Personne ne peut savoir à quel point les vents contraires auxquels sera confrontée l'économie américaine deviendront violents en 2023. Les économistes s'accordent largement à dire que le pays se dirige vers une récession. Certes, certains analystes ont prédit un atterrissage en douceur pour les États-Unis, mais ils ne sont pas majoritaires.
Si les économistes se trompent souvent dans leurs prévisions de récession, un indicateur bien plus fiable a clairement affiché un signal d'alerte au début du mois : la courbe des taux, c'est-à-dire la différence de rendement entre les obligations à long terme et celles à court terme. L'écart entre les rendements des obligations à 10 ans et ceux des obligations à échéance de trois mois a atteint son plus haut niveau depuis 2000, ce qui laisse présager une croissance future nettement plus lente qu'aujourd'hui.
Toute cette incertitude place les dirigeants dans une situation délicate. Elles doivent rester agiles — alors qu’elles risquent de devoir faire face à une réduction de leurs budgets, y compris en matière de cybersécurité — alors que les pressions réglementaires et la cybercriminalité ne cessent de s’intensifier. En période de ralentissement économique, il est difficile de réduire les dépenses consacrées à la sécurité, mais il est facile de commettre une erreur susceptible d'affaiblir la préparation d'une organisation.
Afin d’aider les RSSI à se préparer à toute éventualité au cours de l’année à venir, , responsable du programme « », a contacté plusieurs responsables de la sécurité chevronnés qui ont connu leur lot de hauts et de bas économiques au cours de leur carrière, afin de leur demander quelles sont les erreurs que les responsables de la sécurité commettent généralement en période difficile.
Voici les erreurs courantes qu'ils ont conseillé aux organisations d'éviter.
Erreur n° 1 : réduire par inadvertance les fonctions de sécurité
Lorsque le personnel informatique subit des réductions d'effectifs, les opérations de sécurité sont souvent elles aussi inutilement menacées. Certaines tâches essentielles, telles que la réalisation de sauvegardes régulières et la vérification que les utilisateurs disposent des ressources nécessaires, peuvent en pâtir.
« De nombreuses entreprises intègrent le budget consacré à la sécurité dans leur budget informatique, et en ce sens, certains aspects de la sécurité vont en pâtir », explique Wim Remes, directeur général de Damovo Security Services EMEA.
«C’est une grave erreur de procéder à des coupes budgétaires à l’aveuglette et de laisser les personnes sur le terrain faire face aux conséquences. »David Elfering, vice-président senior et spécialiste en cybersécurité chez Marsh
Ces coupes budgétaires peuvent être aveugles et mal ciblées. « C'est une grave erreur de procéder à des coupes budgétaires à l'aveuglette et de laisser les personnes sur le terrain faire face aux conséquences », met en garde David Elfering, spécialiste en cybersécurité et vice-président senior chez Marsh, un courtier d'assurance et conseiller en gestion des risques d'envergure mondiale.
Face aux réductions d'effectifs et aux réorganisations, les responsables de la sécurité doivent identifier les fonctions de sécurité assurées par le personnel concerné et s'assurer que ces fonctions continueront d'être assurées après tout changement.
Erreur n° 2 : continuer à investir dans des outils obsolètes
Les investissements en matière de sécurité sont souvent caractérisés par une dynamique particulièrement néfaste : les outils obsolètes, qui n'apportent plus la même valeur qu'auparavant, continuent souvent de figurer dans les comptes pendant des années sous la forme de licences, d'abonnements et de contrats de maintenance périmés. Ces outils peuvent inclure d'anciens scanners de vulnérabilités qui ont été remplacés par des services externes, ou des solutions de sécurité ponctuelles proposées par des suites plus récentes.
Dans son guide « 2023 : sécurité et planification des risques » (), le cabinet international d'études de marché Forrester affirme qu'il est toujours judicieux de réduire le nombre de produits de sécurité à fonction unique et d'outils traditionnels sur site. Cette approche s'avère particulièrement prudente en période de baisse des marchés. Forrester conseille aux entreprises de réduire, voire d'éviter, le recours à des outils ponctuels tels que les solutions de prévention des pertes de données, l'analyse du comportement des utilisateurs, les prestataires de services de sécurité gérés et d'autres contrôles de sécurité hérités.
Michael Farnum, directeur technique chez Set Solutions, ajoute que lorsque les budgets sont serrés, ce n'est pas le moment de se détourner des prestataires. C'est au contraire le moment idéal pour prendre contact avec les fournisseurs et déterminer dans quelle mesure leurs feuilles de route produits s'alignent sur votre stratégie. « Pendant la récession économique liée à la pandémie, j’ai constaté que les fournisseurs se concentraient sur leurs efforts de développement et commençaient à mettre au point davantage de plateformes », explique-t-il. « Cela offre aux responsables de la sécurité des systèmes d'information (RSSI) l'occasion de rationaliser leur infrastructure de sécurité. »
Erreur n° 3 : ne pas prendre de mesures pour limiter les menaces internes
Face à la hausse de l'inflation, à l'incertitude économique et à l'augmentation du nombre de licenciements, le risque de voir les salariés se montrer mécontents est accru. En effet, les menaces internes proviennent souvent d'employés qui ont été licenciés et qui cherchent à se venger.
«En période de ralentissement économique, les licenciements sont fréquents ; c’est donc le moment de vérifier : lorsqu’un salarié quitte l’entreprise, ses droits d’accès sont-ils supprimés partout ? »John Pescatore, responsable des tendances émergentes en matière de sécurité, SANS Institute
En septembre, un administrateur informatique licencié d'une société de services financiers basée à Hawaï a plaidé coupable d'avoir perturbé illégalement les systèmes de son ancien employeur pendant plusieurs jours. Selon le ministère américain de la Justice, l'ancien administrateur a utilisé ses anciens identifiants pour accéder aux paramètres de configuration et bloquer l'accès au site web et à la messagerie électronique de l'entreprise.
De telles menaces internes peuvent survenir à tout moment, et pas seulement en période de ralentissement économique, et elles peuvent causer des dégâts considérables. Prenons l’exemple d’ , employé de Twitter , condamné pour avoir accepté des pots-de-vin en échange de la divulgation d’informations confidentielles sur des utilisateurs de Twitter au Royaume d’Arabie saoudite, ou encore celui de, ancien pilote d’hélicoptère de l’armée américaine et sous-traitant civil, qui a accepté des pots-de-vin du gouvernement chinois pour fournir des informations sur les entreprises de défense pour lesquelles il travaillait.
La prévention des menaces internes en période de ralentissement économique repose en grande partie sur la mise en place de moyens permettant de surveiller l'activité des utilisateurs et de leur retirer leurs droits d'accès lorsque leur situation professionnelle évolue. « En période de ralentissement économique, il y a souvent des licenciements ; c'est donc le moment de vérifier : lorsqu'un salarié quitte l'entreprise, ses droits d'accès sont-ils supprimés sur l'ensemble du site , y compris pour le VPN, le cloud externe et les applications mobiles ? » demande John Pescatore, directeur chargé des tendances émergentes en matière de sécurité au SANS Institute.
Selon les experts que nous avons interrogés, les organisations doivent également renforcer leur capacité à détecter toute activité anormale au sein de leurs systèmes et à suivre les flux de données sensibles en matière d' .
Erreur n° 4 : investir dans les dernières tendances en matière de sécurité tout en négligeant les principes fondamentaux de la sécurité
Disposant de ressources limitées, les responsables de la sécurité tentent souvent de combler leurs failles de sécurité en misant sur les dernières nouveautés technologiques à la mode. « En période de ralentissement économique, les RSSI et les organisations risquent de relâcher leur vigilance », explique Martin Fisher, directeur de la sécurité de l'information et responsable de la sécurité informatique à l'hôpital Northside d'Atlanta.
«La réalité, c’est que la plupart des entreprises ont largement sous-investi dans la sécurité au cours des cinq dernières années. »Wim Remes, directeur général de Damovo Security Services EMEA
« Au lieu de se concentrer sur les capacités essentielles dont leur programme a besoin — qui sont généralement basiques, ennuyeuses et peu attrayantes, mais cruciales —, ils pensent en quelque sorte pouvoir surmonter les problèmes budgétaires en misant sur les “dernières tendances” », explique M. Fisher. Par exemple, elles mettent en œuvre un nouveau progiciel open source doté d’une nouvelle fonctionnalité qui apporte une certaine valeur ajoutée, mais consacrent ensuite moins de temps aux éléments essentiels, tels que les exercices sur table ou la réalisation d’analyses de la réponse aux incidents de type « ». Selon M. Fisher, les périodes de ralentissement économique sont souvent des moments où les organisations s'exposent, sans s'en rendre compte, à prendre de mauvaises décisions.
M. Pescatore, de SANS, estime que, dans un contexte économique difficile, il est essentiel de s'assurer que les bases sont bien en place. Outre la surveillance des comportements réseau anormaux et la gestion efficace de l'attribution et de la suppression des droits d'accès aux ressources, d'autres domaines prioritaires comprennent la sécurité des terminaux, la gestion des configurations, la gestion des vulnérabilités des appareils, ainsi que la gestion de la surface d'attaque — autant d'éléments susceptibles de réduire les risques pour une organisation.
Erreur n° 5 : perdre de vue la stratégie de sécurité
Les responsables de la sécurité sont souvent tellement absorbés par la gestion des problèmes quotidiens qu'ils en viennent à négliger la stratégie globale en matière de sécurité.
« Les entreprises commettent souvent la grave erreur de ne pas toujours avoir une idée précise de leurs dépenses en matière de sécurité », explique M. Elfering, de Marsh. « Ils ne savent pas où vont les budgets, à quoi ils servent, ni ce qui est essentiel et en adéquation avec la stratégie de l'entreprise. »
Il est important de pouvoir adapter rapidement le budget, car vous ne savez pas quand on vous demandera de trouver des moyens de l'améliorer. « De quoi pourriez-vous vous passer ? » demande M. Elfering. « C'est une décision que vous devez toujours être prêt à prendre. »
Bien sûr, tout ne se résume pas à des réductions budgétaires, même en période d'austérité, selon Forrester. Le cabinet d'études recommande d'augmenter les dépenses consacrées à la sécurité de la chaîne d'approvisionnement, à la détection au niveau des terminaux, à la réponse aux incidents et à la gestion de la surface d'attaque.
Dans son rapport, le cabinet a également conseillé aux organisations d'accorder une attention particulière à la sécurisation des zones en contact avec la clientèle qui génèrent du chiffre d'affaires, et de veiller à moderniser en permanence leur programme de sécurité grâce à des initiatives telles que le modèle « zero trust »..
Dans de nombreuses organisations, la sécurité ne devrait, à juste titre, faire l'objet d'aucune réduction budgétaire. « Malheureusement, la réalité est que la plupart des entreprises ont largement sous-investi dans la sécurité au cours des cinq dernières années », déclare M. Remes, de Damovo Security Services EMEA. « Nous constatons aujourd’hui que certaines entreprises ont, par exemple, réduit leurs dépenses de 15 % chaque année pendant plusieurs années, et que beaucoup d’entre elles réduisent désormais encore davantage leurs dépenses. » Selon M. Remes, le dénouement est relativement prévisible pour ces entreprises malchanceuses : « Elles vont se faire pirater. »
Même s'il est peu probable que les dépenses en matière de sécurité soient les premières à subir de plein fouet les coupes budgétaires en cas de récession, les responsables de la sécurité doivent se préparer à prendre des décisions difficiles. En fin de compte, lorsque les entreprises lésinent sur la sécurité, elles négligent un domaine essentiel à leur réussite future.
