Dans cet article de blog, Chris Hodson, responsable mondial de la sécurité des systèmes d'information (CISO) chez Tanium, s'est entretenu avec Geoff Fisher, responsable de la cybersécurité et de la gestion des incidents chez EY, afin d'évoquer le rôle des CISO et la manière dont celui-ci a évolué à la suite de la pandémie de COVID-19.
Traduire la cybersécurité en indicateurs de performance
Chris Hodson : J'aimerais commencer par une question que j'ai entendue assez souvent depuis le début de la pandémie : les RSSI comprennent-ils vraiment leur entreprise ? Nombreux sont ceux qui considèrent encore que la fonction de sécurité est très axée sur l'informatique et déconnectée des activités courantes de l'entreprise. Qu'en pensez-vous ?
Geoff Fisher : Je pense donc qu’au niveau de l’entreprise, les RSSI comprennent véritablement leur activité, mais ce qui leur fait défaut, ce sont les données de télémétrie permettant d’expliquer pourquoi la cybersécurité et la gestion des incidents devraient revêtir une importance particulière pour leurs dirigeants. Tous les RSSI comprennent, en fin de compte, l'activité de leur entreprise et s'efforcent de l'analyser sous l'angle de la sécurité. Dans de nombreux cas, ils ne disposent tout simplement pas des données nécessaires pour expliquer à leur direction pourquoi ils tentent de mener à bien tel ou tel projet. Et ils ne disposent pas des informations nécessaires pour quantifier ces éléments. Je pense que ce dont ils ont besoin, c'est d'un moyen d'expliquer leurs besoins en s'appuyant sur des données, à l'instar de la manière dont l'entreprise expose ses besoins en matière de budget et de croissance.
Chris Hodson : C'est effectivement le fossé que j'ai constaté. Les professionnels de la sécurité comprennent les indicateurs de sécurité, n'est-ce pas ? Nous comprenons pourquoi nous avons besoin de pare-feu, pourquoi nous devons appliquer des correctifs, pourquoi nous avons besoin d'une gestion des identités robuste — mais traduire tout cela en une série d'indicateurs alignés sur les objectifs de l'entreprise est une autre affaire.
Naviguer dans le nouveau paysage des risques
Chris Hodson : Cela m'amène à ma question suivante : pensez-vous que le paysage des menaces ait évolué pour les RSSI pendant la pandémie ?
Geoff Fisher : Les personnes à l'origine de ces attaques continueront de prospérer en cette période, car la pandémie n'a rien changé. Cela n'a pas vraiment modifié les méthodes, techniques et procédures (TTP) d'aucun des assaillants. Par conséquent, en matière de cybersécurité, on en revient toujours à la même question : est-ce que je sais où se trouvent tous mes actifs ? Est-ce que je les corrige tous ? Est-ce que je les surveille ? Puis-je analyser rapidement les terminaux de mes utilisateurs finaux et les mettre en quarantaine, puis passer rapidement aux mesures appropriées ? Rien de tout cela n'a changé.
Ce qui a changé, c'est l'endroit où vous souhaitez dépenser votre argent. Il se peut que je consacre aujourd’hui davantage de moyens à la protection du personnel que par le passé. Je sais désormais que ce maillon faible va prendre de l'ampleur du point de vue des risques.
Chris Hodson : Concernant votre remarque sur la protection des personnes, il faut garder à l'esprit que, du point de vue de l'utilisateur final, tout le monde travaille désormais à domicile. Ils sont plus vulnérables au hameçonnage, ils sont fatigués et stressés, et ils s'efforcent de concilier leur vie familiale, leurs enfants et leur travail dans un environnement inhabituel. Je pense donc que cela vous rend plus vulnérable aux activités malveillantes.
Il en va de même pour les défenseurs, c'est-à-dire les équipes chargées des opérations de sécurité. Ils ont généralement l'habitude de travailler dans un environnement SOC ou NOC. Ils organisent des réunions « stand-up » interfonctionnelles et collaborent pour résoudre les problèmes, et s'adapter pour mener tout cela à distance représente un défi de taille.
L'autre défi majeur concerne l'accès à Internet et aux applications. Le nombre d'organisations qui ont dû autoriser le « split tunneling » en raison de problèmes de bande passante et de performances réseau et qui doivent déployer leurs mises à jour de correctifs via un VPN. Mais aujourd'hui, le VPN est complètement saturé et sert à fournir des applications métier essentielles. C'est une période difficile pour le RSSI.
L'évolution du rôle du RSSI
Chris Hodson : Pensez-vous que le rôle du RSSI ait évolué en soi ?
Geoff Fisher : Je dirais que, dans un passé pas si lointain, le poste de RSSI était un rôle très axé sur la gouvernance et fondé sur des règles. Je pense qu'ils sont désormais sur un pied d'égalité, tant du point de vue du directeur informatique (CIO) que du directeur technique (CTO), et qu'ils prennent des décisions stratégiques. Les responsables de la sécurité des systèmes d'information (RSSI) ont aujourd'hui davantage leur mot à dire qu'auparavant. Ils apprennent à gérer un certain niveau d'incertitude et de risque au sein de leur organisation, tout en sachant qu'ils disposent de contrôles dynamiques à portée de main pour y parvenir de manière appropriée. Ils s'efforcent de trouver un équilibre entre le risque, la fonctionnalité et la simple nécessité d'aller au bout de la tâche. Je pense que c'est précisément là que l'évolution observée ces derniers mois s'avérera réellement bénéfique pour le secteur. La relation que les RSSI, les DSI et les directeurs techniques finissent par établir à la suite de cela s'avérera vraiment utile.
Chris Hodson : Oui, je pense que le rôle du RSSI évolue vers une fonction de conseil. Dans le contexte de la pandémie, le RSSI a pour rôle de mettre en place des mesures de contrôle ou de fournir des conseils afin d'atteindre un niveau de risque adapté à l'organisation. Les fonctions des RSSI ont dû évoluer, mais je pense que, et c'est tout à leur honneur, celles des DSI et des directeurs techniques ont également évolué. Ils doivent faire preuve de beaucoup plus de souplesse et adopter une approche beaucoup plus consultative.
Élargir le champ d'action au-delà de la détection
Chris Hodson : La dernière question qui m'a été posée aujourd'hui portait sur l'importance de disposer de bases solides en matière de sécurité et de respecter les meilleures pratiques. Toutes ces informations sensationnelles concernant les cybermenaces d'origine étatique ont-elles rendu plus difficile la définition des priorités pour les RSSI ?
Geoff Fisher : Vous savez, je pense que c'est là que ça se complique. Ces menaces « sensationnelles » ont toujours existé, mais elles sont restées quelque peu dans l'ombre et concernaient peut-être davantage les infrastructures critiques. Je ne suis pas sûr que ce soit vraiment le cas pour le reste du monde. Je suis sincèrement convaincu que chacun devrait s'attacher avant tout à maîtriser les bases, et je ne pense tout simplement pas que le fait de mettre en avant tous ces événements ponctuels concernant des organisations très spécifiques contribue en quoi que ce soit à l'éducation.
Faut-il rechercher les logiciels malveillants sans fichier ? À 100 %. Devriez-vous vous inquiéter du phénomène de « process hollowing » ? Je pense que oui. Mais si vous ne savez pas où se trouvent tous vos actifs et que vous n'appliquez pas les correctifs pour Java et le lecteur PDF, vous avez failli aux principes fondamentaux. Je suis fermement convaincu que le CSF du NIST correspond véritablement à la manière dont vous devriez concevoir votre programme de sécurité. Mais si vous ne maîtrisez pas les aspects liés à la réaction et à la reprise — ce qui est le cas de nombreuses petites organisations —, cela va vous poser des problèmes.
Chris Hodson : Je suis tout à fait d'accord. Je pense que de nombreuses organisations se concentrent sur la détection. Mais la détection sans les moyens d'y remédier et d'y faire face revient presque à aggraver la situation des RSSI. Une alarme incendie se déclenche et ils ne sont ni habilités ni en mesure d'intervenir.
C'est une conviction à laquelle nous adhérons avec ferveur chez Tanium. La protection est extrêmement importante, mais la capacité à mettre un ordinateur en quarantaine, à déployer un correctif ou à mettre un élément hors ligne l'est tout autant. Les entreprises doivent disposer d'une visibilité en temps réel sur ce qui se passe au sein de leur réseau – en particulier depuis que la quasi-totalité de leurs effectifs travaille à distance – et être en mesure de réagir aux menaces et d'y remédier rapidement et en toute confiance, avant qu'une menace ne se transforme en une faille de sécurité à l'échelle de l'entreprise.
Merci de nous avoir consacré un peu de votre temps aujourd'hui, Geoff. Je me réjouis de poursuivre notre discussion lors de notre prochaine table ronde intitulée « 23 juillet », en présence de l'ancienne hackeuse Alissa Knight, de Knight Ink, et de Chris Wilder, analyste en cybersécurité chez Moor Insights & Strategy.
Vous souhaitez découvrir Tanium en action ? Prenez rendez-vous pour une démonstration individuelle ou venez échanger avec nos experts Tanium lors de nos prochains événements organisés par l' :.
