Dans cet entretien franc et sans détours, Chris Hodson, responsable de la sécurité des systèmes d’information (RSSI) chez Tanium, s’est entretenu avec Anthony Belfiore, directeur de la sécurité (CSO) chez Aon et membre du conseil d’administration de Tanium, afin d’évoquer les répercussions du télétravail sur la fonction de cybersécurité, l’implication du conseil d’administration, la résilience de l’entreprise (ou son absence) et les budgets consacrés à la cybersécurité.
Réorienter l'équation du risque vers la cyber-résilience
Chris Hodson : La première question porte sur les équations de risque traditionnelles et l'implication du conseil d'administration :
D'après mon expérience, les événements à fort impact et à faible probabilité suscitent souvent une réaction du type : « Eh bien, cela n'arrivera jamais, nous n'avons pas à nous en inquiéter. » Du point de vue du conseil d'administration, constatez-vous une évolution vers une culture du risque profondément différente, axée sur les considérations de disponibilité dans le cadre de la planification en cas de pandémie ou d'autres scénarios à fort impact et à faible probabilité, ou est-il encore trop tôt pour se prononcer ?
Anthony Belfiore : Je pense qu’il y a plusieurs éléments à prendre en compte. Premièrement, ce que les entreprises constatent réellement en ce moment, c'est qu'elles prennent conscience que leur activité n'est en réalité pas résiliente, et que la résilience opérationnelle est sans doute l'élément le plus crucial pour leur entreprise.
Deuxièmement, je pense que les entreprises se concentreront sur tous les aspects, du télétravail et des conférences virtuelles jusqu'à la sécurité proprement dite, en passant par les tests de continuité d'activité et le suivi de la reprise après sinistre (DR).
Troisièmement, les entreprises vont réévaluer leurs processus métier essentiels ainsi que les technologies qui les sous-tendent. Vous allez voir de nombreux problèmes surgir à ce sujet au cours des deux ou trois prochains mois, et je pense que de nombreuses entreprises vont commencer à se rendre compte qu'elles n'avaient en réalité aucune idée de la gravité de leur situation en matière de sécurité. Le simple fait d’être sécurisé du point de vue de la cybersécurité et de respecter les normes COBIT, NIST ou ISO ne permet pas de déterminer si vous êtes cyber-résilient et si vous serez capable de vous relever une fois que vous aurez encaissé un coup.
Je dirais que vous allez assister à un changement radical : les entreprises vont désormais se concentrer sur la résilience de leur activité, leurs processus métier clés, leur mode de fonctionnement, ainsi que sur les personnes, les processus et les technologies nécessaires pour soutenir ces efforts. Vous allez constater une intensification des activités de suivi, de hiérarchisation, de documentation, de synthèse et d'archivage des protocoles ; par ailleurs, la visualisation des processus assurant la continuité des activités et la reprise après sinistre va prendre une importance considérable.
La cyber-résilience est un sous-ensemble de la résilience de l'entreprise, dont la cybersécurité constitue à son tour un sous-ensemble. C'est hiérarchique. La résilience globale de votre entreprise repose sur la cybersécurité, le capital humain, les politiques et les procédures.
Mettre la visibilité au premier plan
Hodson : Anthony, cela m'amène à ma deuxième question, qui porte sur les personnes qui détournent la notion de continuité des activités. De nombreuses équipes informatiques « maîtrisent » les aspects techniques : elles sont capables de basculer l'infrastructure serveur du centre de données 1 vers le centre de données 2 , mais elles ne comprennent pas les services, les applications et les processus dont le système fait intrinsèquement partie. Selon vous, comment la planification holistique de la continuité va-t-elle évoluer ?
Belfiore : Il s'agit de mise en contexte, et c'est là que Tanium peut intervenir. Ces processus métier s'exécutent sur des infrastructures critiques et au sein d'écosystèmes d'applications. Il est essentiel de pouvoir établir cette distinction, et il est primordial de disposer d'une visibilité sur les performances, l'état de santé, la qualité des services et la sécurité des données.
C'est comme adopter une approche axée sur l'architecture d'entreprise pour comprendre vos processus métier et vos services, ainsi que les services applicatifs et l'infrastructure. Vous le décomposez en descendant la pile, puis vous assurez la visibilité vers le haut et vers le bas de la pile. Vous pourrez alors vous en occuper. Vous ne pouvez pas vous en occuper pour le moment.
La nécessité de surmonter le défi posé par la pandémie
Hodson : Cela m'amène à mon prochain sujet lié à la situation liée à la pandémie : la hiérarchisation des projets. Les stratégies semblent être délaissées au profit de tout ce qui touche à la disponibilité, ce qui aggrave les tensions existantes entre les priorités et les budgets. D'après les retours d'expérience que j'ai recueillis auprès des RSSI, ceux qui relèvent du directeur des risques, du service juridique ou directement de la direction générale sont toujours en mesure d'exposer clairement les priorités en matière de sécurité ainsi que les problèmes informatiques généraux et urgents. On demande aux personnes qui relèvent des DSI de réévaluer l'ensemble des financements immédiats et prévus. Qu'en pensez-vous ?
Belfiore : C'est une situation difficile. Vous devez concilier les exigences en matière de sécurité physique, de continuité d'activité et de reprise après sinistre, ainsi que celles des services de front-office, de middle-office et des opérations, le tout avec des ressources financières, du temps, des cycles de développement et du personnel limités. Et cela ne concerne que l'argent et la capacité à mener à bien son travail. C'est l'impact le plus élémentaire et le plus intuitif, mais vous ne disposez désormais plus non plus des effectifs ni des capacités dont vous disposiez auparavant. Vous ne pouvez pas travailler aussi rapidement ni avec autant d'agilité. Et les gens sont vraiment stressés et inquiets. C'est vraiment la principale source de stress à laquelle je suis confronté en ce moment.
Le génie est sorti de la bouteille
Hodson : Passons maintenant aux politiques et normes de sécurité. De nombreuses organisations disposent de ressources limitées et sont contraintes d'adopter une politique de « bring-your-own-device » (BYOD). Dans de nombreux cas, cela signifie qu'elles doivent également adapter leurs politiques et leurs normes de sécurité afin d'assurer la continuité de leurs activités et de maintenir leurs services opérationnels. Il s'agit d'un simple changement technique, mais il sera extrêmement difficile de remettre le génie dans la bouteille une fois la pandémie terminée. Êtes-vous d'accord ?
Belfiore : Oui, les gens s'habituent au télétravail. Le secret a été dévoilé. Nous n'avons pas besoin de tout cet espace de bureau. Nous n'avons pas besoin de tout cela pour être efficaces. Cette pandémie en est en quelque sorte la preuve. Ça va devenir vraiment passionnant.
Hodson : Imaginons que tout le monde travaille à domicile, y compris les équipes du centre des opérations de sécurité, les équipes de gestion des incidents et les ingénieurs. Six mois se sont écoulés et aucun événement négatif notable ne s'est produit. Comment imaginez-vous que les responsables de la sécurité, qui disposaient de budgets colossaux et affirmaient avoir besoin de toutes ces mesures de contrôle, puissent faire changer d'avis les conseils d'administration, qui ne manqueront pas de demander : « Pourquoi avons-nous besoin de tout cela et pourquoi avons-nous besoin de tout ce personnel si rien ne s'est produit ? »
Belfiore : Je pense que les conseils d'administration prennent conscience de l'efficacité du télétravail, ce qui justifie sans aucun doute les dépenses consacrées à la cybersécurité. C'est la nouvelle normalité. Nous n'avons pas besoin de toutes ces infrastructures ni de tout ce personnel pour travailler comme nous le faisions autrefois. Je pense que c'est cela, le « signal d'alarme », cette révolution disruptive dans le domaine de l'informatique et de la cybersécurité.
Un nouvel accent mis sur la continuité des activités
Hodson : Tanium est considéré comme un service essentiel pour nos clients. Nous proposons des services liés aux opérations informatiques, à la gestion des risques et à la cybersécurité, qui doivent rester opérationnels dans le cadre du télétravail. De ce fait, je reçois de nombreux questionnaires relatifs à la planification de la continuité des activités de la part des équipes chargées de la conformité et de la gestion des risques (chez nos clients). Certains clients adoptent une approche normative en matière de diligence raisonnable, conforme à la norme ISO 22301/27001, tandis que d'autres privilégient une approche davantage développée en interne. Qu'en pensez-vous ?
Belfiore : En interne, nous n'avons jamais considéré qu'une norme unique ait été efficace par le passé ; c'est pourquoi nous avons en fait pris toutes les normes et élaboré la meilleure solution possible. Notre norme actuelle est une synthèse de pratiquement toutes les autres normes existantes.
Ce que font actuellement bon nombre de nos clients, c'est qu'ils se sont associés pour mener des actions communes concernant l'évaluation des prestataires de contrôle externes et de leurs propres processus internes. Leurs politiques et cadres fondés sur les risques proviennent généralement des « Big 4 », qui mènent une analyse approfondie en examinant l’ensemble des normes existantes, leur activité et tous les environnements réglementaires auxquels ils sont soumis, pour aboutir à une synthèse de ces éléments. Les secteurs des services financiers et de la santé, en particulier, ont tendance à procéder ainsi, car ils sont soumis à une réglementation très stricte. Le gouvernement a tendance à élaborer des normes propres en raison de la grande sensibilité aux réglementations. Si vous observez les autres secteurs d'activité, vous constaterez qu'ils s'en tiennent en réalité aux normes de base et optent pour les normes ISO ou NIST. Cela dépend vraiment du secteur d'activité que vous considérez et de ce qu'ils choisissent de faire.
Notre approche repose sur un ensemble de normes de mise sur le marché qui régissent la manière dont nous acceptons les entreprises du point de vue de la cyberassurance, mais nous y intégrons également toutes les meilleures pratiques de l'ISO, du NIST et de l'ensemble des juridictions dans lesquelles nous exerçons nos activités, telles que la MAS à Singapour, la HKMA à Hong Kong, la FSA au Japon et la FCA au Royaume-Uni. Nous avons examiné l'ensemble de leurs normes fondamentales et veillé à intégrer un niveau minimal de garantie dans notre norme opérationnelle actuelle.
Hodson : C'est un bon argument concernant les secteurs d'activité. J'ai encore une question : j'ai toujours eu du mal à susciter l'intérêt des cadres dirigeants pour la planification de la continuité des activités, qu'il s'agisse de gestion de crise ou d'exercices sur table. Pensez-vous que la pandémie mondiale va changer la donne ?
Belfiore : Tout à fait. Je pense que nous allons mettre en place des tables de travail, et que celles-ci seront imposées par la réglementation. Il est hors de question que nous nous en sortions sans une véritable révolution dans la manière dont nous planifions la continuité d'activité.
Vous souhaitez découvrir Tanium en action ? Prenez rendez-vous pour une démonstration individuelle ou venez échanger avec nos experts Tanium lors de nos prochains événements organisés par l' :.
