Le travail hybride est rapidement passé d'une mesure provisoire à une pratique courante. Plus de la moitié (58 %) des Américains déclarent désormais avoir la possibilité de travailler à domicile au moins un jour par semaine, selon l'étude « » de McKinsey (s'ouvre dans un nouvel onglet). Mais il y a des difficultés. Il est plus difficile d'assurer le suivi des appareils au sein de réseaux très dispersés et d'environnements cloud. Beaucoup ne sont pas mis à jour ou sont mal configurés, ce qui élargit d'autant la surface d'attaque.
Je me suis récemment entretenu avec Barbara Call, de CIO, afin d’évoquer les défis auxquels sont confrontés les DSI et d’expliquer pourquoi la cyber-hygiène est une discipline fondamentale.
Dans l'obscurité
C'est une période difficile pour les DSI, qu'ils gèrent des réseaux du secteur public ou privé. Aujourd'hui, les télétravailleurs peuvent souhaiter se connecter depuis n'importe où et sur n'importe quel appareil. Comment savoir si cet utilisateur est bien celui qu'il prétend être ? Ou s'ils utilisent un terminal correctement mis à jour et configuré ? À mesure que l'environnement informatique prend ainsi de l'ampleur, il devient plus important que jamais de bénéficier d'une visibilité totale sur ces terminaux. Et à mesure que les politiques et les procédures évoluent en conséquence, il est essentiel de mettre de l'ordre dans la gouvernance d'entreprise.
Les enjeux ne pourraient pas être plus importants. Les ransomwares, les fuites de données et une vague déferlante de risques financiers et de réputation menacent de submerger les responsables informatiques. Mais dans de nombreux cas, les entreprises peinent à trouver les talents en cybersécurité dont elles ont besoin pour les aider. Ce défi est aggravé par l'utilisation d'outils disparates et cloisonnés, ce qui accentue les lacunes en matière de visibilité et réduit la cyberhygiène à un simple rêve chimérique. Les ensembles d'outils doivent être normalisés et regroupés — et conçus pour mettre en lumière ces lacunes en matière de visibilité grâce à des données exploitables en temps réel. Si l'on ne va pas plus loin, les équipes chargées de l'exploitation informatique, de la sécurité et de la gestion des incidents se retrouveront dans le flou.
Mise en pratique
Ayant occupé pendant trois décennies des fonctions de direction dans le domaine des technologies de l'information au sein du secteur public, j'ai moi-même contribué à relever ces défis. En tant que directeur des systèmes d'information du comté de San Joaquin, en Californie, j'ai élaboré un plan de transformation triennal à l'échelle de l'organisation. Tout a commencé par la visibilité et la gestion des actifs, puis l'accent a été mis sur l'analyse continue des vulnérabilités, leur correction et la gestion des incidents de sécurité, afin d'assurer une gestion continue des risques. Il était également essentiel de mettre en place une stratégie de sécurité commune afin de faciliter une meilleure communication entre les dirigeants.
Une partie de cette standardisation consistait à regrouper nos outils informatiques et de sécurité, dont le nombre est passé de 20 à environ six. Les améliorations ainsi obtenues en matière de visibilité et de contrôle ont non seulement renforcé les efforts de gestion des risques cybernétiques, mais ont également permis de réaliser des économies en mettant en évidence les licences logicielles inutilisées dont on pouvait se passer.
Tout commence par une bonne hygiène informatique
Alors, par où les DSI devraient-ils commencer ? Une bonne gouvernance d'entreprise est véritablement essentielle : il s'agit de mettre en place ce cadre permettant de prendre des décisions efficaces en matière de cybersécurité. Une solution centralisée permettant de gérer la sécurité à l'échelle de l'entreprise facilitera grandement cette tâche, tout en offrant une surveillance en temps réel pour une visibilité complète sur les terminaux et les moyens d'intervenir lorsque quelque chose ne fonctionne pas correctement.
Grâce à cette infrastructure, les DSI peuvent enfin commencer à améliorer leur cyber-hygiène (s'ouvre dans un nouvel onglet), en mettant l'accent sur :
- Recensement des actifs pour une meilleure sensibilisation à la sécurité et la récupération des logiciels
- Identification des vulnérabilités afin de réduire au minimum la surface d'attaque
- Cohérence de la configuration pour réduire les anomalies et les risques cybernétiques
- Assurer l'efficacité des correctifs sur toutes les plateformes afin de ne laisser aucune faille que les pirates pourraient exploiter
- Gestion de l'utilisation des licences afin que seuls les utilisateurs authentifiés y aient accès
- Détecter et résoudre rapidement les incidents afin d'atténuer les risques
- Évaluation et gestion continues des risques afin de respecter les exigences en matière d'assurance
La cyber-hygiène constitue véritablement le fondement d'une sécurité et d'une gestion des systèmes efficaces. En s'inspirant de ce principe comme d'un fil conducteur, les DSI peuvent tracer la voie qui leur permettra de faire de leur organisation une entité à faible risque.
Pour en savoir plus sur la mise en place de ces bases, consultez notre livre électronique « : Le guide ultime de la cyber-hygiène » (s'ouvre dans un nouvel onglet).
