Dans le deuxième volet de notre série en trois parties intitulée « », David Damato, directeur de la stratégie (CSO) chez Tanium, explique comment utiliser des cadres d’approche fondés sur les risques pour mettre en place un programme de cybersécurité abouti et pérenne.
Lorsqu'elles mettent en place un programme de cybersécurité, de nombreuses organisations se concentrent uniquement sur la prévention. En théorie, cela semble formidable. Mais, d'après mon expérience, se concentrer uniquement sur la prévention augmente en réalité vos risques de subir une faille majeure, car tout attaquant capable de contourner les contrôles préventifs initiaux se retrouve alors totalement libre d'agir.
Par conséquent, si vous n’utilisez pas un cadre de cybersécurité pour mettre en œuvre toute une série de mesures de sécurité de base, vous vous exposez à des risques (s’ouvre dans un nouvel onglet).
Dans la première partie de cette série, intitulée « » ( ), j’ai expliqué en quoi la compréhension de l’état actuel de votre environnement pouvait vous aider à identifier les lacunes dans les contrôles de sécurité essentiels. Cette démarche vous permet d'obtenir des résultats rapides pour améliorer vos pratiques de sécurité grâce à vos investissements existants. La prochaine étape consiste à aborder de manière globale les activités liées à la cybersécurité, y compris tous les aspects de l'hygiène de sécurité, en adoptant un référentiel de pointe en matière de cybersécurité.
L'utilisation d'un framework présente de nombreux avantages, notamment :
- Veiller à ce que vos actions soient équilibrées entre les différents volets de la sécurité, et ne se limitent pas à la prévention ou à la détection ;
- Offrir une structure flexible, capable d'évoluer et de s'adapter à n'importe quelle organisation ;
- Vous permettre de répondre plus facilement aux différentes exigences légales et réglementaires ; et
- Contribuer à définir un langage commun afin que vous puissiez mieux communiquer avec vos collègues qui utilisent des frameworks similaires.
Il existe de nombreux frameworks parmi lesquels choisir. Parmi les exemples les plus connus, on peut citer l' , le cadre de cybersécurité du NIST (CSF), , la norme ISO 27001 et , ainsi que COBIT.
Utiliser un cadre de cybersécurité pour aborder de manière globale les mesures d'hygiène
Les principaux référentiels en matière de cybersécurité couvrent un large éventail d'activités qui définissent un programme de sécurité de l'information. Cela inclut les mesures élémentaires de sécurité, telles que la tenue à jour d'un inventaire des systèmes et des logiciels, ainsi que l'application des correctifs en temps opportun.
Pour mettre en œuvre un cadre de cybersécurité, la plupart des organisations procèdent à un état des lieux des lacunes, à une évaluation des risques et à l'élaboration d'un plan de mise en œuvre. Une analyse des écarts sert à dresser un état des lieux des contrôles de sécurité de l'information par rapport à un référentiel défini. Si vous avez déjà réalisé une analyse des écarts par rapport aux contrôles de sécurité critiques du CIS ( ) ou au classement « SANS Top 20 », vous constaterez qu'une partie du travail a déjà été effectuée. Vous obtenez ainsi une vision claire de l'état actuel de votre programme de sécurité de l'information, ainsi que des principales faiblesses ou lacunes par rapport au référentiel défini. L'étape suivante consiste à réaliser une analyse des risques afin de déterminer la probabilité et l'impact d'un incident de sécurité spécifique. Les résultats de l'évaluation des risques déterminent la manière dont une organisation définit son état cible. Une fois l'analyse des écarts et l'évaluation des risques réalisées, un plan de mise en œuvre définit la manière dont une organisation prévoit de passer de sa situation actuelle à une situation cible conforme au profil de risque défini.
Les trois éléments essentiels de tout plan de mise en œuvre sont les personnes, les processus et la technologie. Vous aurez besoin des personnes et des compétences adéquates pour atteindre votre objectif. Des processus bien documentés et mis en pratique garantiront la reproductibilité des activités et la prise en compte des risques. Mais c'est la technologie qui permet véritablement de tout harmoniser, en intégrant les personnes et en facilitant les processus grâce à l'automatisation des tâches essentielles, ce qui améliore l'efficacité des opérations et permet à votre équipe de se développer.
Investir dans les technologies adaptées à votre dispositif de cybersécurité
Lorsqu'elles réalisent de nouveaux investissements en matière de sécurité, la plupart des organisations ont du mal à hiérarchiser leurs besoins et à choisir les technologies adaptées pour y répondre.
Vous pouvez hiérarchiser vos investissements en matière de sécurité en tenant compte des deux aspects suivants d'un besoin spécifique : le risque et les dépendances. Donnez la priorité aux besoins présentant un risque élevé, tels qu'ils ont été identifiés lors de l'évaluation des risques effectuée. Cependant, comme la plupart des organisations, vous avez probablement de nombreux risques classés « élevés ». Pour établir un ordre de priorité parmi les risques « élevés », les organisations doivent tenir compte des exigences dépendantes ou préalables.
Une dépendance s'apparente à une hiérarchie des besoins et décrit les capacités nécessaires à la bonne exécution d'autres capacités de niveau supérieur. Supposons, par exemple, que votre base de données de gestion des actifs et votre programme de détection proactive des menaces soient inefficaces, ce qui représente un risque important pour votre entreprise. Dans ce cas, vous ne pourrez pas mettre en place un programme efficace de recherche de menaces tant que votre équipe de sécurité n'aura pas une bonne compréhension des actifs qu'elle est chargée de protéger.
Le deuxième défi auquel sont confrontés de nombreux décideurs consiste à déterminer comment choisir les technologies appropriées pour répondre aux besoins en matière de capacités dans un cadre donné. Au-delà des exigences en matière de tests dans le cadre d'une démonstration de faisabilité (POC), les décideurs doivent mettre en adéquation les technologies existantes et celles proposées avec chacune des capacités du référentiel retenu. Vous constaterez que certaines solutions couvrent de nombreux aspects d'un cadre, tandis que d'autres ne répondent qu'à une seule activité. Votre objectif devrait être d'investir dans le plus petit nombre possible de solutions qui répondent au plus grand nombre de besoins et vous permettront d'atteindre les capacités cibles requises.
Pourquoi accorde-je autant d'importance à la limitation du nombre de solutions ? C'est simple : acheter trop de solutions coûte cher et ajoute de la complexité, surtout lorsque vos outils présentent des chevauchements importants au niveau des caractéristiques et des fonctionnalités. La complexité accroît les risques en élargissant la surface d'attaque, alourdit la charge de travail de votre personnel, augmente les coûts d'assistance et crée des silos de données qui nécessitent une intégration.
Comment nos clients utilisent Tanium pour se conformer aux référentiels de cybersécurité et améliorer leurs pratiques de sécurité
Nos clients utilisent Tanium pour répondre à bon nombre des exigences définies dans les principaux référentiels, allant même au-delà des activités généralement considérées comme relevant de l'hygiène de sécurité. Dans l'ensemble, Tanium répond aux exigences requises dans les cinq fonctions identifiées dans les normes suivantes : « » (), « NIST Framework Core » (), « » et « ISO 27001 ». Tanium peut aider les organisations à se conformer aux principaux éléments des référentiels de cybersécurité de référence, comme l'illustrent les exemples suivants :
- Une grande institution financière a utilisé , , Tanium Discoveret afin d'améliorer considérablement la précision de son inventaire des actifs et des logiciels.
- Une entreprise du secteur du divertissement a utilisé , , Tanium Complyet afin d’améliorer la sécurité des terminaux en identifiant et en corrigeant les vulnérabilités et les écarts par rapport aux normes de configuration de sécurité de référence définies.
- Un grand assureur santé a utilisé la solution Tanium Core de pour identifier les comptes de domaine disposant de privilèges inappropriés sur les postes de travail et les serveurs, réduisant ainsi le risque de déplacement latéral des attaquants.
- Un grand distributeur de l' , , a utilisé Tanium Detect et Tanium Trace afin d'accélérer la capacité à enquêter sur les incidents et à y remédier, permettant ainsi aux équipes d'intervention de passer de la détection à la résolution d'un incident en moins d'une heure.
- Une administration publique a utilisé , , Tanium Patchet pour identifier et corriger rapidement des dizaines de milliers de vulnérabilités sur l'ensemble d'un réseau mondial.
La mise en place d'un programme de cybersécurité durable et abouti nécessite une harmonisation avec un référentiel de référence dans le secteur. Tanium, grâce à une gamme de produits en pleine expansion, aide ses clients à mener à bien bon nombre des activités définies par les référentiels de cybersécurité, tout en réduisant la complexité et les coûts liés à la gestion de plusieurs solutions.
Nous espérons que vous avez déjà entamé votre démarche en suivant les étapes décrites dans les articles suivants de cette série : « » (), « Partie 1 » () et « », et que vous examinez actuellement les recommandations visant à aligner vos investissements sur un cadre de cybersécurité afin d'améliorer votre hygiène de sécurité. Mon article « » () et le prochain article «» ( ) aborderont la manière de surveiller en permanence l'efficacité des mesures d'hygiène mises en place, à l'aide d'indicateurs de performance pertinents et mesurables.
À propos de l'auteur : En tant que directeur de la sécurité, David Damato définit l'orientation stratégique des produits en matière de développement de modules pour la plateforme Tanium et gère le programme de sécurité interne de l'entreprise. David apporte à Tanium une grande expertise en matière de sécurité, couvrant notamment la gestion des incidents et l'analyse forensique, les évaluations de vulnérabilité, l'élaboration de programmes de sécurité, les opérations de sécurité, ainsi que l'architecture réseau et de sécurité. Avant de rejoindre Tanium, David occupait plus récemment le poste de directeur général chez Mandiant, une société du groupe FireEye, où son équipe a dirigé les opérations de réponse aux incidents et de remédiation après une violation de données au sein de plus de 100 entreprises du classement Fortune 500 . Chez Mandiant, David a également joué un rôle déterminant dans le développement de nouvelles capacités en matière de services de gestion des incidents et dans la création de bureaux de conseil tant en France qu'à l'étranger. Avant de rejoindre Mandiant, David a dirigé des équipes de conseil en sécurité chez PwC au sein de son pôle « Washington Federal Practice » et a occupé divers postes dans le domaine informatique chez Raytheon, où il s'est principalement consacré à la gestion des réseaux internes et gouvernementaux. David partage régulièrement son expertise et ses réflexions lors d'événements professionnels et auprès des médias.
