Dans « Le Vieux Marin » de Samuel Taylor Coleridge, le personnage se plaignait : « De l'eau, de l'eau partout, et pas une goutte à boire. » Les RSSI d'aujourd'hui sont confrontés au même problème avec les outils de sécurité. Plus ils en ont, moins ils semblent utiles.
« Un nombre accru d'outils risque souvent de brouiller les pistes au lieu d'apporter plus de clarté », met en garde Candy Alexander, membre du conseil d'administration de l'Information Systems Security Association (ISSA). « En tant que professionnels de la cybersécurité, nous répétons depuis des années qu’il nous faut disposer d’une vue d’ensemble unique pour savoir ce qui se passe », déclare Alexander. « Chaque fois qu’un nouvel outil voit le jour, cela signifie une nouvelle vitre à travers laquelle nous devons regarder. »
Il y a deux ans, l'étude « » du Ponemon Institute ( ) a révélé que les entreprises utilisaient en moyenne 45 outils de cybersécurité chacune. Les personnes utilisant plus de 50 outils se sont attribuées une note inférieure de 8 % quant à leur capacité à détecter une attaque.
Compte tenu des défis considérables auxquels sont confrontées les entreprises occidentales, notamment les batailles économiques discrètes avec la Chine et la cyberguerre sans merci avec la Russie, de nombreuses entreprises estiment qu’il est temps que les fournisseurs d’outils collaborent plutôt que d’agir chacun de leur côté. Selon les experts, la multiplication des outils met en évidence la nécessité d'une convergence des solutions. Les temps actuels exigent que l'on agisse.
L'envie de fusionner
Les professionnels de la sécurité en ont assez du casse-tête que représente la prolifération des outils. Les deux tiers des 280 professionnels de la cybersécurité interrogés dans le cadre de l’étude « » (), «Technology Perspectives from Cybersecurity Professionals» () et «», un rapport de recherche publié cette année par l’ISSA et l’Enterprise Strategy Group (ESG), ont estimé que les produits étaient trop complexes et difficiles à utiliser pour en exploiter pleinement le potentiel. Près des trois quarts d'entre eux estimaient que les fournisseurs privilégiaient le battage médiatique au détriment du fond, ce qui les désorientait et donnait l'avantage aux cybercriminels.
Les professionnels de la sécurité affirment vouloir regrouper et intégrer leurs outils à l'aide d'un ensemble de normes ouvertes mondiales de base :
- , soit 77 % des personnes interrogées, souhaiteraient que le secteur et le monde technologique soutiennent davantage les normes ouvertes.
- , soit 84 % des personnes interrogées, estiment que les capacités d'intégration d'un produit sont importantes.
- , soit 83 % des personnes interrogées, estiment que l'interopérabilité future dépend de normes bien établies.
James Lewis, vice-président senior et directeur du programme « Technologies stratégiques » au Centre d’études stratégiques et internationales (CSIS) de l’ , impute cette situation à des défaillances culturelles. Acheter davantage d'outils donne l'impression d'avancer, car cela témoigne d'une action, dit-il, même s'il s'agit d'une avancée malavisée.
Si vous êtes victime d'un piratage via une faille dans Active Directory d' , vous achèterez souvent un outil pour combler cette faille.
« Quand vous vous faites pirater une nouvelle fois, vous achetez un autre outil », dit-il. « Vous pourrez alors vous présenter devant votre conseil d'administration et lui indiquer que vous avez pris des mesures pour remédier au problème, ce qui incitera à poursuivre les achats. »
La situation ne serait pas si grave si les entreprises parvenaient à intégrer efficacement ces outils. L'intégration des produits occupait la deuxième place, juste derrière le coût, parmi les critères d'achat cités par les personnes interrogées dans le cadre de l'enquête ESG/ISSA. Mais toutes les intégrations ne se valent pas, affirme Mark Mastrangeli, coprésident de l’Open Cybersecurity Alliance (OCA) de l’ , . Créé en 2020, l'OCA — un groupe open source relevant du projet de gouvernance « OASIS Open » — s'attache à élaborer des normes communes pour l'échange d'informations de sécurité entre les outils et à simplifier leur intégration.
[À lire également : Qu'est-ce que la gestion convergée des terminaux ?]
Les intégrations directes entre les outils créent un réseau complexe de connexions difficiles à gérer. Il met également en garde contre le fait de remplacer les logiciels les plus intégrés, prévient-il. « L'outil phare, auquel sont désormais rattachés cinq autres éléments, devient alors vraiment incontournable et difficile à remplacer », explique-t-il. « Cela devient comme une boule de neige qui dévale la pente et qu’il est difficile d’arrêter. »
Normalisation des outils
Une solution consiste à recourir à la normalisation architecturale, dans le cadre de laquelle une application se situe entre tous les outils et sert de canal de communication. L'initiative « Posture Attribute Collection and Evaluation » (PACE) de l' , disponible à l'adresse , se concentre sur les méthodes standardisées d'échange d'informations en matière de cybersécurité, allant des vulnérabilités logicielles aux niveaux de correctifs , en passant par les données relatives à la liste des composants logiciels (SBOM) .
«» : chaque fois que vous êtes à nouveau victime d'un piratage, vous achetez un nouvel outil. Vous pourrez alors vous présenter devant votre conseil d'administration et lui indiquer que vous avez pris des mesures pour remédier au problème, ce qui incitera à poursuivre les achats. »James Lewis, vice-président senior et directeur du programme « Technologies stratégiques » au CSIS
Les groupes de travail de l'OCA comprennent un ensemble de bibliothèques de codage qui permettent aux systèmes de se connecter à des entrepôts de données de cybersécurité et d'extraire des informations au format STIX (Structured Threat Information Expression), une norme d'échange de données de renseignement sur les cybermenaces. Il existe également un groupe de travail de l'OCA qui se consacre au partage d'informations sur les comportements des cyberattaquants, afin d'aider les entreprises à identifier les schémas d'attaque.
Début août, un groupe de 18 entreprises a lancé le « Open Cybersecurity Schema Framework » (OCSF) de l' , accessible à l'adresse . Ce projet, soutenu notamment par IBM, Amazon, Cloudflare et Tanium, est un système open source conçu pour permettre l'échange d'informations en matière de cybersécurité entre différents outils. Il y a d'autres acteurs également. Le cadre ATT@CK de Mitre décrit les menaces liées à la cybersécurité. Le projet OpenC2, un autre projet de l'OASIS, vise à créer un langage standardisé pour le commandement et le contrôle des technologies de cyberdéfense.
Ce que les RSSI peuvent faire dès maintenant
La première chose à faire est d'examiner le portefeuille de votre entreprise. Les entreprises doivent identifier les recoupements entre leurs outils existants et les regrouper, afin de réduire leur portefeuille tout en simplifiant leurs frais de gestion et leurs frais de licence.
« Ils peuvent s’aligner sur un seul produit pour chaque catégorie », explique Jon Oltsik, analyste principal chez ESG et auteur du rapport ESG/ISSA. « Donc, un type de pare-feu, une suite de sécurité des terminaux de type , et ainsi de suite. » « Vous seriez surpris de savoir combien de grandes entreprises en possèdent trois ou quatre de chaque. »
Une autre solution consiste à opter pour une plateforme unique et intégrée. Certains fournisseurs proposent des solutions de détection et de réponse étendues (XDR) qui s'intègrent à divers outils, jouant ainsi le rôle de plaque tournante au sein du portefeuille d'outils de cybersécurité. Certains fournisseurs proposent des intégrations avec leurs propres partenaires, tandis que d'autres se positionnent comme de véritables intermédiaires entre des outils de cybersécurité tiers.
Bien que les approches des fournisseurs varient, l'intérêt des clients est vif. Le rapport ESG/ISSA indiquait que 46 % des professionnels de la sécurité avaient déjà déployé ou prévoyaient de déployer une plateforme XDR.
Quelle que soit l'approche qu'ils adoptent, la volonté des professionnels de la sécurité est claire : il est temps d'alléger la charge de travail. Dans le monde saturé des outils de cybersécurité, on se rend compte que « moins, c'est mieux ».
