De nos jours, les organisations ne cessent d'évoquer ou de se lancer dans des initiatives de transformation numérique. Et pourquoi pas ? Ces efforts peuvent se traduire par un gain d'efficacité, une agilité accrue et une meilleure expérience client — pour ne citer que quelques-uns des avantages.
Le problème est que de nombreuses entreprises se lancent dans des transformations sans vraiment tenir compte des implications de ces initiatives en matière de cybersécurité et de conformité réglementaire.
Certes, les organisations déploient toutes sortes d'outils et de services de sécurité — et cela constitue un aspect important de la mise en place de programmes de sécurité et de conformité. Mais ils ne réfléchissent pas suffisamment à la manière dont ils doivent faire évoluer les processus, les procédures et les structures organisationnelles. Pour qu'une entreprise puisse véritablement se transformer et pérenniser cette transformation, elle doit changer de culture.
Le changement n'est jamais facile, surtout lorsque les gens sont satisfaits de la façon dont les choses se font actuellement. Cela vaut tout particulièrement pour les RSSI, les DSI, les directeurs techniques et les autres responsables de la cybersécurité et de la conformité, ainsi que pour les utilisateurs finaux. Cependant, la mise en œuvre de toutes les technologies de sécurité disponibles sans apporter les changements nécessaires aux processus, aux procédures et aux structures organisationnelles risque d'entraîner une frustration, voire, dans le pire des cas, un échec, du point de vue de la défense et de la conformité.
Voici quelques-uns des changements que les organisations devront prendre en compte dans ces domaines.
Processus/Procédures
De nombreux processus opérationnels et procédures de sécurité devront être modifiés afin de renforcer la sécurité.
L'un des principaux domaines qui nécessite des améliorations est la sécurisation de l'identité des utilisateurs. Il s'agit de l'un des vecteurs les plus exploités. Il suffit qu'un utilisateur d' soit victime d'une attaque de phishing pour que les pirates aient un pied dans la porte. À partir de là, ils savent qu'ils peuvent se mettre en quête de privilèges étendus.
C'est là que l'authentification multifactorielle (MFA) devrait constituer le minimum requis pour l'accès des utilisateurs aux réseaux et aux autres ressources. Même si ces méthodes ne sont pas parfaites, elles compliquent suffisamment la tâche des pirates pour qu'ils puissent finir par abandonner et se tourner vers une autre cible.
L'authentification à plusieurs facteurs (MFA) rend le piratage des comptes beaucoup plus difficile. Ils devraient également cesser d'exiger des changements de mot de passe tous les mois et d'imposer une charge trop lourde aux utilisateurs. Les équipes de sécurité devraient, au minimum, encourager l'utilisation de « phrases de passe », qui sont plus faciles à mémoriser puisqu'il s'agit en fait d'une phrase, et qui sont donc beaucoup plus difficiles à deviner et à pirater.
Les organisations devraient également réduire le nombre de comptes dotés de droits d'administration et mettre en place un système d'accès privilégié, dans le cadre duquel les utilisateurs peuvent demander des privilèges étendus pour un objectif et une durée déterminés, ceux-ci leur étant ensuite automatiquement retirés à l'issue de cette période.
Beaucoup de personnes sont surprises de constater qu'elles disposent de centaines de comptes dotés de droits d'administration, car ceux-ci étaient censés être temporaires, mais n'ont jamais été supprimés.
Au lieu de créer des « images de référence », dont la création et la gestion prennent beaucoup de temps, utilisez une image de base du système d'exploitation et des packages d'applications, ce qui réduira les tâches de mise à jour et de maintenance. Pour mener à bien cette transformation, déployez un catalogue de logiciels et une interface client en libre-service afin que les utilisateurs n'aient pas besoin de droits d'administrateur local pour installer des applications.
Une autre bonne pratique du point de vue des processus consiste à faire ce que de nombreuses organisations s'efforcent déjà de mettre en œuvre : automatiser autant de tâches que possible. L'automatisation des tâches routinières permet de réduire les erreurs humaines et de libérer du temps pour que le personnel puisse se consacrer à des projets plus complexes.
Par ailleurs, installez les correctifs et les mises à jour logicielles dès que possible. Attendre 90 jours ou plus pour « valider » une mise à jour afin de s'assurer qu'elle n'a pas d'impact négatif sur les systèmes n'a aucun sens — d'autant plus que le délai entre la découverte d'une vulnérabilité et son exploitation est d'environ 22 jours. Il existe un compromis entre le risque d'une interruption de service et celui d'une faille de sécurité, mais il est souvent possible de raccourcir la période de validation tout en limitant les risques au minimum.
Gardez à l'esprit que toute modification des processus et des procédures risque de déplaire à certaines personnes. Par exemple, dans le secteur de l'éducation, de nombreux enseignants ne souhaitent pas que le service informatique mette en place l'authentification multifactorielle (MFA), affirmant que les élèves ne l'accepteraient jamais. En réalité, les étudiants n'ont aucun problème avec l'authentification multifactorielle (MFA) dans le cadre de la procédure de connexion, car ils y sont habitués depuis qu'ils se connectent à leur compte bancaire en ligne et même à leur compte Facebook.
Les personnes ancrées dans les méthodes de travail existantes résistent au changement. Les équipes informatiques et de sécurité devraient faire fi des détracteurs et travailler ensemble pour mettre en œuvre les changements là où cela s'avère nécessaire.
Structures organisationnelles
Les structures organisationnelles doivent également être adaptées afin de favoriser la mise en place de cette nouvelle culture. D'une part, les entreprises doivent lever les obstacles à la circulation de l'information qui existent entre les différents services censés travailler ensemble.
Le CSO ou le CISO ne peut pas se permettre d'attendre que le service informatique, le service des opérations ou tout autre service de l'organisation lui fournisse des informations et des analyses précieuses sur les menaces ou les vulnérabilités susceptibles de contribuer à prévenir une violation de données.
Sur le plan organisationnel, de nombreuses entreprises présentent encore des cloisonnements qui empêchent les différentes parties prenantes de collaborer comme elles le devraient sur les questions de sécurité et de conformité. De plus — et c'est peut-être encore pire —, il existe toujours des luttes de pouvoir qui peuvent empêcher les différentes factions de travailler de manière cohérente pour protéger l'organisation dans son ensemble.
Les meilleures organisations communiquent et échangent régulièrement des informations entre leurs différents services. Mais pour atteindre une efficacité optimale en matière de sécurité et de conformité, la plupart des organisations les plus avant-gardistes ont aplani la hiérarchie afin d'éliminer les cloisonnements et les conflits de compétences, et de s'assurer que les différentes fonctions technologiques et opérationnelles travaillent en parfaite harmonie.
Un autre élément important contribuant à la formation des cloisonnements mentionnés ci-dessus réside dans les structures hiérarchiques des principaux responsables de la sécurité et de la conformité, telles que celles auxquelles rend compte le RSSI. Dans l'idéal, le responsable de la sécurité devrait rendre compte au PDG, au directeur financier, au directeur technique ou à d'autres cadres supérieurs de l'entreprise. Cela peut contribuer à réduire les lourdeurs administratives, notamment dans des domaines tels que l'approbation des budgets.
Le fait que le RSSI ou d'autres responsables de la sécurité fassent partie de la direction générale et rendent compte aux dirigeants garantit que la cybersécurité et la conformité constituent des priorités absolues pour l'organisation.
Il est essentiel de pouvoir compter sur un dirigeant fort, mais en fin de compte, la cybersécurité devrait faire partie des responsabilités de chacun. Il y aura toujours un certain compromis entre la sécurité et la liberté d'innover. Mais en adoptant une nouvelle approche en matière de sécurité, les organisations peuvent véritablement réussir leur transformation numérique.
Découvrez comment Tanium peut vous aider à hiérarchiser vos besoins en matière de cybersécurité et de conformité dans le cadre de la transformation numérique. Découvrez dès aujourd'hui la puissance d' de Tanium (s'ouvre dans un nouvel onglet).
