En nous attachant à examiner les principales évolutions de l'année 2017 en matière de cybersécurité et d'opérations informatiques, nous avons identifié trois facteurs majeurs qui, selon nous, influenceront les entreprises des secteurs public et privé dans les années à venir. Et nous vous proposons, dans le module 2018, des mesures concrètes que vous pouvez mettre en œuvre au sein de vos propres organisations pour faire face à ces forces.
(Image : Mohamed Hassan / Pixabay)
Que serait un bilan de fin d'année sans évoquer les ransomwares, l'Internet des objets et les acteurs malveillants soutenus par des États ? Tous ces éléments ont eu un impact considérable sur la vie des professionnels de la cybersécurité et des opérations informatiques en 2017, et continueront d'exercer une influence majeure sur nos vies au cours de l'année à venir. Bon, nous en avons parlé.
Si vous recherchez une liste exhaustive de technologies, Forbes ne néglige aucun aspect avec ses 60 prévisions en matière de cybersécurité pour 2018. Ces tour d'horizon des technologies sont utiles pour vous aider à orienter vos décisions en matière de planification et d'achat. Mais alors que nous nous apprêtions à passer en revue les principales évolutions de l'année 2017 en matière de cybersécurité et d'opérations informatiques, nous avons constaté que trois facteurs majeurs étaient à l'œuvre cette année, témoignant de changements organisationnels et comportementaux significatifs. Nous pensons que ces facteurs influenceront les décisions en matière d'exploitation informatique et de cybersécurité prises par les entreprises des secteurs public et privé pendant de nombreuses années encore. Nous vous expliquons ici pourquoi ces questions sont importantes et vous proposons des mesures concrètes que vous pourrez mettre en œuvre au sein de votre propre organisation au cours de l'année à venir.
Les trois moteurs de la cybersécurité et des opérations informatiques en 2017
1. Application de correctifs
L'une des tâches les moins attrayantes des opérations informatiques s'est retrouvée sous les feux de l'actualité cette année, après qu'une série d'attaques par ransomware a paralysé des organisations partout dans le monde. Cependant, ce qui passe facilement inaperçu au milieu de toutes ces accusations et de tout ce tapage, c’est le fait que la mise à jour de l’ est difficile : (s’ouvre dans un nouvel onglet). Même nos meilleures intentions sont souvent contrecarrées par un phénomène aussi ancien que l'humanité elle-même : la peur du changement (s'ouvre dans un nouvel onglet). Comme le souligne Fahmida Y. Rashid, rédactrice en chef, dans CSO Online : « Les organisations disposent de systèmes hérités et nombre d'entre elles ont réalisé, au fil des ans, des investissements considérables dans des systèmes et des équipements pour lesquels il n'existe pas de correctifs. » Les migrations ne constituent pas toujours la solution, et le secteur de la sécurité doit faire preuve de plus de créativité pour trouver des moyens de collaborer avec les organisations afin de moderniser les systèmes obsolètes ou de mettre en place des mesures de protection pour préserver les systèmes existants. « L'organisation est soumise à des restrictions quant à l'utilisation qu'elle peut faire de ses fonds, ce qui nécessite de trouver d'autres idées créatives pour s'en sortir avec des ressources limitées. »
Les cloisonnements organisationnels n'arrangent certainement pas les choses. Dans la plupart des organisations, les équipes chargées des opérations informatiques et de la cybersécurité opèrent au sein d'unités opérationnelles distinctes et séparées, et relèvent de responsables différents au sein de l'entreprise, ce qui rend difficile l'obtention de la vision globale du réseau nécessaire pour déjouer les futures attaques. Si nous, en tant que secteur, souhaitons avoir la moindre chance de mener un combat à la hauteur face à une force redoutable, nous devons commencer par faire tomber les barrières organisationnelles entre les opérations informatiques et la sécurité. Chez Tanium, nous mettons en pratique ce que nous prônons. Nos équipes informatiques et de sécurité sont regroupées au sein d'une même structure, dirigée par notre responsable de la sécurité. Ce n'est pas le cas dans la plupart des organisations. En réalité, les liens hiérarchiques varient considérablement et il ne semble pas y avoir de norme claire en la matière. More than four in 10 respondents to the PwC 2018 Global State of Information Security Survey (opens in a new tab), which polled 9 500 executives in 122 countries, said their CISO reports to their CEO, while 22% said the CISO reports directly to the board. Environ un quart (24 %) ont déclaré que leur RSSI relevait du DSI. Même si préconiser un changement organisationnel à grande échelle peut sembler utopique, nous pensons que les équipes chargées des opérations informatiques et de la sécurité auraient tout intérêt à collaborer plus étroitement, quelle que soit leur hiérarchie. Un premier pas consisterait à ce que les membres des équipes chargées de l'exploitation informatique et de la sécurité commencent à collaborer sur les choix technologiques qui répondent aux besoins des deux groupes.
Ce que vous pouvez faire à ce sujet :
L'amélioration de la collaboration entre les équipes informatiques et celles chargées de la cybersécurité n'est pas la solution miracle aux problèmes liés à l'application des correctifs auxquels les entreprises sont confrontées, mais elle contribue grandement à faciliter ce processus. En vous attachant à favoriser un esprit de collaboration permanente, vous et vos collègues pourrez plus facilement maintenir vos applications et vos appareils à jour, et assurer la sécurité des données et des collaborateurs de votre entreprise. Recherchez des projets intéressants, dont les objectifs correspondent aux vôtres, et auxquels vous pourriez collaborer. Trouvez des moyens de mettre en place de meilleurs mécanismes de communication interorganisationnels. Élaborer des méthodes favorisant les échanges entre les équipes. Vous constaterez peut-être, par exemple, que vos collègues du service informatique souhaitent s'impliquer davantage dans le domaine de la cybersécurité, car cela leur permet de sortir un peu de leurs rôles habituels. De même, si vous passez tout votre temps au sein d'une équipe chargée de la cybersécurité, une expérience au sein du service des opérations informatiques pourrait vous aider à comprendre les défis auxquels ces collègues sont confrontés.
2. Le conseil d'administration
Ce qui fait de la réunion n° 2017 un tournant décisif en matière de cybersécurité et au sein du conseil d'administration, c'est le changement notable observé dans la nature des questions posées par les membres du conseil. Au cours des dernières années, des violations de données très médiatisées – ainsi que leur impact sur les résultats financiers – ont incité les conseils d'administration à accorder à la cybersécurité une attention qu'ils ne lui accordaient pas auparavant. Comme l’écrit Julliette Rizkallah, directrice marketing de Sailpoint, , dans un article publié dans Forbes (s’ouvre dans un nouvel onglet) : « Nous avons parcouru un long chemin depuis l’époque où les membres du conseil d’administration se demandaient : « Sommes-nous en sécurité ? » Ils demandent désormais des tableaux de bord permettant d'évaluer le niveau de sécurité de l'entreprise. Ils posent également davantage de questions concernant la réglementation et la manière dont les contrôles de sécurité peuvent contribuer à démontrer la conformité. « D’ici peu, nous verrons des conseils d’administration exiger des rapports trimestriels sur la cybersécurité – dont certains seront présentés directement par le RSSI – plutôt que de se contenter des mises à jour ponctuelles fournies par le comité de sécurité de l’entreprise. »
En effet, la cybersécurité figure parmi les cinq principales tendances qui devraient avoir le plus d'impact sur les entreprises en 2018, selon une enquête menée auprès de 587 administrateurs d'entreprise par l'Association nationale des administrateurs d'entreprise (NACD). Selon la NACD, les conseils d'administration se montrent moins confiants quant à leur état de préparation face aux risques cybernétiques qu'il y a un an. Seuls 37 % des personnes interrogées se disent confiantes ou très confiantes quant au fait que leur entreprise est correctement protégée contre une cyberattaque, contre 42 % l'année dernière.
C'est souvent au RSSI ou au responsable de la sécurité d'une entreprise qu'il revient de sensibiliser le conseil d'administration (s'ouvre dans un nouvel onglet) aux questions de cybersécurité, ce qui peut s'avérer une tâche difficile et intimidante. On a tendance, par défaut, à se concentrer sur les techniques et les technologies, tandis que les principaux facteurs commerciaux – notamment la manière dont les cloisonnements organisationnels entravent la mise en œuvre de pratiques efficaces en matière de cybersécurité – ne sont pas abordés. Le cabinet d'études Gartner prévoit que les entreprises du monde entier dépenseront au total 89,1 milliards de dollars en cybersécurité (s'ouvre dans un nouvel onglet) d'ici la fin de l'année, ces dépenses devant augmenter de 8 % pour atteindre 96,3 milliards de dollars en 2018. Par ailleurs, une enquête menée par Ernst & Young auprès de 1 200 dirigeants d'entreprise du monde entier révèle que la grande majorité des personnes interrogées estiment que leur organisation doit augmenter ses dépenses en matière de cybersécurité de 50 %. Pourtant, seuls 12 % des personnes interrogées s'attendent à ce que leur budget consacré à la cybersécurité augmente de plus de 25 %. Cela pourrait indiquer un manque de volonté de la part des entreprises d'augmenter leurs dépenses en matière de cybersécurité. En effet, une enquête menée par la Society of Information Management auprès de 1 178 professionnels de l'informatique révèle que, bien que les responsables informatiques aient désigné la cybersécurité comme le principal enjeu informatique pour leurs organisations cette année, les dépenses consacrées à la cybersécurité, exprimées en pourcentage des budgets informatiques, ont diminué en 2017. Les dépenses en matière de cybersécurité représentent 5,3 % du budget informatique cette année, contre 6,2 % en 2016).
Alors, qu'est-ce qui va inciter les entreprises à accroître leurs investissements dans la cybersécurité ? Plus des trois quarts des personnes interrogées dans le cadre de l'enquête EY (76 %) affirment que la découverte d'une violation ayant entraîné des dommages serait susceptible d'entraîner une augmentation des ressources allouées à la cybersécurité. Les dommages semblent être le facteur déterminant dans ce contexte ; 64 % des personnes interrogées ont déclaré qu’une attaque qui ne semblait pas avoir causé de préjudice aurait peu de chances d’entraîner une augmentation du budget de cybersécurité de l’organisation.
Bien que les organisations aient réalisé des progrès cette année pour faire évoluer la nature des discussions sur la cybersécurité menées au sein des conseils d'administration, il reste encore un long chemin à parcourir avant que la cybersécurité ne soit prise au sérieux en tant que priorité stratégique par la majorité des conseils d'administration. Only 44% of respondents to the PwC 2018 Global State of Information Security Survey say their corporate boards actively participate in their companies’ overall security strategy. Selon Gartner (s'ouvre dans un nouvel onglet), « Les responsables de la sécurité ont désormais davantage la responsabilité de replacer leur travail dans un contexte métier. » En l'absence de communication, il existe un décalage entre la sécurité et ce qui se passe dans le reste de l'organisation. C'est dans ce contexte que l'on assiste à l'émergence de phénomènes tels que l'informatique parallèle. « Grâce à cette harmonisation, l'organisation réussira ou échouera collectivement, ce qui la placera dans une meilleure position que celles qui fonctionnent en silos. »
Ce que vous pouvez faire à ce sujet :
Identifier les indicateurs pertinents à communiquer à votre conseil d'administration constitue l'un des principaux défis auxquels sont confrontés les responsables de la cybersécurité. Démontrer le retour sur investissement des investissements en cybersécurité est plus facile à dire qu'à faire, surtout lorsque les indicateurs doivent être en lien avec l'activité de l'entreprise. Bien sûr, vous pouvez dire que le produit X nous a permis de détecter et de corriger la vulnérabilité Y 30 % plus rapidement que la solution précédente. C'est bien, mais cela n'aura aucune importance pour votre conseil d'administration. La solution de secours consiste à mesurer tout ce qui vous vient à l'esprit, puis à laisser le conseil d'administration faire le tri. Cela non plus n'a aucune importance pour votre conseil d'administration. C'est à vous d'analyser ce que vous partagez et de vous assurer que cela s'inscrit dans le cadre d'une réelle valeur ajoutée pour l'entreprise. Dans un article publié dans CSO, Rick Howard, directeur de la sécurité informatique (CSO) chez Palo Alto Networks, recommande de s'appuyer sur des concepts économiques tels que le manque à gagner, les coûts liés à la conduite de l'enquête technique sur l'attaque et à la réparation des dommages causés, ainsi que les frais liés à la défense contre les poursuites judiciaires intentées par les clients, afin de replacer vos efforts en matière de cybersécurité dans leur contexte. Une première étape consiste à collaborer avec vos interlocuteurs des services informatiques et métier afin d’identifier les indicateurs de performance les plus pertinents pour votre organisation, puis à déterminer comment vous pouvez établir un lien entre vos investissements en cybersécurité et ces indicateurs. Lorsqu’il s’agit d’évaluer l’efficacité de votre stratégie de cybersécurité, il n’existe pas de réponse universelle, et c’est à vous qu’il revient de mobiliser les collaborateurs à votre disposition pour vous aider à déterminer ce qui est le plus pertinent pour votre conseil d’administration.
3. Protection des données
Le règlement général sur la protection des données de l’Union européenne (s’ouvre dans un nouvel onglet) (RGPD), qui entrera en vigueur en mai 2018, a déjà un impact majeur cette année sur la manière dont les organisations envisagent la protection des données. Toute entreprise exerçant ses activités dans l'Union européenne — quel que soit son lieu d'implantation — devra se conformer au règlement (s'ouvre dans un nouvel onglet), qui modifie les modalités d'utilisation des données à caractère personnel par les entreprises et les pouvoirs publics. Tout manquement à cette obligation pourrait entraîner des amendes pouvant atteindre 4 % du chiffre d'affaires mondial. Un projet de loi présenté au Parlement britannique en septembre viserait à s'aligner sur le RGPD (s'ouvre dans un nouvel onglet).
Les enjeux étant si importants, le RGPD a déclenché une course effrénée parmi les fournisseurs de technologies, les prestataires de services de tous horizons commercialisant toutes sortes d'outils promettant d'alléger les contraintes liées à la mise en conformité. La quantité de désinformation ( , FUD) concernant le RGPD (s'ouvre dans un nouvel onglet) est considérable, et ce à juste titre. Non seulement cette réglementation va modifier la manière dont les organisations mènent leurs actions marketing en ligne auprès des consommateurs, mais elle modifie également la manière dont elles sont tenues de réagir en cas de violation de données.
Le RGPD prévoit une nouvelle règle relative à la notification des violations dans un délai de 72 heures, (s'ouvre dans un nouvel onglet), ce qui exerce une pression considérable sur les équipes informatiques et de cybersécurité. Les entreprises qui ne respecteront pas le délai de 72 heures s'exposent à une amende pouvant atteindre 2 % de leur chiffre d'affaires mondial. Ce règlement met également en œuvre des exigences en matière de localisation des données qui concerneront toute entreprise utilisant le cloud pour exercer ses activités dans l'Union européenne.
Selon The National Law Review, « La définition d’une violation de données au sens du RGPD est plus large que celle prévue par la plupart des législations des États américains. » En vertu du RGPD, on parle de « violation de données » lorsque la confidentialité, la disponibilité et l'intégrité des données sont compromises. Cela peut être provoqué par tout événement affectant, même temporairement, la disponibilité des données, comme un ransomware ou une coupure de courant. De même, la définition des « données à caractère personnel » au sens du RGPD est nettement plus large que celle prévue par la législation américaine et englobe toute information pouvant servir, directement ou indirectement, à identifier une personne physique, y compris les adresses IP et les mots de passe réseau. »
Du point de vue des politiques publiques, ce règlement met en évidence des divergences fondamentales dans la manière dont les autorités de l'Union européenne et des États-Unis appréhendent la protection de la vie privée. Les entreprises membres de l'UE considèrent la vie privée comme un droit fondamental de l'homme, et c'est cette philosophie qui guide la législation. Les États-Unis n'élaborent pas leur législation en partant du principe que la vie privée est un droit humain fondamental. Selon la revue « National Law Review » (s'ouvre dans un nouvel onglet), « Plutôt que d’élaborer une réglementation globale et fondamentale en matière de protection de la vie privée, les États-Unis ont tendance à adopter des lois sur la protection de la vie privée lorsque le besoin s’en fait sentir. » Aux États-Unis, les réglementations en matière de protection de la vie privée sont généralement spécifiques à chaque secteur (HIPAA (s'ouvre dans un nouvel onglet) pour le secteur de la santé, et GLBA (s'ouvre dans un nouvel onglet) et FCRA (s'ouvre dans un nouvel onglet) pour les informations financières) et sont parfois régies par des normes sectorielles plutôt que par une réglementation gouvernementale, comme c'est le cas avec PCI-DSS (s'ouvre dans un nouvel onglet) dans le secteur des cartes de paiement.
La préparation au RGPD offre aux équipes informatiques et de sécurité l'occasion de commencer à trouver des moyens de collaborer et de travailler ensemble afin d'éliminer les cloisonnements au sein de l'organisation. Il est difficile d’imaginer qu’une organisation puisse se conformer correctement au RGPD sans un effort concerté à l’échelle de l’entreprise, qui mobilise non seulement les équipes informatiques et de cybersécurité, mais rassemble également des collaborateurs issus des services de gouvernance, de gestion des risques et de conformité, du service juridique, du marketing et des opérations numériques, entre autres.
Ce que vous pouvez faire à ce sujet :
Si les obligations en matière de notification des violations et de mesures correctives constituent les aspects les plus évidents de l’impact du RGPD sur le quotidien des professionnels de la cybersécurité et de l’informatique, il ne faut pas pour autant négliger les exigences strictes du règlement en matière de confidentialité et de protection des données. Par exemple, une note d'information de Forrester Security intitulée « » et consacrée au RGPD (s'ouvre dans un nouvel onglet) souligne qu'en vertu des nouvelles règles, « les entreprises doivent prendre en compte la protection de la vie privée dès le début de tout nouveau projet et veiller à ce que les mesures de sécurité appropriées soient mises en place tout au long des différentes phases de développement ». Cela nécessitera une collaboration soutenue entre les équipes. Imaginons donc que votre entreprise développe une nouvelle application. Vos experts en sécurité et en protection de la vie privée devront collaborer avec l'équipe marketing afin de définir les exigences métier et le plan de développement, de manière à garantir la conformité avec la nouvelle réglementation. De même, le RGPD instaure de nouvelles règles régissant les modalités de transfert des données à caractère personnel entre entreprises. La définition des « données à caractère personnel » a été élargie (s'ouvre dans un nouvel onglet) : en vertu des nouvelles règles, elle inclut désormais les identifiants directs (nom, numéro d'identification, adresse postale), les identifiants indirects (date de naissance, lieu de résidence, titre) et les identifiants en ligne (adresses IP, comptes sur les réseaux sociaux, adresses e-mail, numéros de compte et cookies de navigateur). Il est temps que les équipes informatiques et de cybersécurité commencent à collaborer afin de s'assurer qu'elles savent où se trouvent toutes ces données au sein de l'entreprise, comment elles sont utilisées et comment elles sont protégées.
En résumé
Qu'ont en commun la mise en œuvre réussie de correctifs, une communication efficace avec votre conseil d'administration et la préparation à de nouvelles réglementations ? Ils bénéficient tous d'une collaboration plus étroite entre les équipes informatiques et celles chargées de la sécurité. Si vous devez prendre une seule résolution professionnelle pour 2018, que ce soit celle-ci : travailler en étroite collaboration avec vos collègues de l'ensemble de l'organisation afin de vous assurer que vous mettez tout en œuvre pour que la cybersécurité et les opérations informatiques œuvrent à la réalisation de l'objectif commun, à savoir garantir la sécurité et la protection des données de votre entreprise.
Vous souhaitez découvrir Tanium en action ? Prenez rendez-vous pour une démonstration individuelle ou participez à notre webinaire hebdomadaire. Venez échanger avec nos experts Tanium lors de nos prochains événements organisés dans le cadre de l' :.
À propos de l'auteur : En tant que directeur de la sécurité, David Damato définit l'orientation stratégique des produits en matière de développement de modules pour la plateforme Tanium et gère le programme de sécurité interne de l'entreprise. David apporte à Tanium une grande expertise en matière de sécurité, couvrant notamment la gestion des incidents et l'analyse forensique, les évaluations de vulnérabilité, l'élaboration de programmes de sécurité, les opérations de sécurité, ainsi que l'architecture réseau et de sécurité. Avant de rejoindre Tanium, David occupait plus récemment le poste de directeur général chez Mandiant, une société du groupe FireEye, où son équipe a dirigé les opérations de réponse aux incidents et de remédiation après une violation de données au sein de plus de 100 entreprises du classement Fortune 500 . Chez Mandiant, David a également joué un rôle déterminant dans le développement de nouvelles capacités en matière de services de gestion des incidents et dans la création de bureaux de conseil tant en France qu'à l'étranger. Avant de rejoindre Mandiant, David a dirigé des équipes de conseil en sécurité chez PwC au sein de son pôle « Washington Federal Practice » et a occupé divers postes dans le domaine informatique chez Raytheon, où il s'est principalement consacré à la gestion des réseaux internes et gouvernementaux. David partage régulièrement son expertise et ses réflexions lors d'événements professionnels et auprès des médias.
