De quels indicateurs les RSSI ont-ils besoin ?
C'est une question que l'on me pose quotidiennement lorsque je rencontre des RSSI et des DSI issus de certaines des organisations les plus connues au monde, dans les secteurs de la finance, de la distribution, de l'aérospatiale, des médias, des télécommunications, du conseil et de nombreux autres secteurs. Quelle que soit la direction que prend notre conversation, la question fondamentale est celle de la confiance. Les données sont-elles à jour, complètes et replacées dans le contexte de l'organisation ? Mes collègues des services de gestion des risques, de conformité et des opérations partagent-ils le même point de vue ? Si ce n'est pas le cas, ne devraient-ils pas échanger leurs points de vue ? Et comment en êtes-vous venus à considérer un taux inférieur à 100 % comme une référence « acceptable » pour quoi que ce soit, qu’il s’agisse de la conformité aux correctifs ou d’une autre fonction informatique essentielle ?
J’ai fait découvrir l’étude « Tanium’s 2019 Resilience Gap » de à bon nombre de ces DSI et RSSI, ainsi qu’à des directeurs informatiques et à d’autres responsables occupant des fonctions connexes liées à la performance globale des systèmes d’information. Les DSI et les RSSI ont souvent du mal à concilier deux exigences métier fondamentales : la disponibilité des systèmes et une sécurité efficace (gestion des correctifs). Comme le souligne l'étude « Resilience Gap », ce dernier aspect est souvent relégué au second plan en raison de préoccupations de longue date concernant l'efficacité du déploiement, la couverture et la mise en place de rapports appropriés.
Je communique ces données aux responsables de la sécurité des systèmes d'information (RSSI) et ceux-ci acquiescent, parfois en poussant un soupir. Un responsable de la sécurité des systèmes d'information (RSSI) m'a récemment confié que son équipe avait fait état d'un taux de conformité de 95 % sur l'ensemble des terminaux, et je lui ai demandé de m'expliquer ce que cela signifiait. C'est l'indicateur qu'il transmet à son directeur des systèmes d'information, a-t-il précisé, et celui-ci l'intègre dans ses rapports réguliers destinés au directeur financier, au PDG et au conseil d'administration. Mais le RSSI n'avait aucun moyen précis de savoir à combien de terminaux, gérés ou non, ce chiffre de 95 % faisait référence, si ce n'est une approximation relative. C'est difficile à admettre, mais cela arrive tous les jours. L'étude de Tanium révèle que plus de 80 % des DSI et des RSSI se sont abstenus d'appliquer une mise à jour de sécurité ou un correctif important – parfois à plusieurs reprises – par crainte de répercussions sur les activités de l'entreprise.
Comment pouvons-nous gérer nos risques si nous ne savons pas à quel niveau ils se situent ?
Ce n'est pas comme si nous nous opposions au progrès. Nous avons demandé à nos responsables de la sécurité des systèmes d'information (RSSI) et à nos responsables techniques de voir au-delà de la mission traditionnelle de leur poste. Ils doivent certes gérer le parc informatique, mais aussi mettre à profit leurs connaissances et leur expertise pour mener à bien la transformation numérique, renforcer la sécurité et la résilience globales de l’organisation, et faire de l’informatique un levier de croissance plutôt qu’un centre de coûts — autant d’éléments dont on entend parler depuis des années. Mais nous abordons les opérations et la cybersécurité principalement sous l'angle de l'architecture physique ou technique, et nous acceptons certaines limites en matière de visibilité et de contrôle. Cela ne nous aide pas à avoir une meilleure discussion sur les affaires. Comment pouvons-nous gérer nos risques si nous ne savons pas à quel niveau ils se situent ?
Voici un scénario courant qui se produit sans cesse lors des réunions de direction, et ce d'autant plus cette semaine compte tenu de l'actualité concernant le CVE-2019-0708, cette faille de sécurité « propagable par ver » de Windows.
- On fait appel au RSSI et on lui demande si l'entreprise est vulnérable à la faille CVE-2019-0708. Le RSSI s'engage à effectuer une analyse, mais il sait qu'avec une technologie obsolète, cela pourrait prendre plusieurs semaines.
- En cas de vulnérabilité, on demande au RSSI combien de temps il faudra pour déployer les correctifs nécessaires. Le RSSI se souvient que, lors du dernier incident de sécurité « d'urgence absolue », il a fallu 20 jours pour atteindre un taux de déploiement des correctifs de 95 %, mais que ce chiffre pourrait en réalité être plus proche de 75 %, car l'équipe ne sait pas avec certitude combien de terminaux elle compte réellement.
- Parmi ces terminaux, il serait utile que le RSSI et l'entreprise sachent combien d'entre eux fonctionnent sous Windows 8 ou 10, et ne sont donc pas concernés par la version CV-2019-0708. Malheureusement, ces données ne sont pas faciles à trouver.
Il s'agit là de questions liées à la visibilité et au contrôle du parc informatique. Entre le cloud, la transformation numérique, la conformité, la sécurité et toutes ces questions qui accaparent le temps d’un responsable informatique, il n’est pas judicieux de demander à tout le monde de « revenir à l’essentiel » : les fonctions du DSI et du RSSI ne sont tout simplement plus les mêmes qu’il y a 20, 10 ou même cinq ans. Mais si 94 % des DSI et des RSSI admettent devoir faire des concessions quant à leur capacité à protéger efficacement leurs organisations contre les perturbations, nous devons disposer d’une maîtrise réelle de notre parc informatique, de données nous permettant de prendre des décisions éclairées, ainsi que de la capacité à corriger les failles, à appliquer des correctifs et à mener d’autres actions sans délai.
Les fonctions de RSSI et de DSI deviennent plus faciles à assumer — et les risques de l'entreprise sont mieux gérés — lorsque l'on met l'accent sur les principes fondamentaux. Rien n'est plus essentiel à la résilience d'un parc informatique qu'une visibilité et un contrôle complets. En nous contentant d'une visibilité limitée, nous renonçons à bien plus que nous ne le pensons.
Vous souhaitez découvrir Tanium en action ? Prenez rendez-vous pour une démonstration individuelle ou participez à notre webinaire hebdomadaire. Venez échanger avec nos experts Tanium lors de nos prochains événements organisés dans le cadre de l' :.
