comment les résultats circulent-ils entre les équipes ?
- Comment établir la responsabilité ?
- Comment pouvons-nous vérifier que la remédiation a effectivement réduit l’exposition ?
- Comment mesurer les progrès au fil du temps ?
Ce sont des questions opérationnelles, et elles font souvent la différence entre une initiative CTEM et un modèle opérationnel CTEM.
Là où les programmes CTEM stagnent réellement
La plupart des programmes CTEM n’ont pas de problèmes de visibilité. Ils ont du mal à être exécutés.
Les équipes de sécurité découvrent souvent des vulnérabilités, tandis que les équipes d’infrastructure, d’applications, de cloud et d’identité sont chargées de les corriger. Chaque équipe joue un rôle important, mais aucune équipe n’est propriétaire du résultat de bout en bout. En conséquence, les expositions se déplacent souvent d’une équipe à l’autre tandis que le contexte d’origine se dilue. La sécurité comprend pourquoi le problème est important. L’équipe chargée de le réparer ne peut voir qu’un autre ticket dans une file d’attente.
À mesure que les résultats franchissent les frontières organisationnelles, les priorités rivalisent pour attirer l’attention, l’appropriation se fragmente et la validation devient souvent incohérente, laissant les organisations dans l’incertitude quant à la diminution réelle des risques.
Une équipe peut découvrir une exposition, la hiérarchiser, valider son importance et attribuer la correction au bon groupe. Mais si l’appartenance devient incertaine, si les mesures correctives sont retardées ou si personne ne vérifie le résultat, le programme n’a pas réduit l’exposition de manière mesurable.
Faire progresser le travail dans un processus n’est pas la même chose que réduire l’exposition. Cette distinction est importante car le but du CTEM n’est pas de générer davantage de résultats. Il s’agit de créer un système reproductible qui aide les organisations à comprendre ce qui compte, à agir en toute confiance et à prouver que l’exposition diminue au fil du temps.
Cliquez ici pour voir à quoi ressemble l’opérationnalisation dans la pratique et comment combler vos lacunes CTEM.
Continuer la conversation
Comprendre CTEM est la partie la plus facile. C’est pour la plupart des organisations qu’elles ont du mal à le rendre opérationnel.
Alors que les organisations passent d’une sécurité réactive à une sécurité proactive, elles ont besoin de plus que de la visibilité. Ils doivent pouvoir valider en permanence ce qui compte, vérifier que les mesures correctives ont fonctionné et prouver qu’ils deviennent de plus en plus difficiles à attaquer au fil du temps.
Inscrivez-vous au webinaire « De la probabilité à la preuve : l’art du possible avec une cybersécurité proactive » et découvrez comment la sécurité proactive native de l’IA aide les organisations à trouver, corriger et vérifier en permanence les chemins d’attaque exploitables afin qu’elles puissent aller au-delà des hypothèses et prouver leur résilience. Téléchargez également le manuel « Opérationnalisation du CTEM : un manuel pratique pour la gestion continue de l’exposition aux menaces » pour obtenir des conseils sur la création d’un modèle opérationnel CTEM reproductible.
