Un score de cyber-risque identifie le niveau d’exposition d’une organisation à la cybercriminalité et les responsabilités qui découlent des vulnérabilités informatiques. Considérez les scores de cyber-risque comme une sorte de score de crédit pour la cybersécurité. Un rapport de score de risque fournit un moyen précieux de communiquer la force du programme de gestion des actifs informatiques d’une organisation, à la fois en interne et en externe.
Les organisations utilisent les scores de cyber-risque pour évaluer les fournisseurs et pour la gestion interne des vulnérabilités. Dans le secteur privé, la notation des cyber-risques devient une partie routinière des activités commerciales ; Dun & Bradstreet a même ajouté un produit de notation des cyber-risques à ses offres d’informations commerciales.
Le score de cyber-risque d’une entreprise peut tout affecter, des opportunités de fusion et d’acquisition aux taux d’assurance. La surveillance de votre score de cyber-risque et la recherche de moyens de l’améliorer sont devenues essentielles pour la cybersécurité, et une tâche essentielle pour les responsables de la sécurité de l’information (RSSI).
Les scores de cyber-risque peuvent être exprimés numériquement, un peu comme un score de crédit, ou peuvent être présentés sous forme de pourcentages, 100 % représentant une visibilité complète sur toutes les vulnérabilités de cybersécurité de l’organisation. Le score montre quel pourcentage du risque a été satisfait par des contrôles, tels que des outils efficaces de gestion et de surveillance des correctifs . Ce qui reste est le risque accepté ou le niveau de risque résiduel que l’organisation est prête à tolérer.
Le risque accepté d’une organisation dépendra de son budget de cybersécurité, de la facilité d’atténuation des vulnérabilités connues et de sa tolérance au risque.
Comment un score de cyber-risque est-il calculé ?
La première étape de la création d’un score de cyber-risque consiste à développer une image du risque inhérent à l’ensemble de votre organisation en hiérarchisant les actifs informatiques et en évaluant le facteur de risque pour chacun. Cette évaluation doit inclure :
- Données cloud. Le cloud est un outil formidable pour les équipes qui ont besoin de partager des données, mais il peut augmenter le risque de violation de données en raison d’un manque d’observabilité.
- Évaluation des vulnérabilités. Commencez par cataloguer les points faibles potentiels dans vos systèmes.
- Contrôles actuels et planifiés. Qu’est-ce que votre organisation a déjà en place pour la gestion des vulnérabilités, et quels contrôles supplémentaires sont nécessaires ?
- Valeur des actifs. Vous pouvez évaluer l’importance d’un actif de données en fonction de son rôle dans les opérations de l’organisation, les données critiques étant hiérarchisées dans votre planification de cybersécurité.
« La notation des risques cybernétiques est un must plutôt qu’un agréable à avoir pour les organisations de taille moyenne et les grandes entreprises. »
- Sensibilité des données. Une autre mesure du cyber-risque consiste à comprendre les conséquences d’une violation de données. Les dossiers soumis aux règles de confidentialité des consommateurs ou à d’autres cadres réglementaires nécessitent un niveau plus élevé de protection des données, car le coût d’une violation, à la fois en amendes et en perte de confiance du public, peut être élevé.
- Découverte des actifs informatiques. Même avant la pandémie de COVID-19, les frontières entre le travail et la vie personnelle étaient devenues floues. Aujourd’hui, avec beaucoup plus de personnes travaillant à distance, le nombre d’endpoints qui représentent des vulnérabilités potentielles de cybersécurité a augmenté en même temps que le défi de la découverte des actifs informatiques a augmenté. Les télétravailleurs téléchargent souvent des logiciels qui ne sont pas approuvés par le service informatique, ce qui présente un risque supplémentaire. De plus, le personnel disposant d’une supervision informatique moindre peut ne pas installer les mises à jour logicielles, laissant les applications présentant des vulnérabilités critiques. La détection persistante des actifs est essentielle à la gestion des stocks logiciels et de la gestion des correctifs.
- Examen des menaces. L’évaluation de l’écosystème des menaces implique la recherche et l’analyse de l’environnement externe des risques de cybersécurité.
Quels sont les différents cadres de risque de cybersécurité ?
Un cadre de risque de cybersécurité est l’ensemble des processus et directives qu’une organisation a développés pour atténuer les cyber-risques.
Les programmes de gestion des risques de cybersécurité adhèrent souvent aux exigences d’un ou plusieurs cadres de cybersécurité. Les cadres de cybersécurité les plus largement appliqués comprennent :
- Institut national des normes et de la technologie. Le NIST a conçu son cadre pour protéger les actifs vitaux du gouvernement, mais ses normes de notation des cyber-risques peuvent être appliquées à n’importe quelle organisation.
- Organisation internationale de normalisation. ISO définit des normes internationales sur une variété de sujets, y compris la gestion de la sécurité de l’information. La famille de normes ISO/IEC 2700 fournit un cadre pour la gestion des vulnérabilités à l’échelle internationale, ce qui est crucial pour les entreprises qui opèrent dans plusieurs pays.
- Règlement général sur la protection des données. Le RGPD est un ensemble de réglementations visant à protéger les données personnelles des citoyens de l’UE. Étant donné que les règles s’appliquent à la collecte de données lorsque les citoyens de l’UE visitent des sites Web, peu importe où le propriétaire du site Web est basé, de nombreuses organisations dans le monde se conforment aux normes du RGPD.
- Loi californienne sur la protection de la vie privée des consommateurs. La loi californienne sur la protection de la vie privée des consommateurs est similaire au RGPD dans son objectif de protection des données personnelles et ses exigences en matière de traitement des données. Comme les réglementations de l’UE, les dispositions de collecte de données en ligne du CCPA ont des implications pour les entreprises en dehors de la Californie. Une mise à jour de cette loi prendra effet en 2023.
- Norme de sécurité des données du secteur des cartes de paiement. Les organisations qui souhaitent traiter les paiements par carte de crédit doivent démontrer leur conformité à la norme PCI DSS, une norme créée par l’industrie et conçue pour protéger les informations des consommateurs et prévenir la fraude.
- Loi sur la portabilité et la responsabilité des assurances santé. La loi HIPAA établit une norme américaine de protection des données pour les organisations qui traitent les dossiers médicaux des patients.
- Certification du modèle de maturité de la cybersécurité. CMMC exige que toute organisation qui conclut des contrats avec le ministère de la Défense (DoD) réponde à certains protocoles de cybersécurité pour protéger les données du DoD sur l’ensemble de la chaîne d’approvisionnement.
Les entreprises qui traitent des informations sensibles sur les consommateurs doivent souvent suivre des cadres de risque de cybersécurité spécifiques à leurs secteurs. Il est essentiel de développer un ensemble de normes internes conformes aux cadres de risque de cybersécurité requis pour créer un plan de gestion des cyber-risques.
Quelles sources de données sont importantes pour votre score de risque informatique ?
La réponse courte est : tous. Les actifs inconnus représentent un risque non contrôlé, la découverte des actifs informatiques est donc cruciale pour la notation des risques.
Voici les principales sources de données qui auront un impact sur votre score de cyber-risque :
- Données cloud. Le cloud est un outil formidable pour les équipes qui ont besoin de partager des données, mais il peut augmenter le risque de violation de données en raison d’un manque d’observabilité.
- Serveurs. Protéger les serveurs de l’organisation contre les menaces internes et externes est une priorité absolue dans le contrôle des cyber-risques.
- Fichiers sur les appareils des employés. Votre inventaire d’actifs informatiques doit inclure des données de travail stockées sur des ordinateurs portables, des tablettes, des smartphones et d’autres appareils d’endpoint que les employés utilisent pour effectuer des tâches. Chaque endpoint doit être inventorié et évalué pour développer un score de risque informatique complet et précis.
- Tiers. Les risques tiers comprennent les logiciels en tant que service (SaaS), les données partagées avec les partenaires et les fournisseurs que vous autorisez dans votre écosystème informatique.
Quels sont les avantages de la notation du cyber-risque ?
La notation du cyber-risque traduit un jeu de données complexe en un concept facile à comprendre. Un score de risque est un moyen efficace de communiquer la valeur des politiques et pratiques de contrôle des cyber-risques de votre organisation aux parties prenantes externes et internes.
La notation des cyber-risques est un must plutôt qu’un agréable à avoir pour les organisations de taille moyenne et les grandes entreprises dans notre monde en ligne. Pour prendre un exemple, les compagnies d’assurance examinent les scores de cyber-risque pour déterminer si une organisation est assurable. Les organisations avec des niveaux de risque de cybersécurité inférieurs pourront négocier des taux d’assurance inférieurs, car les piratages et les violations de données sont accompagnés d’étiquettes à prix élevé.
« Les organisations avec des niveaux de risque de cybersécurité plus faibles pourront négocier des taux d’assurance plus bas, car les violations sont accompagnées d’étiquettes de prix élevés. »
Les politiques de protection des données et de gestion des incidents de votre organisation peuvent également avoir un impact significatif sur les transactions financières. En effet, le score de cyber-risque est l’une des mesures que les autres entités prennent en compte lors du contrôle des partenaires et fournisseurs. Et une perspective de cybersécurité défavorable peut être une responsabilité pendant les négociations de fusions et acquisitions.
En outre, les scores de cyber-risque offrent aux RSSI un outil puissant pour communiquer l’importance des programmes d’atténuation tels que la surveillance des performances et la gestion de la configuration à d’autres responsables. Bien que les récentes attaques de rançongiciels de haut niveau aient attiré l’attention de la direction, communiquer les nuances de la cybersécurité aux cadres occupés reste un défi. Un score de cyber-risque vous donne un point de données que la direction peut rapidement saisir et une mesure pour suivre les contrôles de cybersécurité améliorés.
Qu’est-ce qu’une évaluation des cyber-risques ?
Une évaluation des cyber-risques est un inventaire des risques potentiels de cybersécurité, des contrôles pour gérer les risques et des risques non atténués résiduels.
La meilleure approche pour collecter les données nécessaires pour calculer un score de cyber-risque est multi-points. Qu’ils soient effectués par un partenaire de confiance ou en utilisant des ressources informatiques internes, les RSSI peuvent commencer par recueillir les commentaires des chefs de service et des responsables sur les exigences et les pratiques de protection des données. Ils peuvent également demander au personnel d’inventairer les appareils et les outils qu’ils utilisent pour le travail. Cependant, bien que cette entrée soit essentielle, elle peut manquer des informations essentielles pour calculer avec précision le score de cyber-risque.
[Lire également : avez-vous trop d’outils de cybersécurité, trop peu de visibilité ?]
Sans un inventaire complet des actifs informatiques, une gestion de l’inventaire des logiciels et un plan d’examen des menaces, vous ne pourrez pas mettre en place de plans de réponse aux incidents appropriés. Le déploiement d’un outil pour la découverte automatisée des actifs informatiques vous donne plus de visibilité sur votre réseau afin que vous puissiez développer un score de cyber-risque précis pour votre organisation.
Quelle est la différence entre le cyber-risque externe et interne ?
Le cyber-risque externe fait référence aux menaces qui découlent de l’extérieur de votre entreprise. Les risques externes comprennent les attaques par déni de service distribué (DDoS), les violations de données et les rançongiciels. Même la meilleure stratégie de gestion des vulnérabilités inclut un certain risque résiduel, il est donc essentiel de disposer d’un plan de réponse aux incidents robuste. Pour la plupart des RSSI d’aujourd’hui, la question n’est pas de savoir si les cybercriminels cibleront votre entreprise, mais quand, et comment vous réagirez.
Les cyber-risques internes proviennent de votre organisation, d’un fournisseur ou d’un partenaire. Ces vulnérabilités comprennent à la fois les facteurs humains et la sécurité informatique. Les sources de risque de cybersécurité interne comprennent :
- Manque de visibilité des endpoints. Votre inventaire d’actifs informatiques inclut non seulement les logiciels sur les appareils qui sont sous la gestion et le contrôle de votre service informatique, mais également les applications sur tous les endpoints que vos employés utilisent à des fins professionnelles, y compris les appareils personnels. Un processus de découverte des actifs informatiques robuste et continu est la meilleure stratégie pour s’assurer que les données sensibles ne vivent pas sur des appareils non autorisés sans contrôles de sécurité appropriés.
- Erreur humaine. Les erreurs humaines courantes comprennent l’envoi d’un e-mail au mauvais destinataire ou la renonciation à un mot de passe pour une escroquerie par hameçonnage. Les employés doivent être formés pour repérer les e-mails suspects et doivent utiliser des mots de passe forts. La formation est plus efficace lorsque vous l’utilisez en association avec un logiciel pour filtrer et bloquer les communications malveillantes.
- Logiciel non approuvé. Lorsqu’un employé télécharge un logiciel que l’équipe du RSSI n’a pas vérifié, il peut apporter des logiciels malveillants. Et même si le logiciel ne contient pas de code malveillant, il peut toujours présenter un défi de sécurité. Votre programme de gestion des correctifs ne peut pas corriger ce qu’il n’a pas inventorié. La gestion des stocks logiciels, en particulier sur les appareils distants, est cruciale pour réduire votre cyber-risque.
- Sabotage interne. Il peut être difficile d’imaginer un employé mécontent partager des données sensibles ou lancer une cyberattaque de l’intérieur, mais le risque est réel. Vous pouvez atténuer les risques pour les employés grâce à des protocoles stricts de sécurité et de gestion des endpoints, ainsi qu’à un processus de cessation d’emploi et de séparation rapide et complet.
- Attaque de la chaîne d’approvisionnement. Le piratage de la chaîne d’approvisionnement SolarWinds en décembre 2020 a illustré la facilité avec laquelle les malfaiteurs peuvent utiliser un fournisseur de confiance pour obtenir une entrée non autorisée dans les entreprises et les agences gouvernementales. L’examen du score de cyber-risque des partenaires externes est désormais l’une des premières étapes pour établir une relation commerciale. Avant d’initier un partenariat qui donne à une entité externe l’accès aux données sensibles de votre organisation, il est essentiel de s’assurer que les deux parties disposent de politiques de protection des données solides pour réduire les vulnérabilités.
Qu’est-ce que le risque résiduel dans la cybersécurité ?
Le risque résiduel est le risque qui subsiste après l’application des contrôles. Pour quantifier le risque résiduel, commencez par une évaluation précise de votre risque inhérent, ainsi que l’efficacité de vos mesures d’atténuation des risques. Ce qui reste est le risque résiduel. Un programme de découverte d’actifs informatiques est une étape essentielle dans le développement d’une évaluation crédible des risques résiduels.
Comment la notation des risques peut-elle aider à prévenir les rançongiciels ?
Le processus de notation des cyber-risques vous aide à garder une longueur d’avance sur les attaques par ransomware en concrétisant l’engagement de votre organisation en matière de cybersécurité. Les organisations qui apprécient un score de cyber-risque sain prennent la gestion des vulnérabilités très au sérieux.
« Pour les RSSI, la question n’est pas de savoir si les cybercriminels cibleront votre organisation, mais quand et comment vous réagirez. »
La notation des cyber-risques vous donne une visibilité sur les forces et les faiblesses de votre système afin que vous puissiez diriger vos ressources judicieusement. Les cyberattaques réussissent parfois en raison d’erreurs évitables, telles que l’échec de l’installation des mises à jour logicielles et une mauvaise gestion des correctifs. La notation des cyber-risques peut mettre en évidence ces problèmes avant qu’ils n’entraînent une violation. L’évaluation classe la valeur de vos actifs informatiques et les menaces posées par les vulnérabilités connues. Cela vous donne une base factuelle pour une stratégie de prévention ciblée des ransomwares.
Le meilleur moment pour faire face aux menaces de ransomware est avant une attaque. L’évaluation des risques vous donne une feuille de route de prévention des rançongiciels à suivre.
[Lire également : Le ransomware 101—what est-il et comment prévenir une attaque ?]
Comment la gestion des vulnérabilités basée sur les risques simplifie-t-elle l’informatique ?
Votre service informatique a de nombreux objectifs concurrents, et la gestion des vulnérabilités n’atteint pas souvent le sommet de la pile. Une approche basée sur les risques permet aux responsables informatiques d’effectuer des tâches concrètes, telles que la gestion des stocks logiciels, la gestion des correctifs et la gestion des configurations.
Une approche basée sur les risques fournit également au service informatique une visibilité sur son rôle dans la gestion des vulnérabilités, ainsi qu’une mesure pour mesurer l’amélioration. Cela permet à votre service informatique de jouer un rôle actif dans l’atténuation des cyber-risques grâce à des tâches bien définies.
Comment améliorez-vous votre score de cyber-risque et atténuez-vous votre cyber-risque ?
Une fois que vous connaissez votre score de cyber-risque, l’objectif suivant est d’améliorer vos contrôles et de réduire votre niveau de risque résiduel. Voici quelques-unes des étapes qui peuvent vous aider à augmenter votre score :
- Mettre en œuvre une surveillance continue des performances. L’environnement des cybermenaces et vos vulnérabilités peuvent changer rapidement. Par conséquent, votre score de cyber-risque ne peut pas être simplement un instantané d’un moment donné. Grâce à un outil de surveillance des performances , vous pouvez obtenir un rapport précis et à jour des problèmes de sécurité sur l’un des milliers d’endpoints de votre système.
- Hiérarchisez la gestion de la configuration. Une mauvaise configuration des paramètres par défaut du système peut causer de nombreux types de dommages, y compris rendre votre système plus vulnérable aux pirates informatiques. Incluez des contrôles réguliers de gestion de la configuration de sécurité dans le cadre de votre plan d’atténuation des cyber-risques.
- Utilisez des logiciels et des outils d’automatisation pour atténuer les risques. L’automatisation vous permet de surveiller votre niveau de risque en continu. Il fournit un avertissement précoce des vulnérabilités potentielles, afin que vous soyez mieux préparé à atténuer les cybermenaces émergentes.
- Intégrez la cybersécurité à la culture du travail. Dans les organisations ayant un engagement solide à atténuer les cyber-risques, les employés entrent dans une culture de travail où la protection des données est comprise comme faisant partie de la description de poste de chacun. La formation à la cybersécurité doit commencer pendant l’intégration, avec des rappels et des rappels fréquents.
- Utilisez le contrôle des endpoints. Identifiez et protégez tous les appareils que les employés utilisent pour leur travail.
- Développer des plans de réponse aux incidents. Lorsque vous subissez une faille de sécurité, une réponse rapide aux incidents peut atténuer la perte de données commerciales et de réputation.
Comment le cyber-risque peut-il être utilisé pour justifier la stratégie du RSSI ?
La notation des cyber-risques offre aux RSSI un excellent outil pour quantifier le niveau de vulnérabilité du système informatique d’une organisation. Le score vous donne un moyen efficace de communiquer le niveau de cyber-risque aux publics internes qui peuvent ne pas avoir les connaissances techniques pour suivre les nuances des facteurs de risque de cybersécurité spécifiques. Le fait que les partenaires externes s’appuient sur votre évaluation des cyber-risques aide à justifier l’investissement du temps et de l’argent nécessaires pour assurer la sécurité de ce système.
Les indicateurs de cyber-risque sont également utiles pour communiquer l’urgence de la cybersécurité à votre organisation. Un score de cyber-risque peut vous aider à recruter des chefs de service et du personnel pour réduire les risques résiduels en suivant les protocoles de cybersécurité.
La qualité des données que vous utilisez pour calculer votre score de cyber-risque détermine finalement la valeur que vous en tirez. La notation continue des risques nécessite des efforts, mais les ressources que vous utiliserez pour atténuer les cyber-risques sont faibles par rapport au coût de la réponse aux incidents pour une violation majeure.
Plus de ressources :
L’expansion des outils menace la sécurité post-pandémieCyber Hygiene 101 Guide complet sur la cybersécurité de l’IA : avantages, risques et récompenses
