L’une des choses que j’ai apprises du bouleversement du 2020, et que j’ai vues tout au long de ma carrière dans la sécurité privée et gouvernementale, est la nécessité d’agir rapidement et délibérément en crise.
Cas concret : décembre 2020 lorsque la société de sécurité FireEye a appris que des pirates informatiques s’étaient introduits dans son réseau au moyen d’une mise à jour logicielle tierce, elle a rapidement alerté le secteur.
La cyberattaque, prétendument menée par les renseignements russes en insérant du code malveillant dans les logiciels de gestion de réseau produits par SolarWinds, basée aux États-Unis, a fini par infecter plus de 300 entreprises et neuf agences fédérales. C’est devenu le pire cas de cyberespionnage de l’histoire.
Si ce n’est pas pour la décision de FireEye d’alerter le monde, les espions d’États-nations peuvent toujours naviguer sur les réseaux des agences gouvernementales, en haussant des informations sensibles.
À juste titre, l’administration Biden cherche désormais à codifier ce genre de sonnerie d’alarme publique. Le président est prêt à émettre un décret qui exigera que les fournisseurs de logiciels faisant des affaires avec le gouvernement l’alertent s’ils identifient une violation.
Un plan de jeu réactif est un élément crucial du manuel de sécurité. Mais je ne peux pas m’empêcher de me demander si l’administration manque une opportunité de renforcer la posture proactive du secteur.
« Je ne peux pas m’empêcher de me demander si l’administration manque une opportunité de renforcer la posture proactive du secteur. »
Les RSSI et DSI avec lesquels je parle chaque jour se concentrent sur la lutte contre les escroqueries par hameçonnage et les attaques par rançongiciel de plus en plus sophistiquées , le maintien de leurs transformations numériques sur la bonne voie, et l’habilitation et la sécurisation de leurs travailleurs à distance. Ils doivent absolument savoir si une violation se produit sur leurs réseaux ou s’ils ont été rendus vulnérables par une attaque de chaîne d’approvisionnement logicielle tierce.
Mais ils me disent également qu’ils en ont assez de ce crouch réactif. La plupart d’entre eux, sinon tous, veulent s’étirer dans une posture proactive plus forte. Ils veulent décoller du pied arrière et passer à l’avant.
Le gouvernement peut vous aider. Le programme fédéral de certification du modèle de maturité de cybersécurité (CMMC) exige déjà que les sous-traitants de la défense respectent certaines normes et soient approuvés par un tiers, afin de faire des affaires avec les agences du ministère de la Défense. D’autres agences fédérales devraient adopter ce modèle, ce qui forcerait alors l’adoption plus large de mesures de sécurité proactives.
Bien sûr, les DSI et les RSSI n’ont pas besoin d’attendre que le gouvernement impose des mesures. Ils peuvent les adopter aujourd’hui et fournir un leadership en s’attaquant à trois problèmes technologiques clés : gagner en visibilité sur tous les actifs réseau, corriger les vulnérabilités et accélérer la réponse aux incidents.
Obtenir de la visibilité
Lorsque je demande aux RSSI de nommer un obstacle qui les empêche d’élaborer des stratégies de sécurité plus proactives, ils disent invariablement un manque de visibilité sur leurs actifs. Un problème persistant depuis des années, cette incapacité à voir les réseaux et les endpoints est devenue aiguë en 2020. Alors que les travailleurs fuyaient le bureau pour rentrer chez eux, emportant leurs appareils et se connectant aux réseaux de l’entreprise via un Wi-Fi non sécurisé, la surface d’attaque s’est étendue. Les équipes informatiques ont encore du mal à trouver et à faire l’inventaire de tous ces actifs.
[Lire également : il est temps d’arrêter de régler les mauvaises données]
Tout espoir de devenir proactif repose sur la compréhension complète, précise et en temps réel de tous les actifs du réseau de l’organisation par un DSI ou un RSSI. Cela inclut tous les endpoints, des ordinateurs portables, tablettes et PC aux machines virtuelles et applications dans le cloud, ainsi qu’aux logiciels.
Toujours appliquer des correctifs
Les entreprises critiques, telles que les compagnies d’électricité, les prestataires de soins de santé, les fabricants industriels et les institutions de services financiers, repoussent souvent les vulnérabilités connues. Leurs raisons : les temps d’arrêt interrompent leurs opérations, ce qui est coûteux. D’autres entités qui ne sont pas sensibles aux correctifs sont simplement entravées par des budgets minces qui ne peuvent pas suivre l’afflux de vulnérabilités qui se propagent. Ils mettent donc à jour les bugs hautement prioritaires et parviennent à des conditions avec un niveau de risque acceptable.
Pour ceux qui envisagent de jouer les chances, en calculant que certaines vulnérabilités vieilles d’années ne sont pas dans la ligne de mire d’un pirate informatique, ne cherchez pas plus loin qu’Equifax. En septembre 2017, après que l’entreprise n’ait pas réussi à corriger un bug de deux mois dans une application Web, elle a révélé que des pirates avaient violé son réseau, exposant des données sensibles pour jusqu’à 147 millions de consommateurs américains. Totalement évitable.
La meilleure façon d’éviter une violation coûteuse comme celle -ci est d’établir un programme proactif de gestion des correctifs, ce qui signifie mettre à jour votre logiciel à une fréquence régulière, et pas seulement les logiciels de système d’exploitation, mais également les applications tierces. Cela inclut les navigateurs Web, les plug-ins et les logiciels ponctuels qu’un travailleur peut installer pour terminer un projet. Les vulnérabilités sont des points d’entrée.
Répondre rapidement
Les responsables informatiques oublient souvent que la réponse aux incidents est une mesure proactive. En agissant avant qu’une violation ne se produise, en automatisant la détection des menaces avec des alertes en temps réel et en éliminant le bruit des fausses alertes, les organisations peuvent identifier, enquêter, contenir et remédier aux menaces. Plus tôt un incident est identifié et traité, moins il est susceptible d’avoir d’impact sur cette organisation.
« Les responsables informatiques oublient souvent que la réponse aux incidents est une mesure proactive. »
De nombreux professionnels de la sécurité n’ont pas les ressources ou le temps nécessaires pour réagir rapidement aux incidents. Les RSSI mécontents d’aujourd’hui sont chargés de répondre à un large éventail d’incidents dans un environnement distribué et, après la pandémie, dont les actifs vulnérables n’ont fait qu’augmenter.
Les outils de sécurité traditionnels n’aident pas. Elles sont souvent cloisonnées et leurs capacités d’enquête reposent généralement sur des données incomplètes ou obsolètes. Cependant, une nouvelle gamme de solutions de réponse aux incidents offre une visibilité en temps réel sur les réseaux. Elles permettent aux équipes de sécurité de choisir parmi une variété d’options de remédiation à distance, de l’approche chirurgicale, visant un seul endpoint sur des milliers, à la contondance, appliquée à l’ensemble de l’environnement réseau.
N’oubliez pas les personnes et les processus
Passer de l’arrière du pied à l’avant n’est pas seulement une question de technologie. Vos employés et vos processus sont essentiels à vos efforts. Les RSSI les plus avant-gardistes que je connais prennent le temps d’intégrer des parties prenantes dans l’ensemble de l’organisation, y compris le service juridique, la conformité, l’informatique, les RH et l’entreprise. Ils recherchent des partenaires pour aider à développer une structure de reporting interne, qui répondra ou anticipera les exigences du décret à venir et même les exigences futures.
Les RSSI avec lesquels je travaille mettent en place un leadership pour assurer la responsabilisation. Ils désignent une liaison pour travailler avec des agences qui pourraient superviser la conformité dans leur travail avec le gouvernement fédéral. Et ils sont douloureusement conscients des nombreuses leçons tirées par la cyberattaque SolarWinds.
Ils savent que la faille de sécurité dans une entreprise peut perforer les défenses des autres tout au long de la chaîne d’approvisionnement. Ils savent qu’ils doivent descendre du pied arrière et se rendre à l’avant pour se préparer.
