Dans le deuxième volet de notre série en trois parties, David Damato, directeur de la sécurité chez Tanium, explore comment utiliser des cadres basés sur les risques pour créer un programme de cybersécurité mature et durable.
Lors de l’élaboration d’un programme de cybersécurité, de nombreuses organisations se concentrent uniquement sur la prévention. En théorie, cela semble formidable. Mais, selon mon expérience, se concentrer uniquement sur la prévention augmente réellement vos chances d’une violation majeure, car tout attaquant capable de contourner les contrôles préventifs initiaux n’est pas entièrement contrôlé.
Par conséquent, si vous n’ utilisez pas de cadre de cybersécurité pour répondre à un éventail d’activités d’hygiène de sécurité, vous demandez des problèmes.
Dans la première partie de cette série, j’ai discuté de la manière dont la compréhension de l’état de votre environnement actuel pourrait vous aider à identifier les lacunes dans les contrôles de sécurité critiques. Cela se traduit par des gains rapides pour améliorer l’hygiène de sécurité grâce à vos investissements existants. L’étape suivante consiste à aborder de manière large les activités de cybersécurité, y compris tous les domaines de l’hygiène de sécurité, en adoptant un cadre de cybersécurité de premier plan.
L’utilisation d’un cadre offre de nombreux avantages, notamment :
- S’assurer que vos activités sont équilibrées entre les activités de sécurité pertinentes, et pas seulement la prévention ou la détection ;
- Fournir une structure flexible qui peut se développer et s’adapter à n’importe quelle organisation ;
- Faciliter votre capacité à répondre à diverses exigences légales et réglementaires ; et
- Aider à définir un langage commun afin de mieux communiquer avec les pairs qui utilisent des cadres similaires.
Il existe de nombreux cadres parmi lesquels choisir. Les exemples les plus populaires comprennent lecadre de cybersécurité (CSF) duNIST, la norme ISO 27001 et COBIT.
Utiliser un cadre de cybersécurité pour aborder l’hygiène de manière générale
Les principaux cadres de cybersécurité traitent d’un large éventail d’activités qui définissent un programme de sécurité de l’information. Cela inclut l’hygiène de sécurité de base, telle que la gestion d’un inventaire des systèmes et logiciels et des systèmes de correctifs en temps opportun.
Pour mettre en œuvre un cadre de cybersécurité, la plupart des organisations effectueront une évaluation des écarts, une évaluation des risques et un plan de mise en œuvre. Une évaluation des écarts est utilisée pour cartographier l’état actuel des contrôles de sécurité de l’information avec un cadre défini. Si vous avez déjà effectué une analyse des écarts par rapport auxCIS Critical Security Controls ou SANS Top 20, vous constaterez que certains travaux ont été effectués. Le résultat est une compréhension de l’état actuel de votre programme de sécurité de l’information, en plus des faiblesses ou lacunes majeures avec le cadre défini. L’étape suivante consiste à effectuer une évaluation des risques pour déterminer la probabilité et l’impact d’un événement de sécurité spécifique. Les résultats de l’évaluation des risques déterminent comment une organisation définit son état cible. Avec une analyse des écarts et une évaluation des risques terminées, un plan de mise en œuvre définit comment une organisation prévoit de passer de son état actuel à un état cible aligné sur le profil de risque défini.
Les trois composants principaux de tout plan de mise en œuvre sont les personnes, les processus et la technologie. Vous aurez besoin des bonnes personnes et compétences pour atteindre votre état cible. Des processus bien documentés et pratiques garantiront que les activités sont reproductibles et informées des risques. Mais la technologie rassemble vraiment tout cela en intégrant les personnes et en soutenant les processus grâce à l’automatisation des tâches importantes, en favorisant des opérations plus efficaces et en permettant à votre équipe d’évoluer.
Investir dans les technologies adaptées à votre cadre de cybersécurité
Lors de la réalisation de nouveaux investissements en matière de sécurité, la plupart des organisations ont du mal à hiérarchiser les besoins et à sélectionner les technologies appropriées pour répondre à ces besoins.
Vous pouvez hiérarchiser les investissements de sécurité en tenant compte des deux attributs suivants d’un besoin spécifique : les risques et les dépendances. Hiérarchisez d’abord les besoins à haut risque, comme déterminé par l’évaluation des risques effectuée. Cependant, comme la plupart des organisations, vous êtes susceptible d’avoir de nombreux risques « élevés ». Pour hiérarchiser les risques « élevés », les organisations doivent tenir compte des exigences dépendantes ou prérequises.
Une dépendance est similaire à une hiérarchie de besoins et décrit les capacités requises pour une exécution réussie d’autres capacités de niveau supérieur. Par exemple, supposons que votre base de données de gestion des actifs et votre programme de recherche des menaces sont inefficaces, ce qui présente un risque important pour votre entreprise. Dans ce cas, vous ne pouvez pas développer un programme de recherche des menaces réussi tant que votre équipe de sécurité n’a pas compris les actifs qu’elle défend.
Le deuxième défi auquel sont confrontés de nombreux décideurs est la manière de sélectionner les bonnes technologies pour répondre aux capacités requises dans un cadre donné. Au-delà des exigences de test dans le cadre d’un POC, les décideurs doivent aligner les technologies existantes et proposées sur chaque capacité dans le cadre sélectionné. Vous trouverez certaines solutions qui traitent de nombreux composants d’un cadre, tandis que d’autres peuvent ne satisfaire qu’une seule activité. Votre objectif doit être d’investir dans le plus petit nombre de solutions qui répondent au plus grand nombre de besoins et vous positionneront pour atteindre les capacités cibles requises.
Pourquoi accorder autant d’importance à la limitation du nombre de solutions ? C’est simple : l’achat d’un trop grand nombre de solutions est coûteux et introduit de la complexité, en particulier lorsque vos outils se chevauchent considérablement dans les caractéristiques et les fonctionnalités. La complexité augmente les risques en élargissant la surface d’attaque, en chargeant votre personnel, en chargeant les coûts et en créant des silos de données qui nécessitent une intégration.
Comment nos clients utilisent Tanium pour traiter les cadres de cybersécurité et améliorer l’hygiène de sécurité
Nos clients utilisent Tanium pour répondre à de nombreuses exigences dans les principaux cadres, même au-delà des activités généralement considérées comme faisant partie de l’hygiène de sécurité. Dans l’ensemble, Tanium traite des capacités requises dans les cinq fonctions identifiées dans le NIST Framework Core et ISO 27001. Tanium peut aider les organisations à s’aligner sur les principaux composants des principaux cadres de cybersécurité, comme l’illustrent les exemples suivants :
- Une grande institution financière a utilisé Tanium Discover pour augmenter considérablement la précision de son inventaire d’actifs et de logiciels.
- Une société de divertissement a utilisé Tanium Comply pour améliorer la sécurité des endpoints en identifiant et en corrigeant les vulnérabilités et les variations avec des normes de configuration de référence de sécurité définies.
- Un grand assureur santé a utilisé Tanium Core pour identifier les comptes de domaine avec des privilèges inappropriés sur les postes de travail et les serveurs, réduisant ainsi le potentiel de mouvement latéral par les attaquants.
- Un grand détaillant a utilisé Tanium Detect et Tanium Trace pour accélérer la capacité d’enquêter et de remédier aux incidents, permettant aux intervenants de passer de la détection à la résolution d’un événement en moins d’une heure.
- Une agence gouvernementale a utilisé Tanium Patch pour identifier et corriger rapidement des dizaines de milliers de vulnérabilités sur un réseau mondial.
L’élaboration d’un programme de cybersécurité durable et mature nécessite un alignement sur un cadre de pointe du secteur. Tanium, avec un portefeuille de produits en expansion, aide les clients à gérer de nombreuses activités définies par les cadres de cybersécurité tout en réduisant la complexité et le coût de la prise en charge de plusieurs solutions.
J’espère que vous avez déjà commencé votre parcours en utilisant les étapes décrites dans la première partie de cette série, et que vous pesez les conseils sur l’alignement des investissements avec un cadre de cybersécurité pour traiter l’hygiène de sécurité. My next post explorera comment surveiller en permanence l’efficacité des activités d’hygiène en cours, à l’aide d’indicateurs de performance significatifs et mesurables.
À propos de l’auteur : en tant que directeur de la sécurité, David Damato fournit une orientation stratégique des produits sur le développement de modules pour la Tanium Platform et gère le programme de sécurité interne de l’entreprise. David apporte une expertise approfondie en matière de sécurité à Tanium, couvrant la réponse aux incidents et l’informatique légale, les évaluations des vulnérabilités, le développement de programmes de sécurité, les opérations de sécurité et l’architecture de réseau et de sécurité. Avant Tanium, David a récemment occupé le poste de directeur général chez Mandiant, une société FireEye, où son équipe a dirigé les efforts de réponse aux incidents et de remédiation post-violation dans plus de 100 entreprises du Fortune 500 . Chez Mandiant, David a également joué un rôle essentiel dans le développement de nouvelles capacités de services de réponse aux incidents et dans l’établissement de bureaux de conseil à la fois au niveau national et international. Avant Mandiant, David a dirigé des équipes de conseil en sécurité chez PwC dans le cadre de son cabinet fédéral de Washington et a occupé des postes informatiques chez Raytheon axés sur la gestion des réseaux internes et gouvernementaux. David partage fréquemment son expertise et ses connaissances lors d’événements du secteur et avec les médias.
