Des fondamentaux solides rendent possible la sécurité de nouvelle génération

La gestion des risques a toujours été une tâche difficile, mais le paysage actuel des menaces a porté le défi à un nouveau niveau. J’ai passé des années à diriger les efforts de cybersécurité dans de grandes entreprises, notamment Hyatt et United Airlines, et au cours de cette période, j’ai vu les cybercriminels devenir de plus en plus créatifs, tirant parti de tactiques et de technologies innovantes pour poursuivre leurs efforts. J’ai également vu des professionnels de la sécurité commettre l’erreur de supposer que répondre à ces tactiques nouvelles et émergentes nécessite de nouveaux outils technologiques brillants. En réalité, la maîtrise des contrôles fondamentaux est ce qui fait bouger les choses.

Les nouveaux outils sont passionnants et innovants, il est donc facile de comprendre leur attrait. Mais ils ont souvent moins d’impact que de simplement se concentrer sur des fondamentaux solides. L’adoption de l’IA, par exemple, peut apporter une réelle valeur ajoutée aux organisations, mais elle n’est efficace que si elle repose sur des bases solides en matière de sécurité. Ne dépensez pas votre budget à parcourir de nouveaux outils de sécurité coûteux chaque trimestre. Obtenez un véritable rapport qualité-prix en renforçant les capacités de sécurité de base qui ont un impact réel et mesurable sur la réussite des attaquants.

Voici cinq domaines qui correspondent à vos attentes.

1. Gagnez en visibilité grâce à une meilleure découverte et gestion des actifs

L’un des problèmes les plus préoccupants auxquels sont confrontées les entreprises modernes est le manque de visibilité. Si vous ne savez pas où se trouve un actif dans votre environnement numérique, vous ne pourrez pas le protéger. Si vous ne savez pas qu’un actif existe, le problème est encore plus grave.

Les entreprises d’aujourd’hui doivent sécuriser les serveurs sur site, les environnements cloud (et multicloud), les appareils et points de terminaison individuels, les applications tierces et d’innombrables autres cibles potentielles. Si vous ne disposez pas d’un inventaire à jour et activement entretenu de tous les actifs présents dans ces systèmes, vous exposez votre entreprise à des risques inutiles.

Cela signifie que s’engager dans un processus de découverte complet englobant tous vos environnements numériques constitue une première étape essentielle vers une plus grande sécurité. Travailler au sein de grandes entreprises m’a permis de mieux apprécier l’importance de la gestion d’actifs. L’inventaire des actifs physiques et numériques est souvent dispersé dans toute l’organisation. L’une de mes plus grandes victoires a été de rassembler tout cela en (1) identifiant quelle plate-forme devrait être la source unique de vérité et (2) en intégrant ces points de données, en garantissant que les données sont exactes et mises à jour en conséquence.

2. Gérez plus efficacement vos identités

Les responsables de la sécurité affirment depuis près d’une décennie que « l’identité est le nouveau périmètre », mais la gestion de l’identité est encore négligée ou considérée comme allant de soi. Il s’agit d’un véritable problème, car l’organisation moyenne gère désormais des dizaines (voire des centaines) de milliers d’identités humaines, d’identités de machines, d’applications, d’agents d’IA et d’innombrables autres types d’identités.

Lorsque je travaillais pour Hyatt, j’ai pu constater à quel point il pouvait être difficile de gérer le cycle sans fin des identités des visiteurs aux côtés du personnel à temps plein, des travailleurs à temps partiel, des sous-traitants et autres. La gestion manuelle est impossible à cette échelle, ce qui signifie qu’une plateforme d’identité efficace est essentielle.

Mes équipes commencent par s’assurer que les mesures de sécurité les plus élémentaires sont en place. Par exemple, nous savons depuis des décennies que l’authentification multifacteur (MFA) réduit considérablement la probabilité qu’une identité soit compromise. MFA n’est pas une solution miracle qui résoudra tous les problèmes, mais les recherches montrent que les comptes avec MFA sont 99 % moins susceptibles d’être piratés. Personnellement, j’irais plus loin en mettant en œuvre des mots de passe, qui se sont révélés encore plus efficaces et atténuent les frictions liées à la mémorisation et à la saisie des mots de passe. C’est une situation gagnant-gagnant, car certaines améliorations de la sécurité peuvent créer des frictions indésirables. C’est le contraire de cela.

3. Adaptez votre approche de la sécurité

Trop d’organisations se contentent de rechercher les technologies de sécurité les plus récentes et les plus performantes, mais il est important de réfléchir à ce dont votre entreprise a réellement besoin. Cela commence par déterminer votre appétit pour le risque.

Quels produits ou services représentent les « joyaux de la couronne » de votre organisation ? À quelles données ne pouvez-vous pas vous permettre de perdre l’accès ? Prévenir les perturbations dans ces zones devrait être votre priorité absolue et sur lequel la majeure partie de votre attention devrait se concentrer. À partir de là, vous pouvez descendre l’échelle, attribuer des niveaux de priorité à des risques spécifiques et déterminer lesquels sont acceptables et lesquels ne le sont pas.

Peu importe la taille de votre organisation. Il est impératif de créer un cadre de sécurité commun qui puisse être compris et assimilé à tous les niveaux de l’organisation. Cela fournira à votre organisation une image claire de l’efficacité de votre programme de sécurité. Commencez petit et exploitez des frameworks largement utilisés comme CIS CSC pour lancer la conversation. À partir de là, renforcez vos fondations en identifiant ce qui fonctionne et ce qui ne fonctionne pas.

Chaque organisation prend des risques en fonction de son appétit commercial. Nous avons simplement besoin de données pour prendre des décisions éclairées sur les priorités.

4. Donner la priorité à la résilience et au rétablissement

Autrefois, la sécurité et la gestion des risques étaient fortement axées sur la prévention, mais cela ne suffit plus dans l’environnement de menace actuel. La nature complexe et tentaculaire du paysage numérique moderne signifie qu’avec suffisamment de temps et de ressources, un attaquant déterminé trouvera une vulnérabilité à exploiter. Cela ne signifie pas que les équipes de sécurité doivent abandonner la prévention (c’est toujours une bonne idée de rendre la vie de l’attaquant aussi dure que possible) mais cela signifie que la résilience et la récupération doivent également être une priorité.

Cela commence par la mise en place des systèmes et processus appropriés pour réagir à une violation. Plus vite vous pourrez identifier une violation en cours, plus vite vous pourrez la fermer. Mais si le pire arrive et que votre organisation subit une grave faille, cela signifie également avoir un plan de redressement. Des sauvegardes sécurisées des systèmes et des données sont indispensables, mais la technologie seule ne suffit pas. Vous devez mettre en place les bons processus et vous entraîner à les mettre en œuvre. Trop d’organisations négligent cette étape cruciale, laissant les employés se demander quoi faire en cas de crise.

5. Créer un langage de sécurité commun

Cela peut paraître un peu abstrait, mais c’est sans doute l’étape la plus importante. Trop souvent, le principal obstacle qui empêche les organisations de gérer les risques plus efficacement est une mauvaise communication entre les responsables de la sécurité et ceux de l’entreprise. Les chefs d’entreprise manquent souvent de l’expertise technique nécessaire pour comprendre les détails de risques de sécurité spécifiques, tandis que les professionnels de la gestion des risques ne maîtrisent pas toujours bien le langage des affaires. Il est essentiel de combler ce fossé en matière de communication.

Pour les équipes de sécurité et de gestion des risques, il est important de pouvoir quantifier les risques de manière significative, en leur attribuant une valeur monétaire chaque fois que cela est possible. S’il est certes difficile d’estimer le coût d’une violation ou d’un incident de sécurité qui ne s’est pas produit, il existe des mesures défendables permettant d’attribuer une valeur aux risques en fonction des pertes d’activité prévues, des sanctions réglementaires, des atteintes à la réputation et d’autres facteurs.

Construire une base solide de principes fondamentaux de sécurité

L’adoption rapide de l’IA libère un potentiel sans précédent dans tous les secteurs, mais même la technologie la plus avancée ne peut pas résoudre à elle seule tous les problèmes. Si vous souhaitez réellement réduire vos cyber-risques de manière significative, vous devez établir une base solide de principes fondamentaux de sécurité. Cela signifie faire le travail « peu sexy » dans les tranchées de sécurité, comme identifier les lacunes de visibilité, donner la priorité à la résilience et améliorer la communication interministérielle.

Prenez le cas d’un RSSI de longue date : la sécurité n’est pas toujours passionnante. En fait, cela ne devrait pas être le cas. L’action la plus efficace que vous puissiez entreprendre pour réduire votre exposition et assurer la sécurité de vos environnements numériques est de concentrer vos efforts sur les vulnérabilités quotidiennes couramment exploitées par les attaquants du monde réel.