Questions auxquelles les professionnels de l'informatique doivent répondre
Nous savons tous que les professionnels de l'informatique sont trop souvent amenés à courir d'un problème urgent à l'autre. Face aux exigences liées à une infrastructure trop complexe, aux menaces constantes et aux équipes de sécurité informatique débordées, les dirigeants doivent se concentrer sur les problèmes urgents, ne s’arrêtant que rarement pour se demander : « Est-ce que je fais des progrès ? » Pour commencer à répondre à cette question, vous devez partir d'une autre question… de cinq questions, en fait. Quels que soient la taille de l'environnement, sa situation géographique ou son secteur d'activité, chaque professionnel de l'informatique devrait être en mesure de répondre à ces questions simples concernant son environnement afin de s'assurer qu'il peut le sécuriser correctement.
- Combien y a-t-il de terminaux sur mon réseau, qu'ils soient gérés ou non ?
- Combien de versions de logiciels, autorisées et non autorisées, ai-je installées sur mon réseau ?
- Tous mes terminaux sont-ils configurés conformément aux meilleures pratiques et conformes aux références et normes du secteur ?
- Comment procédons-nous à l'évaluation et à la correction continues des failles de sécurité ?
- Qui dispose d'un accès administratif à mes terminaux et ces personnes ont-elles réellement besoin d'un tel niveau d'accès ?
Ces questions ne sont pas nouvelles. Il s'agit des cinq mesures de sécurité les plus importantes selon la liste des « SANS CIS Critical Security Controls » (mesures de sécurité essentielles du SANS CIS) publiée par l' , disponible à l'adresse . Et si vous ne connaissez pas les réponses à ces questions, vous devrez probablement vous soumettre à des évaluations de compromission coûteuses et il se peut que vous ayez déjà été piraté. Mais vous n'êtes certainement pas seul.
D'après un rapport récent publié par NASDAQ et Tanium, seuls 2 % des dirigeants d'entreprises particulièrement vulnérables sont convaincus de pouvoir suivre à tout moment l'ensemble de leurs appareils et utilisateurs sur leurs systèmes. D'après ce même rapport, seuls 9 % des membres des conseils d'administration de ces mêmes entreprises ont déclaré que leurs systèmes étaient régulièrement mis à jour pour faire face aux nouvelles cybermenaces. Les entreprises en font les frais : Selon M. Gartner , un ordinateur non géré coûte à une entreprise plus de 310 dollars par an en appels d'assistance inutiles et en perte de productivité. Pour une grande entreprise, l'impact se chiffre en millions de dollars. Chaque directeur informatique souhaite dépenser cet argent autrement.
Par exemple, si vous ne savez pas avec certitude si 5 000 ou 8 000 instances de Java sont en cours d'exécution, ou si vous ne savez pas exactement combien de versions d'Adobe Flash sont déployées au sein de votre entreprise, connaissez-vous réellement l'étendue de votre surface d'attaque ? À quel niveau de risque êtes-vous exposé si votre service informatique compte 50 personnes et que vous avez des milliers d'utilisateurs disposant de droits d'administrateur local ou de domaine ? Enfin, en combien de temps pourriez-vous réduire cette surface d'attaque et atténuer le risque à l'échelle de votre entreprise ? Pour atténuer les menaces liées à la cybersécurité, il faut adopter une approche à plusieurs volets. Les organisations capables de répondre à ces questions fondamentales se donnent les moyens de réussir.
On ne peut pas protéger ce que l'on ne connaît pas
La plupart des approches existantes visant à répondre à ces questions consistent à rassembler des données provenant de plusieurs outils, dont aucun ne peut être considéré comme une source d'informations fiables et actualisées. Ces outils ne sont pas évolutifs, ne fournissent pas de réponses assez rapidement et ne parviennent pas à collecter efficacement les données provenant des terminaux qu’ils ne connaissent pas. Le recours à la triangulation pour obtenir ces réponses fondées sur des fourchettes sape la certitude d'avoir la réponse exacte et expose les organisations à un échec lors de leur prochain audit de conformité.
Que se passerait-il si, en tant que professionnels de l'informatique, nous ne pouvions pas répondre à ces questions ? C'est simple. On se fait avoir. Le rapport DBIR de Verizon intitulé « » ( ) nous a montré que le délai d'infection diminue tandis que le délai de détection augmente. Les organisations innovantes et dynamiques doivent pouvoir identifier les points d'infection en quelques secondes ou minutes, et non en quelques jours ou semaines. Afin de contribuer à résoudre bon nombre des failles de sécurité présentes dans nos environnements, nous devons veiller au bon état de santé des terminaux dès que possible et aussi souvent que nécessaire. Appliquez ensuite ce que nous avons appris sur l'hygiène de notre environnement et mettez-le en pratique afin de renforcer notre niveau de sécurité.
Il est temps que les professionnels de l'informatique soient en mesure de répondre à ces questions avec précision et assurance.
À propos de l'auteur : Jennifer Ellard dirige les activités de marketing produit et de commercialisation des solutions de sécurité chez Tanium. Jennifer a rejoint Tanium en 2016 ; elle se consacre principalement à l'élaboration de contenus, à la gestion du pipeline commercial, à la collaboration avec les partenaires de sécurité et à l'accompagnement des équipes commerciales. Auparavant, Mme Ellard a travaillé chez Hewlett-Packard et Symantec, où elle dirigeait des équipes chargées du marketing produit et du marketing partenaires. Jennifer est titulaire d'une licence en marketing de l'université d'Alabama à Huntsville et d'un master en administration des affaires de l'université de Santa Clara.
