La réussite d'une entreprise repose sur une gestion efficace des risques liés à l' . Cependant, dans les services informatiques de nombreuses entreprises, un problème grave se pose. Les équipes informatiques ont encore du mal à mettre en œuvre leurs programmes de gestion des vulnérabilités selon une approche axée sur les risques. Il en résulte un gaspillage d'efforts, des systèmes exposés à des risques et des personnes talentueuses accaparées par des processus complexes et exigeants en main-d'œuvre.
En tant qu’intervenante invitée dans une nouvelle vidéo de la série « To the Point », Renée Murphy, de Forrester, souligne qu’en adoptant une approche automatisée de l’évaluation et de la gestion des risques, les entreprises peuvent rationaliser leurs processus d’audit et de conformité, améliorer la visibilité sur les terminaux et réduire au minimum les risques de cyberattaque grave.
Une avalanche de CVE
The NIST National Vulnerability Database (NVD) revealed that more vulnerabilities were published in 2021 than any year previously. Pour la cinquième année consécutive, nous avons constaté que le nombre de vulnérabilités et d'expositions communes (CVE) a atteint un niveau record — cette fois-ci, 20 139, soit une hausse de 10 % par rapport aux 2020 de l'année précédente.
Plus de 4000 d'entre eux ont été classés comme présentant un niveau de gravité élevé, ce qui constituerait une tâche considérable même pour une équipe informatique disposant des meilleures ressources ; or, cette tâche est d'autant plus ardue que ces équipes ne sont pas en mesure de hiérarchiser les bogues à corriger en priorité.
Dans l'intervalle, une vulnérabilité CVE héritée, répertoriée sous le numéro 2019 may , est activement exploitée pour cibler une organisation en raison d'une vulnérabilité non corrigée dans une application ou un système.
Les solutions de gestion des risques et de conformité , qui offrent une visibilité et un contrôle complets sur les terminaux d’une organisation, dont le nombre augmente de manière exponentielle, qu’ils soient sur site, en environnement hybride ou multicloud, sont essentielles pour réduire la surface d’attaque et garantir une protection totale des utilisateurs. Pourtant, de nombreuses équipes informatiques sont confrontées à des données obsolètes ou incomplètes et continuent d'utiliser des outils manuels, notamment des tableurs et diverses solutions ponctuelles, ce qui accentue encore davantage le cloisonnement de l'information. Cela complique la hiérarchisation des priorités en fonction des risques, car il est impossible d'avoir une vue d'ensemble de ce qui existe dans l'environnement dans son intégralité.
Comme l'explique Mme Murphy dans son exposé : « Si vous êtes au niveau du sol, vous ne pouvez voir que ce qui se trouve sous vos pieds. » « Vous devez monter à bord de votre drone et découvrir à quoi ressemble le paysage forestier vu d'en haut. »
Élever le niveau du débat
Comment les RSSI et les responsables de la gestion des risques peuvent-ils donc élever le niveau du débat et s'orienter vers une gestion efficace des vulnérabilités fondée sur les risques ? Disposer de solutions intégrées offrant une télémétrie en temps réel, des capacités d'investigation et la possibilité de remédier rapidement aux vulnérabilités est essentiel pour faire face aux menaces actuelles. Posez-vous quelques questions essentielles concernant chaque vulnérabilité CVE nouvellement publiée :
- Cette faille fait-elle l'objet d'attaques dans la nature ?
- Quelle est la probabilité que mon organisation soit la prochaine à être prise pour cible ?
- Y a-t-il des systèmes vulnérables ?
- Y a-t-il des systèmes vulnérables en production ?
- Les temps d'indisponibilité liés à l'application de correctifs auront-ils un impact sur les principaux services destinés à la clientèle ?
Se concentrer sur les risques revient essentiellement à optimiser la gestion des vulnérabilités . Il s'agit de concentrer les investissements en temps et en ressources là où ils sont le plus nécessaires. Comme le dit Murphy : « Je ne peux pas faire bouillir l'océan. » « Je dois prêter attention à ce qui présente le plus grand risque. »
En fin de compte, les dirigeants attendent des équipes informatiques et de sécurité qu'elles surveillent et gèrent les opérations afin de maintenir les performances de l'entreprise et d'assurer la continuité du service client.
Les outils automatisés d'évaluation des risques sont essentiels
Pour M. Murphy, l'automatisation est un facteur essentiel de la gestion des vulnérabilités fondée sur les risques. Cela permet de libérer du temps pour les équipes d'audit interne, de conformité, d'exploitation informatique et de sécurité. Un score de risque fiable permet de hiérarchiser l'application des correctifs et de démontrer aux auditeurs externes que les programmes fonctionnent efficacement. Surtout, dans un monde où une attaque par ransomware se produit toutes les 11 secondes, le fait de bien cerner votre niveau de risque vous permettra d'éviter une violation grave et de garantir la conformité de votre organisation. « Aucune organisation ne devrait se résigner à supporter un fardeau incessant lié aux mesures correctives », affirme Mme Murphy dans son exposé.
« Le secteur de l'audit informatique aurait déjà dû faire faillite à cause des logiciels de surveillance, et nous aurions tous dû passer à autre chose », ajoute-t-elle. « Je pense que ceux qui dirigent aujourd’hui des centres de données sont les personnes les plus chanceuses au monde. » Ce que vous êtes capables de faire aujourd'hui, nous n'aurions pas pu le faire il y a 20 ans. « Il ne devrait y avoir aucune excuse pour ne pas adopter une approche fondée sur les risques dans votre manière d’aborder les vulnérabilités et les menaces. »
Vous pouvez en savoir plus sur l'exposition de votre entreprise aux risques liés à l' grâce à l' d'évaluation des risques de Tanium. Cette évaluation des risques, d'une durée de cinq jours et gratuite, vous offre une vue d'ensemble de votre profil de risque et vous propose des mesures proactives pour protéger votre organisation. Inscrivez-vous dès aujourd'hui.
