De quelles mesures les RSSI ont-ils besoin ?
C’est une question que j’entends chaque jour lorsque je rencontre des RSSI et des DSI de certaines des organisations les plus connues au monde dans les secteurs de la finance, de la vente au détail, de l’aérospatiale, des médias, des télécommunications, du consulting et de bien d’autres secteurs. Où que notre conversation nous mène, le problème sous-jacent est une question de confiance. Les données sont-elles à jour, complètes et dans le contexte de l’organisation et mes pairs en matière de risques, de conformité et d’opérations racontent-ils une histoire similaire ? Si ce n’est pas le cas, ne devraient-ils pas comparer les notes ? Et comment avons-nous accepté moins de 100 % comme référence « acceptable » pour tout, qu’il s’agisse de la conformité aux correctifs ou d’une autre fonction informatique critique ?
J’ai partagé l’étude 2019 Resilience Gap de Tanium avec bon nombre de ces DSI et RSSI, ainsi qu’avec des directeurs informatiques et d’autres dirigeants dans des rôles adjacents liés aux performances informatiques globales. Les DSI et les RSSI s’efforcent souvent d’équilibrer deux exigences commerciales essentielles : la disponibilité du système (disponibilité) et la sécurité efficace (gestion des correctifs). Comme l’indique la recherche sur l’écart de résilience, cette dernière tombe souvent en panne grâce aux préoccupations existantes concernant l’efficacité du déploiement, la couverture et les rapports appropriés.
Je partage ces données avec les RSSI et ils hochent la tête, parfois avec un soupir. Un RSSI m’a récemment dit que son équipe avait signalé une conformité de 95 % sur l’ensemble des endpoints, et je lui ai demandé de clarifier ce que cela signifiait. C’est la mesure qu’il fournit à son DSI, a-t-il déclaré, qui l’inclut dans ses rapports réguliers au directeur financier, au PDG et au conseil d’administration. Mais le RSSI n’avait pas de moyen précis de savoir combien d’endpoints, gérés ou non, auxquels 95 % faisait référence, sauf pour une approximation relative. C’est une chose difficile à admettre, mais cela se produit quotidiennement. L’étude de Tanium indique que plus de 80 % des DSI et RSSI se sont abstenus de procéder à une mise à jour ou à un correctif de sécurité important, parfois plus d’une fois, en raison de préoccupations concernant l’impact sur les opérations commerciales.
Comment pouvons-nous gérer notre risque si nous ne savons pas combien de risques nous avons ?
Ce n’est pas comme si nous résistions aux progrès. Nous avons demandé à nos RSSI et à nos responsables techniques de penser au-delà de l’objectif traditionnel de leur travail. Ils doivent gérer le parc informatique, oui, mais utiliser leurs connaissances et leur expertise pour stimuler la transformation numérique, renforcer la posture globale de sécurité et de résilience de l’organisation, faire de l’informatique un facilitateur au lieu d’un centre de coûts, tout ce que nous entendons depuis des années. Mais nous examinons les opérations et la cybersécurité principalement en termes d’architecture physique ou technique et acceptons certaines limitations en matière de visibilité et de contrôle. Cela ne nous aide pas à avoir une meilleure conversation commerciale. Comment pouvons-nous gérer notre risque si nous ne savons pas combien de risques nous avons ?
Voici un scénario courant qui se déroule tout le temps lors des réunions de direction, mais surtout cette semaine, compte tenu des nouvelles concernant CVE-2019-0708, le bug « vermisible » de Windows.
- Le RSSI est attiré et demandé si l’entreprise est vulnérable à CVE-2019-0708. Le RSSI promet d’effectuer une analyse, mais sait qu’avec une technologie existante, cela pourrait prendre des semaines.
- S’il est vulnérable, le RSSI doit savoir combien de temps il faudra pour déployer les correctifs nécessaires. Le RSSI se souvient que la dernière fois qu’il y a eu un problème de sécurité « brisé », il a fallu 20 jours pour obtenir un déploiement de correctifs de 95 %, mais que le nombre peut être plus proche de 75 % parce que l’équipe n’est pas certaine du nombre d’endpoints qu’elle possède réellement.
- Parmi ces endpoints, il serait utile pour le RSSI et pour l’entreprise de savoir combien exécutent Windows 8 ou 10, et ne sont donc pas affectés par CV-2019-0708. Malheureusement, ces données ne peuvent pas être facilement trouvées.
Il s’agit là de questions de visibilité et de contrôle du parc informatique. Parmi le cloud, la transformation numérique, la conformité, la sécurité et toutes les choses qui dominent le temps d’un leader informatique, il n’est pas prudent de demander à tout le monde de « revenir aux bases » : les emplois du DSI et du RSSI ne sont tout simplement pas les mêmes qu’ils l’étaient il y a 20, 10, voire même cinq ans. Mais si 94 % des DSI et RSSI admettent qu’ils doivent faire des concessions sur la manière dont ils peuvent protéger leurs organisations contre les perturbations, nous devons avoir une véritable compréhension de notre parc informatique, des données sur lesquelles nous pouvons prendre des décisions de qualité et de la capacité à remédier, corriger et effectuer d’autres actions sans délai.
Les postes de RSSI et de DSI deviennent plus faciles, et le risque de l’entreprise est mieux géré, lorsque nous insistons sur les fondamentaux. Il n’y a rien de plus fondamental pour un parc informatique résilient que la visibilité et le contrôle complets. Nous abandonnons beaucoup plus que ce que nous réalisons lorsque nous acceptons une visibilité limitée.
Vous souhaitez voir Tanium en action ? Planifiez une démo individuelle ou participez à notre webinaire hebdomadaire. Discutez avec nos experts Tanium lors de nos prochains événements.
