Notre nouvelle culture du télétravail a engendré une complexité considérable pour les entreprises d'aujourd'hui.
Pensez aux milliards d'appareils — ordinateurs portables, tablettes, PC, imprimantes, scanners — que les employés ont emportés à la hâte chez eux au début de la pandémie pour pouvoir continuer à travailler, ou que les équipes informatiques, débordées et s'efforçant de s'adapter, leur ont ensuite envoyés par la poste. Les défis liés à la gestion et à la sécurisation de ces terminaux sont innombrables. La plupart ne sont plus confinés au réseau d'une organisation, mais répartis sur des connexions haut débit et Wi-Fi grand public, accessibles sans restriction.
To get an idea of this sprawling network, take a look at the annual Cybersecurity Workforce Study by (ISC)2, an association for cybersecurity professionals. Dans le cadre d'une enquête mondiale menée auprès de 3 790 professionnels de la sécurité, 30 % des personnes interrogées ont déclaré que leur organisation était passée à un modèle de télétravail en une seule journée, tandis que 47 % d'entre elles ont eu le « luxe » de disposer d'une semaine pour effectuer cette transition. Comme le souligne le rapport, ce changement soudain « a imposé une pression sans précédent aux professionnels de la cybersécurité pour qu'ils s'adaptent et sécurisent les environnements de travail à distance ».
Selon l'opinion courante parmi les RSSI comme moi, cette complexité croissante des réseaux pose des défis coûteux et chronophages en matière de gestion et de sécurité des terminaux. Dans le cadre de mes fonctions chez Tanium, j'entends cela tout le temps. Je suis chargé d'aider d'autres responsables de la sécurité et des technologies de l'information à faire face aux cyberrisques, à gérer les opérations informatiques et à renforcer la résilience de leur entreprise. Je suis également chargé d'assurer la protection des systèmes et des données de Tanium.
Ce que j'ai appris, c'est que la complexité n'est pas nécessairement incompatible avec la sécurité d'une organisation. En réalité, je pense qu’il y a un détournement du terme « complexité » lui-même. La plupart du temps, lorsque l'on parle de complexité, on fait en réalité référence à la diversité des activités et des technologies. Ce terme désigne à la fois un ensemble de besoins métier et de cas d'utilisation variés, ainsi que l'infrastructure technologique et les applications nécessaires pour les prendre en charge, notamment les déploiements hybrides et multicloud, les applications SaaS et sur mesure, ainsi qu'un univers en pleine expansion d'appareils permettant d'accéder à ces ressources. Une organisation peut tirer parti de la diversité, ce qui lui permet de proposer plus facilement davantage d'applications destinées à faire évoluer les appareils dans davantage d'endroits. Les activités et la technologie ne deviennent véritablement complexes que lorsque le service informatique manque de visibilité et de contrôle sur celles-ci.
Au-delà de la terminologie, voici cinq façons pour toute organisation d'assumer la complexité et d'en tirer parti.
Rompez avec le modèle « hub-and-spoke »
Depuis des décennies, les équipes informatiques fondent la gestion de la sécurité réseau sur le modèle « hub-and-spoke ». Ils ont déployé des solutions de sécurité dans un centre de données ; tous les employés d'un bureau y étaient connectés. Ce modèle a été complètement bouleversé. Dans un monde où le télétravail est devenu la norme, il existe trop de points de goulot d'étranglement pour accéder à ces environnements.
Imaginons que vous soyez une grande entreprise du secteur des services financiers comptant 32 000 collaborateurs qui tentent de se connecter aux applications réseau de vos centres de données via une connexion VPN héritée. Cette même connectivité est utilisée pour les services de sécurité. Cela crée un goulot d'étranglement pour les réseaux d'entreprise. De nombreuses entreprises finissent par faire des concessions en matière de sécurité, car elles doivent garantir le bon fonctionnement de leurs applications métier.
La première chose à faire est de ne plus dépendre des goulots d'étranglement potentiels. Si tout le monde travaille à domicile en utilisant une connexion par câble ou ADSL, se contenter d'une sécurité au niveau de la couche réseau ne suffira pas. Avec un personnel réparti géographiquement, cette couche réseau devient obsolète. Cela signifie que vous devez assurer la sécurité au niveau des terminaux. Et il est important que vous garantissiez la sécurité de vos services, qu'il s'agisse de SaaS ou d'IaaS, dans le cloud.
Identifier tous les terminaux
On ne peut pas gérer ni protéger ce qu’on ne voit pas. Par exemple, je travaille avec de nombreux RSSI et DSI qui utilisent une solution pour la gestion des actifs, une autre pour la gestion des vulnérabilités et une troisième pour la gestion des correctifs. L'utilisation de plusieurs systèmes pour gérer et sécuriser les appareils entraîne des lacunes en matière de visibilité. Ces outils fonctionnent tous de manière différente. Certains fonctionneront sous Windows. Certaines fonctionneront sous Linux. Certaines fonctionneront sur Mac. Cette fragmentation des outils rend extrêmement difficile l'évaluation correcte de votre exposition.
«On ne peut pas gérer ni protéger ce qu’on ne voit pas. »Chris Hodson
Je connais des RSSI qui disent : « Au cours du dernier trimestre, nous avons réussi à atteindre un taux de déploiement des correctifs critiques de 97 %. » « C'est un record de l'entreprise. » Tout le monde applaudit et se tape dans les mains. Mais ce même RSSI n'a déployé cet agent de correctifs que sur 75 % de son parc informatique. Elle ne peut pas voir le reste, donc cela ne sera pas corrigé. On se retrouve donc avec des indicateurs vraiment faussés.
Le manque de visibilité est encore plus marqué en période de télétravail. Mais si vous disposez d'un plan de gestion, c'est-à-dire d'un tableau de bord unique permettant d'identifier vos terminaux et d'y accéder, vous bénéficiez d'une meilleure visibilité et d'un meilleur contrôle.
Adoptez le modèle « zero trust »
Il est essentiel de rapprocher la sécurité des terminaux — et de l'éloigner du centre de données — pour garantir la sécurité des entreprises distribuées d'aujourd'hui et la continuité de leurs activités. Les collaborateurs utilisent des appareils qui ne permettent pas au responsable de la sécurité des systèmes d'information (RSSI) et à l'équipe de sécurité d'établir des rapports sur leurs pratiques de sécurité, notamment en ce qui concerne l'état des correctifs. En ce sens, la surface d'attaque vient de prendre des proportions gigantesques.
C'est là qu'intervient le modèle « zero trust ». Le principe est simple. Afin de protéger le réseau informatique d'une organisation contre toute intrusion, tous les appareils et tous les utilisateurs, même ceux déjà connus du système, sont considérés comme une menace potentielle et doivent être authentifiés avant de se voir accorder l'accès au réseau. Le modèle « zero trust » existe depuis deux décennies. Mais la plupart des équipes de sécurité ne se sont jamais vraiment attelées à la mise en œuvre de cette mesure. La pandémie, ainsi que l'explosion du nombre de terminaux distants connectés à des réseaux Wi-Fi non sécurisés, l'exigent désormais.
Décalage vers la gauche
En tant que RSSI, je ne suis pas là pour dire aux gens qu’ils ne peuvent pas faire certaines choses. Mais cela a toujours été considéré comme relevant du domaine de la sécurité, ce qui va à l'encontre des pratiques actuelles de développement logiciel agile, fondées sur l'échec rapide et l'itération rapide.
Une solution pour y remédier consiste à adopter ce que l'on appelle les tests logiciels « shift left ». Cela signifie que vous effectuez des tests beaucoup plus tôt (en amont) dans le cycle de développement, en intégrant les correctifs de sécurité au fur et à mesure que les développeurs écrivent et publient le code. En intégrant dès le début les mesures de sécurité, vous réduisez la complexité au moment de la mise en production. Cela garantit que l'équipe de sécurité dispose de la souplesse nécessaire pour adapter les exigences de sécurité à l'évolution des besoins métier — une conséquence inévitable de tout projet de développement basé sur la méthode agile. La fonction de sécurité doit faire preuve de souplesse et fournir des conseils essentiels de manière quasi instantanée.
Concentrez-vous sur l'activité, et pas seulement sur la technologie
La complexité n'est pas uniquement d'ordre technique. L'un des principaux défis auxquels les organisations sont actuellement confrontées, en cette période de pandémie, consiste à cerner leur propre plan de continuité d'activité. Comment fonctionnent vos services, notamment vos services métier, vos services de sécurité, vos services informatiques et votre chaîne d'approvisionnement ? Il appartient au RSSI et au DSI de déterminer cela, dans le cadre de la gestion des terminaux.
En mars dernier, lorsque tout le monde a commencé à travailler à distance, j'ai reçu une avalanche de demandes de la part de clients qui s'interrogeaient sur la continuité d'activité de Tanium. Ils voulaient savoir : comment allions-nous continuer à accompagner notre clientèle et nos partenaires alors que tout le monde était confiné chez soi ? Certains clients nous ont envoyé des questionnaires comportant 150 questions sur nos méthodes. Dans d’autres cas, j’ai simplement appelé un responsable de la gouvernance pour lui expliquer notre façon de procéder, en lui remettant une copie de nos attestations relatives à divers cadres de conformité afin de lui prouver que notre logiciel d’application était intact et fiable.
Ce que cela signifie, c'est que la planification de la continuité des activités doit s'adapter aux processus et au personnel de l'organisation. C'est comparable à l'approche d'une entreprise en matière de cybersécurité. En fin de compte, vous devez faire confiance à votre chaîne d'approvisionnement, mais la manière dont vous justifiez cette confiance est subjective et doit s'adapter à la fois à la culture de votre entreprise et à ses ressources.
C'est donc pour cela que la gestion de la complexité ne se limite pas à un aspect technique. La complexité provient des chaînes d'approvisionnement. Il s'agit d'identifier les risques en amont et en aval. Il s'agit de savoir quelles sont vos dépendances, non seulement sur le plan technologique, mais aussi en ce qui concerne les personnes et la manière dont celles-ci s'acquittent de leurs tâches.
La complexité caractérise le mode de fonctionnement des entreprises d'aujourd'hui. En adoptant cette approche, vous vous donnez les moyens d'accompagner vos collaborateurs, quoi qu'il arrive par la suite. La gestion d'une entreprise décentralisée est complexe, mais elle représente également une opportunité de réussite. Et comme l’a dit Mike Tyson : « Tout le monde a un plan, jusqu’à ce qu’on lui mette un coup de poing dans la bouche. »
Chris Hodson est responsable de la sécurité des systèmes d'information chez Tanium.
