Notre nouvelle culture du télétravail a créé une complexité massive pour les organisations d’aujourd’hui.
Considérez les milliards d’appareils — ordinateurs portables, tablettes, PC, imprimantes, scanners — que les travailleurs ont emportés chez eux au début de la pandémie pour effectuer leurs tâches, ou que les équipes informatiques ont surmené, se battant pour s’ajuster, puis leur ont été envoyées par la suite. Le défi de la gestion et de la sécurisation de ces endpoints est infini. La plupart ne se limitent plus au réseau d’une organisation, mais sont dispersés sur des connexions Wi-Fi et haut débit sans restriction disponibles dans le commerce.
Pour avoir une idée de ce réseau tentaculaire, jetez un coup d’œil à l’ étude annuelle Cybersecurity Workforce Study de (ISC)2, une association pour les professionnels de la cybersécurité. Dans une enquête mondiale menée auprès de 3 790 professionnels de la sécurité, 30 % des personnes interrogées ont déclaré que leur organisation passait à un modèle de main-d’œuvre à distance en une seule journée, tandis que 47 % d’autres avaient le luxe relatif de prendre une semaine. Comme le note le rapport, ce changement soudain « exerce une pression sans précédent sur les professionnels de la cybersécurité pour déplacer et sécuriser les environnements distants ».
La sagesse conventionnelle des RSSI comme moi est que cette complexité croissante du réseau présente des défis coûteux et chronophages pour la gestion et la sécurité des endpoints. Dans mon rôle chez Tanium, j’entends tout le temps cela. Je suis chargé d’aider d’autres responsables de la sécurité et de l’informatique à traiter les cyber-risques, à gérer les opérations informatiques et à améliorer la résilience de l’entreprise. Je suis également responsable de la protection des systèmes et données Tanium.
Ce que j’ai appris, c’est que la complexité n’a pas besoin d’être opposée à la sécurité d’une organisation. En fait, je pense qu’il y a un détournement du terme « complexité » lui-même. La plupart du temps, lorsque les gens parlent de complexité, ce qu’ils signifient vraiment, c’est la diversité commerciale et technologique. Ils signifient une combinaison de divers besoins commerciaux et cas d’utilisation, ainsi que l’infrastructure technologique et les applications requises pour les prendre en charge, y compris les déploiements hybrides et multi-cloud, les applications SaaS et personnalisées, ainsi qu’un univers croissant d’appareils pour accéder à ces ressources. Une organisation peut utiliser la diversité en sa faveur, ce qui facilite la livraison de plus d’applications pour déplacer des appareils dans plus d’endroits. L’entreprise et la technologie ne deviennent vraiment complexes que lorsque l’informatique manque de visibilité et de contrôle sur elles.
À part la nomenclature, voici cinq façons pour toute organisation d’adopter et de gagner en complexité.
Briser le modèle hub-and-spoke
Pendant des décennies, les équipes informatiques ont basé la gestion de la sécurité réseau sur le modèle hub-and-spoke. Ils ont déployé des capacités de sécurité dans un centre de données ; tous les employés d’un bureau y sont connectés. Ce modèle a été jeté sur sa tête. Dans un monde où le travail à distance est présent, il y a trop de points d’étranglement dans ces environnements.
Supposons que vous êtes une grande société de services financiers qui compte 32 000 travailleurs essayant de se connecter aux applications réseau de vos centres de données via une connectivité VPN existante. Cette même connectivité est utilisée pour les services de sécurité. Cela crée un point d’étranglement pour les réseaux d’entreprise. Beaucoup d’entreprises finissent par faire des concessions de sécurité parce qu’elles doivent maintenir le fonctionnement des applications métier.
La première chose que nous devons faire est de supprimer la dépendance aux points d’étranglement potentiels. Si tout le monde travaille à domicile, à l’aide d’un câble ou d’une ligne DSL, mettre votre sécurité sur la couche réseau ne va pas la couper. Avec une main-d’œuvre distribuée, cette couche réseau devient obsolète. Cela signifie que vous avez besoin de sécurité au niveau de l’endpoint. Et il est important que vous disposiez de la sécurité de vos services, qu’ils soient SaaS ou IaaS, dans le cloud.
Localiser chaque endpoint
Vous ne pouvez pas gérer et protéger ce que vous ne voyez pas. Par exemple, je travaille avec de nombreux RSSI et DSI qui utilisent une solution pour la gestion des actifs, une pour la gestion des vulnérabilités et une pour la gestion des correctifs. L’utilisation de plusieurs systèmes pour gérer et sécuriser les appareils laisse des lacunes de visibilité. Ces outils agissent tous de différentes manières. Certains fonctionneront sur Windows. Certains fonctionneront sur Linux. Certains fonctionneront sur Mac. Cette fragmentation des outils rend incroyablement difficile l’évaluation correcte de votre exposition.
« Vous ne pouvez pas gérer et protéger ce que vous ne voyez pas. »Chris Hodson
Je connais des RSSI qui disent : « Au cours du dernier trimestre, nous avons réussi à déployer 97 % des correctifs critiques. C’est un record d’entreprise. » Tout le monde est applaudi et féroce. Mais ce même RSSI n’a que cet agent de correctifs déployé dans jusqu’à 75 % de sa technologie. Elle ne voit pas le reste, donc cela n’est pas corrigé. Vous obtenez donc ces mesures vraiment déformées.
Le manque de visibilité est accru à une époque de travail distribué. Mais si vous disposez d’un plan de gestion, d’un tableau de bord unique pour identifier et accéder à vos endpoints, vous gagnez en visibilité et en contrôle.
Adopter le Zero Trust
Rapprocher la sécurité des endpoints, et l’éloigner du centre de données, est essentiel pour protéger l’activité distribuée et la continuité des activités d’aujourd’hui. Les travailleurs utilisent des appareils qui ne permettent pas au RSSI et à l’équipe de sécurité de rendre compte de leur hygiène de sécurité, y compris des éléments tels que le statut des correctifs. En ce sens, la surface d’attaque vient d’exploser en taille.
C’est là qu’intervient la confiance zéro. Le concept est simple. Afin de défendre le réseau informatique d’une organisation contre les intrusions, tous les appareils et utilisateurs, même ceux précédemment connus du système, sont traités comme une menace potentielle et doivent être authentifiés avant d’obtenir l’accès au réseau. Le modèle Zero Trust existe depuis deux décennies. Mais la plupart des équipes de sécurité n’ont jamais vraiment réussi à l’appliquer. La pandémie et l’explosion des endpoints distants utilisés sur le Wi-Fi non sécurisé l’exigent désormais.
Quart gauche
En tant que RSSI, je ne suis pas là pour dire aux gens qu’ils ne peuvent pas faire les choses. Mais cela est traditionnellement considéré comme le rôle de la sécurité, qui est l’hypothèse des pratiques de développement logiciel agiles, rapides et itératives d’aujourd’hui.
Une façon de résoudre ce problème est d’adopter ce que l’on appelle le test logiciel de shift left. Cela signifie que vous testez beaucoup plus tôt (à gauche) dans le cycle de développement, en intégrant des correctifs de sécurité lorsque les développeurs écrivent et publient du code. En codifiant les contrôles de sécurité tôt, vous réduisez la complexité lorsque vous mettez les choses en production. Cela garantit que l’équipe de sécurité est suffisamment agile pour adapter les exigences de sécurité aux exigences changeantes de l’entreprise, une conséquence inévitable de tout projet de développement basé sur l’agilité. La fonction de sécurité doit avoir une touche légère, fournissant des conseils cruciaux presque instantanément.
Se concentrer sur l’entreprise, pas seulement sur la technologie
La complexité n’est pas seulement technique. L’un des principaux défis auxquels les organisations sont confrontées actuellement, en période de pandémie, est de comprendre leur propre continuité d’activité. Comment fonctionnent vos services, vos services métier, vos services de sécurité, vos services informatiques et votre chaîne d’approvisionnement ? Déterminer que cela relève de la compétence du RSSI et du DSI, et de la gestion des endpoints.
En mars, lorsque tout le monde a commencé à travailler à distance, j’ai reçu une série absolue de demandes de la part de clients qui demandaient des informations sur la continuité des activités de Tanium. Ils voulaient savoir : comment allions-nous continuer à soutenir notre clientèle et nos partenaires avec tout le monde à la maison ? Certains clients nous ont envoyé des enquêtes avec 150 questions sur nos méthodes. Dans d’autres cas, je viens de sauter au téléphone avec quelqu’un en gouvernance et d’expliquer comment nous abordons les choses, en leur donnant une copie de nos attestations à divers cadres de conformité pour leur prouver que notre logiciel d’application était intact et digne de confiance.
Cela vous indique que la planification de la continuité des activités doit s’adapter aux processus et aux personnes d’une organisation. C’est similaire à l’approche d’une entreprise en matière de cybersécurité. En fin de compte, vous devez faire confiance à votre chaîne d’approvisionnement, mais comment vous validez que la confiance est subjective et doit correspondre à la culture de votre entreprise et à ses ressources.
C’est pourquoi gérer la complexité n’est pas seulement technique. La complexité provient des chaînes d’approvisionnement. Il s’agit d’identifier les risques en amont et en aval. Il s’agit de savoir quelles dépendances vous avez non seulement en matière de technologie, mais également chez les personnes et dans la manière dont les gens effectuent également leur travail.
La complexité est la façon dont les entreprises contemporaines opèrent. L’adopter vous permet de soutenir vos employés, quelle que soit la suite. La gestion d’une entreprise distribuée est complexe, mais c’est également une opportunité de gagner. Et comme Mike Tyson l’a dit, « tout le monde a un plan jusqu’à ce qu’on les frappe dans la bouche. »
Chris Hodson est RSSI chez Tanium.
