Personne ne peut savoir à quel point les vents contraires auxquels l’économie américaine sera confrontée vont devenir rudes en 2023. Le consensus général entre les économistes est que la nation est en voie de récession. Bien sûr, certains pronosticateurs ont prédit un atterrissage en douceur pour les États-Unis, mais ils ne sont pas dans la majorité.
Bien que les économistes aient souvent tort dans la prédiction des récessions, un indicateur beaucoup plus fiable clignote clairement en rouge plus tôt ce mois-ci : la courbe des rendements ou la différence de rendements entre les obligations à long terme et à court terme. L’écart entre les rendements obligataires à 10 ans et ceux qui arrivent à échéance en trois mois était le plus important depuis 2000, ce qui indique que la croissance à l’avenir sera beaucoup plus lente qu’elle ne l’est aujourd’hui.
Toute cette incertitude place les dirigeants dans un endroit restreint. Ils doivent rester agiles, probablement confrontés à des budgets réduits, même pour la cybersécurité, tandis que les pressions réglementaires et la cybercriminalité continuent d’augmenter. Un ralentissement est une période difficile pour réduire les dépenses de sécurité et un moment facile pour commettre une erreur en réduisant la préparation d’une organisation.
Pour aider les RSSI à se préparer à tout ce qui se passe au cours de l’année à venir, Focal Point a contacté quelques leaders chevronnés de la sécurité qui ont été témoins de leur part des hauts et des bas économiques au cours de leur carrière, en leur posant des questions sur les erreurs que les dirigeants de la sécurité commettent généralement pendant les périodes difficiles.
Voici les erreurs courantes qu’ils ont conseillé aux organisations d’éviter.
Erreur 1 : correction involontaire des fonctions de sécurité
Lorsque le personnel informatique est réduit, les opérations de sécurité sont souvent inutilement confrontées à l’axe. Tomber victime peut être une tâche essentielle, comme exécuter des sauvegardes de routine et s’assurer que les personnes sont correctement provisionnées en ressources.
« Un grand nombre d’entreprises comptent le budget de sécurité dans le cadre du budget informatique, et en ce sens, une partie de la sécurité sera prise en charge », déclare Wim Remes, directeur général de Damovo Security Services EMEA.
« C’est une grande erreur de couper aveuglément et de laisser les gens dans les tranchées faire face aux retombées. »David Elfering, vice-président senior et spécialiste de la cybersécurité, Marsh
Les coupes peuvent être indiscriminées et mal ciblées. « C’est une grande erreur de couper aveuglément et de laisser les gens dans les tranchées s’attaquer aux retombées », avertit David Elfering, spécialiste en cybersécurité et vice-président senior chez Marsh, courtier en assurances et conseiller en risques mondial.
Face aux suppressions et réorganisations du personnel, les responsables de la sécurité doivent comprendre les fonctions de sécurité que le personnel concerné effectue et s’assurer que ces fonctions seront toujours effectuées après tout changement.
Erreur 2 : Continuer à dépenser pour des outils obsolètes
Les investissements en sécurité ont souvent le pire élan : les outils existants qui ne fournissent pas la valeur qu’ils restaient autrefois dans les livres pendant des années sous forme de licences, d’abonnements et de contrats de maintenance obsolètes. Les outils peuvent inclure d’anciens scanners de vulnérabilité que les services externes ont remplacés ou des solutions de point de sécurité que les suites plus récentes fournissent.
Dans son guide 2023 de planification de la sécurité et des risques, la société d’études de marché mondiale Forrester déclare qu’il est toujours productif de réduire les produits de sécurité à point unique et les outils sur site existants. L’approche est particulièrement prudente lors d’un ralentissement du marché. Forrester conseille aux organisations de réduire voire d’éviter les outils ponctuels tels que la prévention des pertes de données, l’analyse comportementale des utilisateurs, les fournisseurs de services de sécurité gérés et d’autres contrôles de sécurité existants.
Michael Farnum, directeur technique chez Set Solutions, ajoute que lorsque les budgets sont serrés, ce n’est pas le bon moment pour se retirer des fournisseurs. C’est plutôt le moment idéal pour contacter les fournisseurs et comprendre comment leurs feuilles de route de produits se synchronisent avec votre stratégie. « Pendant le ralentissement économique pandémique, j’ai découvert que les fournisseurs se concentraient sur les efforts de développement et commençaient à développer plus de plateformes », déclare-t-il. « Cela offre l’opportunité aux RSSI de consolider leur pile de sécurité. »
Erreur 3 : incapacité à atténuer les menaces internes
Avec l’inflation croissante, l’incertitude économique et un nombre croissant de licenciements, il existe un risque plus élevé de contrariété des employés. En fait, les menaces internes proviennent souvent d’employés qui ont été licenciés et souhaitent se venger.
« Pendant les ralentissements, il y a souvent des licenciements, alors il est temps de vérifier : lorsqu’un employé part, son accès est-il supprimé partout ? »John Pescatore, directeur des tendances émergentes en matière de sécurité, SANS Institute
En septembre, un administrateur informatique a abandonné son emploi dans une société de services financiers basée à Hawaï a plaidé coupable de perturber illégalement les systèmes de son ancien employeur pendant plusieurs jours. Selon le ministère de la Justice des États-Unis, l’ancien administrateur a utilisé ses anciennes informations d’identification pour accéder aux configurations et refuser l’accès au site Web et à l’e-mail de l’entreprise.
Les menaces internes comme celles-ci peuvent frapper à tout moment, pas seulement pendant les ralentissements économiques, et elles peuvent être incroyablement préjudiciables. Envisagez des cas tels que l’ employé de Twitter condamné pour avoir accepté des pots-de-vin pour fournir des informations d’utilisateur Twitter privées au Royaume d’Arabie saoudite ou à l’ancien pilote d’hélicoptère de l’armée américaine et sous-traitant civil qui a accepté des pots-de-vin du gouvernement chinois pour fournir des informations sur les sous-traitants de défense où il travaillait.
L’atténuation des menaces internes pendant un ralentissement dépend largement de la mise en place de capacités pour surveiller l’activité des utilisateurs et supprimer l’accès lorsque le statut du travail change. « Pendant les ralentissements, il y a souvent des licenciements, alors il est temps de vérifier : lorsqu’un employé part, son accès est-il supprimé partout, y compris le VPN et les applications cloud et mobiles externes ? » demande John Pescatore, directeur des tendances émergentes en matière de sécurité au SANS Institute.
Les organisations doivent également renforcer leur capacité à détecter une activité anormale du système et à suivre le flux de données sensibles, selon les experts que nous avons interrogés.
Erreur 4 : Dépenser sur les tendances de sécurité les plus courantes tout en négligeant les bases de la sécurité
Avec des ressources limitées, les responsables de la sécurité essaient souvent de combler leurs lacunes en matière de sécurité avec la toute dernière nouveauté technologique. « Pendant un ralentissement, les RSSI et les organisations risquent de ne pas se mettre à l’œil », déclare Martin Fisher, directeur de la sécurité de l’information et directeur de la sécurité de l’information au Northside Hospital d’Atlanta.
« La véritable histoire est que la plupart des entreprises ont sous-estimé la sécurité, de beaucoup, au cours de la dernière demi-décennie. »Wim Remes, directeur général, Damovo Security Services EMEA
« Au lieu de se concentrer sur les capacités clés dont leur programme a besoin, qui sont généralement basiques, ennuyeuses et insexuelles, mais cruciales, ils pensent d’une manière ou d’une autre qu’ils peuvent surmonter les problèmes budgétaires en se concentrant sur la « nouvelle tendance », déclare Fisher. Par exemple, ils mettent en œuvre un nouveau package logiciel open source avec une nouvelle fonctionnalité qui ajoute une certaine valeur, mais passent ensuite moins de temps à investir dans les éléments essentiels, tels que les exercices de table ou la réalisation d’ examens de réponse aux incidents. Fisher pense que les ralentissements sont souvent des moments où les organisations s’ouvrent par inadvertance à une mauvaise prise de décision.
Le pescatore de SANS soutient que des environnements économiques serrés exigent de s’assurer que les bases sont en place. En plus de surveiller le comportement anormal du réseau et d’approvisionner et de désapprovisionner efficacement l’accès aux ressources, d’autres domaines d’intérêt comprennent la sécurité des endpoints, la gestion des configurations, la gestion des vulnérabilités des appareils et la gestion de la surface d’attaque, qui peuvent tous réduire les risques pour une organisation.
Erreur 5 : perdre l’attention sur la stratégie de sécurité
Les responsables de la sécurité ont souvent tellement l’intention d’éteindre les incendies quotidiens qu’ils négligent la stratégie de sécurité globale.
« Les organisations commettent souvent la grande erreur de ne pas toujours avoir une idée de leurs dépenses de sécurité », déclare Elfering chez Marsh. « Ils ne savent pas où vont les budgets, ce qu’ils soutiennent et ce qui est essentiel et aligné sur la stratégie commerciale. »
Il est important de pouvoir ajuster rapidement le budget, car vous ne savez pas quand il vous sera demandé de trouver des moyens de vous améliorer. « De quoi pouvez-vous vous passer ? » demande Elfering. « C’est une décision que vous devez toujours être prêt à prendre. »
Bien sûr, il ne s’agit pas uniquement de coupes, même pendant les temps de serrage de la courroie, selon Forrester. Le cabinet de recherche recommande d’augmenter les dépenses en sécurité de la chaîne d’approvisionnement, en détection des endpoints, en réponse aux incidents et en gestion de la surface d’attaque.
Dans son rapport, la société a également conseillé aux organisations de prêter une attention particulière à la sécurisation des domaines en contact avec les clients qui génèrent des revenus et de s’assurer de continuer à moderniser le programme de sécurité au fil du temps grâce à des efforts tels que Zero Trust.
Dans de nombreuses organisations, la sécurité ne doit pas être légitimement réduite. « Malheureusement, la véritable histoire est que la plupart des entreprises ont beaucoup sous-dépassé la sécurité au cours de la dernière demi-dixaine », déclare Remes chez Damovo Security Services EMEA. « Nous voyons désormais des entreprises qui ont aggravé, par exemple, 15 % de dépenses inférieures chaque année pendant plusieurs années, et beaucoup ont désormais réduit davantage leurs dépenses. » Remes déclare que le résultat est relativement prévisible pour ces malheureuses entreprises : « Elles seront piratées ».
Bien qu’il soit peu probable que les dépenses de sécurité prennent le poids des réductions budgétaires en cas de récession, les responsables de la sécurité doivent être prêts à prendre des décisions difficiles. En fin de compte, lorsque les entreprises négligent la sécurité, elles éliminent un domaine essentiel qui est vital pour leur réussite future.
