Passer au contenu principal
Tanium Blog

Les trois étapes de l’hygiène de la sécurité : part de mesure

L’hygiène de sécurité signifie quelque chose de différent pour tout le monde. Pour cette raison, traiter l’hygiène de la sécurité peut être une tâche intimidante. Dans la dernière de notre série de blogs en trois parties, David Damato, directeur de la sécurité chez Tanium, fournit des directives sur ce qui vaut la peine d’être mesuré et pourquoi.

Après avoir mis en œuvre un programme de sécurité de l’information de premier plan, la plupart des organisations déclarent « mission accomplie ». Par conséquent, les processus de sécurité et les contrôles techniques se dégradent et/ou deviennent sans pertinence au fil du temps, et l’organisation ne parvient pas à suivre le rythme des risques changeants. Les entreprises qui excellent en matière de sécurité surveillent continuellement leur programme pour détecter les faiblesses et s’améliorent constamment sur les contrôles existants.

Dans  la première partie  de cette série, j’ai exploré l’étape d’évaluation de votre processus d’hygiène de sécurité. Dans la  deuxième partie, j’ai discuté de la manière dont l’alignement sur un programme de sécurité de l’information de premier plan peut aider à équilibrer les investissements en matière de sécurité, à satisfaire diverses exigences légales et réglementaires et à agir comme un cadre flexible pour gérer la croissance future. L’étape suivante consiste à mesurer continuellement votre programme pour s’assurer qu’il reste efficace et pertinent.

Hygiène de sécurité : mesures, mesures et indicateurs clés de performance (ICP)

Il y a beaucoup de débats sectoriels sur la différence entre les mesures, les mesures et les KPI. En général, ils sont tous liés, mais différents. Une mesure est simplement un point de données. Par exemple, le nombre de vulnérabilités ou d’incidents. Une mesure, qui est un type de mesure, va plus loin, fournissant une indication de progrès ou de performance. Par exemple, une mesure peut inclure le nombre total de politiques de sécurité terminées, par rapport à un objectif défini (par ex. 50 politiques spécifiques). Un KPI est simplement une mesure importante qui s’aligne sur les objectifs commerciaux critiques. Un exemple peut inclure le temps médian qu’il faut à votre organisation pour mettre en œuvre des correctifs critiques, ce qui se traduit par un risque mesurable.

Quel que soit votre nom, une bonne mesure de sécurité doit toujours :

  • Fournissez des informations pertinentes et significatives sur ce que vous essayez de mesurer ;
  • Soyez réalisable : si vous ne pouvez pas influencer une mesure avec des actions claires et spécifiques, cela peut ne pas valoir la peine d’être mesuré ;
  • Être calculable au fil du temps, ce qui permet à la direction de suivre les progrès ; et
  • Soyez comparable à vos pairs du secteur, où un avantage concurrentiel est précieux.

De nombreuses organisations utilisent des mesures qui ne répondent pas aux exigences ci-dessus. NIST 800-55 fournit l’exemple suivant pour déterminer l’efficacité d’un processus de correction des défauts : « le pourcentage de vulnérabilités du système d’exploitation de l’entreprise pour lesquelles des correctifs ont été appliqués ou qui ont été autrement atténués. » Le défi avec une telle mesure est qu’elle est plus influencée par le nombre de correctifs publiés par un fournisseur donné ainsi que par la capacité d’une organisation à corriger rapidement les vulnérabilités. Pour cette raison, cette mesure est difficile à analyser au fil du temps et n’est pas facilement comparée aux pairs du secteur, qui peuvent avoir des applications différentes et des nombres de vulnérabilités associés.

Cyberhygiène : mesurer l’efficacité des correctifs

Une bonne approche pour mesurer l’efficacité des correctifs (c.-à-d. la correction des défauts) est le temps médian pour remédier aux vulnérabilités logicielles. En d’autres termes, « combien de temps faut-il à notre organisation pour remédier à un correctif critique ? » Cette approche mesure avec précision notre objectif final, qui est la réduction des risques. Plus il faut de temps pour corriger une vulnérabilité critique, plus le risque pour votre organisation est important. Une tendance est facilement identifiée, détaillant l’amélioration ou la détérioration au fil du temps. La mesure peut également être comparée à des pairs du secteur ou des références.

Voici d’autres exemples de mesures matures qui offrent la meilleure visibilité sur l’efficacité de votre programme de sécurité :

  • Temps moyen entre la détection et la remédiation des événements de sécurité. C’est un excellent moyen de caractériser les activités de performance liées à la détection et à la réponse aux incidents.
  • Ratio des faux positifs par rapport au nombre total d’événements de détection. Cela fournit un aperçu de la manière dont le personnel passe son temps.
  • Pourcentage de systèmes correspondant aux normes de configuration de base définies. Cela fournit une visibilité sur l’efficacité de votre programme de gestion des configurations et le risque de configurations erronées.
  • Pourcentage d’actifs gérés. Cela fournit un aperçu de l’efficacité de votre solution de gestion des actifs et des risques posés par les appareils inconnus.

Ne vous inquiétez pas si vous n’utilisez pas actuellement ces mesures. Les mesures ci-dessus nécessitent des processus et des contrôles techniques matures. Vous ne pouvez pas vous attendre à suivre le temps moyen pour remédier à un incident si vous n’avez pas de capacité de réponse aux incidents documentée. Dans ce cas, envisagez de commencer par des mesures plus simples et visez à vous améliorer au fil du temps. Certaines mesures sont meilleures qu’aucune.

Comment nos clients utilisent Tanium pour mesurer et améliorer les performances

Beaucoup de nos clients utilisent Tanium pour mesurer les performances de leur programme de sécurité, en utilisant la visibilité instantanée et évolutive fournie par notre plateforme de communication. Les mesures simples comprennent le nombre de correctifs critiques manquants, les configurations de pare-feu hôte errantes ou les ordinateurs portables sans chiffrement complet du disque (FDE). Les clients plus avancés utilisent Tanium pour aider à collecter les données requises pour mesurer le temps médian pour remédier aux vulnérabilités oule  temps moyen entre la détection et la remédiation.

L’hygiène de sécurité signifie quelque chose de différent pour tout le monde. Pour cette raison, traiter l’hygiène de la sécurité peut être une tâche intimidante. Nous espérons que cette série de blogs en  trois parties  met l’accent sur la manière de structurer un plan d’action conçu pour traiter méthodiquement tous les aspects de l’hygiène de sécurité. L’hygiène de sécurité est également un parcours. Vous pouvez prendre un moment pour mesurer votre efficacité en matière d’hygiène et, en fonction de vos efforts, elle augmentera et s’écoulera au fil du temps. Tanium peut vous aider à commencer à mesurer votre hygiène.

Pour en savoir plus sur l’hygiène de sécurité, lisez :

À propos de l’auteur : en tant que directeur de la sécurité, David Damato fournit une orientation stratégique des produits sur le développement de modules pour la Tanium Platform et gère le programme de sécurité interne de l’entreprise. David apporte une expertise approfondie en matière de sécurité à Tanium, couvrant la réponse aux incidents et l’informatique légale, les évaluations des vulnérabilités, le développement de programmes de sécurité, les opérations de sécurité et l’architecture réseau et sécurité. Avant Tanium, David a récemment occupé le poste de directeur général chez Mandiant, une société FireEye, où son équipe a dirigé les efforts de réponse aux incidents et de remédiation post-violation dans plus de 100 entreprises du Fortune 500 . Chez Mandiant, David a également joué un rôle essentiel dans le développement de nouvelles capacités de services de réponse aux incidents et dans l’établissement de bureaux de conseil à la fois au niveau national et international. Avant Mandiant, David a dirigé des équipes de conseil en sécurité chez PwC dans le cadre de son cabinet fédéral de Washington et a occupé des postes informatiques chez Raytheon axés sur la gestion des réseaux internes et gouvernementaux. David partage fréquemment son expertise et ses connaissances lors d’événements du secteur et avec les médias.