Résumé
Si une fonction peut tirer parti de l'automatisation, c'est bien celle des équipes de cybersécurité, en sous-effectif et sous pression depuis une décennie. Un soulagement est enfin en vue. Un nombre croissant d'outils d'automatisation allège la pression sur les professionnels de la sécurité, en prenant en charge les tâches répétitives, fastidieuses et de faible niveau. Alors pourquoi tant d'organisations ne les ont-elles pas encore adoptés ?
HOST: Doug Thompson, directeur de l'ingénierie des solutions techniques et architecte principal de la formation, Tanium
GUEST: Steven Blankenship, directeur informatique, Salisbury University
Notes de l'épisode
Découvrez ces articles de Focal Point, le nouveau magazine en ligne de Tanium dédié à l'actualité cyber, ainsi qu'une vidéo riche en informations issue de notre webcast To The Point avec Renee Murphy de Forrester.
- Un guide d'automatisation de la sécurité pour 2023
- Les DSI du secteur de la santé doivent associer automatisation et sécurité
- L'avenir de la gestion des risques repose sur l'automatisation (webcast)
Transcript
L'entretien suivant a été modifié pour plus de clarté.
Steven Blankenship: Numéros de sécurité sociale, cartes de crédit, permis de conduire, passeports. Nous avons l'obligation de protéger ces données. Et je vous le dis, ce sont nos joyaux les plus précieux. Ce sont ces éléments que, s'ils venaient à être perdus, volés ou compromis, pourraient ruiner la vie des gens.
Doug Thompson L'automatisation est omniprésente aujourd'hui. Vous ne pouvez pas déposer un chèque sur votre compte bancaire sans en prendre une photo. Vous ne pouvez pas commander votre hamburger préféré dans un fast-food d'aéroport sans passer par une borne interactive. Cette technologie automatisée est si répandue que même les leaders IT commencent à s'interroger sur la capacité des algorithmes à les priver de leur job. Mais il existe un groupe au sein de l'IT qui adopte cette nouvelle tendance. Et si ce n'est pas votre cas, il serait sans doute temps d'y réfléchir.
Bonjour, je suis Doug Thompson. Et aujourd'hui dans Let's Converge, nous parlons d'automatisation et de cybersécurité.
Si une équipe peut tirer profit de l'automatisation, c'est bien celle de la sécurité, en sous-effectif et sous pression depuis une décennie. Les rangs de la cybersécurité ont quelque peu progressé ces dernières années, mais près de 3 millions de jobs en cybersécurité restent encore non pourvus. Le rapport sur les effectifs de l'année dernière publié par (ISC)² a révélé que le nombre de professionnels de la cybersécurité doit croître de 65% pour assurer une défense adéquate des entreprises.
Thompson: Dans le même temps, les cyberattaques sont en pleine explosion. Mais une solution se profile à l'horizon : un nombre croissant d'outils d'automatisation de la sécurité allègent la pression sur ces professionnels en prenant en charge les tâches répétitives, fastidieuses et de faible niveau. Pourtant, un nombre surprenant d'organisations ne les utilisent pas encore. Comment l'expliquer ? J'ai ma propre théorie : je pense que c'est simplement la nature humaine, les gens n'ont pas envie de changer.
Notre invité du jour est Stephen Blankenship, directeur informatique de l'Université de Salisbury dans le Maryland, qui vient partager une étude de cas sur les outils et la transformation numérique. Stephen a gravi les échelons à Salisbury, en commençant comme étudiant de premier cycle, obtenant une licence en informatique, puis un master, avant d'évoluer au sein des équipes de support au poste de travail, de réseau et d'administration des systèmes. Steven, comment allez-vous ?
Blankenship: Bien, bien. Ravi d'être ici.
Thompson: Il semblerait que vous soyez arrivé à Salisbury en tant qu'étudiant de première année et que vous ayez tellement apprécié la vie universitaire que vous n'avez pas pu vous en détacher.
Blankenship: Je suis ici depuis environ 23 ans. Nous sommes un collège régional d'arts libéraux traditionnel sur la côte est du Maryland, à quelques heures à l'est de Washington. J'ai consacré toute ma carrière à l'enseignement supérieur. Je suis passionné par le soutien aux environnements d'apprentissage et par la création d'opportunités permettant aux étudiants de réussir.
Thompson: Vous avez donc obtenu votre diplôme et vous vous y êtes consacré directement ?
Blankenship: Oui, ils m'ont pris au piège dès les stages. J'ai gravi tous les échelons du département depuis la fin des ‘90s jusqu'à aujourd'hui. Ils n'avaient plus de poste à me proposer,
Thompson: Avant de commencer l'enregistrement, nous discutions : j'avais travaillé chez Microsoft auparavant et nous parlions de l'historique de ce qui a été utilisé [pour la gestion des réseaux]. Vous étiez là aux tout débuts de la gestion des PC. Avant ça, gérer son environnement relevait du cauchemar.
Blankenship: Oh, tout à fait. En remontant jusqu'à l'époque de Novell et de NetWare Application [Manager].
Thompson: Ah, oui. Novell. Pour ceux qui ne sont pas passionnés par cette histoire ou qui ne l'ont pas vécue comme nous, Novell a été un pionnier dans les réseaux d'entreprise à l'époque de 1990s. Leur produit phare, NetWare, était un leader dans les logiciels de mise en réseau. Puis Microsoft, mon ancien employeur, a saisi l'opportunité en réalisant qu'il pouvait intégrer la mise en réseau à son système d'exploitation. Et Novell disparut. SMS 2003 a dû représenter un véritable tournant pour vous également. Le SMS, ou System Management Server, était traditionnellement un outil de gestion de poste de travail incontournable, mais cette version s'est concentrée sur la cybersécurité d'une façon entièrement nouvelle : identifier les vulnérabilités de sécurité et déployer les mises à jour critiques.
Blankenship: Au départ, SMS 2003 a été notre première véritable plongée en profondeur dans la gestion de notre environnement de postes de travail. Nous avons utilisé de nombreux outils et solutions ponctuelles au fil des années pour tenter de résoudre des problèmes dans notre environnement de postes de travail.
Thompson: C'est en effet ce que vous étiez contraints de faire. C'était : voilà le problème du moment, comme je l'appelle, et il n'existait pas vraiment de plateforme cohérente offrant une approche de bout en bout pour gérer les choses de façon globale.
Blankenship: Tout à fait. Ce sont des solutions, pas des plateformes. C'est l'expérience que j'ai vécue tout au long de ma carrière ici. Et cela peut être une source de frustration immense.
Thompson: Oui, je comprends ! J'ai parlé à des personnes qui m'ont dit que ça avait résolu un problème, mais que ça en avait créé quatre autres. C'est donc un jeu sans fin, ce qui est probablement la meilleure façon de le décrire.
Blankenship: Tout à fait.
Thompson: Vous êtes récemment devenu l'un de nos clients. Dites-nous comment cela s'est développé. J'aborde la question sous l'angle suivant : il faut des personnes capables de penser au-delà des silos. C'est une vision plus globale de ce qui doit se passer et une approche holistique de ce que pourrait être la réalité. Et encore une fois, c'est plutôt : vous êtes là depuis assez longtemps pour savoir que les choses doivent s'améliorer. N'est-ce pas ? . Vous vivez ce jour de la marmotte depuis trop longtemps, à revivre la même situation en boucle.
Blankenship: Tout à fait. Je vous dirai que les besoins opérationnels, comme l'administration des postes de travail et la résolution de certains de ces défis, ne sont pas des sujets glamour et ne constituent pas un domaine dans lequel la direction souhaite investir. C'est un poste budgétaire très difficile à justifier. À Salisbury, la façon dont nous avons pu intégrer Tanium, c'est que nous avions un besoin de sécurité très précis à satisfaire pour répondre aux exigences de notre audit législatif.
Voici comment les choses se sont passées : nos auditeurs législatifs nous ont demandé d'identifier toutes les sources de données PII sur l'ensemble des endpoints de nos serveurs — partages de fichiers, stockage cloud, et ainsi de suite. Lorsque je parle de PII, il s'agit des « informations personnelles identifiables », telles que les numéros de sécurité sociale, les cartes de crédit, les permis de conduire et les passeports. Nous avons l'obligation de protéger ces données. Et je vous le dis, ce sont nos joyaux les plus précieux. Ce sont ces éléments que, s'ils venaient à être perdus, volés ou compromis, pourraient ruiner la vie des gens.
Et même en dehors de nos obligations légales, ce sont les données qui nous tiennent le plus à cœur et que nous souhaitons protéger en priorité. Nous devons donc supprimer les données PII de tout support qui ne constitue pas un référentiel chiffré approuvé. Nous avions essayé plusieurs solutions ponctuelles au fil des années, vraiment ingérables en termes d'heures de travail et d'efficacité.
Thompson: C'est un problème sérieux et courant, que la plupart des leaders en entreprise ne réalisent même pas.
Blankenship: C'est bien au-delà de ce que nous avions imaginé. Tout le monde veut conserver tous les contrats depuis le début ‘80s sur leurs ordinateurs. Nous avons donc acquis un outil de sécurité capable d'analyser l'ensemble des fichiers contenus dans des archives et d'y effectuer une recherche par correspondance de modèles, afin d'identifier et de confirmer les données à caractère personnel (PII) détectées. Ensuite, il extrait automatiquement ces données PII des endpoints, laisse un petit message indiquant que le fichier a été récupéré et qu'il faut contacter le service d'assistance si nécessaire, puis les transfère vers un référentiel NAS [stockage en réseau] central chiffré, pour lequel nous disposons d'ACL [listes de contrôle d'accès] et d'autorisations entièrement distinctes, ainsi que de processus dédiés pour que les utilisateurs puissent récupérer l'accès. Cela a répondu à nos exigences d'audit et a permis de supprimer des millions d'enregistrements des endpoints des utilisateurs, bien plus que nous ne l'aurions imaginé.
Thompson: Oui. L'enseignement supérieur, je l'ai constaté, est un endroit pour les accumulateurs de données : nous avions un chercheur, dans un poste précédent, qui avait conservé chaque soumission de subvention qu'il avait reçue. Et la taille de sa boîte mail était de l'ordre du téraoctet. J'ai réalisé que personne ne jette jamais rien dans le milieu de l'éducation.
Blankenship: Non, personne ne souhaite se débarrasser de quoi que ce soit. Et ce ne sont pas toujours les personnes que nous soupçonnions, ce ne sont pas toujours les RH, les greffiers ou les personnes avec lesquelles vous avez une raison légitime de travailler. PII. Oui. Chacun d'eux a téléchargé un rapport et l'a laissé sur son poste de travail. Oui. Ils ont ensuite copié leur dossier de documents depuis leurs quatre ou cinq dernières machines. Nous avons des PII qui remontent à ‘80s. Mais il y a aussi tous les membres des départements qui ont utilisé TurboTax et enregistré leur fichier fiscal sur leur poste de travail. Ce sont les contrats, les bons de commande, les cartes de crédit, les PDF numérisés que nous trouvons. C'est bien plus que ce que nous avions imaginé et plus que ce qu'aucun des outils précédents que nous avions tenté d'utiliser n'était en mesure de trouver.
Thompson: Personne, de la direction jusqu'aux équipes opérationnelles, ne prend la mesure de ce problème. Cela surprend même ceux d'entre nous qui travaillent dans la sécurité. Tant que vous ne partez pas à sa recherche, vous n'avez aucune idée de la quantité de données personnelles vulnérables qui se trouvent sur vos endpoints et vos serveurs. Et même si vous pensez avoir une idée du volume de données brutes que votre organisation collecte, vous ignorez la fréquence à laquelle elles ont été dupliquées, l'endroit où ces copies résident dans votre système et les personnes qui y ont accès.
Blankenship: Et ce qui nous posait problème, c'est que nous n'avions pas les ressources humaines pour les examiner. Nous n'avions pas les ressources humaines pour aller supprimer manuellement les données personnelles.
Thompson: Il ne se passe pas un jour sans que je m'entretienne avec une entreprise sur la façon dont elle a résolu tel ou tel problème, et je leur dis : j'ai un outil pour ça. Cela me rappelle l'époque où j'étais à l'université, où je travaillais comme mécanicien de nuit et où j'échangeais avec des mécaniciens master. J'en ai vu un qui avait un stéthoscope dans sa boîte à outils et je lui ai demandé ce qu'il faisait avec ça. Il m'a répondu : « Je l'utilise pour détecter un claquement ou un problème de calage sur la voiture. » Il le posait directement contre le moteur. Aujourd'hui, les voitures sont équipées de ports sur lesquels on branche un ordinateur qui fournit tous les diagnostics sur ce qui se passe dans le moteur. Ce que vous décrivez suit le même principe. Nous avons besoin d'un outil unique qui nous offre une visibilité complète sur l'ensemble des endpoints de façon régulière.
Blankenship: L'une de nos principales exigences était que la solution soit autonome. Il ne suffit pas d'identifier les données personnelles ; nous devions les supprimer dès lors que la situation ou le scénario était confirmé. Nous pouvons ainsi examiner les résultats et déterminer que ce modèle correspond bien à des données personnelles — et supprimer tout ce qui y ressemble. Nous avons donc un certain travail d'entretien et de formation à effectuer, car nos formulaires de demande sont tous identiques, nos contrats sont tous identiques. C'est en réalité assez simple, une fois que vous connaissez les types de données personnelles présentes dans votre environnement, de former et d'entraîner l'outil pour qu'il les traite de façon automatique. Sur le plan politique, nous avons réussi à le faire adopter, et nos utilisateurs ont fini par comprendre le fonctionnement de l'ensemble du dispositif.
Thompson: Comment avez-vous géré cela ? Obtenir l'adhésion des utilisateurs ?
Blankenship: Lorsque le financement de votre État risque d'être supprimé si vous ne respectez pas les exigences légales, les dernières réticences [disparaissent], car notre président ne souhaite pas faire la une des journaux. Heureusement, d'autres organisations autour de nous ont vécu de mauvaises expériences, à tel point que nous sommes désormais pris au sérieux. Je ne pense pas que les explications d'ordre politique et culturel soient encore nécessaires de nos jours. Ce n'est pas que nous ignorions la nécessité d'agir depuis une décennie, mais nous disposons enfin des outils, des capacités, de la volonté et de la prise de conscience que l'environnement actuel de la cybersécurité nous impose d'agir. C'est ainsi que tout s'est mis en place.
Thompson: C'est un équilibre délicat, car par le passé, cela aurait été possible, mais l'expérience client n'aurait pas été optimale. Une technologie bien conçue s'efface en arrière-plan. On ne remarque même pas sa présence. Elle fonctionne, tout simplement. C'est comme l'interrupteur quand on allume la lumière. Et il semble que vous ayez trouvé la solution pour rendre l'expérience Fluide pour l'utilisateur — en supprimant cette friction, il est bien plus enclin à adhérer.
Blankenship: Exact. L'essentiel, c'est que tout ce que nous aurions pu faire par le passé aurait généré une charge manuelle considérable pour l'équipe informatique et les utilisateurs, ce qui aurait rendu la prise en charge et la maintenance impossibles. C'est ainsi que nous avons réussi à l'intégrer. Une fois en place, avec cet outil puissant déployé sur l'ensemble de nos endpoints et de nos serveurs, c'était comme lâcher un enfant dans un magasin de bonbons.
Thompson: La capacité à Automate ces tâches est un atout considérable, car elle vous permet de monter en charge. Il m'arrive de croiser des personnes qui pensent que vous cherchez à supprimer leur job. Alors qu'en réalité, vous cherchez à les libérer pour qu'ils puissent se consacrer à des tâches à plus forte valeur ajoutée, ce qui rend leur job plus important et plus fiable. … Plus personne ne fabrique de glacières. Quand le réfrigérateur est apparu, personne…. [s'interrompt.] Les cassettes VHS, on n'en voit plus beaucoup. Tout est numérique, maintenant. Et ainsi de suite.
Blankenship: J'avais ce genre de conversations avec les gens tout le temps. Tout aspect de votre job que je peux Automate avec PowerShell, un script ou un outil devrait vous réjouir, car ce doit être pénible de le faire de façon répétitive. Passons à quelque chose de bien plus intéressant, bien plus valorisant, bien plus porteur. Vous savez, je ne cherche pas à vous remplacer par un Automate pour vous priver de votre job.
Thompson: Tout à fait.
Blankenship: Dans cet État en particulier, nous sommes très stables. L'ancienneté moyenne des personnes de mon département se situe entre 10 et 30 ans. Nous n'avons pas beaucoup de turnover. Nous sommes assez isolés ici, sur la côte est du Maryland. Nous avons des plages, cependant. C'est le principal argument de vente . Mais ce sont les personnes qui représentent la vraie valeur de notre département, et plus je peux les orienter vers des projets à forte valeur ajoutée plutôt que vers des tâches répétitives et ingrates, mieux c'est — automatisons tout cela, écartons-le de notre chemin.
Thompson: Et cela réduit aussi les erreurs et autres problèmes. Parce que parfois, on répète cette opération encore et encore. Il est facile de passer quelque chose à côté, ou d'avoir un cas particulier qui surgit alors que ça avait toujours fonctionné avant. Il y avait un élément différent. En automatisant tout cela, on peut mettre en place des contrôles pour rendre le processus plus fiable, et libérer les équipes pour qu'elles se concentrent sur des tâches à plus forte valeur ajoutée.
Blankenship: L'automatisation a aussi une tendance naturelle à auto-documenter les processus. Si vous pouvez automatiser un processus, vous avez par là même documenté ce processus métier de façon exhaustive. Il est alors simple pour toute autre personne de prendre le relais, de le maintenir, de le mettre à jour et de comprendre ce qui se passe. Alors que lorsque les processus sont manuels, ils n'existent que dans la tête d'une seule personne, qui vient peut-être de partir à la retraite.
Thompson: C'est un facteur important dont je parle avec beaucoup de personnes. Ils ont une seule personne sur laquelle ils s'appuient, mais les choses se compliquent lorsqu'elle part. Ou, à Dieu ne plaise, qu'un événement tragique survienne sans qu'on ait pu l'anticiper. Je sais que je suis mauvais pour documenter les choses parce que je passe au travers et je continue — au grand dam de ma femme. Elle me le reproche parfois. « Mais pourquoi tu n'as pas noté ça ? » « C'est juste, euh, c'est comme ça. » Mais cela n'a un Impact que sur moi et ma famille. Cela n'a pas d'Impact sur toute une organisation.
Blankenship: Donc, une fois que nous avons eu la visibilité et commencé à percevoir la puissance de l'outil, quand nous l'avons intégré ici, les gens ont commencé à réaliser que nous pouvions poser des questions en temps réel et obtenir des réponses sur notre situation. Par exemple, on nous a interrogés sur un logiciel, pour savoir si nous devions continuer à payer pour ce logiciel — nous payons $60 000 pour une licence de site. Pourquoi faisons-nous cela ? Et je peux simplement poser une question sur notre environnement, comme : où se trouve tel élément, ou quels ordinateurs en disposent ? Je peux alors savoir où se trouvent ces ordinateurs et qui les utilise. Je peux connaître les versions. J'obtiens ces réponses, bien plus rapidement, dans un tableau de bord unique.
Je peux ensuite prendre cette même réponse et l'injecter dans un déploiement. Pour illustrer avec un exemple de sécurité : une vulnérabilité vient d'être publiée pour un produit Adobe ou autre, et je ne sais même pas combien d'ordinateurs disposent de cette version. Avant, obtenir cette réponse était un processus extrêmement laborieux.
Aujourd'hui, une phrase suffit pour compléter automatiquement le reste et me dire exactement combien d'ordinateurs sont dans cette situation, puis prendre cette liste précise d'ordinateurs et l'injecter dans un déploiement pour les mettre à jour.
Thompson: Cela vous fait clairement gagner un temps considérable.
Blankenship: Absolument. L'un des sujets sur lesquels nous sommes également sollicités est le patching et la conformité du patching. Nous avons de nombreuses métriques de conformité à respecter : des configurations baseline à maintenir, un délai moyen de correction des vulnérabilités, ainsi que l'application des patch dans un certain délai après leur publication par le fabricant. Nous devons les appliquer. Et je vous assure que c'est une chose exaspérante à mettre en place.
Thompson: Faire tout cela manuellement, patch par patch, j'imagine que cela rendrait n'importe qui fou. Disposer du bon outil automatisé permet non seulement de gagner du temps, mais aussi de préserver sa santé mentale. C'est comme avoir son propre agent spécial sur chaque endpoint, qui vous fournit des données en temps réel sur l'endpoint. Fini le recours aux outils tiers, aux scans à distance ou à des solutions de fortune pour chaque besoin.
Blankenship: Je sais que l'agent installé, lorsque je lui indique la mise à jour, va récupérer ces mises à jour et me fournir un retour sur le déroulement de l'opération.
Thompson: Cela doit vous permettre de dormir sur vos deux oreilles en sachant que vous êtes en mesure de répondre à ces questions. Il n'y a rien de pire que de voir son responsable arriver en sachant qu'il va vous poser l'une de ces questions. Je peux vous obtenir cette réponse, mais cela pourrait prendre une semaine.
Blankenship: Exact. Et votre niveau de sécurité est celui de votre maillon le plus faible. Oui, nous avons de nombreuses autres couches de sécurité, des pare-feux et d'autres éléments qui complètent ce dispositif. Mais depuis longtemps, nos endpoints représentent notre principale préoccupation et nos points de compromission les plus critiques.
Car nos serveurs sont verrouillés. Ils sont configurés avec une grande précision. Notre réseau dispose de nombreuses contraintes et de contrôles en son sein. Mais ces endpoints et ces utilisateurs problématiques constituent le principal enjeu dans un environnement. En veillant à limiter au maximum les dommages potentiels — atteinte à la réputation, perte de données — et en s'assurant que ces endpoints ne contiennent aucune PII, n'est-ce pas là la meilleure approche ? À ce stade, j'ai déjà gagné la moitié de la bataille. Donc, même si cet endpoint est volé ou compromis, vous n'obtiendrez rien en local de notre côté. J'ai ensuite ces autres couches de protection entre cet endpoint et les autres points où vous pourriez me causer davantage de dommages.
Mais oui, je dors mieux la nuit en sachant que j'ai un antivirus qui fonctionne correctement, que le pare-feu est activé en local. En sachant que vous n'avez pas de droits d'administrateur en local sur cette machine, que tous nos petits paramètres, stratégies de groupe, et toutes les modifications et couches que nous appliquons sur ces endpoints sont toujours actifs et fonctionnels. Et vous êtes à jour avec vos Patchs. L'autre point, c'est qu'en termes d'exploitation, si votre environnement ressemble à ce que je viens de décrire, vous recevez bien moins d'appels.
Thompson: Tout à fait.
Blankenship.: Vous avez bien moins de problèmes. Vos utilisateurs sont en réalité plus satisfaits dans cet environnement parce que leur poste de travail fonctionne.
Thompson: On en revient à ce point où la technologie s'efface en arrière-plan et vous pouvez vous concentrer sur ce que vous avez à faire.
Blankenship: Tout fonctionne, simplement.
Thompson: Il semblerait donc que vous ayez constaté des améliorations, que vous dormiez mieux la nuit et que vous ayez des clients satisfaits. Je vous remercie d'avoir pris le temps de nous rejoindre et de nous avoir partagé votre expérience sur la façon dont cela a transformé votre façon de faire des affaires.
Blankenship: Absolument. Tout à fait. Merci de m'avoir invité.
Thompson: Je me suis entretenu avec Steven Blankenship, directeur informatique de l'Université de Salisbury.
Si vous souhaitez en savoir plus sur la sécurité et l'automatisation, consultez le nouveau magazine d'actualités cyber en ligne de Tanium sur Tanium.com. Pour découvrir d'autres conversations avec les leaders du monde des affaires et les experts en sécurité d'aujourd'hui, abonnez-vous à Let's Converge sur votre application de podcast préférée, comme Apple Podcast et Spotify. Et si cet épisode vous a plu, ce dont je suis convaincu, n'hésitez pas à nous attribuer une note de cinq étoiles.
Merci de votre écoute. Nous avons hâte de partager de nouvelles perspectives cyber lors du prochain épisode de Let's Converge.
