La gestion des cyber-risques représente un défi de plus en plus difficile à surmonter. Alors que les entreprises génèrent de plus en plus de données et adoptent de nouvelles technologies et nouveaux processus, les cybercriminels s’emploient pour leur part à développer de nouvelles stratégies d’attaque et des programmes malveillants plus sophistiqués. Il n’est donc pas étonnant que le nombre de violations de données ait augmenté de 67 % au cours des cinq dernières années, comme le rapporte une étude réalisée par Accenture et le Ponemon Institute.
En effet, l’expansion des surfaces d’attaque et des périmètres de sécurité, ainsi que leur impact sur la gestion des risques, sont au cœur des débats qui animent des événements tels que le Forum de la Cybersécurité à Lille, les Assises de la Sécurité à Monaco ou encore le mois de la cybersécurité en Octobre, au niveau mondial. Cela témoigne d’une volonté actuelle des organisations et des professionnels du secteur de gérer efficacement les cyber risques.
Les entreprises tendent à investir du temps et des sommes considérables dans la sécurisation de leurs systèmes et actifs ; or, quelques bonnes pratiques pourraient leur permettre de mieux gérer les risques dans des environnements IT complexes, et d’être ainsi mieux protégées à moindre coût, tout en capitalisant sur le temps à leur disposition.
Envisager la cybersécurité comme un objectif stratégique de l’entreprise.
Les organisations considèrent souvent que la cybersécurité est un problème technologique plutôt que commercial. Cette perspective conduit les équipes IT à investir dans des solutions de pointe pour résoudre les problèmes de sécurité urgents, au lieu d’adopter une approche stratégique de la cybersécurité. De plus, il y a souvent un manque de communication efficace entre le service IT et la direction ; aucune des deux parties ne sait comment articuler ses besoins et collaborer pour prendre une décision en phase avec les objectifs de l’entreprise. Par conséquent, les entreprises achètent des solutions cloisonnées, ce qui accroît la complexité et rend encore plus difficile la gestion des cyber-risques pour les équipes IT.
Pour y remédier, les entreprises doivent changer cet état d’esprit sous-jacent et établir un dialogue entre les équipes IT et la direction. Ensemble, elles seront en mesure de mieux hiérarchiser les investissements en sécurité. Un responsable de la sécurité IT doit fournir aux responsables des différents départements des informations sur les risques, en mettant en évidence les domaines les plus vulnérables. Cela permettra aux membres de la direction de hiérarchiser les investissements et de donner au service IT une direction précise sur les investissements futurs.
Dans un second temps, elles devront intégrer la sécurité à tous les processus de l’entreprise : de l’élaboration de politiques de sécurité conformes aux réglementations en vigueur dès la conception, en passant par la formation des employés et jusqu’à l’établissement d’une culture de sécurité. De telles initiatives permettront aux organisations d’aligner la cybersécurité sur leur stratégie commerciale, et de faire de la sécurité un facilitateur commercial plutôt qu’un obstacle.
Maintenir un positionnement unifié sur la cybersécurité
Cette stratégie est essentielle pour réduire la complexité de la cybersécurité. La croissance interne, les fusions et acquisitions et autres changements commerciaux laissent souvent derrière eux un ensemble fragmenté d’outils de sécurité et une multitude de systèmes informatiques hérités susceptibles de contenir des vulnérabilités. Ce fût le cas par exemple pour Marriott et Equifax, toutes deux victimes d’une faille de sécurité de grande ampleur liée à des environnements IT complexes.
Les organisations qui adoptent une approche de sécurité unifiée plutôt que des systèmes cloisonnés ont de meilleures chances de détecter les vulnérabilités et les violations de données à un stade précoce, lorsque les dommages sont entièrement évitables. Pour ce faire, elles doivent régulièrement faire un inventaire de leurs systèmes en place, supprimer les outils en double et remplacer les solutions autonomes par des applications inter-systèmes. Grâce à cela, les équipes informatiques bénéficient d’une vue d’ensemble des vulnérabilités de l’infrastructure IT qui permet de simplifier la gestion des risques.
En découle également une réduction des coûts, puisqu’une solution unifiée est souvent moins chère qu’un ensemble de technologies en silo dotées de fonctionnalités trop nombreuses ou redondantes.
Identifier les données les plus critiques et en surveiller l’activité.
Les experts prévoient que d’ici 2020 83 % des workloads des entreprises seront dans le cloud. Il y aura par conséquent de plus en plus de données circulant entre les systèmes de stockages cloud sur site et ceux publics, privés ou hybrides. Toute donnée sensible sauvegardée dans un emplacement non sécurisé sera exposée aux menaces internes et externes, pouvant entraîner des violations de données et des amendes pour non-conformité.
Afin d’éviter tout incident de sécurité, il est important que les entreprises localisent leurs données, les classent en fonction de leur sensibilité et mettent en œuvre des contrôles de sécurité cohérents, à commencer par les données les plus sensibles, et ce de manière régulière. Evaluer et réduire régulièrement les risques liés aux données, tels que les configurations incorrectes des paramètres d’accès est essentiel. De même que surveiller l’activité autour des données sensibles et recevoir des alertes sur les comportements inhabituels permettra de bloquer les sessions suspectes rapidement.
Encourager les équipes IT à être proactives plutôt que réactives.
L’un des défis les plus difficiles en matière de protection contre les cybermenaces est la pénurie de talents en cybersécurité. Le consortium américain (ISC)² prédit ainsi que l’Europe sera confrontée à un déficit de 350 000 professionnels de la cybersécurité d’ici 2022. Sans personnel qualifié, les équipes informatiques luttent difficilement contre les cybermenaces en constante évolution et rencontrent alors des difficultés à se conformer à des réglementations de plus en plus strictes. Une tâche d’autant plus compliquée lorsqu’elles sont déjà submergées par des actions quotidiennes telles que la résolution de problèmes des utilisateurs, la réinitialisation de mots de passe ou encore le maintien à jour des patchs des systèmes et applications.
L’automatisation du plus grand nombre de tâches routinière permettra aux équipes IT de se concentrer sur des questions plus stratégiques, comme se tenir au courant du paysage des menaces, améliorer la gestion des cyber-risques et réduire le temps nécessaire pour détecter et traiter les incidents. De plus, permettre au personnel existant d’être plus efficace aidera l’organisation à faire face à la pénurie actuelle de professionnels qualifiés en cybersécurité.
Il ne fait aucun doute que les volumes de données et la complexité des systèmes informatiques continueront d’augmenter. Le meilleur moyen d’atténuer les risques de cybersécurité associés est simplement de suivre les meilleures pratiques éprouvées. La première étape consiste à aligner la technologie sur l’entreprise, à effectuer un inventaire régulier des solutions de sécurité installées pour assurer l’intégration et éliminer les doublons, sécuriser les données les plus importantes en priorité, et automatiser les tâches de routine pour améliorer l’efficacité de l’équipe informatique.
Comments