Chaque année semble apporter aux professionnels de la cybersécurité la prochaine nouveauté brillante qui promet de résoudre chacun de leurs problèmes. La liste est impressionnante. Intelligence artificielle. Cloud computing. Architecture Zero Trust . Connexions sans mot de passe.
Il s’avère qu’il n’y a pas une seule chose qui améliore la cybersécurité. Il y a une collection de choses. Mais de quoi s’agit-il ? Les professionnels de la cybersécurité le savent-ils ? Posez une douzaine de questions et vous obtiendrez une douzaine de réponses différentes. Wade Baker étudie ces réponses et partagera les informations d’une enquête menée auprès de 5 100 praticiens lors de la Conférence 2022 de la RSA.
Baker est un partenaire et cofondateur du Cyentia Institute, qui produit des recherches et des services de cybersécurité basés sur les données. Il sera l’un des deux panélistes explorant les pratiques et les résultats en matière de sécurité dans sa table ronde RSA 2022 , « Qu’est-ce qui (réellement, spécifiquement) rend les programmes de sécurité ENCORE PLUS réussis ? » Avec Wendy Nather, directrice des RSSI consultatifs chez Cisco, Baker étudiera les résultats de la récente étude sur les résultats de sécurité de Cisco, Volume 2, qui a révélé, entre autres, une forte corrélation entre l’architecture informatique d’une organisation et sa résilience en matière de sécurité. La conférence est prévue pour 7 juin, 13:15 à 14:05 PT, au Moscone Center de San Francisco. Baker a donné à Endpoint un aperçu des résultats.
Parlez-moi de cette étude sur la cybersécurité et de la manière dont cette étude mondiale a commencé ?
J’adore l’idée de cette étude. Je ne me souviens pas exactement quand ou qui est arrivé sur la notion d’étude des résultats de cybersécurité. En fin de compte, nous nous sommes demandé si nous pouvions effectivement mesurer les résultats. Tout d’abord, permettez-moi de revenir au volume un de l’étude.
Nous avons interrogé près de 4 800 professionnels de l’informatique et de la sécurité de 25 pays. Pour une enquête de sécurité,
c’était énorme. L’enquête s’est concentrée
sur 11 résultats en demandant d’abord aux responsables de la sécurité : que
souhaitez-vous que votre programme de sécurité fasse
ou fournisse ?
Nous avons obtenu des réponses variables, mais nous les avons condensées en 11 résultats. Ils sont de haut niveau et comprennent : permettre à l’entreprise, éviter les incidents et pertes majeurs, maintenir la conformité, gérer les coûts, etc. Nous avons demandé aux répondants comment ils ont obtenu ces résultats et s’ils avaient du mal ou s’ils l’ont fait sortir du parc. Nous avons ensuite interrogé sur 25 pratiques de sécurité différentes, des éléments de base tels que la détection des menaces, la réponse aux incidents, la gestion des vulnérabilités, etc.
Cela semble très facile : faites simplement ces choses que nous savons être bonnes pour vous.
Tout ce que vous faites : faites-le. Nous sommes donc
revenus cette année avec le volume deux de la recherche, en interrogeant 5 100 praticiens dans 27 pays. Au lieu de 25 pratiques, nous nous sommes concentrés
sur les cinq de l’étude précédente qui ont mené au plus grand succès en matière de cybersécurité.
« Les organisations qui avaient une stratégie de plateforme avec leurs technologies informatiques et de sécurité semblaient obtenir de meilleurs résultats. »
Cela comprenait : la mise à jour proactive de votre technologie, l’utilisation de technologies qui fonctionnaient bien ensemble, une réponse rapide aux incidents, une récupération rapide et une détection précoce et précise des menaces. Nous voulions comprendre ce qui rend ces cinq éléments si uniques. Nous y avons donc approfondi et posé beaucoup de questions.
Par exemple, nous voulions savoir si les organisations modernisaient vraiment leur pile technologique ou dépensaient simplement une tonne d’argent pour la mise à niveau en permanence. Étaient-ils principalement basés sur le cloud ? Nous avons découvert que les organisations qui avaient une stratégie de plateforme avec leurs technologies informatiques et de sécurité semblaient obtenir de meilleurs résultats.
C’est intéressant. Alors, qu’est-ce qui améliore les résultats là-bas ? Est-ce simplement le passage aux plateformes ?
Les organisations qui ont dû créer leurs propres intégrations entre les systèmes ont eu plus de difficultés avec leurs résultats. Je pense que cela a du sens. La visibilité s’avère être une bonne chose. Nous avons constaté qu’avec la détection des menaces, environ la moitié des répondants réussissent lorsqu’ils disposent d’une gestion solide des identités des programmes et systèmes de sécurité. Une bonne visibilité sur les menaces et les actifs est donc essentielle pour faire de bonnes choses.
Nous avons également examiné les personnes, les processus et la technologie. Ce trio essentiel. Nous nous sommes demandé : l’ un de ces éléments est-il plus ou moins important pour les résultats de sécurité ? Nous avons demandé aux répondants d’évaluer chacun d’entre eux séparément. Les répondants qui ont déclaré que leurs organisations étaient faibles dans les trois n’avaient pas de bons résultats. Ceux qui ont déclaré qu’ils étaient forts dans les trois ont sauté au 92e percentile de résultats réussis. Pour le milieu, nous avons découvert que s’ils avaient de la force en un seul, c’est une différence statistiquement insignifiante entre s’ils ont augmenté la force dans les deux autres.
[Lire également : RSA Conference 2022 : Les Jetons rencontrent l’équipe de sécurité]
C’était intéressant. Elle m’a dit que si une entreprise a la technologie comme force, elle peut en tirer parti. Ils n’ont pas besoin de se convertir à un programme fort en personnel ou vice versa. Ils peuvent commencer par leur base de force, puis construire la meilleure chose suivante. Tant qu’ils essaient de les améliorer tous, leur itinéraire n’a pas d’importance.
C’est fascinant, car en classe affaires, on nous a dit qu’un bon processus ne l’emporte pas sur les bonnes personnes, mais cela peut aider à rattraper les personnes moins qualifiées.
Je ne l’ai pas fait. Mais nous avons exploré cela en demandant si l’automatisation était un substitut aux personnes. Par exemple, si l’on peut automatiser les processus, cela peut-il les amener plus loin que les personnes, ou peut-il remplacer les personnes ? Nous savions que la réponse serait non.
« Je pensais hilarant que 84 % des organisations qui disent : « Nous n’utilisons pas du tout les renseignements sur les menaces », ont évalué leurs opérations de sécurité comme très solides. »
Seulement 36 % des organisations qui ont déclaré que leur personnel n’est pas fort, ont des ressources humaines faibles et n’ont pas de processus automatisés ont évalué leurs opérations de sécurité comme solides. Cependant, 73 % de ceux qui ont déclaré avoir un personnel technique solide dans les opérations de sécurité et n’avaient pas d’automatisation ont évalué leur sécurité comme forte.
C’est bien que les organisations avec un haut niveau d’automatisation, mais des personnes faibles, aient à peu près la même force de programme que les organisations avec des ressources humaines solides mais une automatisation médiocre.
Qu’est-ce qui vous a le plus surpris dans les résultats de l’enquête ?
Nous avons posé des questions sur les informations sur les menaces et sur la manière dont les répondants et leurs organisations utilisent les informations sur les menaces. Je pensais hilarant que 84 % des organisations qui disent : « Nous n’utilisons pas du tout les renseignements sur les menaces », aient évalué leurs opérations de sécurité comme très solides. Mais ensuite, parmi ceux qui utilisent des informations sur les menaces, seuls 45 % ont évalué leur sécurité comme très forte. Leurs notations diminuent donc de près de la moitié.
Ils commencent à se rendre compte qu’ils ne connaissent pas les cyber-risques qu’ils ne connaissent pas.
Exactement. Un ensemble fonctionne à partir d’un état d’ignorance. Tout semble bien. Ils n’intègrent pas de menaces spécifiques et n’ont aucune idée de leur apparence, ils ne les voient donc pas. Cela doit signifier que tout est bon.
Comment les RSSI et leurs équipes de sécurité doivent-ils améliorer leurs employés, processus ou technologies ?
Il y a beaucoup dans les données qui leur donnent la liberté de s’appuyer sur les points forts plutôt que de devoir se conformer à la mentalité unique. Cette liberté de choix est une grande aide pour les programmes de sécurité qui sont en difficulté.
« Nous entendons beaucoup dire « C’est le nouveau paradigme que vous devez suivre... ». Mais nous n’avons pas encore atteint cette seule chose. Peut-être qu’il n’y a pas une seule chose. »
Nous entendons « C’est le nouveau paradigme que vous devez suivre pour rendre tout merveilleux ». Mais nous n’avons pas encore atteint cette seule chose. Peut-être qu’il n’y a pas une seule chose. Il y a beaucoup de petites choses qui améliorent progressivement un programme de sécurité.
Si nous pouvons commencer à mesurer ces petites choses et obtenir des preuves, nous pouvons commencer à les mettre sur la feuille de route. J’espère que les gens s’en éloignent.
Les résultats semblent montrer que, quelle que soit la qualité de la cyberhygiène d’une organisation, il existe des aspects de sécurisation de l’entreprise qui sont hors de son contrôle,
comme la maturité de la pile technologique et la qualité de l’intégration du système.
Oui, je pense que c’est aussi le cas. Cela met en quelque sorte l’accent sur Nous devons probablement sortir de nous-mêmes et travailler avec d’autres groupes au sein de l’organisation, s’ils possèdent les éléments qui sont essentiels à votre réussite en tant que leader de la sécurité. Si vous savez qu’une grande partie de cela est liée dans l’informatique que vous sécurisez, vous souhaitez probablement travailler en étroite collaboration avec le DSI et faire des plans pour améliorer cette pile technologique ensemble.
[Lecture supplémentaire : Le besoin croissant d’unifier l’informatique et la sécurité]
Y a-t-il certaines choses qui ont du sens à mesurer ? Je peux imaginer que si les équipes et les DSI commencent simplement à mesurer des choses, ils mesureront beaucoup de mauvaises choses.
Dans une certaine mesure, les résultats du programme 11 dont nous parlons dans ces rapports sont un excellent point de départ. Ce ne sont pas des mesures ou des indicateurs. Mais ce sont des objectifs que les programmes de sécurité veulent atteindre. Ensuite, la question devient : Comment notre programme peut-il soutenir au mieux ces résultats ? C’est un bon point de départ.
