Les responsables de la sécurité étant confrontés à une vague d'attaques par ransomware et autres cybermenaces, il peut être difficile de savoir où concentrer leurs efforts. C'est là qu'un « score de risque cyber » promet de venir à la rescousse.
Ces notations s'apparentent à une cote de crédit en matière de cybersécurité. Le score de risque cyber « » permet d’évaluer le niveau d’exposition spécifique d’une organisation aux cyberattaques, ses performances au regard de dizaines de stratégies d’atténuation indispensables, ainsi que les maillons faibles qui subsistent dans son dispositif de sécurité.
Les cyberattaques aboutissent souvent en raison d’erreurs qui auraient pu être évitées, telles que le fait de ne pas installer les mises à jour logicielles d’ et une mauvaise gestion des correctifs d’ .
L'évaluation des risques cybernétiques permet de mettre en évidence ces problèmes avant qu'ils n'entraînent une violation de la sécurité. Ils offrent une approche claire et fondée sur des données factuelles pour élaborer une stratégie ciblée de prévention contre les ransomwares , et s’avèrent particulièrement utiles pour faire comprendre l’urgence des améliorations nécessaires aux dirigeants et au conseil d’administration, ou aux responsables des organismes publics.
Étant donné que tout, des tarifs d'assurance aux opérations de fusion-acquisition , repose sur les scores de risque cyber, les responsables de la sécurité des systèmes d'information (RSSI) auraient tout intérêt à tenir compte de leur appel. Mais ces chiffres, qui semblent simples à première vue, ne constituent qu'une pièce du puzzle de la sécurité. Et toutes les notes de risque ne se valent pas. Il est préférable d'examiner la situation de plus près avant de vous fier à ces notes pour prendre des décisions cruciales.
Le prix de l'inaction
Une vague d'attaques par ransomware perturbatrices et destructrices au cours des 18 derniers mois a ébranlé même les organisations les mieux protégées. Cybersecurity Ventures estime que les coûts liés aux ransomwares dépasseront les 265 milliards de dollars d'ici 2031. Près de 40 % des dirigeants interrogés par le cabinet d'études de marché IDC avaient subi une ou deux attaques par ransomware au cours des 12 derniers mois, ce qui les avait contraints à mobiliser des ressources importantes pour y remédier. Trente-sept pour cent des dirigeants ont déclaré qu'une attaque avait entraîné une interruption d'une semaine ou plus.
Alors que le rythme et l'intensité des attaques s'accélèrent, les responsables de la sécurité des systèmes d'information (RSSI), inquiets, évaluent leur niveau de sécurité et s'efforcent de comprendre l'ampleur des risques auxquels leurs organisations sont confrontées. Selon IDC, environ 50 % des décideurs et des acteurs influents en matière de sécurité informatique ont déclaré que leurs inquiétudes face aux attaques par ransomware les avaient poussés à réaliser des tests de résistance périodiques sur leurs procédures de cyber-réponse au cours de l'année écoulée. Et 37 % d'entre eux avaient mené un examen à l'échelle de l'organisation portant sur les pratiques en matière de sécurité, de protection des données et de reprise après sinistre, en s'appuyant sur des informations accessibles au public. Malgré tous ces efforts, plus des trois quarts des dirigeants n'ont pas confiance dans le niveau de sécurité de leur organisation, selon une autre étude intitulée « » (L'état de la sécurité des entreprises en France), réalisée par le cabinet de conseil IDG Connect.
Il est tout à fait compréhensible que de nombreux responsables de la sécurité des systèmes d'information (RSSI) se soient tournés vers les indices de risque cyber pour obtenir les informations indispensables sur le niveau d'exposition de leur organisation. Si ces scores peuvent s'avérer utiles pour identifier les faiblesses, ils le sont davantage lorsqu'ils permettent de hiérarchiser les menaces et les mesures que les organisations doivent prendre pour s'en prémunir.
« Un simple score ne permet pas aux responsables de la cybersécurité de prendre ce genre de décisions stratégiques », explique Bob Maley, directeur de la sécurité (CSO) chez Black Kite, une plateforme d’évaluation des risques cybernétiques fondée par un hacker éthique certifié (CEH) pour l’OTAN. « Vous devez disposer d’informations qui vous aident à prendre la décision selon laquelle vous devez agir — et qui garantissent que vos actions sont appropriées. »
Alors que les attaques par ransomware de type « » se multiplient, les conseils d'administration des entreprises et les dirigeants des organismes publics font pression sur les RSSI et les DSI pour obtenir des garanties, étayées par des données, que leurs organisations ont renforcé leur sécurité. Près de 30 % des organisations interrogées par IDC ont déclaré que, l'année précédente, leur conseil d'administration leur avait demandé de présenter les procédures de réponse aux attaques par ransomware ainsi que les pratiques actuelles en matière de protection et de restauration des données.
[Read also: Ransomware 101: What is it and how do I prevent an attack?]
« Alors que les équipes de direction maîtrisent généralement bien la notion de risque, la quantification des risques liés à la cybersécurité s'est avérée difficile », explique Shawn Marriott, directeur de la gestion des produits chez Tanium. Cela s'explique en partie par le fait que les données d' s pertinentes pour la sécurité sont dispersées dans différents silos au sein des grandes organisations complexes. De plus, les équipes informatiques et de sécurité utilisent souvent des outils et des indicateurs différents pour évaluer si elles ont atteint leurs objectifs.
« Le principal problème auquel nous sommes confrontés actuellement est qu’il existe peu de cadres permettant d’identifier, de quantifier et de hiérarchiser les risques cybernétiques », explique Nadav Zafrir, cofondateur de la société de capital-risque spécialisée dans les technologies Team8. « Les organisations ne peuvent pas tout protéger », affirme M. Zafrir. Comme leurs réseaux sont interdépendants avec ceux de leurs clients, de leurs partenaires de la chaîne d'approvisionnement et même des pouvoirs publics, explique-t-il, les dirigeants d'entreprise doivent comprendre les risques, les hiérarchiser, puis optimiser leur approche afin de réduire la probabilité qu'une attaque aboutisse.
Ce qu'il faut rechercher
Alors même que les responsables de la sécurité des systèmes d'information (RSSI) se tournent vers les indices de risque cyber pour évaluer les menaces auxquelles leurs organisations sont confrontées, l'attaque contre Colonial Pipeline, , , met en évidence l'absurdité de se fier excessivement à un seul chiffre.
«Colonial Pipeline affichait un score [de risque] satisfaisant. » Mais certains indices clairs nous ont permis de comprendre comment ils en sont venus à être victimes. »Bob Maley, directeur de la sécurité (CSO) chez Black Kite
« En ce qui concerne leur note de sécurité, ils ont obtenu un résultat satisfaisant », explique M. Maley, qui a précédemment occupé les fonctions de responsable mondial de la sécurité et des contrôles externes chez PayPal, de consultant en gestion des risques chez Wells Fargo et de responsable de la sécurité des systèmes d'information (RSSI) pour l'État de Pennsylvanie. « Mais certains indices évidents, observés dans quelques éléments, nous ont permis de comprendre comment ils en sont venus à être victimes. »
Colonial Pipeline n'est pas un cas isolé. Les incidents de sécurité sont souvent le résultat de failles dans les pratiques de sécurité d' s d'une organisation. Pour être véritablement utile, un score de risque doit inclure des informations de sécurité qui inciteront une entreprise à corriger les failles que ce score permet d'identifier.
« Il existe des contrôles compensatoires qui n’éliminent pas le risque, mais leur configuration ou leur mise en œuvre contribuent à atténuer les risques », explique M. Marriott, de Tanium. Il s'agit notamment de vous assurer que vous disposez d'un logiciel antivirus et que celui-ci est à jour. « Il n’est pas rare de voir des logiciels antivirus qui n’ont pas été mis à jour depuis 10 ans », explique-t-il.
[À lire également : On ne peut pas faire face aux menaces de demain avec la mentalité d'hier]
Les solutions existantes d'évaluation des risques présentent généralement des lacunes dans leur analyse des données de sécurité internes. « Elles ont du mal à fournir aux organisations des informations précises et en temps opportun sur l’ensemble de leur parc informatique », explique M. Marriott, « mais les données sont incohérentes et ponctuelles », ce qui peut fausser les calculs de risque.
Au contraire, selon Marriott, une solution de gestion des risques informatiques devrait répondre aux critères suivants :
Fournir un ensemble complet de données de sécurité
En s'appuyant sur des informations relatives aux contrôles de sécurité internes, aux vecteurs d'attaque potentiels, aux principales vulnérabilités et aux exigences de conformité, les RSSI sont mieux à même d'identifier les risques et d'affecter leurs ressources aux menaces susceptibles d'avoir le plus grand impact sur leur organisation.
Par exemple, la disparition de l'ordinateur portable d'un cadre supérieur est plus grave que celle de l'ordinateur portable d'un employé débutant. Les meilleurs systèmes mettent en évidence le nombre exact de terminaux nécessitant une correction, ainsi que le niveau de gravité associé à chacun d'entre eux. « Une fois que les équipes de sécurité disposent de ces informations, elles peuvent effectuer des analyses afin de cerner les problèmes à résoudre et de les hiérarchiser pour réduire le niveau de risque », explique M. Marriott.
Permettre une hiérarchisation plus judicieuse
Un score de risque peut donner un aperçu de la santé cybernétique d'une organisation à un moment donné. Mais ce qui est encore plus utile, c'est un score continu et global qui aide une équipe informatique très sollicitée à identifier les tendances en temps réel et à traiter rapidement les risques les plus urgents. « Vous pourriez remettre à quelqu’un une liste de 20 terminaux à gérer, ce qui serait en réalité un nombre raisonnable », explique M. Marriott.
Renforcer le niveau de sécurité de l'entreprise
Les organisations recourant de plus en plus à l’assurance cyber pour compenser les rançons versées aux cybercriminels, les assureurs ont tout intérêt à disposer de preuves attestant de la bonne hygiène informatique de leurs clients . De même, les tiers ont tout intérêt à bien cerner les risques que représentent leurs partenaires de la chaîne d'approvisionnement. Et si le gouvernement venait à créer un Conseil national de la cybersécurité chargé d’enquêter sur les cyberattaques, une évaluation globale pourrait s’avérer utile aux enquêteurs.
Pour l'instant, toutefois, les organisations doivent s'assurer que leur solution d'évaluation des risques s'inscrit dans le cadre de leurs objectifs organisationnels plus larges. Cela permettra aux dirigeants d'entreprise — qu'il s'agisse des membres du conseil d'administration, des cadres supérieurs ou des responsables d'équipes techniques — de comprendre comment un score se traduit par des pertes ou des économies financières.
En fin de compte, une vision commune des résultats opérationnels permettra de garantir qu’une solution d’évaluation des risques offre une feuille de route complète pour prévenir les attaques par ransomware et préserver la résilience opérationnelle.
