Alors que nous nous apprêtions à examiner les principaux développements de la cybersécurité et des opérations informatiques de 2017, nous avons identifié trois forces majeures qui, selon nous, influenceront les entreprises des secteurs public et privé pour les années à venir. Et nous fournissons des éléments d’action que vous pouvez prendre dans vos propres organisations pour répondre à ces forces en 2018.
(Image : Mohamed Hassan / Pixabay)
Quelle serait la conclusion de fin d’année sans mentionner les rançongiciels, l’Internet des objets et les acteurs malveillants nationaux ? Tous ces éléments ont affecté la vie des professionnels de la cybersécurité et des opérations informatiques à des degrés significatifs en 2017, et continueront d’exercer une influence majeure sur nos vies au cours de l’année à venir. D’accord, nous les avons mentionnés.
Si vous recherchez une liste de toutes les technologies, Forbes ne laisse aucun doute avec ses 60 prédictions de cybersécurité pour 2018. De tels rapprochements technologiques sont utiles pour vous aider à guider vos décisions de planification et d’achat. Mais alors que nous nous apprêtions à prendre en compte les développements majeurs de la cybersécurité et des opérations informatiques de 2017, nous avons réalisé qu’il y avait trois forces majeures en jeu cette année qui parlent de changements organisationnels et comportementaux importants. Nous pensons que ces forces influenceront les décisions en matière d’opérations informatiques et de cybersécurité prises par les entreprises des secteurs public et privé pour les années à venir. Ici, nous soulignons pourquoi ces éléments sont importants et fournissons des suggestions d’actions que vous pouvez prendre dans votre propre organisation au cours de l’année à venir.
Trois forces qui stimulent la cybersécurité et les opérations informatiques en 2017
1. Correctif
L’une des tâches les moins sexy des opérations informatiques a été catapultée en une attention générale cette année après une série d’attaques de ransomware paralysant des organisations du monde entier. Cependant, la perte aisée parmi tous les signaux et bruits est le fait que l’application de correctifs est difficile. Même nos meilleures intentions sont souvent déraillées par quelque chose d’aussi ancien que l’humanité elle-même : la peur du changement. Comme l’écrivain principal Fahmida Y. Rashid le note dans CSO Online : « Les organisations ont des systèmes existants et beaucoup ont réalisé d’énormes investissements au fil des ans dans des systèmes et des équipements inégalables. Les migrations ne sont pas toujours la réponse, et le secteur de la sécurité doit être plus créatif pour trouver des moyens de travailler avec les organisations sur la mise à niveau des systèmes obsolètes ou la mise en place de mesures de protection pour protéger ce qui est en place. Il existe des restrictions sur ce que l’organisation peut faire avec ses fonds, ce qui nécessite un autre ensemble d’idées créatives sur la manière de faire avec des ressources limitées. »
Les silos organisationnels ne sont certainement pas utiles. Dans la plupart des organisations, nous voyons les équipes chargées des opérations informatiques et de la cybersécurité fonctionner dans des unités commerciales distinctes et distinctes, et rendre compte à différents dirigeants d’entreprise, ce qui rend difficile l’obtention du type de vue holistique du réseau nécessaire pour contrecarrer les futures attaques. Si nous, en tant qu’industrie, avons l’espoir de mener une lutte digne contre une force formidable, nous devons commencer par éliminer les barrières d’entreprise entre les opérations informatiques et la sécurité. Chez Tanium, nous mettons en pratique ce que nous prêchons. Nos équipes informatiques et de sécurité sont regroupées dans la même organisation, dirigée par notre directeur de la sécurité. Ce n’est pas le cas dans la plupart des organisations. En fait, les lignes hiérarchiques varient largement et il ne semble pas y avoir de norme claire. Plus de quatre répondants sur 10 à l’ enquête PwC 2018 Global State of Information Security, qui a interrogé 9 500 cadres dans 122 pays, ont déclaré que leur RSSI rendait compte à leur PDG, tandis que 22 % ont déclaré que le RSSI rendait compte directement au conseil d’administration. Environ un quart (24 %) a déclaré que leur RSSI rendait compte au DSI. Bien que la demande de changement organisationnel à grande échelle puisse sembler exotique, nous pensons que les équipes chargées des opérations informatiques et de la sécurité feraient bien de travailler plus étroitement ensemble, quelle que soit la structure hiérarchique. Un point de départ consiste pour les membres des équipes chargées des opérations informatiques et de la sécurité à commencer à collaborer sur les choix technologiques qui répondent aux besoins des deux groupes.
Ce que vous pouvez faire à ce sujet :
Améliorer la collaboration entre les équipes informatiques et de cybersécurité n’est pas une panacée pour les dilemmes liés aux correctifs auxquels les organisations sont confrontées, mais cela contribue grandement à lisser le processus. Travailler pour favoriser un esprit de collaboration continue vous permettra, à vous et à vos collègues, de maintenir vos applications et appareils à jour, et de protéger les données et les employés de votre entreprise. Recherchez de bons projets avec des objectifs partagés sur lesquels vous pouvez collaborer. Trouvez des moyens de créer un meilleur mécanisme de communication inter-organisationnel. Développez des approches pour la pollinisation croisée entre les équipes. Vous pouvez trouver que vos collègues informatiques, par exemple, souhaitent en faire plus dans l’espace de la cybersécurité, car cela leur donne une pause par rapport à leurs rôles traditionnels. De même, si vous consacrez tout votre temps à une équipe de cybersécurité, un contact avec les opérations informatiques pourrait vous aider à comprendre les défis auxquels ces collègues sont confrontés.
2. Le conseil d’administration
Ce qui fait de 2017 un bassin hydrographique lorsqu’il s’agit du sujet de la cybersécurité et du conseil d’administration est le changement marqué dans les types de questions que les membres du conseil posent. Au cours des dernières années, les violations de profil hIgh et leur impact sur les résultats ont incité les conseils d’administration à commencer à prêter attention à la cybersécurité d’une manière qu’ils n’avaient pas faite auparavant. Comme l’ écrit Julliette Rizkallah, directrice marketing de Sailpoint, dans Forbes : « Nous avons parcouru un long chemin depuis l’époque où les membres du conseil d’administration se demandaient : Sommes-nous en sécurité ? Ils demandent désormais des tableaux de bord qui mesurent la posture de sécurité de l’entreprise. Ils posent également plus de questions liées aux réglementations et à la manière dont les contrôles de sécurité peuvent aider à démontrer la conformité. Bientôt, nous verrons des conseils d’administration exigeant des briefings trimestriels sur la cybersécurité, certains directement présentés par le RSSI, plutôt que de s’appuyer sur la mise à jour occasionnelle du comité de sécurité de l’entreprise. »
En effet, la cybersécurité est l’une des cinq principales tendances qui devraient avoir le plus grand effet sur les entreprises en 2018, selon une enquête menée auprès de 587 directeurs d’entreprise par la National Association of Corporate Directors (NACD). Selon NACD, les conseils d’administration sont moins confiants quant à la préparation aux cyber-risques qu’il y a un an. Seuls 37 % des répondants déclarent se sentir confiants ou très confiants que leur entreprise est correctement sécurisée contre une cyberattaque, contre 42 % l’année dernière.
Il incombe souvent au RSSI ou au RSSI d’une entreprise d’ éduquer le conseil d’administration sur la cybersécurité, ce qui peut être une tâche difficile et intimidante. La valeur par défaut est de parler des techniques et des technologies, tandis que les facteurs commerciaux majeurs, y compris la manière dont les silos organisationnels limitent les pratiques de cybersécurité efficaces, ne sont pas explorés. Le cabinet de recherche Gartner prévoit que les organisations du monde entier dépenseront 89,1 milliards USD en cybersécurité d ’ici la fin de l’année, les dépenses devant augmenter de 8 % à 96,3 milliards USD en 2018. Une enquête menée par Ernst & Young auprès de 1 200 dirigeants d’entreprise du monde entier révèle que la grande majorité des répondants pensent que leurs organisations doivent augmenter leurs dépenses en cybersécurité de 50 %. Pourtant, seuls 12 % des répondants s’attendent à voir leurs budgets de cybersécurité augmenter de plus de 25 %. Cela peut indiquer un manque de volonté de l’entreprise d’augmenter les dépenses de cybersécurité. En fait, une enquête menée auprès de 1 178 professionnels de l’informatique par la Society of Information Management révèle que, même si les responsables informatiques ont identifié la cybersécurité comme le principal problème informatique pour leurs organisations cette année, les dépenses de cybersécurité en pourcentage des budgets informatiques ont diminué en 2017. Les dépenses de cybersécurité représentent 5,3 % du budget informatique cette année, contre 6,2 % en 2016).
Alors, qu’est-ce qui va faire augmenter les investissements des organisations dans la cybersécurité ? Plus des trois quarts des répondants à l’enquête EY (76 %) déclarent que la découverte d’une violation qui a causé des dommages serait susceptible d’affecter des ressources plus importantes à la cybersécurité. Les dommages semblent être la force motrice ici ; 64 % des personnes interrogées ont déclaré qu’une attaque qui ne semblait pas avoir causé de préjudice serait peu susceptible d’entraîner une augmentation du budget de cybersécurité de l’organisation.
Bien que les organisations aient fait des progrès cette année dans la modification des types de conversations sur la cybersécurité qui se tiennent au niveau du conseil d’administration, nous avons beaucoup de chemin à parcourir avant que la cybersécurité ne soit prise au sérieux comme priorité commerciale par la majorité des conseils d’administration. Seulement 44 % des personnes interrogées dans le cadre de l’enquête PwC 2018 Global State of Information Security déclarent que leurs conseils d’administration participent activement à la stratégie de sécurité globale de leur entreprise. Selon Gartner, « il incombe plus à la sécurité de traduire le travail qu’elle effectue dans un contexte commercial. Sans la communication, il y a un mauvais alignement entre la sécurité et ce qui se passe dans le reste de l’organisation.C’est là que vous voyez l’essor de choses comme l’informatique fantôme. Avec l’alignement, l’organisation se tiendra debout ou tombera ensemble, les mettant dans une meilleure position que ceux qui sont cloisonnés. »
Ce que vous pouvez faire à ce sujet :
Découvrir les bons indicateurs à partager avec votre conseil d’administration est l’un des plus grands défis auxquels les leaders de la cybersécurité sont confrontés. Prouver le retour sur investissement des investissements en cybersécurité est plus facile à dire qu’à faire, en particulier lorsque la mesure doit être liée à l’entreprise. Bien sûr, vous pouvez dire que le produit X nous a permis de trouver et de corriger la vulnérabilité Y 30 % plus rapidement que la solution précédente. C’est agréable, mais cela ne signifiera rien pour votre conseil d’administration. La position de repli consiste à mesurer tout ce que vous pouvez éventuellement penser à mesurer, et à laisser le tableau le trier. Cela ne signifie rien non plus pour votre conseil d’administration. C’est à vous d’analyser ce que vous partagez et de vous assurer qu’il s’agit d’une véritable valeur commerciale. Dans un article pour CSO, Rick Howard, CSO de Palo Alto Networks, recommande d’utiliser des concepts commerciaux tels que la perte de revenus, les coûts pour mener l’enquête légale sur l’attaque et réparer tout dommage causé, et les dépenses de défense contre les poursuites des clients pour mettre vos efforts de cybersécurité en contexte. Un point de départ consiste à collaborer avec vos parties prenantes informatiques et commerciales pour identifier les mesures commerciales qui ont le plus de sens pour votre organisation, puis à travailler sur la manière dont vous pouvez relier vos investissements en cybersécurité à ces mesures. Lorsqu’il s’agit de mesurer l’efficacité de votre stratégie de cybersécurité, il n’y a pas de réponse unique, et il vous incombe de rassembler les collègues disponibles pour vous aider à comprendre ce qui est le plus significatif pour votre conseil d’administration.
3. Protection des données
Le Règlement général sur la protection des données (RGPD) de l’Union européenne, qui entre en vigueur en mai 2018, a déjà un impact majeur cette année sur la manière dont les organisations pensent la protection des données. Toute entreprise faisant des affaires dans l’Union européenne, quel que soit son lieu de résidence, devra se conformer à la réglementation, qui modifie la manière dont les données personnelles peuvent être utilisées par les entreprises et les gouvernements. Le non-respect de cette consigne peut entraîner des amendes allant jusqu’à 4 % du chiffre d’affaires mondial. Un projet de loi présenté au Parlement britannique en septembre refléterait le RGPD.
Avec tant d’enjeux, le RGPD a suscité une prise de terrain parmi les fournisseurs de technologies, les fournisseurs de services de toutes les bandes commercialisant toutes sortes d’outils promettant d’alléger les fardeaux de conformité. La quantité de FUD autour du RGPD est énorme et pour une bonne raison. Non seulement la réglementation changera la manière dont les organisations commercialisent leurs produits auprès des consommateurs en ligne, mais elle changera également la manière dont elles doivent réagir après une violation.
Le RGPD inclut une nouvelle règle de notification des violations de 72 heures, qui exerce une pression importante sur les équipes chargées des opérations informatiques et de la cybersécurité. Ceux qui ne respectent pas la date limite de 72 heures pourraient faire l’objet d’une pénalité pouvant atteindre 2 % de leur chiffre d’affaires mondial. La réglementation met également en œuvre des exigences de localisation des données qui affecteront toute entreprise utilisant le cloud pour faire des affaires dans l’UE.
Selon la National Law Review, « la définition d’une compromission de données en vertu du RGPD est plus large que celle de la plupart des lois d’État américaines. En vertu du RGPD, une compromission des données peut se produire lorsque la confidentialité, la disponibilité et l’intégrité des données sont affectées. Cela peut être déclenché par tout ce qui affecte, même temporairement, la disponibilité des données, comme un ransomware ou une panne de courant. De même, la définition des « données personnelles » en vertu du RGPD est significativement plus large que celle de la loi américaine, et inclut toute information qui peut être utilisée, directement ou indirectement, pour identifier une personne, y compris les adresses IP et les mots de passe réseau. »
Du point de vue de la politique publique, la réglementation met en évidence les principales différences dans la manière dont les autorités de l’UE et des États-Unis perçoivent la confidentialité. Les entreprises membres de l’UE considèrent la confidentialité comme un droit humain fondamental, et cette philosophie guide la législation. Les États-Unis ne légifèrent pas à partir du POV selon lequel la confidentialité est un droit humain fondamental. Selon la National Law Review, « au lieu de créer des réglementations fondamentales générales sur la protection de la vie privée, les États-Unis ont tendance à créer des lois sur la protection de la vie privée lorsqu’un besoin en existe. » Les réglementations sur la protection de la vie privée aux États-Unis ont tendance à être spécifiques au secteur (HIPAA pour les soins de santé, et GLBA et FCRA pour les informations financières) et sont parfois régies par les normes du secteur au lieu de la réglementation gouvernementale, comme c’est le cas avec PCI-DSS dans le secteur des cartes de paiement.
Se préparer au RGPD offre l’opportunité aux équipes chargées des opérations informatiques et de la sécurité de commencer à trouver des moyens de collaborer et de travailler ensemble pour éliminer les silos organisationnels. Il est difficile d’imaginer une organisation répondant de manière adéquate au RGPD sans un effort concerté à l’échelle de l’entreprise qui non seulement attire les équipes informatiques et de cybersécurité, mais rassemble également des personnes issues de la gouvernance, des risques et de la conformité, des opérations juridiques, marketing et numériques, entre autres.
Ce que vous pouvez faire à ce sujet :
Bien que les exigences de notification et de remédiation des violations soient les endroits les plus évidents où le RGPD affectera la vie des professionnels de la cybersécurité et de l’informatique, les exigences strictes de la réglementation en matière de confidentialité et de protection des données ne peuvent pas être négligées. Par exemple, un rapport de sécurité Forrester sur les notes du RGPD en vertu des nouvelles règles, « les entreprises doivent tenir compte de la confidentialité au début de tout nouveau projet et s’assurer que les contrôles de sécurité appropriés sont en place tout au long de toutes les phases de développement. » Cela nécessitera une collaboration soutenue entre les équipes. Supposons que votre entreprise développe une nouvelle application. Vos experts en sécurité et confidentialité devront travailler avec l’équipe marketing pour élaborer les exigences commerciales et le plan de développement afin de s’assurer qu’ils sont conformes à la nouvelle réglementation. De même, le RGPD met en place de nouvelles règles régissant la manière dont les données personnelles peuvent être transférées entre les entreprises. La définition des « données personnelles » s’étend en vertu des nouvelles règles, y compris les identifiants directs (nom, numéro d’identification, adresse du domicile) et indirects (date de naissance, emplacement, titre) et en ligne (adresses IP, comptes de réseaux sociaux, adresses e-mail, numéros de compte et cookies de navigateur). Il est temps pour les équipes informatiques et de cybersécurité de commencer à travailler ensemble pour s’assurer qu’elles comprennent où toutes ces données existent dans l’organisation, comment elles sont utilisées et comment elles sont protégées.
La conclusion
Qu’est-ce qu’un correctif réussi, une communication efficace avec votre conseil d’administration et la préparation aux nouvelles réglementations ont tous en commun ? Ils bénéficient tous d’une collaboration plus étroite entre les équipes informatiques et de sécurité. Si vous prenez une résolution commerciale pour 2018, faites-en cela : travailler plus étroitement avec des collègues de toute l’organisation pour vous assurer que vous faites tout votre possible pour que les opérations informatiques et de cybersécurité travaillent à la protection commune de l’objectif commun de sécurité des données de votre entreprise.
Vous souhaitez voir Tanium en action ? Planifiez une démo individuelle ou participez à notre webinaire hebdomadaire. Discutez avec nos experts Tanium lors de nos prochains événements.
À propos de l’auteur : en tant que directeur de la sécurité, David Damato fournit une orientation stratégique des produits sur le développement de modules pour la Tanium Platform et gère le programme de sécurité interne de l’entreprise. David apporte une expertise approfondie en matière de sécurité à Tanium, couvrant la réponse aux incidents et l’informatique légale, les évaluations des vulnérabilités, le développement de programmes de sécurité, les opérations de sécurité et l’architecture de réseau et de sécurité. Avant Tanium, David a récemment occupé le poste de directeur général chez Mandiant, une société FireEye, où son équipe a dirigé les efforts de réponse aux incidents et de remédiation post-violation dans plus de 100 entreprises du Fortune 500 . Chez Mandiant, David a également joué un rôle essentiel dans le développement de nouvelles capacités de services de réponse aux incidents et dans l’établissement de bureaux de conseil à la fois au niveau national et international. Avant Mandiant, David a dirigé des équipes de conseil en sécurité chez PwC dans le cadre de son cabinet fédéral de Washington et a occupé des postes informatiques chez Raytheon axés sur la gestion des réseaux internes et gouvernementaux. David partage fréquemment son expertise et ses connaissances lors d’événements du secteur et avec les médias.
