Dans cette interview franche, Chris Hodson, RSSI chez Tanium, a rencontré Anthony Belfiore, directeur des systèmes d’information chez Aon et membre du conseil d’administration de Tanium, pour discuter des impacts de la main-d’œuvre distribuée sur la fonction de cybersécurité, l’engagement du conseil d’administration, la résilience commerciale (ou son absence) et les cyber budgets.
Passer de l’équation des risques à la cyber-résilience
Chris Hodson : La première question porte sur les équations de risque traditionnelles et l’engagement du conseil d’administration :
D’après mon expérience, les événements à fort impact et à faible probabilité ont tendance à susciter une réponse « Eh bien, cela ne va jamais se produire, nous n’avons pas besoin de nous inquiéter de cela ». Du point de vue du conseil d’administration, voyez-vous un changement vers une culture du risque profondément différente en ce qui concerne les considérations de disponibilité de la planification de la pandémie ou d’autres scénarios à fort impact et à faible probabilité, ou est-il trop tôt pour le dire ?
Anthony Belfiore : Je pense qu’il y a plusieurs choses. Premièrement, ce que les entreprises vivent vraiment en ce moment, c’est qu’elles comprennent que leur entreprise n’est vraiment pas résiliente, et que la résilience de l’entreprise est probablement la chose la plus critique pour leur entreprise.
Deuxièmement, je pense que les entreprises se concentreront sur tout, du travail à distance et de la conférence virtuelle, à la sécurité réelle, aux tests de continuité et au suivi de la reprise après sinistre (DR).
Troisièmement, les entreprises vont réévaluer leurs processus commerciaux critiques et les technologies qui les soutiennent. Vous allez voir beaucoup de problèmes en sortir dans les deux à trois prochains mois et je pense que beaucoup d’entreprises commenceront à se rendre compte qu’elles ne savaient vraiment pas à quel point leur posture de sécurité était mauvaise. Ce n’est pas parce que vous êtes en sécurité du point de vue de la cybersécurité et que vous êtes conforme à COBIT, NIST ou ISO que vous ne donnez aucune indication sur votre cyberrésilience ou non et que vous serez en mesure de sortir du tapis une fois que vous serez poinçonné.
Je dirais que vous allez voir un énorme changement vers les personnes qui se concentrent sur la résilience de l’entreprise, les processus commerciaux de base, leur fonctionnement et les personnes, processus et technologies pour soutenir ces efforts. Vous allez constater une augmentation du suivi, de la hiérarchisation, de la documentation, de l’agrégation et de la mémorisation des protocoles et vous assurer que les visualisations de workflow de continuité d’activité et de reprise après sinistre seront importantes.
La cyber-résilience est un sous-ensemble de la résilience de l’entreprise, et un sous-ensemble de celle-ci est votre cybersécurité. C’est hiérarchique. Votre résilience commerciale globale est constituée de cyber, de capital humain, de politiques et de procédures.
Mettre la visibilité au premier plan
Hodson : Anthony, cela mène à ma deuxième question, concernant les personnes qui détournent la continuité des activités. De nombreuses équipes informatiques « l’obtiennent » au niveau informatique : elles peuvent basculer de l’infrastructure du serveur du datacenter 1 au datacenter 2 , mais elles ne comprennent pas les services, les applications et les processus auxquels le système fait intrinsèquement partie. Comment voyez-vous l’évolution de la planification holistique de la continuité ?
Belfiore : Il s’agit de contextualisation et c’est là que Tanium peut intervenir. Ces processus métier s’exécutent sur des infrastructures et des écosystèmes d’applications critiques. Être capable de tracer cette ligne est la chose la plus critique, et être capable d’avoir une visibilité sur les performances, l’état de santé, la qualité des services et la sécurité des données est essentiel.
C’est comme adopter une approche axée sur l’architecture d’entreprise pour comprendre vos processus et services commerciaux, comprendre les services et l’infrastructure des applications. Vous la décomposez le long de la pile, puis vous fournissez une visibilité de haut en bas de la pile. Vous pouvez ensuite le gérer. Vous ne pouvez pas le gérer pour le moment.
La nécessité de surmonter le défi de la pandémie
Hodson : Cela m’amène à mon prochain sujet lié à la situation de la pandémie : la hiérarchisation des projets. Les stratégies semblent abandonnées en faveur de tout ce qui est lié à la disponibilité, exacerbant la friction existante des priorités et des budgets. Les commentaires anecdotiques que j’ai reçus des RSSI sont que ceux qui rendent compte au directeur des risques, au service juridique, ou directement à la direction, sont toujours en mesure d’articuler les priorités de sécurité et les problèmes informatiques abstraits et immédiats. Les responsables informatiques sont invités à réévaluer tous les financements immédiats et planifiés. Que pensez-vous de cela ?
Belfiore : C’est une situation difficile. Vous êtes confronté aux besoins en matière de sécurité physique, de continuité des activités et de reprise après sinistre, de front-office, de middle-office et d’opérations, le tout avec une quantité limitée de financement, de temps, de cycles et de personnel. Et il ne s’agit que d’argent et de la capacité à accomplir le travail. C’est l’impact le plus rudimentaire et intuitif, mais vous n’avez désormais pas non plus la main-d’œuvre et les capacités que vous aviez. Vous ne pouvez pas travailler aussi rapidement ou aussi agile. Et les gens sont vraiment stressés et inquiets. C’est vraiment le plus grand stress auquel je suis confronté en ce moment.
Le génie n’est plus dans la bouteille
Hodson : Passons aux politiques et normes de sécurité. De nombreuses organisations disposent de ressources limitées et sont obligées d’adopter une politique BYOD (apportez votre propre appareil). Dans de nombreux cas, cela signifie qu’ils doivent également modifier leurs politiques et normes de sécurité pour assurer la continuité de l’activité et garder les lumières allumées. Il s’agit d’un simple changement technique, mais il sera extrêmement difficile de remettre ce génie dans la bouteille une fois la pandémie terminée. Êtes-vous d’accord ?
Belfiore : Oui, les gens s’habituent à travailler à domicile. Le secret est sorti. Nous n’avons pas besoin de tout cet espace de bureau. Nous n’avons pas besoin que toutes ces choses soient efficaces. Cette pandémie le prouve en quelque sorte. Cela va devenir très intéressant.
Hodson : Disons que tout le monde travaille à domicile, y compris les équipes du Centre des opérations de sécurité, les équipes de réponse aux incidents, les ingénieurs. Six mois se sont écoulés et rien de significativement négatif ne s’est produit. Comment voyez-vous les responsables de la sécurité, qui avaient d’énormes budgets et ont dit avoir besoin de tous ces contrôles, rééduquant les conseils d’administration, qui se demanderont sans aucun doute « Pourquoi ai-je besoin de tout cela et pourquoi avons-nous besoin de toutes ces personnes si rien ne s’est passé ? »
Belfiore : Je pense que les conseils d’administration réalisent à quel point le télétravail peut être efficace et cela justifie certainement les cyberdépenses. C’est la nouvelle normalité. Nous n’avons pas besoin de toute cette infrastructure ou de toutes les personnes pour travailler comme nous le faisions auparavant. Je pense que c’est la « veille », la révolution perturbatrice dans l’informatique et la cybersécurité.
Un nouvel accent sur la continuité des activités
Hodson : Tanium est considéré comme un service commercial essentiel pour nos clients. Nous fournissons des capacités d’exploitation informatique, de risque et de cybersécurité qui doivent rester opérationnelles pendant une période de travail distribué. Par conséquent, je réponds à de nombreux questionnaires de planification de la continuité des activités des équipes de conformité et de risque (client). Certains clients adoptent une approche prescriptive de la diligence raisonnable, alignée sur la norme ISO 22301/27001, tandis que d’autres utilisent davantage une approche développée en interne. Quelle est votre opinion à ce sujet ?
Belfiore : En interne, nous n’avons jamais pensé qu’une norme était historiquement efficace, nous avons donc pris toutes les normes et construit le meilleur de sa catégorie. Notre norme actuelle est une fusion de presque tous les autres.
Nombre de nos clients font actuellement équipe pour faire les choses ensemble en ce qui concerne la manière dont ils évaluent les fournisseurs de supervision tiers et leurs propres processus internes. Leurs politiques et cadres basés sur les risques ont tendance à provenir des Big 4 qui font un exercice massif, examinant toutes les normes existantes, leur activité et tous les environnements réglementaires auxquels ils sont soumis, et trouvent une fusion. Les services financiers et les soins de santé en particulier ont tendance à le faire parce qu’ils sont fortement réglementés. Le gouvernement a tendance à trouver des normes exclusives en raison de la haute sensibilité aux réglementations. Si vous regardez les autres secteurs, ils vont vraiment avec les bases et choisissent ISO ou NIST. Cela dépend vraiment du secteur vertical que vous examinez et de ce qu’ils choisissent de faire.
La nôtre est le mélange de normes de mise sur le marché pour la manière dont nous acceptons les entreprises du point de vue de la cyberassurance, mais nous mélangeons également toutes les meilleures pratiques de l’ISO, du NIST et de tous les domiciles dans lesquels nous opérons, comme MAS à Singapour, HKMA à Hong Kong, FSA au Japon, FCA au Royaume-Uni. Nous avons examiné toutes leurs normes fondamentales et nous sommes assurés d’établir une base minimale d’assurance dans notre norme opérationnelle actuelle.
Hodson : C’est un bon point sur les secteurs verticaux. J’ai une question supplémentaire : j’ai toujours eu du mal à impliquer les CXO dans la planification de la continuité des activités, que ce soit la gestion de crise ou les exercices de table. Pensez-vous que la pandémie mondiale va changer cela ?
Belfiore : Tout à fait. Je pense que nous allons faire des tables de table et qu’elles seront obligatoires en matière de réglementation. Il n’y a aucun moyen de nous en sortir sans la révolution de la manière dont nous planifions la continuité des activités.
Vous souhaitez voir Tanium en action ? Planifiez une démo individuelle ou parlez à nos experts Tanium lors de nos prochains événements.
