if ( !emtpy($headline_subheadline ) ) : ?>
Adopter une approche de défense continue, contextuelle et axée sur les risques aidera votre organisation de sécurité à prioriser les mesures d’atténuation les plus importantes pour votre entreprise.
endif; ?>
La gestion traditionnelle des vulnérabilités s’accélère vers une réinitialisation, de nombreuses organisations de sécurité envisageant la gestion continue de l’exposition aux menaces (CTEM) pour mieux aligner leurs opérations sur le rythme du changement (et des attaques) d’aujourd’hui.
Alors que la gestion traditionnelle des vulnérabilités repose sur des évaluations périodiques, avec des équipes de sécurité analysant les environnements, identifiant les vulnérabilités et mettant en œuvre des correctifs si nécessaire, CTEM adopte une approche plus agile, tout en allant au-delà des vulnérabilités dans le but de comprendre en permanence l’exposition aux risques d’une organisation à travers les points finaux, les réseaux, les identités, les environnements cloud, les applications et les utilisateurs.
«CTEM apporte quelque chose de différent dans trois domaines clés», souligne Fernando Maldonado, analyste principal chez Foundry Spain.
Le premier, souligne-t-il, est la portée. En plus des logiciels vulnérables, CTEM se concentre également sur les erreurs de configuration, les risques d’identité, les autorisations excessives et les fuites d’informations d’identification – des passerelles que les attaquants utilisent de plus en plus.
« La seconde est la validation, car au lieu de s’appuyer sur un score, (CTEM) vérifie si l’exposition est réellement exploitable et si les contrôles actuels l’empêcheraient », ajoute Maldonado.
La troisième différence, dit-il, est la mobilisation, car le cadre CTEM attribue à une personne spécifique la responsabilité de résoudre chaque problème, là où les choses s’enlisent traditionnellement. « La mesure passe du nombre de vulnérabilités que j’ai trouvées au nombre de vecteurs d’attaque réels que j’ai fermés », conclut-il.
Les analyses ponctuelles ne suffisent plus
Le paysage actuel des menaces montre clairement que les analyses ponctuelles ne suffisent plus.
Les infrastructures d’aujourd’hui sont en constante évolution. Les environnements cloud, les applications distribuées, les intégrations d’API, les déploiements continus et l’automatisation modifient constamment la surface d’attaque d’une organisation.
« Un seul instantané peut fournir des informations utiles, mais il devient rapidement obsolète », explique Luis Uribe, ingénieur en sécurité offensive chez Factum. « Les nouveaux actifs, les changements de configuration, les services exposés ou les modifications des autorisations peuvent modifier le niveau de risque en quelques heures ou quelques jours. »
De plus, les attaquants opèrent de plus en plus rapidement pour exploiter des fenêtres d’opportunité très étroites. « Par conséquent, les organisations ont besoin d’une capacité continue à identifier, contextualiser et hiérarchiser les vulnérabilités qui pourraient réellement être utilisées dans une attaque », explique Uribe.
Cette rapidité est l’une des principales raisons pour lesquelles les organisations de sécurité devraient envisager de passer au CTEM, ajoute Maldonado de Foundry Spain. Autrement, ils pourraient agir à l’aveugle.
« Entre les évaluations, il y a une longue période d’incertitude, et les attaquants, qui s’appuient de plus en plus sur l’IA, mettent moins de temps à exploiter les nouvelles vulnérabilités », explique-t-il. « Il ne suffit plus de simplement appliquer des correctifs et de ne rien faire. »
Le volume est un autre problème, dit Maldonado. Des dizaines de milliers de vulnérabilités sont publiées chaque année, générant des retards ingérables où des problèmes importants sont enfouis sous d’innombrables découvertes mineures.
Et enfin, il y a la couverture à considérer, ajoute-t-il.
« Les scanners détectent les logiciels vulnérables, mais pas l’identité, le SaaS, les erreurs de configuration ou les vecteurs d’attaque, car c’est précisément par là que les attaquants entrent. Une analyse révèle ce qui est vulnérable, mais pas ce qui est exploitable ou ce qui compte vraiment pour l’entreprise. Cette partie de l’argument est vraie sans qu’il soit nécessaire de faire confiance à un fournisseur, car ce sont des faits structurels de l’environnement », explique-t-il.
Le rôle de l’automatisation et de l’intelligence contextuelle
Uribe de Factum note que l’automatisation et l’intelligence contextuelle sont deux piliers essentiels du modèle CTEM. Selon lui, le premier permet une visibilité continue sur les actifs, les configurations, les vulnérabilités et les changements dans l’environnement, facilitant ainsi la détection précoce de nouvelles expositions.
Et même si Agustín Serralta, directeur des services et RSSI de SCC España, déclare que l’automatisation est la clé, elle ne remplace pas le jugement humain.
« Dans des environnements complexes, il est impossible de gérer de gros volumes de données sans automatisation », explique-t-il. « Cependant, déléguer entièrement la prise de décision aux algorithmes peut être risqué, surtout si ces modèles ne sont pas révisés ou deviennent obsolètes. »
En conséquence, l’intelligence contextuelle doit combiner le contexte technique (exploitabilité, exposition, mesures existantes) avec le contexte commercial (quels systèmes prennent en charge les processus critiques, les obligations légales ou les engagements contractuels), dit-il.
« Sans cette combinaison, il n’y a pas de véritable gestion des risques, seulement une priorisation basée sur les besoins techniques », dit-il.
Javier Castillo, directeur des opérations de Secure&IT, affirme qu’il est important de noter que CTEM ne remplace pas les tests d’intrusion ou les activités de l’équipe rouge, qui « restent des services fondamentaux pour identifier les vulnérabilités complexes, les erreurs de conception, les échecs logiques ou les techniques d’attaque avancées qui peuvent difficilement être détectées par des processus automatisés », dit-il.
Par conséquent, ajoute-t-il, la surveillance continue et les évaluations offensives doivent être considérées comme des capacités complémentaires au sein d’une stratégie de cybersécurité mature.
Le passage d’une stratégie réactive à une gestion continue de l’exposition
José de la Cruz, directeur technique de TrendAI Iberia, affirme que l’automatisation joue un rôle fondamental en permettant aux organisations de mettre en œuvre les cinq phases du CTEM — cadrage, découverte, priorisation, validation et mobilisation — de manière agile et efficace.
Avec l’automatisation en place, « l’humain devient un analyste qui supervise (human-in-the-loop) le bon fonctionnement du modèle et valide les données qu’il produit, garantissant ainsi une mise en œuvre efficace et fiable », précise-t-il.
Les entreprises doivent d’abord concentrer leurs efforts sur l’obtention d’une vue complète de leur surface d’attaque, y compris tous les actifs de l’organisation : infrastructures traditionnelles, environnements cloud, applications, identités numériques, appareils connectés et services exposés à des tiers, explique Castillo de Secure&IT.
« On ne peut pas protéger ce qu’on ne connaît pas, et de nombreuses organisations manquent encore d’une vision complète de tous les éléments qui composent leur écosystème », dit-il.
À partir de là, les organisations doivent travailler à l’établissement de processus continus d’identification, de validation, de priorisation et de remédiation des risques.
« Cela implique d’incorporer des capacités et des solutions de surveillance continue qui automatisent la collecte et la corrélation des informations, établissent des mesures axées sur les risques et créent des mécanismes de collaboration entre les différentes équipes techniques et commerciales », ajoute-t-il.
Les défis de l’adoption du CTEM
Les entreprises sont confrontées à de nombreux défis lors du passage au CTEM, le principal étant de réduire la fragmentation, explique Serralta de SCC España, car « nous disposons de trop d’outils, de consoles, de rapports et de données qu’il est tout simplement impossible de gérer ».
Au niveau organisationnel, Serralta estime que les silos restent également un obstacle important. « Quand on ne sait pas clairement qui décide ou qui est responsable, la sécurité est compromise. Au niveau culturel, plusieurs résistances naturelles convergent : le manque de temps, une focalisation exclusive sur la « conformité » ou une dépendance excessive aux outils. »
Maldonado, de Foundry Spain, estime que « l’aspect culturel est le plus difficile ».
« Cela implique de changer de mentalité, passant de la recherche et du signalement des vulnérabilités à la validation et à la réduction des risques commerciaux, en résistant à l’envie de continuer à les traquer un par un et en acceptant que le CTEM n’est pas une capacité fournie par un fournisseur, mais un modèle opérationnel que l’organisation doit concevoir et adopter », dit-il. « C’est ce qui fait échouer la plupart des programmes, car l’outil est acheté en s’attendant à ce qu’il apporte la culture avec lui, et cela ne fonctionne jamais de cette façon. » D’un point de vue réglementaire, Serralta estime que le CTEM correspond bien au principe de gestion des risques exigé par la réglementation européenne, « mais seulement s’il est mis en œuvre avec une gouvernance, une traçabilité et un contrôle humain, conformément aux politiques de sécurité de l’entreprise, ainsi qu’aux politiques d’utilisation acceptable de la technologie, des données et de l’IA, que nous devons définir et diffuser à tout le personnel de l’organisation ».
