Des volumes de données considérables et croissants ainsi que la nature changeante des menaces compliquent le travail du RSSI. Les experts affirment qu’une approche fondamentale solide de gestion des risques et des outils essentiels de protection des données peuvent être utiles.
Dans l’économie numérique mondiale, les données constituent l’actif le plus important que les organisations doivent protéger contre le vol et les dommages. Les RSSI sont fondamentalement les gardiens de cet actif, tenus de le maintenir sécurisé et disponible pour les utilisateurs concernés quand et où ils en ont besoin.
Cependant, étant donné les quantités impressionnantes de données – environ 402,74 millions de téraoctets, selon certaines estimations – créées quotidiennement, la protection des données peut apparaître comme une lutte incessante. Même si le volume de données que les RSSI doivent protéger augmente, la nature des menaces pesant sur ces données évolue rapidement, rendant rapidement obsolètes les programmes de protection existants.
Les experts en sécurité des données affirment que les RSSI peuvent faire face à ces changements en comprenant la nature du paysage changeant, en mettant en œuvre des stratégies fondamentales de gestion des risques et en recherchant de nouveaux outils qui protègent mieux les données et identifient rapidement les événements indésirables liés aux données. Bien que l’avènement de l’intelligence artificielle accroisse les défis en matière de protection des données, les experts affirment que l’IA peut également contribuer à combler certaines lacunes des programmes de protection des données existants.
De grandes quantités de données et l’évolution des menaces remodèlent la protection des données
« Une entreprise disposera de données sur site, SaaS, cloud public, points de terminaison, appareils mobiles, messagerie électronique et plusieurs types d’emplacements différents », explique-t-il. « Et traditionnellement, il n’existe pas de produit unique pour s’attaquer à tous ces emplacements. »
« Le plus important, c’est que les tactiques des auteurs de menaces ont évolué au cours des dernières années », explique Richardson. « De nos jours, les pirates ne piratent plus ; ils se connectent simplement en utilisant des informations d’identification légitimes et l’accès dont disposent les utilisateurs individuels. Ce n’est pas nécessairement pour cela que le personnel de sécurité a été créé. Il a été conçu pour répondre à la question : « Allons-nous être attaqués, et comment et où devons-nous corriger toutes nos vulnérabilités ? »
«C’est quelque chose qui constitue la pierre angulaire d’Internet», ajoute-t-il. « Mais depuis l’avènement du smartphone et à mesure que les applications mobiles prolifèrent, la clé privée de cette paire de clés publique-privée est essentiellement entre les mains d’un acteur malveillant s’il se rend sur le Google Play Store et télécharge une application. En d’autres termes, cette fondation, ou cette pierre angulaire sur laquelle nous nous appuyions, est en train d’être ébréchée. »
Posez d’abord les bases de la protection des données
Les experts affirment que ce que la plupart des RSSI devraient prendre en compte dans la gestion de leurs plates-formes de protection des données est un large éventail de stratégies de sécurité complexes qui impliquent l’identification et la classification des informations en fonction de leur sensibilité, l’établissement de contrôles d’accès et de mécanismes de cryptage, la mise en œuvre de processus d’authentification et d’autorisation appropriés, l’adoption d’un stockage sécurisé. et les méthodes de transmission, ainsi que la surveillance et la détection continues des incidents de sécurité potentiels.
Cependant, avant d’envisager ces efforts très complexes, les RSSI doivent d’abord identifier où se trouvent les données au sein de leur organisation, ce qui n’est pas une mince affaire. «Découvrez toutes vos données ou découvrez les données aux emplacements importants», explique Benjamin. « Vous ne pourrez jamais tout découvrir, mais découvrir les données aux endroits importants, que ce soit dans votre bureau, dans G Suite, dans votre cloud, dans vos systèmes RH, etc. Découvrez les données importantes.
Benjamin ajoute qu’une autre étape essentielle vers une meilleure protection des données consiste à garantir que votre organisation se conforme aux exigences réglementaires et autres. « Assurez-vous que vous êtes en conformité », dit-il. « La conformité est généralement une tâche facile. Pourquoi? Parce que les organisations doivent le faire. Il couvre 60 %, 70 %, 80 % du travail que la plupart des organisations s’efforcent d’accomplir. Et c’est budgétisé.
Une autre étape importante consiste à développer une évaluation des risques liés aux données et un cadre de gouvernance qui guide toutes les stratégies de protection. « L’élaboration et la mise en œuvre d’une stratégie efficace de protection des données commencent par une évaluation approfondie des risques », déclare Denning du FS-ISAC. « Les RSSI doivent évaluer les systèmes, les réseaux et les données de l’organisation pour identifier les vulnérabilités potentielles. L’établissement d’un cadre complet de gouvernance des données est tout aussi important, car il définit les politiques de classification, de conservation et de contrôle d’accès des données.
Outils de protection des données à considérer
Les RSSI peuvent utiliser de nombreuses technologies, outils et techniques pour protéger les données de leur organisation.
La principale d’entre elles est la mise en œuvre de l’authentification multifacteur (MFA), principalement pour se protéger contre le vol de données provenant de menaces basées sur l’identité telles que les campagnes de phishing. « J’espère que tous les RSSI ont déjà franchi cette étape », déclare Richardson de Lookout. « Assurez-vous que vous utilisez l’authentification multifacteur, en particulier l’authentification multifacteur non basée sur SMS. »
Cependant, en verrouillant les données à l’aide d’outils tels que l’AMF, les RSSI doivent considérer que cette protection supplémentaire peut également frustrer les utilisateurs internes et externes, qui pourraient trouver d’autres moyens d’accéder aux données ou renoncer à essayer. Orange de Cyera déclare : « J’ai parlé à de nombreuses organisations qui disaient : « ouais, nous le MFA, tout le monde. C’est ainsi que nous résolvons le problème. Vous avez le MFA ; deux minutes plus tard, vous accédez à nouveau à MFA, et si vous accédez à un autre système ou à un autre lecteur, vous accédez à nouveau à MFA. Cela crée donc des frictions.
Ou, comme le résume Richardson de Lookout : « Cela devient une véritable discussion de compromis : plus je verrouille les données, moins mes employés seront productifs, moins ils pourront accéder aux données et moins ils pourront accéder aux données. ils seront basés sur les données.
Un autre outil de protection consiste à mettre en œuvre un système de suivi qui identifie les comportements anormaux ou anormaux, comme celui qui fournit des analyses du comportement des utilisateurs et des entités (UEBA). « Le concept ici est que vous souhaitez examiner tous les comportements de tous les utilisateurs et appareils concernant le type de données auxquelles ils accèdent, vous assurer que cela a du sens et mettre en place des contrôles et des portes supplémentaires », explique Richardson.
« Ainsi, par exemple, un commercial devrait pouvoir se connecter à Salesforce et consulter les informations sur ses clients. Mais doivent-ils pouvoir exporter le nom et le numéro de téléphone de chaque client ? Probablement pas.
Denning de FS-ISAC souligne les outils de prévention des pertes de données (DLP) qui combinent des mesures de cybersécurité, telles que les pare-feu, la protection des points finaux et la surveillance du système, en tant que composants essentiels d’un programme de protection des données. « Les outils de prévention contre la perte de données sont également essentiels car ils aident à surveiller, détecter et empêcher le partage non autorisé d’informations sensibles », explique-t-il.
Comme c’est le cas pour tout le reste en matière de cybersécurité, « il est crucial pour les organisations de favoriser une culture qui donne la priorité à la cybersécurité », explique Denning. « Les employés à tous les niveaux doivent être activement impliqués dans le processus, car ceux qui manquent de sensibilisation ou ne respectent pas les pratiques sécurisées peuvent exposer par inadvertance des données critiques. »
L’IA complique et améliore les efforts de protection des données
Tous les experts s’accordent sur le fait que l’émergence de l’intelligence artificielle pourrait changer la donne, compliquant et renforçant simultanément les efforts de protection des données.
« La plus grande préoccupation des organisations utilisant et hébergeant des applications d’IA est de savoir comment gérer les données », explique Benjamin de Palo Alto. « Comment pouvons-nous garantir que le modèle d’IA ne lira pas des données qu’il ne devrait pas lire ? Et comment pouvons-nous garantir que le modèle d’IA ne sera pas formé sur des données qu’il ne devrait pas utiliser ? Comment pouvons-nous nous assurer qu’il ne crache pas de données alors qu’il ne devrait pas le faire ? La sécurité de l’IA devient un problème de sécurité des données.
Toutefois, le revers de la médaille est que l’IA peut aider les organisations à détecter les menaces liées aux données plus rapidement et mieux que jamais. « Les technologies d’IA et d’apprentissage automatique deviennent de plus en plus utiles pour détecter les anomalies et les menaces émergentes », explique Denning. « Ces outils analysent les modèles de trafic et de comportement des données, permettant aux organisations de remédier aux vulnérabilités potentielles de manière proactive. »
Dans le même temps, l’IA peut contribuer à combler les failles des programmes de protection des données. Orange de Cyera compare la protection des données à un ballon de basket. « Le ballon de basket a des coutures », dit-il. « Aucun (des outils de protection des données d’une organisation) n’est connecté. »
« Donc, toutes les lacunes sont dans les coutures », explique Orange. «Et je propose que nous soyons à un point technologique où nous pouvons exploiter certaines des technologies modernes autour des LLM et de l’IA pour commencer à orienter certains de ces outils afin de fournir une couverture plus holistique.
Il ajoute : « Aucun outil ne peut tout faire, mais vous avez besoin d’un cerveau capable de contrôler et d’émettre des signaux de manière cohérente dans votre paysage de données. »
