Le « Huit essentiels » australien pourrait être le cadre de cybersécurité dominant utilisé par les entités gouvernementales et les entreprises Down Under, mais son modèle à plusieurs niveaux couvrant huit vastes domaines de contrôle est tellement compliqué que les taux de conformité restent anémiques. Même les organisations gouvernementales bien financées ont du mal à atteindre cette note.
L’IA et l’automatisation pourraient contribuer grandement à renverser cette tendance. Et les experts en cybersécurité soulignent qu’une telle inversion ne peut pas arriver assez tôt.
Prenez en compte les données les plus récentes (males) du secteur public australien : le pourcentage d’organisations gouvernementales répondant au niveau deux du modèle de maturité de l’Essential Eight est passé de 25 % en 2023 à 15 % en 2024, selon l’Australian Signals Directorate (ASD), l’agence de renseignement qui supervise la cybersécurité et a créé les huit stratégies d’atténuation des risques.
Le modèle de maturité comporte quatre niveaux : confusionnellement, ils commencent par le niveau zéro, en fait une note défaillante. Ensuite, il y a les niveaux un, deux et trois, ce qui fait du niveau deux le deuxième niveau le plus élevé. Toutes les entités non publiques du gouvernement australien (départements, agences et autres organismes qui opèrent dans le cadre de la structure gouvernementale plus large plutôt que comme entités juridiques indépendantes) sont censées répondre aux exigences de niveau deux.
La baisse de la conformité de niveau deux pourrait être due à une mise à jour que l’ASD a apportée au modèle fin 2023, ce qui a probablement freiné certaines entités. Ses principaux domaines d’intervention comprenaient l’équilibrage des délais d’application des correctifs, l’augmentation de l’adoption de l’ authentification multifacteur (AMF) résistante au phishing, et la détection et la réponse aux incidents pour l’infrastructure orientée Internet. Cependant, les 2023 taux n’étaient pas trop nombreux. Pendant ce temps, les entreprises privées sont simplement encouragées à se conformer à l’Essential Eight. Alors que les grandes multinationales disposant de budgets importants et d’équipes de sécurité considérables peuvent au moins avoir une chance, les petites et moyennes entreprises ont été extrêmement confrontées à de tels cadres recommandés.
Malgré une telle complexité, l’Essential Eight continue de se balancer. Comment ?
Il s’agit en fait de l’un des cinq cadres couvrant les normes australiennes, américaines et internationales que les entreprises australiennes peuvent utiliser pour démontrer la conformité en matière de cybersécurité, comme indiqué dans la législation SOCI (Security of Critical Infrastructure), qui a été annoncée en 2018 par le ministère australien de l’Intérieur et mise à jour l’année dernière. Un grand nombre d’organisations australiennes optent pour l’Essential Eight, probablement « parce que le gouvernement le comprend », déclare Paul Foley, directeur exécutif de la gouvernance, des risques et de la conformité chez CyberCX, une société de services informatiques basée à Melbourne. La terminologie et la structure de l’Essential Eight sont devenues la norme pour les fonctionnaires lorsqu’ils discutent des capacités de cybersécurité, il est donc logique que les entreprises espérant traiter avec les agences gouvernementales suivent ses principes.
Donc, pour le mieux ou pour le pire, les entreprises ont tendance à utiliser l’Essential Eight, puis ont du mal à mettre en œuvre son ensemble complexe de contrôles. Pourrait-il être plus facile d’utiliser la technologie ? D’une certaine manière, oui, disent les experts. Avec des innovations allant de l’intelligence artificielle à l’infrastructure sous forme de code (qui permet une configuration programmatique logicielle de l’infrastructure informatique), les organisations du secteur public et privé découvrent qu’elles peuvent obtenir des systèmes automatisés pour se libérer.
Pourquoi Essential Eight est le « minimum acceptable »
L’automatisation peut être la plus grande aide pour les entreprises qui se trouvent au niveau zéro d’Essential Eight (vous pouvez l’appeler le niveau « seule voie vers le haut »), ce qui signifie qu’elles sont largement ouvertes aux attaques en raison de faiblesses de cybersécurité.
« Parce que le gouvernement le comprend. »Paul Foley, directeur exécutif de la gouvernance, des risques et de la conformité chez CyberCX, explique pourquoi tant d’organisations sont toujours attirées par l’Essential Eight, malgré ses défis de complexité et de conformité
Le gouvernement définit chacun des autres niveaux en termes de types d’attaquants auxquels une entreprise pourrait se défendre, qu’il s’agisse de pirates informatiques inexpérimentés ou de ceux qui possèdent une expertise plus technique. Par exemple, une exigence de niveau deux est l’utilisation de l’AMF résistante à l’hameçonnage pour l’authentification aux systèmes. Le niveau trois est destiné à ceux qui peuvent se protéger contre les adversaires les plus difficiles.
Chaque niveau englobe le même ensemble de huit vastes domaines de contrôle : contrôle des applications, correctifs des applications, correctifs du système d’exploitation, configuration des paramètres macro Microsoft Office, renforcement des applications utilisateur, restriction des privilèges administratifs, MFA et sauvegardes régulières. Mais à mesure que les niveaux augmentent, les exigences entourant chacun de ces domaines deviennent plus exigeantes.
« Je dis que l’Essential Eight a été le niveau minimal acceptable pour un réseau standard depuis sa sortie », déclare Kieran Hynes, fondateur de la société de conseil informatique Willyama Services. C’est parce que tant d’entreprises sont dans des secteurs réglementés par la loi SOCI et choisissent l’Essential Eight comme cadre à respecter. « Environ 80 % de l’industrie australienne, si vous souscrivez des micro-entreprises et des très petites entreprises, serait dans des secteurs de service qui seraient pris en charge par la législation SOCI », déclare-t-il.
Qu’est-ce qui peut rendre l’Essential Eight plus facile ? Automatisation de la conformité continue
Comment l’automatisation peut-elle rendre l’Essential Eight plus gérable ? Potentiellement avec la question de la « conformité continue », un concept autrefois ambitieux, mais ces dernières années, a rendu plus réalisable grâce aux progrès de l’ apprentissage automatique, à l’afflux d’ outils d’IA dans la cybersécurité et à une sensibilisation croissante aux avantages de la surveillance des données en temps réel et d’une visibilité accrue sur les réseaux informatiques.
« Je dis que l’Essential Eight a été le niveau minimal acceptable pour un réseau standard depuis sa sortie. »Kieran Hynes, fondateur de Willyama Services
Ce paradigme passe de la conformité traditionnelle, avec ses audits saisonniers, et les membres du personnel se sont retirés de leurs tâches quotidiennes en un coup d’œil pour accumuler des données de conformité, à une approche plus rationalisée est bien en cours, notent les experts. Le mois dernier, le ministère de la Défense des États-Unis a finalisé une nouvelle règle relative à la certification du modèle de maturité de cybersécurité (CMMC), un cadre comme le Essential Eight australien, exigeant que les organisations de la chaîne d’approvisionnement de la défense maintiennent une conformité continue. La règle entre en vigueur le mois prochain.
La conformité traditionnelle implique une approche ponctuelle, où les auditeurs vérifient périodiquement un système pour voir dans quelle mesure il est conforme. Le danger avec cela est le « fluage de conformité », où les altérations d’un système le déplacent hors de la conformité et il n’est pas remarqué avant le prochain audit.
Une approche de conformité continue évalue le système pour le maintenir dans les garde-fous nécessaires à tout moment. Chaque fois qu’un auditeur appelle, l’équipe de sécurité peut être sûre qu’elle est sur la bonne voie, avec la documentation pour le prouver.
Jamie Norton, directeur du conseil d’administration de l’organisation internationale des contrôles ISACA, affirme les avantages : « L’aspect visibilité est un aspect où l’automatisation fonctionne vraiment bien », conseille-t-il. « Vous pouvez utiliser des technologies pour mesurer et comprendre où vous vous alignez sur l’Essential Eight dans votre environnement. » Certaines entreprises fournissent déjà ce type d’outils en Australie.
Malgré ses avantages, la conformité continue présente un ensemble unique de défis qui peuvent entraver l’adoption généralisée, en particulier pour les petites entreprises ayant des budgets de sécurité plus serrés. Il y a une différence entre voir dans quelle mesure vous vous conformez et automatiser les contrôles pour vous y maintenir. Prendre des mesures pour configurer automatiquement les choses et maintenir vos systèmes dans le champ d’application est plus problématique dans certains domaines.
IA, automatisation et Essential Eight : complexités cachées
L’un des domaines les plus difficiles est le contrôle des applications. Cela implique de restreindre les applications qu’une organisation peut exécuter à celles figurant sur une liste d’autorisations. Cela semble facile, mais c’est étonnamment complexe.
« L’aspect visibilité est un aspect où l’automatisation fonctionne vraiment bien. Vous pouvez utiliser des technologies pour mesurer et comprendre où vous vous alignez sur l’Essential Eight dans votre environnement. »Jamie Norton, directeur du conseil d’administration de l’ISACA, une organisation à but non lucratif de contrôle international
« Vous devez constamment mettre à jour cela en fonction des nouvelles applications publiées et des nouvelles menaces qui arrivent », déclare Norton. Chaque application a plusieurs versions qui doivent également être gérées conformément aux exigences différentes du service. « C’est quelque chose que l’IA pourrait potentiellement apprendre à faire et alléger la mise à jour régulière de cette configuration. »
Deux autres catégories Essential Eight avec des défis cachés sont les correctifs d’application et de système d’exploitation. Les systèmes d’exploitation et les applications ont beaucoup de correctifs arrivant tout le temps, souvent avec différents niveaux de criticité. Bien que les correctifs lents entraînent un risque significatif, l’application rapide et sans discrimination des correctifs entraîne des effets potentiellement graves sur les systèmes de production. Parfois, les correctifs du système d’exploitation peuvent casser les systèmes, ce qui rend les correctifs automatisés risqués.
Le risque d’appliquer des correctifs augmente à mesure que le nombre de produits différents dans une infrastructure d’entreprise augmente. Le nombre de dépendances système entre ces produits augmente également, augmentant le risque d’effets indésirables tels que les attaques enchaînées, où les attaquants exploitent plusieurs vulnérabilités sur divers produits dans l’ordre.
Comme le souligne Foley, cela fait de l’application de correctifs une stratégie d’évaluation des risques. L’évaluation de ce risque implique de prendre en compte tous les facteurs ci-dessus ainsi que la criticité d’une application ou d’un système d’exploitation au sein de l’organisation. Une application qui exécute l’ensemble du processus de production d’une entreprise peut ne pas être plus qu’un système de journalisation pour quelqu’un d’autre.
La fenêtre de temps attendue pour que les organisations appliquent des correctifs logiciels se rétrécit avec chaque niveau de maturité Essential Eight, ce qui rend le problème plus exigeant.
C’est là que l’IA entre potentiellement en jeu.
« Vous avez toujours besoin d’un humain dans la boucle », déclare Foley, « mais comment prenez-vous ces décisions plus rapidement ? Pour appliquer des correctifs, vous devez comprendre les complexités de l’environnement. » L’IA pourrait utiliser cette compréhension des dépendances d’applications complexes dans l’infrastructure informatique d’une entreprise pour effectuer des évaluations basées sur les risques concernant les systèmes critiques avec certaines vulnérabilités. Il pourrait ensuite présenter ces évaluations aux analystes, qui feraient l’appel de jugement final.
Des gains rapides et des moyens de relever les défis de l’automatisation
L’automatisation de certains aspects de la cybersécurité sera probablement plus facile que d’autres. L’une des choses qui se démarque est la nécessité de restreindre les macros Office.
« Il s’agit d’un paramètre de politique de groupe », explique Foley. « Vous pouvez définir cela au niveau de l’entreprise pour désactiver les macros de bureau. » Cela suppose, bien sûr, que tous les employés peuvent s’en passer. Dans certains domaines, en particulier la finance, les travailleurs s’appuient sur des macros conçues au fil des années pour gérer certaines parties de leur travail. Dans de tels cas, dit-il, il est souvent plus facile d’isoler certains services sur leurs propres parties du réseau pour minimiser le rayon d’explosion d’une macro malveillante.
De même, Foley déclare que l’application de la MFA est quelque chose que vous devriez être en mesure d’automatiser de manière centralisée (en supposant qu’un fournisseur d’applications la prend en charge).
Certains grands obstacles entravent l’automatisation, déclare M. Foley. Pour certaines organisations, ce sont leurs propres systèmes qui les freinent. « Nous constaterons souvent que le gouvernement fédéral a des difficultés avec la dette technique existante », explique-t-il.
[Lire également : automatisation informatique : comment elle fonctionne, avantages et outils futurs]
Les systèmes développés au fil des ans peuvent ne pas avoir les capacités d’automatisation appropriées intégrées, et certainement pas certaines des capacités alimentées par l’IA décrites ici. Et les systèmes hétérogènes avec des composants de nombreux fournisseurs qui ne jouent pas bien ensemble sont également difficiles à automatiser. C’est pourquoi Hynes de Willyama considère la migration vers le cloud comme un moyen possible de relever le défi de l’automatisation.
« Dans Microsoft M365, [les clients] n’ont pas de véritable responsabilité de gestion, car Microsoft fait tout pour eux », dit-il, en donnant un exemple. « L’automatisation est effectuée par Microsoft. Vous n’avez rien à faire en interne. C’est le résultat le plus sécurisé pour la plupart des organisations. »
L’automatisation de la cybersécurité est probablement une meilleure pratique. Hynes indique le principe de Pareto, où vous pouvez atteindre 80 % des gains avec 20 % du travail.
Après cela, dit-il, essayer d’automatiser chaque chose génère plus de complexité et des rendements décroissants. Mais en recherchant des systèmes fournis ou gérés par relativement peu de fournisseurs, et en construisant une pile de cybersécurité moderne, vous avez plus de chances d’accéder à des fonctionnalités conçues pour vous faciliter la vie et vous rapprocher de la conformité à l’Essential Eight.
