Si vous interrogez la plupart des experts en sécurité informatique, ils vous diront que les risques sont omniprésents. Les terminaux non mis à jour, les nouvelles variantes de logiciels malveillants, les attaques de hameçonnage de type « », les services cloud « shadow IT », les ordinateurs portables abandonnés sur des bancs publics… la liste est longue.
Au moins une ou deux fois par an, l'équipe de gestion des risques de votre entreprise sera chargée d'évaluer et de rendre compte des risques au sein de votre organisation d'une manière pertinente pour la direction et le conseil d'administration.
Compte tenu du nombre important de détails techniques qui contribuent au risque, votre équipe pourrait se demander comment aborder ce travail à la fois important et de grande envergure. L'équipe de sécurité de votre entreprise devrait déjà assurer le suivi des variantes de logiciels malveillants et déterminer quels systèmes nécessitent de nouveaux correctifs. Mais est-ce bien ces chiffres qui intéressent votre équipe de direction et votre conseil d'administration ? Si ces chiffres fluctuent d'un trimestre à l'autre, votre équipe fait-elle du bon travail ? Si vous le pensez, le conseil d'administration le pensera-t-il aussi ?
La véritable question est plutôt la suivante : comment évaluer le risque de manière à aider les dirigeants de votre organisation ? Ou, pour le dire autrement : comment mesurez-vous le risque afin que les dirigeants de votre organisation puissent d'abord comprendre ce qui est pertinent en matière de risque, puis prendre les bonnes décisions pour le réduire ?
Dans cet article, je vous présente les meilleures pratiques permettant d'évaluer les risques d'une manière pertinente pour la direction. C'est par là que nous allons commencer : au sommet de l'organisation, avec les objectifs que les dirigeants de votre organisation ont jugés les plus urgents.
Évaluer les risques qui comptent pour vos dirigeants
Mettons de côté la question du risque un instant et parlons plutôt du travail de l'équipe de direction et du conseil d'administration. Ils sont chargés de définir l'orientation stratégique de votre organisation. Cela implique notamment de veiller à ce que les décisions et les investissements pris aux échelons inférieurs de la direction s'inscrivent dans la stratégie globale de votre entreprise.
Quel que soit votre secteur d'activité, ces objectifs généraux comprendront très certainement :
- Continuité des activités
- Confidentialité, intégrité et disponibilité des données (CIA des données)
- Conformité réglementaire
Examinons-les un par un.
Évaluation des risques liés à la continuité d'activité
La continuité d'activité consiste à maintenir l'entreprise en marche, à garantir la productivité des collaborateurs, à assurer le bon déroulement des opérations de production et d'expédition (le cas échéant) et à veiller à ce que tout autre type d'activité — qu'il s'agisse de l'extraction de pétrole ou de la fourniture d'un produit SaaS — continue de fonctionner, quoi qu'il arrive.
Cette catégorie comprend la reprise après sinistre. Cela implique également de veiller à ce que les services informatiques essentiels à l'activité disposent d'une capacité suffisante pour prendre en charge tous les utilisateurs, qu'il s'agisse des collaborateurs, des clients ou des partenaires.
La continuité des activités implique également que ces services soient capables de résister à des menaces de sécurité telles que les attaques DDoS de type « » (s'ouvre dans un nouvel onglet), et que des erreurs de configuration ou d'autres erreurs de gestion informatique n'empêchent jamais les collaborateurs d'accéder aux applications et aux ressources informatiques dont ils ont besoin.
Évaluation des risques liés à la confidentialité, à l'intégrité et à la disponibilité des données
Dans tous les secteurs d’activité, on reconnaît l’importance des données — c’est le «nouveau pétrole (s’ouvre dans un nouvel onglet) » de l’économie numérique — ainsi que l’urgence de les protéger. Les organisations ont toujours pris certaines mesures pour préserver la confidentialité des données et veiller à ce qu'elles ne soient accessibles qu'aux utilisateurs autorisés.
Mais le défi que représente la sécurisation des données s'est accru. D'une part, les données sensibles sont désormais consultées depuis un nombre d'endroits plus important que jamais. Cela s’explique, en partie, par le fait que les télétravailleurs ont de plus en plus souvent recours à leurs propres appareils (BYOD) plutôt qu’aux ordinateurs portables et de bureau testés et mis à disposition par leur service informatique.
Il est difficile de surveiller l'état de sécurité de ces terminaux, car les outils de sécurité utilisés par la plupart des organisations ont été conçus pour fonctionner principalement avec des terminaux situés sur un réseau local.
Par ailleurs, les entreprises s'appuient de manière stratégique sur les données en adoptant de nouvelles approches. Cela implique notamment de créer de nouveaux produits et services en combinant des données internes et externes. Cela se traduit par l'émergence d'un nouveau poste au sein de l'équipe de direction, celui de directeur des données (CDO), ce qui témoigne de l'importance croissante des données pour l'orientation stratégique et la situation financière de l'entreprise.
D'une manière ou d'une autre, chaque organisation, quel que soit son secteur d'activité, devra garantir la confidentialité, l'intégrité et la disponibilité des données (s'ouvre dans un nouvel onglet) (ou, comme on l'appelle dans certains milieux informatiques, le « CIA des données »).
Évaluation des risques liés à la conformité réglementaire
Lorsque l'on évoque la protection des données, on pense naturellement à des réglementations telles que (RGPD) (s'ouvre dans un nouvel onglet) et (loi HIPAA) (s'ouvre dans un nouvel onglet), qui imposent toutes deux la protection des données à caractère personnel.
Mais il existe également d'autres réglementations, qui couvrent tous les domaines, de l'information financière à la discrimination raciale. Ce sont des réglementations qu'aucune organisation ne peut se permettre d'enfreindre. Tout manquement à ces obligations peut entraîner des amendes lourdes, la résiliation de contrats et une mauvaise publicité qui perdurera pendant des années.
Par exemple, une étude britannique (s'ouvre dans un nouvel onglet) a révélé que les pertes cumulées résultant d'une sanction réglementaire représentaient neuf fois le montant de l'amende réglementaire elle-même. Peu d'entreprises prendraient sciemment un risque d'une telle ampleur.
Pour évaluer efficacement le risque de non-conformité, vous devez savoir quelles réglementations s'appliquent à votre organisation. Vous devrez ensuite recenser les actifs informatiques et les processus qui permettront de déterminer si votre entreprise est en conformité.
Cadrer le risque au regard des objectifs stratégiques
Pour attirer l'attention des dirigeants de votre organisation, présentez votre analyse des risques et de leur évaluation en la replaçant dans le contexte de leurs principaux objectifs stratégiques.
Après tout, leur mission consiste à veiller à ce que votre organisation atteigne ses objectifs fondamentaux en matière de continuité d'activité, de protection des données et de conformité réglementaire. Bien sûr, elles pourraient également amener l'entreprise à atteindre d'autres objectifs, tels que la croissance annuelle du chiffre d'affaires ou le développement de la culture d'entreprise.
Et lorsque ces dirigeants se réunissent, ce sont ces objectifs qui occupent leurs pensées. C'est pourquoi il est si important que vous replaciez vos risques informatiques dans le contexte de la stratégie de l'organisation.
En résumé
J'ai commencé cet article en soulignant que le risque est omniprésent. Mais si vous vous concentrez sur les objectifs stratégiques de votre organisation, vous n'aurez pas besoin de passer du temps à répertorier tous les indicateurs possibles en matière de sécurité informatique ou de conformité. Vous pouvez plutôt vous concentrer sur la mesure des indicateurs qui reflètent les risques susceptibles d'empêcher votre entreprise d'atteindre ses objectifs les plus ambitieux.
Dans les prochains articles de cette série, les experts en risques de Tanium vous expliqueront plus en détail comment évaluer les risques et en rendre compte à la direction de votre entreprise.
Pour l'instant, toutefois, vous pouvez pousser un soupir de soulagement. Vous n'avez pas besoin de constituer une vaste collection de feuilles de calcul permettant de suivre tous les indicateurs possibles en matière de sécurité et de conformité pour l'ensemble de vos systèmes informatiques et de vos processus opérationnels.
Au contraire, lorsque vous évaluez les risques, vous disposez désormais d'une liste d'objectifs classés par ordre de priorité sur laquelle vous pouvez vous appuyer. Il vous reste encore du travail à faire, mais désormais, vos efforts sont mieux ciblés. Et vos rapports auront davantage de chances d'être compris par les dirigeants qui définissent l'orientation de votre organisation.
Découvrez comment Tanium peut vous aider à améliorer la visibilité des données et à réduire les risques. (s'ouvre dans un nouvel onglet)
