Gérer une entreprise prospère dépend d’une gestion efficace des risques. Cependant, dans la salle des machines informatiques de nombreuses entreprises, il y a un grave problème. Les équipes informatiques ont encore du mal à exécuter leurs programmes de gestion des vulnérabilités d’une manière axée sur les risques. Il en résulte des efforts inutiles, des systèmes dangereusement exposés et des individus talentueux liés à des processus complexes et exigeants en main-d’œuvre.
En tant qu’intervenant invité dans une nouvelle vidéo To the Point, Renee Murphy de Forrester souligne qu’en adoptant une approche automatisée de la notation et de la gestion des risques, les organisations peuvent rationaliser l’audit et la conformité, améliorer la visibilité des endpoints et minimiser les risques de cyber-violation grave.
Un déluge CVE
La base de données nationale des vulnérabilités (NVD) du NIST a révélé que plus de vulnérabilités ont été publiées en 2021 que n’importe quelle année précédente. Pour la cinquième année consécutive, nous avons vu les vulnérabilités et expositions courantes (CVE) atteindre un record, cette fois de 20 139, en hausse de 10 % par rapport à 2020.
Plus de 4000 ont été étiquetés de haute gravité, ce qui serait une entreprise importante même pour l’équipe informatique disposant des meilleures ressources, et la tâche est beaucoup plus difficile lorsque ces équipes ne sont pas en mesure de hiérarchiser les bogues à corriger en premier.
En attendant, un CVE existant de 2019 may est activement exploité pour cibler une organisation en raison d’une vulnérabilité d’application ou de système non corrigée.
Les solutions de gestion des risques et de conformité qui offrent une visibilité et un contrôle complets sur les endpoints d’une organisation en augmentation exponentielle sur site, hybrides et multi-cloud sont essentielles pour réduire la surface d’attaque et garantir la protection complète des utilisateurs. Pourtant, de nombreuses équipes informatiques rencontrent des difficultés avec des données obsolètes et incomplètes et utilisent toujours des outils manuels, y compris des feuilles de calcul et des solutions ponctuelles multiples, ce qui aggrave les silos d’informations. Cela fait de la hiérarchisation basée sur les risques un défi en ne pouvant pas voir ce qui existe dans l’ensemble de l’environnement.
Comme Murphy le soutient dans sa présentation : « Si vous êtes sur le terrain, vous ne pouvez voir que ce qui se trouve sous vos pieds. Vous devez monter dans votre drone et voir à quoi ressemble le paysage forestier d’en haut. »
Élever la conversation
Alors, comment les RSSI et les responsables des risques peuvent-ils élever la conversation et passer à une gestion efficace des vulnérabilités basée sur les risques ? Disposer de solutions intégrées qui fournissent une télémétrie en temps réel, des capacités d’enquête et la possibilité de remédier rapidement aux vulnérabilités est essentiel pour s’attaquer au paysage des menaces aujourd’hui. Posez-vous quelques questions cruciales sur chaque CVE nouvellement publié :
- Est-il exploité à l’état sauvage ?
- Quelle est la probabilité que mon organisation soit ciblée ensuite ?
- Certains systèmes sont-ils vulnérables ?
- Existe-t-il des systèmes vulnérables en production ?
- Les temps d’arrêt liés aux correctifs auront-ils un impact sur les services clés en contact avec les clients ?
Se concentrer sur les risques consiste essentiellement à optimiser la gestion des vulnérabilités. Il s’agit de cibler l’investissement de temps et de ressources là où cela est le plus nécessaire. Comme le dit Murphy : « Je ne peux pas faire bouillir l’océan. Je dois prêter attention à ce qui va causer le plus de risques. »
En fin de compte, la direction attend des équipes chargées des opérations informatiques et de la sécurité qu’elles surveillent et gèrent l’opération pour maintenir les performances commerciales et assurer la continuité du service client.
Les outils automatisés d’évaluation des risques sont essentiels
Pour Murphy, l’automatisation est un catalyseur essentiel de la gestion des vulnérabilités basée sur les risques. Cela peut libérer du temps pour les équipes d’audit interne, de conformité, d’opérations informatiques et de sécurité. Un score de risque robuste permet de hiérarchiser les correctifs et de prouver aux auditeurs tiers que les programmes fonctionnent efficacement. Plus important encore, dans un monde où il y a une attaque par rançongiciel toutes les 11 secondes, comprendre votre posture de risque évitera une violation grave et maintiendra la conformité de l’organisation. « Aucune organisation ne doit être démissionnée face à un fardeau de remédiation incessant », soutient Murphy dans sa présentation.
« Le secteur de l’audit informatique aurait dû être en faillite en surveillant les logiciels à l’heure actuelle, et nous aurions tous dû passer à autre chose », ajoute-t-elle. « Aujourd’hui, ces personnes qui dirigent des centres de données sont les personnes les plus chanceuses de la planète. Ce que vous pouvez faire, nous ne pouvions pas le faire il y a 20 ans. Il ne devrait pas y avoir d’excuse pour ne pas adopter une approche basée sur les risques dans la manière dont vous considérez la vulnérabilité et les menaces. »
Vous pouvez en savoir plus sur l’ exposition aux risques de votre entreprise grâce à l’évaluation des risques Tanium. L’évaluation des risques gratuite sur cinq jours fournit une vue complète de la posture des risques et des moyens proactifs de protéger votre organisation. Inscrivez-vous dès aujourd’hui.
