Chaque année semble apporter aux professionnels de la cybersécurité la nouvelle tendance à la mode qui promet de résoudre tous leurs problèmes. La liste est impressionnante. en intelligence artificielle. Cloud computing. Architecture « zero-trust » d' . Connexions sans mot de passe à l' .
En réalité, il n'y a pas de solution unique pour améliorer la cybersécurité. Il y a toute une série d'objets. Mais de quoi s'agit-il ? Les professionnels de la cybersécurité le savent-ils ? Demandez-le à une douzaine de personnes et vous obtiendrez une douzaine de réponses différentes. Wade Baker analyse ces réponses et présentera les conclusions d'une enquête menée auprès de 5 100 professionnels lors de la RSA Conference 2022.
M. Baker est associé et cofondateur du Cyentia Institute, qui réalise des études et propose des services en matière de cybersécurité fondés sur des données. Il sera l'un des deux intervenants qui aborderont les pratiques et les résultats en matière de sécurité lors de sa table ronde RSA 2022 intitulée «: Qu'est-ce qui (concrètement, précisément) rend les programmes de sécurité ENCORE PLUS efficaces ? » Aux côtés de Wendy Nather, responsable des CISO consultants chez Cisco, M. Baker analysera en détail les résultats de la récente étude de Cisco intitulée « » () et « Security Outcomes Study, Volume 2 » () (), qui a notamment mis en évidence une forte corrélation entre l’architecture informatique d’une organisation et sa résilience en matière de sécurité. La conférence est prévue dans le cadre de l' 7 juin, du 13:15 au 14:05 (heure du Pacifique), au Moscone Center de San Francisco. M. Baker a présenté ces résultats en avant-première à M. Endpoint .
Pourriez-vous me parler de cette étude sur la cybersécurité et m'expliquer comment ce projet d'envergure mondiale a vu le jour ?
J'adore le concept de cette étude. Je ne me souviens pas exactement quand ni qui a eu l'idée d'étudier les résultats en matière de cybersécurité. En fin de compte, nous nous sommes demandé s'il était réellement possible de mesurer les résultats. Tout d’abord, permettez-moi de revenir sur le premier volume de l’étude « » ( ).
Nous avons interrogé près de 4 800 professionnels de l'informatique et de la sécurité issus de 25 pays. Pour une enquête sur la sécurité,
, c'était énorme. L'enquête s'est concentrée
sur 11 résultats en demandant tout d'abord aux responsables de la sécurité : Que souhaitez-vous
que votre programme de sécurité fasse
ou apporte ?
Nous avons reçu des réponses variées, mais nous les avons synthétisées en 11 résultats. Il s'agit d'objectifs de haut niveau, parmi lesquels figurent notamment : soutenir l'activité, prévenir les incidents majeurs et les pertes, garantir la conformité, gérer les coûts, etc. Nous avons demandé aux personnes interrogées comment elles avaient obtenu ces résultats et si elles rencontraient des difficultés ou si elles réussissaient haut la main. Nous avons ensuite posé des questions sur environ 25 pratiques de sécurité différentes, des éléments fondamentaux tels que la détection des menaces, la réponse aux incidents, la gestion des vulnérabilités, etc.
Cela semble tellement simple : il suffit de faire ces choses dont nous savons qu'elles sont bonnes pour vous.
Bon, toutes ces choses que vous faites sans y penser : faites-les, tout simplement. Nous sommes donc revenus cette année sur
avec le deuxième volet de cette étude, qui a porté sur 5 100 professionnels dans 27 pays. Au lieu de 25 pratiques, nous nous sommes concentrés, dans le cadre de l’étude «
», sur les cinq pratiques issues de l’étude précédente qui ont le plus contribué à la réussite en matière de cybersécurité.
«Les organisations qui avaient mis en place une stratégie de plateforme pour leurs technologies informatiques et de sécurité semblaient obtenir de meilleurs résultats. »
Il s'agissait notamment de : mettre à jour vos technologies de manière proactive, utiliser des technologies compatibles entre elles, assurer une réponse rapide aux incidents, une reprise rapide, ainsi qu'une détection précoce et précise des menaces. Nous souhaitions comprendre ce qui rend ces cinq personnes si uniques. Nous avons donc examiné ces documents de près et posé de nombreuses questions.
Par exemple, nous souhaitions savoir si les entreprises modernisaient réellement leur infrastructure technologique ou si elles se contentaient de dépenser des sommes colossales pour des mises à niveau incessantes. Étaient-elles principalement basées sur le cloud ? Nous avons constaté que les organisations qui avaient mis en place une stratégie de plateforme pour leurs technologies informatiques et de sécurité semblaient obtenir de meilleurs résultats.
C'est intéressant. Alors, qu'est-ce qui permet d'améliorer les résultats dans ce domaine ? S'agit-il simplement d'une migration vers de nouvelles plateformes ?
Les organisations qui ont dû mettre en place leurs propres intégrations entre leurs systèmes ont rencontré davantage de difficultés pour obtenir les résultats escomptés. Je pense que c'est logique. La visibilité s'avère être une bonne chose. Nous avons constaté, en matière de détection des menaces, qu'environ la moitié des personnes interrogées obtiennent de bons résultats lorsqu'elles disposent de programmes et de systèmes de sécurité solides dans les domaines de l' et de la gestion des identités . Une bonne visibilité sur les menaces et les actifs d' , , est donc essentielle pour mener à bien vos projets.
Nous nous sommes également penchés sur les personnes, les processus et la technologie. Ce trio incontournable. Nous nous sommes posé la question suivante : Certains de ces éléments ont-ils plus ou moins d'importance pour les résultats en matière de sécurité ? Nous avons demandé aux personnes interrogées d'évaluer chacun de ces éléments séparément. Les personnes interrogées qui ont déclaré que leur organisation présentait des lacunes dans ces trois domaines n'ont pas obtenu de bons résultats. Ceux qui ont déclaré être performants dans ces trois domaines se sont hissés au 92e centile des résultats positifs. En ce qui concerne le groupe intermédiaire, nous avons constaté que, s’ils présentaient une force dans une seule de ces trois catégories, la différence était statistiquement non significative par rapport à ceux qui avaient amélioré leur force dans les deux autres.
[À lire également : RSA Conference 2022 : Les Jetsons rencontrent l'équipe de sécurité]
C'était intéressant. Cela m'a fait comprendre que si une entreprise dispose d'un atout technologique, elle peut s'appuyer sur celui-ci pour se développer. Ils ne sont pas obligés de passer à un programme axé sur les personnes, ni l'inverse. Ils peuvent partir de leurs points forts pour ensuite créer la meilleure solution possible. Tant qu'ils s'efforcent de les améliorer tous, la méthode qu'ils choisissent n'a pas d'importance.
C'est fascinant, car en cours de gestion d'entreprise, on nous a expliqué qu'un bon processus ne remplace pas les bons collaborateurs, mais qu'il peut aider à compenser le manque de compétences de certains d'entre eux.
Ça ne s'est pas passé comme ça. Mais nous avons abordé cette question en nous demandant si l'automatisation de l' pouvait se substituer aux personnes. Par exemple, si l'on parvient à automatiser des processus, cela permet-il d'aller plus loin que ce que font les humains, ou cela pourrait-il remplacer ces derniers ? Nous savions que la réponse serait « non ».
«J’ai trouvé hilarant que 84 % des organisations qui affirment : « Nous n’utilisons absolument pas les renseignements sur les menaces », aient évalué leurs opérations de sécurité comme étant très solides. »
Seules 36 % des organisations qui ont déclaré que leur personnel n'était pas performant, qu'elles disposaient de ressources humaines insuffisantes et qu'elles n'avaient aucun processus automatisé ont jugé leurs opérations de sécurité « solides ». Cependant, 73 % des personnes ayant déclaré disposer d’une équipe technique solide au sein de leurs opérations de sécurité et ne pas avoir recours à l’automatisation ont estimé que leur niveau de sécurité était élevé.
Il est intéressant de constater que les organisations présentant un niveau d’automatisation élevé, mais disposant de ressources humaines limitées, affichaient une efficacité de programme à peu près équivalente à celle des organisations disposant de ressources humaines solides mais d’un faible niveau d’automatisation.
Qu'est-ce qui vous a le plus surpris dans les résultats de cette enquête ?
Nous avons posé des questions sur les renseignements sur les menaces et sur l'ampleur de leur utilisation par les personnes interrogées et leurs organisations. J'ai trouvé hilarant que 84 % des organisations qui affirment « ne pas utiliser du tout les renseignements sur les menaces » aient jugé leurs opérations de sécurité « très solides ». Mais parmi ceux qui ont recours aux informations sur les menaces, seuls 45 % ont jugé leur sécurité « très solide ». Leurs audiences ont donc presque diminué de moitié.
Ils commencent à prendre conscience qu'ils ignorent les risques informatiques dont ils n'ont pas connaissance.
Exactement. D'un côté, il y a ceux qui agissent par ignorance. Tout a l'air en ordre. Ils ne prennent pas en compte de menaces spécifiques et n'ont aucune idée de ce à quoi elles ressemblent ; par conséquent, ils ne les repèrent pas. Cela doit donc vouloir dire que tout va bien.
Comment les responsables de la sécurité des systèmes d'information (RSSI) et leurs équipes de sécurité devraient-ils améliorer leurs ressources humaines, leurs processus ou leurs technologies ?
Ces données leur offrent de nombreuses possibilités qui leur permettent de s'appuyer sur leurs points forts plutôt que de devoir se conformer à une mentalité selon laquelle il n'y aurait qu'une seule voie à suivre. Cette liberté de choix est d'un grand secours pour les programmes de sécurité qui rencontrent des difficultés.
«» On entend souvent dire : « Voici le nouveau paradigme que vous devez suivre… ». Mais nous n'avons pas encore atteint cet objectif. Peut-être n'y a-t-il pas de réponse unique. »
On entend souvent dire : « Voici le nouveau modèle que vous devez suivre pour que tout se passe à merveille. » Mais nous n'avons pas encore atteint cet objectif. Peut-être n'y a-t-il pas une seule chose. Il existe toute une série de petits détails qui contribuent progressivement à améliorer un programme de sécurité.
Si nous parvenons à commencer à mesurer ces petits détails et à en recueillir des données probantes, nous pourrons alors les intégrer à notre feuille de route. J'espère que les gens en tireront une leçon de ce genre.
Les résultats semblent indiquer que, quelle que soit la qualité de l’hygiène informatique d’une organisation, certains aspects de la sécurisation de l’entreprise échappent à son contrôle —
—, tels que la maturité de la pile technologique et la qualité de l’intégration des systèmes.
Oui, je le pense aussi. Cela met en quelque sorte l'accent sur l' Nous devons probablement sortir de notre cercle et collaborer avec d'autres équipes au sein de l'organisation, si celles-ci gèrent les éléments essentiels à votre réussite en tant que responsable de la sécurité. Si vous savez qu’une grande partie de cela est liée aux systèmes informatiques que vous sécurisez, vous souhaiterez sans doute travailler en étroite collaboration avec le directeur des systèmes d’information et élaborer ensemble des plans visant à améliorer cette infrastructure technologique.
[À lire aussi : Le besoin croissant d'unifier l'IT et la sécurité]
Y a-t-il certains éléments qu'il serait pertinent de mesurer ? J'imagine que si les équipes et les DSI se contentent de commencer à mesurer des indicateurs, ils vont mesurer beaucoup de choses qui ne sont pas pertinentes.
Dans une certaine mesure, les 11 résultats attendus du programme dont nous parlons dans ces rapports constituent un excellent point de départ. Ce ne sont ni des mesures ni des indicateurs. Mais ce sont là des objectifs que les programmes de sécurité cherchent à atteindre. La question qui se pose alors est la suivante : comment notre programme peut-il contribuer au mieux à ces résultats ? C'est un bon point de départ.
