Passer au contenu principal
Blog Tanium

Les trois étapes de l'hygiène de sécurité : Partage des mesures

L'« hygiène de sécurité » revêt une signification différente pour chacun. C'est pourquoi la mise en place de bonnes pratiques de sécurité peut s'avérer une tâche ardue. Dans ce dernier volet de notre série d'articles en trois parties, David Damato, directeur de la sécurité (CSO) chez Tanium, vous donne des conseils sur les éléments qu'il convient de mesurer et explique pourquoi.

Après avoir mis en place un programme de sécurité de l'information de premier plan, la plupart des organisations déclarent que « la mission est accomplie ». En conséquence, les processus de sécurité et les contrôles techniques se dégradent et/ou perdent de leur pertinence au fil du temps, et l'organisation ne parvient pas à s'adapter à l'évolution des risques. Les entreprises qui se distinguent en matière de sécurité surveillent en permanence leur programme afin d'en détecter les failles et améliorent sans cesse les mesures de contrôle existantes.

Dans première partie de cette série, j'ai abordé la phase d'évaluation de votre processus d'hygiène de sécurité. Dans l’article « » (), deuxième partie « », j’ai expliqué en quoi l’adoption d’un programme de sécurité de l’information de pointe peut contribuer à équilibrer les investissements en matière de sécurité, à répondre à diverses exigences légales et réglementaires et à servir de cadre flexible pour gérer la croissance future. L'étape suivante consiste à évaluer régulièrement votre programme afin de vous assurer qu'il reste efficace et pertinent.

Hygiène de sécurité : mesures, indicateurs et indicateurs clés de performance (KPI)

La différence entre les mesures, les indicateurs et les KPI fait l'objet de nombreux débats au sein du secteur. D'une manière générale, ces éléments sont tous liés, mais différents. Une mesure n'est rien d'autre qu'un point de données. On peut citer, par exemple, le nombre de failles de sécurité ou d'incidents. Un indicateur, qui est un type de mesure, va plus loin encore, puisqu'il fournit une indication sur les progrès réalisés ou les performances. Par exemple, un indicateur pourrait porter sur le nombre total de politiques de sécurité mises en œuvre, par rapport à un objectif défini (par exemple, 50 politiques spécifiques). Un KPI est tout simplement un indicateur clé qui correspond aux objectifs stratégiques de l'entreprise. On peut citer, par exemple, le délai médian nécessaire à votre organisation pour déployer des correctifs critiques, ce qui se traduit par un risque mesurable.

Quel que soit le nom que vous lui donniez, une bonne mesure de sécurité doit toujours :

  • Fournissez des informations pertinentes et utiles sur ce que vous cherchez à mesurer ;
  • Veillez à ce que vos indicateurs soient exploitables : si vous ne pouvez pas agir sur un indicateur par des mesures claires et précises, il ne vaut peut-être pas la peine de le mesurer ;
  • être mesurables dans le temps, afin de permettre à la direction de suivre les progrès ; et
  • Soyez à la hauteur de vos concurrents du secteur, là où un avantage concurrentiel est précieux.

De nombreuses organisations utilisent des indicateurs qui ne répondent pas aux exigences susmentionnées. NIST 800-55 (s'ouvre dans un nouvel onglet) propose l'indicateur suivant pour évaluer l'efficacité d'un processus de correction des failles : « le pourcentage de vulnérabilités du système d'exploitation de l'entreprise pour lesquelles des correctifs ont été appliqués ou qui ont été atténuées d'une autre manière ». La difficulté avec ce type de mesure réside dans le fait qu'elle dépend principalement du nombre de correctifs publiés par un éditeur donné, ainsi que de la capacité d'une organisation à corriger rapidement les vulnérabilités. C'est pourquoi il est difficile d'établir une tendance de cet indicateur au fil du temps et de le comparer facilement à celui d'autres acteurs du secteur, qui peuvent avoir des applications différentes et un nombre de vulnérabilités associé différent.

Cybersécurité : évaluer l'efficacité de l'application des correctifs

Une bonne méthode pour mesurer l'efficacité des correctifs (c'est-à-dire la correction des failles) consiste à calculer le délai médian nécessaire pour corriger les vulnérabilités logicielles. En d'autres termes, « combien de temps faut-il à notre organisation pour appliquer un correctif critique ? » Cette approche permet de mesurer avec précision notre objectif final, à savoir la réduction des risques. Plus il faut de temps pour corriger une faille de sécurité critique, plus le risque pour votre organisation est grand. Une tendance est facile à identifier ; elle permet de mettre en évidence une amélioration ou une détérioration au fil du temps. Ces résultats peuvent également être comparés à ceux d'autres entreprises du secteur ou à des indices de référence.

Parmi les autres exemples d'indicateurs éprouvés qui offrent la visibilité la plus large et la plus pertinente sur l'efficacité de votre programme de sécurité, on peut citer :

  • Durée moyenne entre la détection et la résolution des incidents de sécurité. C'est un excellent moyen de caractériser les activités de performance liées à la détection et à la gestion des incidents.
  • Rapport entre le nombre de faux positifs et le nombre total d'événements de détection. Cela permet de mieux comprendre comment le personnel répartit son temps.
  • Pourcentage de systèmes conformes aux normes de configuration de référence définies. Cela vous permet d'évaluer l'efficacité de votre programme de gestion des configurations et d'identifier les risques liés à des configurations erronées.
  • Pourcentage des actifs sous gestion. Cela vous permet d'évaluer l'efficacité de votre solution de gestion des actifs « » ainsi que les risques liés aux appareils inconnus.

Ne vous inquiétez pas si vous n'utilisez pas ces mesures pour le moment. Les mesures susmentionnées nécessitent des processus bien rodés et des contrôles techniques. Vous ne pouvez pas espérer mesurer le délai moyen de résolution d'un incident si vous ne disposez pas d'une capacité de réponse aux incidents documentée. Dans ce genre de cas, pensez à commencer par des mesures plus simples et efforcez-vous de vous améliorer au fil du temps. Mieux vaut quelques mesures que pas de mesures du tout.

Comment nos clients utilisent Tanium pour mesurer et améliorer leurs performances

Bon nombre de nos clients utilisent Tanium pour évaluer les performances de leur programme de sécurité, en tirant parti de la visibilité instantanée et évolutive offerte par notre plateforme de communication. Parmi les indicateurs simples, on peut citer le nombre de correctifs critiques manquants, les configurations erronées des pare-feu côté hôte ou les ordinateurs portables ne disposant pas d'un chiffrement complet du disque (FDE). Les clients les plus expérimentés utilisent Tanium pour faciliter la collecte des données nécessaires à la mesure de l' , du temps médian de correction des vulnérabilités ou du temps moyen entre la détection et la correction.

La notion d'« hygiène de sécurité » revêt une signification différente pour chacun. C'est pourquoi la mise en place de bonnes pratiques de sécurité peut s'avérer une tâche ardue. Nous espérons que cette série de trois articles de blog intitulée « » ( ) vous aidera à mieux cerner comment structurer un plan d'action destiné à aborder de manière méthodique tous les aspects de l'hygiène de sécurité. L'hygiène de sécurité est également un processus continu. Vous pouvez évaluer votre efficacité en matière d'hygiène à un moment donné ; en fonction de vos efforts, celle-ci connaîtra des hauts et des bas au fil du temps. Tanium peut vous aider à commencer à évaluer votre hygiène.

Pour en savoir plus sur les bonnes pratiques en matière de sécurité, consultez :

À propos de l'auteur : En tant que directeur de la sécurité, David Damato définit l'orientation stratégique des produits en matière de développement de modules pour la plateforme Tanium et gère le programme de sécurité interne de l'entreprise. David apporte à Tanium une grande expertise en matière de sécurité, couvrant notamment la gestion des incidents et l'analyse forensic, les évaluations de vulnérabilité, l'élaboration de programmes de sécurité, les opérations de sécurité, ainsi que l'architecture réseau et de sécurité. Avant de rejoindre Tanium, David occupait plus récemment le poste de directeur général chez Mandiant, une société du groupe FireEye, où son équipe a dirigé les opérations de réponse aux incidents et de remédiation après une violation de données au sein de plus de 100 entreprises du classement Fortune 500 . Chez Mandiant, David a également joué un rôle déterminant dans le développement de nouvelles capacités en matière de services de gestion des incidents et dans la création de bureaux de conseil tant en France qu'à l'étranger. Avant de rejoindre Mandiant, David a dirigé des équipes de conseil en sécurité chez PwC au sein de son pôle « Washington Federal Practice » et a occupé divers postes dans le domaine informatique chez Raytheon, où il s'est principalement consacré à la gestion des réseaux internes et gouvernementaux. David partage régulièrement son expertise et ses réflexions lors d'événements professionnels et auprès des médias.