L’ancien marineur de Samuel Taylor Coleridge s’est plaint d’« eau, eau, partout, ni aucune goutte à boire ». Les RSSI modernes sont confrontés au même problème avec les outils de sécurité. Plus ils en ont, moins ils semblent être utiles.
Un plus grand nombre d’outils bousculent souvent les eaux au lieu d’offrir de la clarté, avertit Candy Alexander, membre du conseil d’administration de l’ISSA (Information Systems Security Association). « Nous disons depuis des années, en tant que professionnels de la cybersécurité, que nous devons disposer d’une vue d’ensemble unique pour voir ce qui se passe », déclare Alexander. « Chaque fois qu’un nouvel outil se produit, cela signifie qu’un autre panneau de verre que nous devons examiner. »
Il y a deux ans, le Ponemon Institute a découvert que les entreprises utilisaient en moyenne 45 outils de cybersécurité chacun. Ceux qui utilisent plus de 50 outils se sont classés 8 % moins dans leur capacité à détecter une attaque.
Étant donné les énormes défis auxquels les entreprises occidentales sont confrontées, y compris les batailles économiques furtives avec la Chine et la cyberguerre avec la Russie, de nombreuses entreprises estiment qu’il est temps que les fournisseurs d’outils travaillent ensemble plutôt que de manière isolée. Selon les experts, la multiplication des outils souligne le besoin d’une convergence des solutions. Les heures exigent une action.
L’envie de fusionner
Les professionnels de la sécurité en ont assez de la multitude d’outils. Les deux tiers des 280 professionnels de la cybersécurité interrogés dans Technology Perspectives auprès de Cybersecurity Professionals, un rapport de recherche de cette année de l’ISSA et du groupe Enterprise Strategy (ESG), ont estimé que les produits étaient trop complexes et difficiles à utiliser à leur plein potentiel. Près des trois quarts des fournisseurs pensaient qu’ils s’engageaient dans le battage médiatique sur la substance, les confondant et donnant l’avantage aux cyber-adversaires.
Les professionnels de la sécurité déclarent vouloir consolider et intégrer des outils à l’aide d’un ensemble de normes ouvertes mondiales :
- 77 % des personnes interrogées aimeraient bénéficier d’une prise en charge accrue de l’industrie et de la technologie pour les normes ouvertes.
- 84 % des répondants pensent que les capacités d’intégration d’un produit sont importantes.
- 83 % des répondants pensent que l’interopérabilité future dépend des normes établies.
James Lewis, vice-président senior et directeur du programme des technologies stratégiques au Centre d’études stratégiques et internationales (CSIS), blâme les failles culturelles. L’achat de plus d’outils semble être un progrès car il démontre une action, dit-il, même si ce n’est pas le bon type de mouvement vers l’avant.
Si vous êtes piraté via une compromission Active Directory, vous acheterez souvent un outil pour combler le trou.
« Lorsque vous êtes à nouveau piraté, vous achetez un autre outil », dit-il. « Ensuite, vous pouvez aller à votre conseil d’administration et dire que vous avez pris des mesures pour résoudre le problème, il y a donc une incitation à continuer à acheter. »
Ce ne serait pas si mal si les entreprises pouvaient intégrer efficacement les outils. L’intégration des produits s’est classée en deuxième position après le coût des critères d’approvisionnement parmi les répondants ESG/ISSA. Mais toutes les intégrations ne sont pas égales, déclare Mark Mastrangeli, coprésident de l’ Open Cybersecurity Alliance (OCA). Créé en 2020, OCA, un groupe open source opérant dans le cadre du projet de gouvernance OASIS Open, travaille à la création de normes communes pour l’échange d’informations de sécurité entre les outils et la simplification de l’intégration.
[Lire également : Qu’est-ce que Converged Endpoint Management ?]
Les intégrations directes entre les outils créent un réseau complexe de connexions difficiles à gérer. Ils découragent également d’échanger les logiciels les plus intégrés, avertit-il. « L’outil clé de voûte qui a maintenant cinq autres choses qui lui sont liées devient vraiment collant et difficile à remplacer », dit-il. « Cela devient une boule de neige qui descend en descente et qui est difficile à se détendre. »
Standardiser les outils
Une alternative est la standardisation architecturale, dans laquelle une application se trouve entre tous les outils et sert de conduit de communication. L’initiative Posture Attribute Collection and Evaluation (PACE) se concentre sur les moyens standard d’échanger des informations de cybersécurité, allant des vulnérabilités logicielles aux niveaux de correctifs et aux données de nomenclature logicielle (SBOM).
« Lorsque vous êtes à nouveau piraté, vous achetez un autre outil. Ensuite, vous pouvez aller à votre conseil d’administration et dire que vous avez pris des mesures pour résoudre le problème, il y a donc une incitation à continuer à acheter. »James Lewis, vice-président senior et directeur, Programme des technologies stratégiques, CSIS
Les groupes de travail d’OCA comprennent un ensemble de bibliothèques de codage qui permettent aux systèmes de se connecter aux entrepôts de données de cybersécurité et de récupérer des informations au format STIX (Structure Threat Information Expression), une norme pour l’échange de données de renseignement sur les cybermenaces. Il existe également un groupe de travail OCA axé sur le partage des comportements des cyberattaqueurs, pour aider les entreprises à voir les modèles d’attaque.
Début août, un groupe de 18 entreprises a lancé l’ Open Cybersecurity Schema Framework (OCSF). Le projet, soutenu par des sociétés telles qu’IBM, Amazon, Cloudflare et Tanium, est un système open source conçu pour échanger des informations de cybersécurité entre différents outils. Il y a également d’autres joueurs. Le cadre ATT@CK de Mitre décrit les menaces de cybersécurité. OpenC2, un autre projet OASIS, vise à créer un langage standard pour le commandement et le contrôle des technologies de cyberdéfense.
Ce que les RSSI peuvent faire maintenant
La première chose à faire est d’examiner ce qui se trouve dans le portefeuille de votre entreprise. Les entreprises doivent trouver le chevauchement qui existe entre leurs outils existants et les consolider, réduisant ainsi leur portefeuille tout en simplifiant leurs frais généraux de gestion et leurs frais de licence.
« Ils peuvent standardiser un produit pour chaque catégorie », déclare Jon Oltsik, analyste principal principal ESG qui a rédigé le rapport ESG/ISSA. « Donc, un type de pare-feu, un type de suite de sécurité des endpoints, etc. Vous seriez surpris du nombre de grandes entreprises qui en ont trois ou quatre chacune. »
Une alternative consiste à acheter sur une plateforme intégrée unique. Certains fournisseurs offrent des solutions de détection et de réponse étendues (XDR) qui s’intègrent à divers outils, occupant le rôle de hub central dans le portefeuille d’outils de cybersécurité. Certains fournisseurs prennent en charge les intégrations avec leurs propres partenaires, tandis que d’autres se positionnent comme des middlewares directs entre des outils de cybersécurité tiers.
Bien que les approches des fournisseurs varient, l’intérêt des clients est fort. Le rapport ESG/ISSA a noté que 46 % des professionnels de la sécurité avaient déployé ou prévoyaient de déployer une plateforme XDR.
Quelle que soit l’approche qu’ils adoptent, l’élan est clair pour les professionnels de la sécurité : il est temps d’alléger la charge. Dans le monde encombré des outils de cybersécurité, les gens réalisent que moins c’est plus.
