Au cours d'une conversation
Face à une fuite massive de données, le statu quo d’une entreprise — voire son existence même — peut être réduit à néant en quelques secondes. Orion Hindawi, cofondateur et directeur technique de Tanium, ainsi que Brad Peterson, vice-président exécutif et directeur des systèmes d'information du Nasdaq, savent mieux que quiconque que d'innombrables entreprises sont au bord d'une catastrophe qui aurait pu être évitée.
Orion et Brad se sont récemment réunis pour discuter de ce qu'ils considèrent comme les six questions principales que les administrateurs devraient se poser. Voici un résumé de leur conversation.
Question n° 1 : Quel est le montant de vos dépenses en matière de sécurité de l'information ? Quel pourcentage de vos dépenses en outils de cybersécurité est consacré aux fournisseurs traditionnels, et quel pourcentage est consacré aux technologies plus récentes ?
Brad : Je peux tout d'abord répondre à la question concernant le Nasdaq, puis vous faire part de mes réflexions sur le sujet en général, en m'appuyant sur mes échanges avec d'autres DSI et directeurs techniques.
En ce qui nous concerne, nos dépenses en matière de sécurité de l'information n'ont cessé d'augmenter au cours des trois dernières années, tandis que nos dépenses technologiques globales sont restées stables. Ce secteur et les nouvelles technologies de traitement des données ont constitué pour nous des pôles de croissance. En ce qui concerne la confrontation entre les fournisseurs traditionnels et les nouvelles technologies, nous avons introduit un certain nombre de technologies innovantes, car les investissements et l'innovation dans le domaine des solutions de sécurité de l'information ont effectivement donné lieu à l'émergence d'un nombre impressionnant de nouveaux acteurs. Les investissements restent importants et l'innovation est toujours très présente, mais l'accent mis par les outils s'est déplacé de la protection — jugée insuffisante — vers des capacités de détection et de correction plus rapides. Ces questions sont désormais devenues une priorité, tant pour eux que pour nous.
La tendance reste à la hausse en matière de dépenses. Les PDG et les conseils d'administration doivent donner à leurs responsables techniques le sentiment et l'impression d'avoir carte blanche : « Sur quoi pouvez-vous faire des concessions pour dégager des marges dans le budget ? » C'était une tendance par le passé : les nouveaux fournisseurs vous permettaient de réduire vos coûts et les coûts liés à la technologie pouvaient baisser. Ce n'est pas le cas en matière de sécurité de l'information. Les capacités sont bien plus importantes, mais les dépenses globales augmentent.
Orion : Bon nombre de nos clients disposent de services de cybersécurité parmi les meilleurs du secteur ; ils sont conscients qu’ils doivent faire face à de nouvelles menaces — comme une menace apparue il y a un ou deux mois, que les antivirus ne sont absolument pas en mesure de contrer. On ne peut pas lutter contre une menace vieille de deux mois avec une technologie vieille de 20 ans.
Question n° 2 : Avez-vous chiffré le coût d'une perte de données et/ou de propriété intellectuelle suite à une cyberattaque, et avez-vous comparé ce montant à vos dépenses en matière de cybersécurité ?
Brad : Il existe aujourd'hui plusieurs rapports qui chiffrent le coût moyen d'une cyberattaque. Par exemple, le dernier rapport commandé par IBM a estimé le coût moyen consolidé de 2015 à 3,8 millions de dollars. Il existe quelques cabinets d'avocats spécialisés dans l'accompagnement des conseils d'administration et des entreprises victimes de violations de données, et ceux-ci estiment que ce nombre est supérieur à celui indiqué dans le rapport d'IBM. Par exemple, une étude a indiqué que la moyenne s'élevait à 7 millions de dollars. Je pense que le fait de bien cerner les coûts dès le départ et d'engager un dialogue avec votre conseil d'administration permettra à chacun d'être en mesure d'évaluer le juste équilibre entre les investissements à consacrer à la fonction de sécurité de l'information, le montant d'assurance nécessaire et le niveau de risque commercial que l'entreprise est prête à assumer. Les coûts à long terme liés à l'image de marque ou à la réputation résultant d'une violation semblent être les plus difficiles à quantifier et à modéliser.
Orion : En cas de violations de données à grande échelle, le coût cumulé des dépenses directes et de la perte d'image de marque peut s'élever à plusieurs milliards. La quantification repose sur une analyse au cas par cas et rigoureuse, du problème à la solution — elle dépend du type d'activité, du chiffre d'affaires, des données, etc.
Question n° 3 : Comment évaluez-vous le risque lié à l'entreprise ? Savez-vous combien le réseau compte de terminaux et comment les gérez-vous ?
Orion : Il est surprenant de constater combien de DSI sont incapables de répondre à la question « Combien de terminaux possédez-vous ? » Si vous ne savez pas ce que vous possédez, vous n’avez aucune chance de le protéger — et il incombe au conseil d’administration d’exiger une réponse.
Brad : Orion a raison : outre la connaissance du nombre de terminaux, vous devez disposer des outils nécessaires pour comprendre ce qui se passe sur ces terminaux. Quelles sont les versions des logiciels installées, quels sont les changements apportés, quelles sont les nouveautés ? Ainsi, pour évaluer les risques, le conseil d'administration doit s'assurer que l'équipe de direction dispose des outils et des ressources nécessaires pour recenser et surveiller l'ensemble des critères d'évaluation de l'entreprise, qui évoluent en permanence. Le dernier aspect à évaluer est la capacité de l'équipe de direction à réagir face à un risque émergent pour l'environnement. Dans quel délai peut-on remédier à une vulnérabilité une fois celle-ci identifiée ?
Question n° 4 : Quel est le plan d'intervention de l'entreprise en cas de perte importante de données ?
Orion : Les meilleures équipes de cybersécurité développent la capacité de répondre aux menaces en interne plutôt que de faire appel à un partenaire externe. Lorsque vous faites appel à un tiers, vous vous dégagez en quelque sorte de toute responsabilité. Et en cas de violation de données à grande échelle, vous ne maîtrisez pas les ressources si vous faites appel à des prestataires externes. La réactivité interne est désormais une compétence essentielle, et non plus un simple atout.
Brad : Nous gérons principalement les interventions avec nos ressources internes. Je pense que les prestataires tiers constituent une ressource utile lorsque vous rachetez une entreprise : vous avez besoin d’aide pour cerner rapidement les risques liés à une acquisition potentielle. Sinon, vous devez veiller à ne pas trop compter sur des personnes extérieures, sous prétexte que vous vous croyez mieux protégé que vous ne l’êtes en réalité. Nasdaq dispose d'un centre d'opérations de sécurité « 07/12 », situé dans les mêmes locaux que son centre d'opérations réseau mondial.
Question n° 5 : Quelle est notre situation en matière d'assurance ? Sommes-nous couverts contre les pertes résultant d'une cyberattaque ? Quelle est sa largeur ?
Orion : Il y a trois ans, personne n'avait d'assurance cyber.
Brad : Je pense que la souscription d'une cyberassurance est une démarche utile que la direction devrait entreprendre et dont elle devrait rendre compte au conseil d'administration. Cette approche est proactive ; elle permet d'engager un dialogue constructif sur les coûts potentiels d'une violation de données et oblige l'entreprise à prendre conscience des risques spécifiques auxquels elle est exposée en cas de violation. Comme pour tout type d'assurance, le montant de la franchise et les limites de couverture peuvent mettre en évidence de meilleures façons d'utiliser ces fonds, par exemple pour renforcer les outils de cybersécurité et les effectifs. Que la solution réside dans une couverture d'assurance plus importante ou dans un investissement accru dans la fonction de sécurité de l'information, l'évaluation du niveau de protection offert par l'assurance devrait constituer un processus annuel récurrent.
Orion : J'ai discuté avec de nombreux PDG de banques qui considèrent que la cybersécurité constitue la principale menace pour leur activité. Cela peut causer la perte d'une entreprise de services financiers, et il n'est pas difficile d'imaginer qu'un tel scénario se produise. Il y a une raison existentielle majeure qui explique pourquoi les PDG sont inquiets.
Il n'y a pas de solution parfaite, mais il existe de meilleures solutions. Certes, cela peut coûter cher, mais la plupart des entreprises ont sous-investi et elles tentent désormais de rattraper leur retard. Nous savons tous ce que nous sommes censés faire. Les actifs non gérés, les stocks… Nous étions censés nous en occuper depuis le début.
Question n° 6 : Notre équipe de sécurité est-elle en mesure d'obtenir toutes les informations dont elle a besoin auprès de tiers ? Peuvent-ils exploiter efficacement ces données pour gérer ou atténuer les menaces ?
Brad : Notre particularité réside dans le fait que nous sommes soumis à une réglementation et considérés comme une infrastructure essentielle ; le Nasdaq travaille donc en étroite collaboration avec des partenaires gouvernementaux tels que le Département de la Sécurité intérieure, le FBI et d’autres agences gouvernementales. Nous sommes également abonnés aux principaux services commerciaux de notification des vulnérabilités et des menaces afin de compléter nos informations.
Orion : Cette question comporte deux aspects très importants : disposez-vous des relations nécessaires pour obtenir des données auprès des pouvoirs publics et des flux d'informations pertinents sur les menaces ? Ensuite, et c'est tout aussi important, disposez-vous des outils nécessaires pour exploiter efficacement ces données ?
Vous souhaitez découvrir Tanium en action ? Prenez rendez-vous pour une démonstration individuelle ou participez à notre webinaire hebdomadaire. Venez échanger avec nos experts Tanium lors de nos prochains événements organisés dans le cadre de l' :.
