Repensez au moment où la pandémie a frappé et où, du jour au lendemain, le monde entier s'est mis à utiliser la visioconférence. C'était une véritable aubaine pour mettre en relation toutes sortes de personnes dans le cadre de toutes sortes de réunions, mais plus les entreprises, les établissements scolaires, les administrations et, en somme, pratiquement tout le monde s'appuyaient sur la visioconférence et d'autres logiciels collaboratifs d' , plus ces plateformes devenaient vulnérables. Les utilisateurs ne respectaient pas les pratiques de sécurité élémentaires , telles que l'authentification multifactorielle, et le déploiement irrégulier du chiffrement a mis la confidentialité en danger. À mesure que le recours à la visioconférence s'est généralisé, les risques liés à la cybersécurité se sont également accrus.
Pour Michael Adams, responsable de la sécurité des systèmes d’information (RSSI) chez Zoom, société pionnière de l’essor de la visioconférence, la pandémie a confronté son entreprise à un problème inattendu qui ne semblait pas en être un : la croissance soudaine et exponentielle de sa clientèle. Même si les PDG peuvent rêver de telles choses, M. Adams avait compris que la croissance de Zoom nécessiterait une approche nouvelle et différente en matière de cybersécurité.
Et l'une des étapes essentielles de cette nouvelle approche a consisté à améliorer leur système de notation des risques cybernétiques « ».
Avant la pandémie, Zoom disposait d'une petite équipe chargée de la sécurité. « Ils ont accompli un excellent travail et posé les bases de l’entreprise », déclare M. Adams, qui a rejoint Zoom à l’adresse août 2020 en tant que conseiller juridique du directeur des opérations et du responsable de la sécurité des systèmes d’information ; il a pris la tête de ce dernier poste l’année dernière.
Avec l'essor de le télétravail, l'entreprise s'est lancée dans ce qu'il qualifie de « version 2,0 » de la cybersécurité. Cela a été l'occasion de renforcer et d'améliorer les systèmes de sécurité déjà en place, en élargissant le programme de sécurité existant de Zoom afin de faire face aux risques potentiels émergents. Pour ce faire, il fallait identifier ces nouveaux risques, puis adapter leur programme et leur approche en fonction de ceux-ci, d'autant plus qu'ils ont évolué (et continuent d'évoluer) au fil du temps.
«Nous devons adopter une vision globale du paysage des menaces et des risques, puis l’approfondir afin de [cerner] nos obligations spécifiques envers nos clients. »Michael Adams, responsable de la sécurité des systèmes d'information (RSSI) chez Zoom
Plus précisément, l’évaluation des risques a eu un impact significatif sur le niveau de sécurité de l’entreprise dans des domaines tels que la gestion des vulnérabilités, où elle doit respecter certaines obligations de conformité ou envers ses clients, ainsi que la gestion des risques liés aux tiers, un domaine spécifique qui, pour diverses raisons, n’a pas été considéré comme aussi prioritaire que d’autres pendant cette période où la visioconférence était en plein essor. Grâce à l'utilisation de scores de risque, Zoom a pu identifier des problèmes potentiels qui, sans cela, auraient pu passer inaperçus et exposer la marque à des cybercriminels , à des groupes de hackers, à des adolescents motivés par l'envie de faire des farces , ainsi qu'à des menaces internes . Au lieu de cela, Zoom a réorienté ses investissements afin de mettre en place un programme de sécurité encore plus complet.
« Je savais que nous devions investir et mobiliser les ressources nécessaires », déclare M. Adams. Ils ont également dû approfondir leur analyse, ajoute-t-il, afin d'identifier précisément le risque réel et de déterminer comment orienter les éléments clés pour y faire face.
Les résultats de cette analyse des risques informatiques ont servi de base à la définition d'une nouvelle stratégie de sécurité et d'un ensemble de priorités pour l'exercice 2020.
C'est une leçon qui s'applique à toutes les entreprises, sans exception. De nombreuses organisations ont une bonne compréhension des risques auxquels elles sont confrontées, mais elles sont trop nombreuses à ne pas avoir mis en place un système formel permettant d'identifier et de surveiller ces risques.
Comment mettre en place un programme d'évaluation des risques cybernétiques
L'évaluation des risques commence par l'identification des indicateurs de risque pertinents pour votre entreprise. Il existe de nombreux indicateurs de risques cybernétiques à prendre en compte (tels que le nombre de cyberattaques réussies ou tentées, la rapidité et la planification de la gestion des correctifs, les délais de réponse aux incidents cybernétiques, etc.). Adams s'est appuyé sur le cadre de cybersécurité (CSF) du NIST ( ) et sur la norme ISO 27001 pour élaborer un ensemble d'indicateurs de risque qui ont permis à l'équipe de sécurité de suivre chaque trimestre l'exposition de l'entreprise à des risques spécifiques.
«Il faut savoir ce que l’on a pour pouvoir le défendre. »Adams
Par exemple, explique M. Adams, le LCR remplit cinq fonctions . Parmi celles-ci, la fonction « identifier » aide les organisations à recenser leurs actifs physiques et logiciels afin de jeter les bases d’une solution complète de gestion des actifs proposée par .
« La gestion des actifs est un élément clé de tout programme de cybersécurité », déclare M. Adams. « Il faut savoir ce que l’on a pour pouvoir le défendre. » Pour approfondir la question, Adams s'est attaché à répondre aux préoccupations suivantes :
- Disposez-vous d'un inventaire pertinent des actifs d' ?
- Y a-t-il des lacunes ?
- Quels programmes d' s gèrent l' logicielle fonctionnant sur ces équipements ?
- Comment dois-je aborder la gestion des vulnérabilités pour veiller à ce que ces éléments soient à jour ?
- Quelles sont mes obligations en matière de conformité à cet égard ?
« Ce n’est qu’un exemple parmi d’autres, mais nous devons avoir une vision globale du paysage des menaces et du paysage des risques, puis approfondir cette analyse afin d’adapter notre compréhension de nos obligations spécifiques envers nos clients », explique-t-il. Ces deux perspectives sont indispensables, car elles permettent de mieux cerner deux aspects distincts : les menaces, c'est-à-dire les événements malveillants résultant de l'exploitation de vulnérabilités ; et le risque, à savoir les pertes ou dommages susceptibles de survenir en cas de cyberincident.
À l'avenir, les indicateurs de référence en matière d'évaluation des risques — des mesures qui comparent l'environnement d'une organisation à celui de ses concurrents — aideront M. Adams et son équipe de sécurité à s'assurer qu'ils couvrent tous les domaines clés et à hiérarchiser les ressources. Les indicateurs de risque clés fournissent les données nécessaires pour identifier les actifs ciblés et détecter d'éventuelles anomalies. Les indicateurs de risque sont classés par domaine fonctionnel et font l'objet d'un suivi.
« Nous estimons qu’une stratégie de sécurité efficace doit s’appuyer sur les principaux cadres de sécurité, mais aussi sur une évaluation des risques adaptée aux réalités de l’entreprise », a déclaré M. Adams. « C’est grâce à cette combinaison que nous sommes en mesure de mobiliser au mieux nos ressources, notre temps et notre énergie, et d’offrir la sécurité que nos clients et notre entreprise attendent de Zoom. »
M. Adams travaille également en étroite collaboration avec un comité chargé des risques liés à la cybersécurité, composé de trois personnes issues du conseil d'administration de la société . La création d’un tel comité contribue grandement à la mise en œuvre des stratégies de bonne gouvernance que la Commission américaine des opérations boursières (SEC) a définies dans un nouvel ensemble de règles proposé l’année dernière et dont la finalisation est en cours. Le comité des risques de Zoom se réunit chaque trimestre pour discuter de la stratégie de l'exercice fiscal à venir, et M. Adams profite de cette occasion pour présenter les principales priorités et les objectifs du programme global de cybersécurité, conformément aux directives du NIST et de l'ISO.
L'avantage le plus important (et inattendu) de l'évaluation des risques cybernétiques
L'avantage le plus important de l'évaluation des risques cybernétiques est sans doute le plus subtil : sa capacité à mettre en évidence des risques dont vous n'aviez pas conscience, explique M. Adams, en vous alertant sur des problèmes dont vous n'auriez autrement pas soupçonné l'existence. Disposer de ces informations constitue le fondement d'une stratégie de cybersécurité plus solide et plus efficace. Dans le cas de Zoom, cela a permis à M. Adams et à son équipe de sécurité de mieux hiérarchiser leurs objectifs.
« J’ai beaucoup de chance de pouvoir compter sur une équipe de sécurité solide et sur des collaborateurs incroyablement talentueux, dévoués, passionnés par leur métier et dotés de compétences exceptionnelles dans ce domaine », déclare M. Adams. Le fait que la haute direction, y compris le conseil d'administration, soit à l'écoute, est également un atout ; les décideurs de Zoom s'investissent dans la cybersécurité, notamment en apportant des améliorations et en y consacrant des ressources.
« Les questions liées aux risques doivent être traitées de manière appropriée », ajoute M. Adams. Pour y parvenir, il faut mettre en place un programme de sécurité stratégique et prendre conscience d'une vérité simple : on ne peut pas tout résoudre d'un seul coup. L'évaluation des risques a guidé M. Adams et son équipe : elle a mis en évidence un problème inattendu lié à la pandémie, l'a résolu en aidant l'organisation à porter un regard différent sur ses enjeux de sécurité, et a proposé une stratégie et une feuille de route sur mesure pour l'avenir.
POUR EN SAVOIR PLUS
Découvrez d'autres entretiens exclusifs avec des leaders de la sécurité dans notre série « Success Stories ».
- Joseph Karpenko, de Stratascale, s'exprime sur…
: DE LA GESTION DES FAILLES À LA STRATÉGIE D'ENTREPRISE - Ken Fishkin, « évangéliste de la vie privée » chez Lowenstein Sandler, s'exprime sur…
DES FORMATIONS EN CYBERSÉCURITÉ ENNUYEUSES - Mike Wilkes, le « super-héros » de Marvel, s'exprime sur…
L'UTILISATION DE L'IA POUR LUTTER CONTRE LA CYBERCRIMINALITÉ - « Ash Hunt » d’Apex Group sur…
PRÉVOIR (AVEC PRÉCISION) LES RISQUES CYBERNÉTIQUES GRÂCE À CETTE FORMULE - Jeff Aguilar du comté de LA sur…
COMMENT IL FORME (ET REFORME) SES ÉQUIPES POUR CONTRER LE PHISHING - Dennis Leber d'Honest Medical Group sur…
POURQUOI IL NE PARLE PAS (BEAUCOUP) DE CYBERSÉCURITÉ AU CONSEIL D'ADMINISTRATION - Stephen Held de Leo A Daly sur…
L'AUTRE FACE DU RISQUE LIÉ AUX TIERS
