La cyber-résilience désigne la capacité d'une organisation à maintenir ses activités et à se remettre d'attaques, de catastrophes naturelles et d'autres incidents cybernétiques. Un plan de cyber-résilience intègre les concepts de cybersécurité, d'informatique et de continuité d'activité afin de protéger les systèmes d'information essentiels à la mission et les composants qui en dépendent.
Le renforcement de la résilience aide les organisations à se préparer et à anticiper les attaques potentielles, telles que les fuites de données et autres perturbations de l'activité, afin de garantir la robustesse et l'adaptabilité de leurs systèmes, processus et infrastructures. Cela comprend également les mesures de reprise visant à atténuer les conséquences négatives, telles que les temps d'arrêt, l'atteinte à la réputation et les pertes financières.
Vous vous demandez peut-être : « N'est-ce pas simplement une description des efforts d'une organisation en matière de cybersécurité ? » Oui et non. En matière de cybersécurité, les termes que nous utilisons revêtent une importance croissante. Souvent, elles constituent un moyen rapide d'expliquer des problèmes complexes.
«» La cybersécurité et la cyber-résilience sont deux termes souvent utilisés de manière interchangeable. Toutefois, cette distinction prendra de plus en plus d'importance au cours du cours 2024 et au-delà. »Forbes1
Au début de ma carrière, j'ai passé une heure tendue lors d'une réunion consacrée aux exigences d'un projet. Cependant, une simple question a suffi à dissiper toute la tension : « Que voulez-vous dire par “X” ? » En fait, il s'avère que les deux groupes avaient des définitions différentes pour un même mot et utilisaient des mots différents pour désigner ce à quoi l'autre groupe faisait référence. Cette expérience et cette question m'ont été très utiles, notamment lorsque j'aborde des questions liées au paysage actuel des menaces, où la signification des termes évolue sans cesse.
Il y a désormais certains mots et expressions que j’essaie d’éviter d’utiliser, comme «threat hunting » ou «Zero Trust ». Si je dois les utiliser, je commence toujours par expliquer ce que ce terme signifie pour mon interlocuteur afin d’éviter toute confusion.
Je me suis rendu compte que l’expression « cyber-résilience » fait désormais partie de ces expressions qu’il faut définir. Dans cet article, je vais vous expliquer ce qu’est la cyber-résilience, ses éléments clés et son importance. Je vais également vous expliquer comment les organisations peuvent améliorer leur cyber-résilience en se posant cinq questions fondamentales. Je terminerai ensuite cet article en soulignant à quel point il est essentiel d’exploiter les données en temps réel des terminaux, centralisées sur une seule plateforme, pour harmoniser le travail des équipes en s’appuyant sur une source unique de référence.
Définition de la cyber-résilience
Lorsque je parle de cyber-résilience, je fais référence à la capacité d'une organisation à continuer de remplir ses objectifs malgré une cyberattaque paralysante. À vrai dire, la cyber-résilience s'apparente davantage à une stratégie de reprise après sinistre qu'à la détection des incidents.
La cyber-résilience consiste à bien comprendre vos processus métier essentiels ainsi que les équipements qui les soutiennent. Cela implique notamment de savoir quelles machines sont présentes dans votre environnement et de connaître les outils nécessaires tant pour vos processus métier que pour votre infrastructure de cybersécurité, notamment leur emplacement et les lacunes existant au sein de cette infrastructure.
«Les mesures de résilience visent à garantir la continuité des opérations même après une intrusion réussie. » « Développer la capacité à se remettre rapidement d'un incident tout en minimisant les pertes de données et les temps d'arrêt constituera une priorité stratégique en 2024. »Forbes1
Examinons les éléments clés d'un plan de cyber-résilience efficace. Ces éléments sont essentiels pour garantir qu'une organisation soit en mesure de résister aux cybermenaces et de se remettre rapidement d'un incident.
Éléments clés de la planification de la cyber-résilience
À mon sens, plusieurs éléments indispensables à un plan de cyber-résilience ne permettent pas de créer un système résilient s’ils sont mis en œuvre séparément.
- du plan d'intervention en cas d'incident : Toute organisation devrait disposer d'un plan de remédiation en cas de violation de la sécurité. Par exemple, qui doit être contacté et à quel moment. Si le contact principal est une personne, qui est la personne désignée pour le remplacer en cas d'indisponibilité ? Si l'on fait appel à un prestataire externe pour la remise en état, qui le contacte et comment ? Quelles sont les obligations de déclaration en cas de violation de données ? Qui est chargé de déterminer si le seuil de déclaration est atteint, et qui procède effectivement à la déclaration ? Si l'incident n'atteint pas le seuil d'une violation, quelles mesures doivent être prises et qui doit en être informé ?
- Défense en profondeur : La mise en place de plusieurs niveaux de sécurité est essentielle à votre résilience. Si vous ne tenez compte que des données d'un seul point d'extrémité, vous passez à côté d'éléments liés à votre trafic réseau ou d'anomalies dans l'utilisation de votre compte. Le fait de disposer de capacités qui se recoupent garantit que, lorsqu'un type de détection échoue ou est désactivé, un attaquant ne puisse pas se déplacer librement au sein de votre environnement informatique.
- Listes des actifs critiques : Comprendre le niveau de criticité des actifs de votre environnement est une connaissance essentielle pour toutes les personnes impliquées dans leur protection. Si certains systèmes doivent faire l'objet d'un basculement avant d'être mis en quarantaine, cette information doit être communiquée à toute personne susceptible d'intervenir sur la machine. Les défenseurs peuvent, sans le vouloir, nuire à l'entreprise dans le cadre de leurs activités quotidiennes si cela n'est pas pris en compte au préalable.
- Surveillance et détection en continu : Il est essentiel de surveiller votre environnement afin de détecter toute activité malveillante. Il ne s'agit pas uniquement d'une surveill e via votre EDR, même si cela en fait partie. Comprendre ce qui est normal dans votre environnement et repérer les écarts par rapport à cette situation de référence peut constituer une méthode essentielle. Par exemple, l'analyse des lancements automatiques et de l'état des services peut mettre en évidence des activités malveillantes qui échappent à votre solution EDR. Par ailleurs, il est important de savoir où se trouvent vos données critiques et où elles devraient se trouver. De plus en plus de menaces peuvent être évitées en mettant en place des plans de protection des données et en vous assurant de bien savoir qui y a accès et ce que ces personnes en font.
- Gestion des risques : Il est essentiel de bien comprendre vos risques. Cela concerne non seulement la nature de votre risque, mais aussi la manière dont vous choisissez d'y faire face. Certains risques seront atténués, mais d'autres devront être acceptés ou compensés. C'est là que les contrôles de conformité, la gestion des correctifs et les analyses de vulnérabilité revêtent une importance cruciale pour évaluer vos risques.
- Plan de sauvegarde et de restauration : La sauvegarde de vos données est essentielle. Cependant, disposer d'une sauvegarde ne suffit pas ; un plan de reprise est tout aussi important. Ce plan doit décrire la manière dont vous comptez restaurer les données et garantir que les systèmes qui en dépendent soient opérationnels et sécurisés.
- Positionnement de la pile de sécurité : Tous les outils ne seront pas présents dans chaque partie de votre entreprise. Il peut exister des systèmes OT dans lesquels vos outils de sécurité ne peuvent pas être déployés. Les outils ne peuvent pas être déployés sur les appareils. Les conteneurs légers et « à durée de vie limitée » ainsi que les appareils IoT pourraient ne pas être en mesure d'intégrer la pile de sécurité. Il est essentiel pour votre équipe de sécurité d'identifier les lacunes de votre infrastructure de sécurité, car elle doit pallier l'absence d'outils sur ces appareils.
- Tests : Bien sûr, il ne suffit pas de mettre en place des processus et des procédures. Ces procédures doivent être testées et validées périodiquement afin de garantir leur bon fonctionnement en cas de crise et de contribuer à la cyber-résilience de l'organisation.
Même si la conception d’un système véritablement cyber-résilient semble souvent relever de la mission impossible, il reste utile de réfléchir aux éléments indispensables à une stratégie de cyber-résilience et aux mesures à prendre pour renforcer cette résilience, afin d’améliorer le niveau global de sécurité et la protection contre les cybermenaces.
Pourquoi la cyber-résilience est-elle importante ?
Plus un système est résilient, moins vous subirez, en moyenne, de temps d'indisponibilité à la suite d'une attaque. Cependant, ce n'est pas parce qu'un système doit être mis hors service qu'il n'est pas résilient.
Même si vous ne parvenez pas à maintenir les systèmes critiques en service lors d'un incident, vous pouvez tout de même réduire leur temps d'indisponibilité en connaissant les différentes étapes du processus et les éléments nécessaires à sa réalisation. Vous pourrez alors hiérarchiser vos mesures de défense et identifier les éventuelles failles.
Il existe de nombreuses façons de renforcer la résilience de votre système ; citons notamment la réduction de votre vulnérabilité aux attaques, de la surface d'attaque, de la capacité d'un attaquant à se déplacer latéralement , du délai de détection d'une intrusion et du délai de réaction face à une intrusion.
[À lire également : Pourquoi la cyber-résilience peut tirer parti d'une stratégie « left-of-bang »]
Pour qu’un plan de cyber-résilience soit efficace, vous devez avoir une bonne compréhension de votre environnement, de son impact sur vos processus et de la capacité de votre organisation à garantir la continuité de ses activités.
Comment une organisation peut-elle améliorer sa cyber-résilience ?
Compte tenu de ces objectifs, par où commencer ? Vous pouvez commencer par vous poser ces cinq questions fondamentales et y apporter des réponses afin d'améliorer votre stratégie de cyber-résilience :
- Quels sont vos processus métier essentiels ? En général, ce sont ces processus qui génèrent des recettes, et leur interruption, même de courte durée, perturbera le fonctionnement de l'entreprise et entraînera des pertes financières. Quelles infrastructures et quels systèmes essentiels permettent le bon fonctionnement de ces processus ? Quels processus métier essentiels seraient affectés si nous mettions ces systèmes hors service ?
- Utilisez-vous des services externes offrant des fonctionnalités essentielles, telles que l'authentification ou un système de gestion des identités et des accès (IAM) ? Par exemple, si votre système IAM fait partie d'un service hébergé en externe, que se passerait-il s'il devenait inaccessible ? Même si vos processus pourraient continuer à fonctionner sans système IAM ni serveur relais, votre accès à ces systèmes et la génération de rapports les concernant pourraient en dépendre.
- Quels sont les systèmes qui ne sont pas résilients par nature ? Un système n'est pas résilient si vos processus critiques tournent sur du matériel vieux de 40 ans que vous ne pouvez pas remplacer.
- Qui sont vos utilisateurs critiques ? Si un utilisateur critique ou un compte de service doit être désactivé, quelles en seraient les conséquences ?
- Si un processus métier doit être migré vers un nouvel environnement, quelles sont les démarches à suivre pour y parvenir ? Cela implique notamment de déterminer quels sont les processus, les logiciels et les comptes nécessaires, ainsi que de définir comment mesurer la réussite.
[À lire également : Bonnes pratiques pour renforcer la résilience informatique]
«» : 80 % des entreprises se disent modérément à très confiantes quant à leur capacité à rester résilientes dans ce contexte de cybersécurité en constante évolution. Bien que ce chiffre soit en baisse par rapport à l’année dernière, il met en évidence un écart qui laisse penser que les entreprises ont peut-être une confiance mal placée dans leur capacité à gérer les menaces et qu’elles n’évaluent pas correctement l’ampleur réelle des défis auxquels elles sont confrontées. »Indice de préparation à la cybersécurité 2024 de Cisco
Renforcer la résilience des processus informatiques peut sembler une tâche colossale, mais les avantages liés à l'identification de vos systèmes et processus critiques sont considérables. Cela peut vous aider à déterminer les éléments à surveiller et la manière de le faire, notamment dans le cadre de votre plan d'intervention en cas d'incident, et à améliorer votre capacité à vous défendre de manière proactive contre les cyberattaques.
Pourquoi les organisations résilientes ont besoin d'une visibilité en temps réel sur leurs terminaux
Comme la plupart des initiatives en matière de sécurité de l'information, l'amélioration de votre cyber-résilience commence par une meilleure compréhension de l'ensemble de votre écosystème. Pourquoi ? Prendre des mesures pour mieux comprendre votre système, puis réfléchir au cadre de cyber-résilience de votre organisation avant qu'un incident ne se produise peut vous permettre de mettre en œuvre des plans d'atténuation et de reprise afin de réduire les temps d'arrêt, l'incertitude et la panique qui accompagnent souvent un incident.
En bénéficiant d'une visibilité plus complète et plus approfondie sur l'ensemble de vos terminaux en temps réel, les entreprises peuvent rapidement déterminer :
- Quels outils sont déployés sur vos terminaux, et à quoi servent-ils ?
- Quels éléments de votre infrastructure de sécurité se trouvent sur chaque appareil, et où sont-ils situés dans votre environnement ?
- Y a-t-il des parties de votre environnement sur lesquelles vous manquez de visibilité et de contrôle, ce qui pourrait nuire à votre capacité à mettre à jour et à sécuriser vos terminaux ?
Vous ne pouvez pas rendre un système résilient ni donner la priorité à sa remise en état après un incident informatique si vous ne disposez pas d'une bonne visibilité sur celui-ci. Sans visibilité, vous ne pouvez ni contrôler ni influencer le changement. Il est donc essentiel de savoir où votre visibilité est forte et où elle fait défaut.
Comment Tanium contribue à renforcer la cyber-résilience
La cyber-résilience n’est pas une question de tout ou rien. Je n’ai jamais vu de système totalement cyber-résilient, capable de conserver toutes ses fonctionnalités tout en subissant une attaque. Il est en revanche utile de considérer la cyber-résilience comme un objectif ambitieux, dont la valeur réside dans les mesures prises par les organisations pour tenter de l’atteindre.
La plateforme Tanium d' , accessible à l'adresse , offre les fonctionnalités nécessaires à la mise en œuvre d'une stratégie de cyber-résilience à pratiquement tous les niveaux. La compréhension de votre environnement constitue le point de départ de toute stratégie de cyber-résilience. Il est possible d'obtenir en quelques secondes la réponse à des questions telles que : « Combien de terminaux disposent aujourd'hui d'un logiciel donné ? ». Il est tout aussi facile de modifier l'état de votre environnement. Par exemple, définir la valeur d'une clé de registre sur chaque ordinateur sur lequel le logiciel est installé devient une tâche simple. De plus, il devient beaucoup plus facile d'identifier les machines qui ne disposent pas de votre infrastructure de sécurité, y compris Tanium.
Il existe des moyens de réduire considérablement le temps nécessaire à la résolution d'un incident, puis d'utiliser les informations recueillies au cours de l'enquête pour développer et déployer de nouveaux mécanismes de détection afin d'empêcher que le problème ne se reproduise. Cette solution tire parti des capacités de Tanium en matière de collecte rapide de données afin de permettre l’analyse des données du système en temps réel, ce qui permet de comprendre la composition de votre environnement et la répartition des informations de renseignement sur les menaces ( ), tant au format spécifique à Tanium qu’aux formats standard, tels que les règles YARA et les indicateurs de compromission (IOC). De plus, la modification de l'état de vos terminaux permet d'isoler et de remédier rapidement aux problèmes sur les terminaux affectés.
D'autres fonctionnalités essentielles contribuent à améliorer votre niveau de risque, notamment les fonctionnalités de correction des failles et de déploiement logiciel, qui permettent de garantir que vos logiciels sont aussi à jour que possible. Les fonctionnalités de détection des vulnérabilités et de vérification de la conformité sont également essentielles pour cerner les risques les plus importants pesant sur votre environnement. Ces données sont agrégées à d'autres données dont dispose Tanium afin de fournir des scores de risque « Critical » pour les terminaux, ce qui permet de hiérarchiser les problèmes en fonction de l'état actuel de votre environnement et de le comparer aux références de votre secteur d'activité afin d'évaluer sa performance.
Mais surtout, tout cela peut être automatisé et intégré à vos autres outils, notamment grâce à la mise en place d'automatisations directement au sein de Tanium et à l'accès à ces fonctionnalités ainsi qu'à d'autres via des API robustes. De plus, vous pouvez exporter des données depuis Tanium vers votre SIEM, tel qu’ , Microsoft Sentinel ou , Splunk, ainsi que vers des systèmes de référence tels que ou ServiceNow , afin de vous assurer que vos données ne restent pas enfermées dans Tanium, mais soient disponibles là où elles seront les plus utiles.
Demandez une démonstration personnalisée gratuite à l'adresse pour découvrir comment Tanium peut vous aider à relever dès aujourd'hui vos défis en matière de cyber-résilience.
