Comment transformer les pratiques de sécurité face aux cybermenaces ?

1. La nécessité de suivre l’évolution des menaces : le domaine de la sécurité est un terrain mouvant dans lequel on peut figer un environnement. D’une part, parce que les attaquants ont et auront toujours une longueur d’avance sur leurs cibles, qui doivent adapter leur riposte par la prévention et la protection. D’autre part, parce que les innovations technologiques dans le domaine de la sécurité imposent une remise à l’état de l’art régulière des environnements de sécurité, des solutions en place et des processus. On ne peut pas imaginer qu’une entreprise puisse gérer sa sécurité en 2019 avec des solutions et des processus qui n’auraient pas évolué depuis cinq ou dix ans, voire plus…
2. Les évolutions réglementaires contraignent les entreprises à investir pour se mettre en conformité : par exemple la norme PCI-DSS pour la sécurité des paiements, le Health Insurance Portability and Accountability Act aux États-Unis pour les établissements de santé ou le Règlement européen sur la protection des données (RGPD).
3. La prise de conscience des métiers et des directions générales de la nécessité d’investir en sécurité. Selon une étude de Wavestone, 100 % des rapports d’activité des entreprises du CAC 40 font mention des enjeux de sécurité SI, alors qu’en 2010, la proportion n’était que de 73 %. Cette prise de conscience, qui est plutôt une bonne nouvelle, est encouragée à la fois par la médiatisation des incidents de sécurité et par l’efficacité marketing des acteurs de la sécurité, de plus en plus nombreux.

L’insécurité croissante résulte, elle aussi, de plusieurs facteurs :

• La sophistication des menaces : il suffit de parcourir les panoramas annuels de la cybercriminalité, établis par les experts du Clusif (Club de la sécurité de l’information français) ou du Cesin, pour s’en convaincre. Même des approches de sécurité réputées inviolables présentent des failles. Ainsi, notamment, la Blockchain, qui suscite un réel engouement : l’écosystème est vulnérable, par exemple les clés stockées dans les fichiers des utilisateurs, l’erreur humaine est toujours possible pour la conception/implémentation des Blockchains et il est possible de réaliser une attaque dite « 51 % », lorsqu’un pirate parvient à prendre le contrôle de plus de la moitié de la puissance du réseau.
• Les attaquants ont toujours une longueur d’avance, ils sont très organisés, disposent d’une expertise pointue, d’une imagination sans limites pour exploiter les failles et de toutes les technologies nécessaires, souvent très complexes, pour réaliser leurs attaques : ce principe se vérifie depuis des décennies. Ainsi, quels que soient l’époque, les applications et les systèmes d’information, les cinq postulats suivants constituent des constantes qui traversent le temps :
  1. Tout système comporte au moins une faille.
  2. Chaque faille est susceptible d’être découverte.
  3. Si une faille est susceptible d’être découverte, elle le sera.
  4. Quiconque a accès à cette faille sera tenté de l’utiliser à son profit.
  5. Si les risques sont faibles, cette faille sera exploitée.
• La transformation des systèmes d’information. L’évolution historique est marquée par une ouverture croissante. Depuis plusieurs décennies, se sont ainsi succédées plusieurs vagues qui sont autant de ruptures et de challenges pour les responsables sécurité : les ordinateurs individuels et les réseaux locaux dans les années 1980, le Web dans les années 1990, le e-commerce dans les années 2000 et, depuis, le cloud et la mobilité qui se sont imposés comme des éléments centraux des systèmes d’information. À cela s’ajoute le fait que les frontières entre les mondes professionnels et privés se sont définitivement estompées, sous l’effet d’une transformation des usages des technologies et de l’engouement pour les réseaux sociaux.

Certains responsables sécurité aimeraient avoir la possibilité de revenir en arrière, à l’époque où la sécurité informatique était « périmétrique » et se résumait à protéger des datacenters isolés, des postes de travail non connectés et des réseaux dont le maillage était connu et cartographié. Ils se souviennent, qu’historiquement, les évolutions des systèmes d’information, des usages et des innovations technologiques s’effectuaient relativement « en douceur », avec l’ajout de couches successives qui ne remettaient rien en cause. Il s’agissait d’un phénomène s’apparentant à une tache d’huile, au rythme de l’appropriation des technologies et des infrastructures par les entreprises, comme ce fut le cas avec la diffusion des micro-ordinateurs et de la messagerie électronique, par exemple. Aujourd’hui, ce mode de diffusion et d’appropriation a vécu : nous sommes dans l’ère des ruptures et le phénomène de tache d’huile a laissé la place à des phénomènes de dislocation des environnements existants.

Trois tendances fortes illustrent cette ère des ruptures : le cloud, la mobilité et la transformation digitale. Et chacune fait apparaître de nouveaux défis dans le domaine de la sécurité.

La rupture du cloud : le nouveau standard des systèmes d’information

Ce qui était, il n’y a pas si longtemps, considéré comme une option par les DSI et les directions métiers est devenu un élément central des systèmes d’information. L’une des conséquences majeures est de transformer les flux de trafic que les entreprises doivent gérer. Mais parmi les raisons qui freinent l’adoption du cloud figure la sécurité. Selon une étude mondiale du Ponemon Institute, la moitié des DSI estiment qu’il est plus difficile de protéger des informations sensibles en ayant recours à des services cloud. Cette étude révèle également que la moitié des entreprises ne disposent pas d’une approche proactive visant à respecter les règles de confidentialité et de sécurité des données transitant au sein des environnements cloud.

La rupture de la mobilité : l’ère du travailleur nomade

On ne peut plus concevoir une application qui ne soit pas utilisable en mobilité. Comme le cloud, cette composante s’est ancrée définitivement dans les systèmes d’information. Les études prospectives laissent présager « l’ère du travailleur nomade », favorisée par la montée en puissance des plus jeunes générations, le développement du télétravail, du BYOD (Bring Your Own Device) et la transformation des usages, résumée par l’acronyme ATAWAD (Any Time, Any Where, Any Device). À cela s’ajoute la prolifération des objets connectés.

Sur le plan de la sécurité, la mobilité impose de protéger l’ensemble des contenus d’entreprise, des identifiants des applications et des données de configuration des appareils, et d’assurer une protection contre les fuites de données, sans pour autant introduire trop de contraintes pour les utilisateurs mobiles.

Les objets connectés, pour leur part, souffrent de nombreuses failles sur le plan de la sécurité. Rappelons qu’ils mêlent des identifiants, des capteurs, des données, des technologies de communication, des infrastructures réseaux et des applications. Autant de composantes dont il faut assurer la sécurité. Ainsi, cela suppose de gérer simultanément les protocoles réseaux, les échanges de données, les clés de sécurité, les annuaires, le contrôle d’accès, les correctifs de sécurité en fonction des vulnérabilités découvertes, le vol….

La rupture de la transformation digitale : des écosystèmes imbriqués

Toutes les entreprises sont concernées par la transformation digitale et beaucoup se sont engagées dans cette voie. C’est une rupture majeure dans les modes d’organisation, les business models et, bien sûr, les systèmes d’information. Dès lors que la transformation numérique étend le nombre de parties prenantes, introduit des technologies nouvelles et de rupture, et ouvre davantage l’entreprise vers l’extérieur, en particulier les clients, ces préoccupations trouvent leur sens. On imagine mal, en effet, une amélioration de l’expérience client, qui constitue l’un des premiers enjeux de la transformation numérique, se traduire par des dysfonctionnements dans la disponibilité des applications et par des failles conduisant à la compromission des données personnelles des clients ou des partenaires. Les analystes de Gartner prévoient que, à l’horizon 2020, 60 % des business numériques échoueront du fait de l’incapacité des entreprises à gérer les risques de façon efficiente.

Une reconfiguration des pratiques de sécurité s’impose

Ces trois ruptures ont des impacts sur la potentialité/gravité des risques, à tous les niveaux (les données, les applications et les infrastructures) et pour les quatre exigences de sécurité : la disponibilité, l’intégrité, la confidentialité et la traçabilité. Les impacts de ces ruptures et les exigences de sécurité qui y sont associées contraignent les entreprises et les responsables sécurité à remettre en cause les approches passées et actuelles. Celles-ci sont caractérisées essentiellement par trois pratiques :

• Privilégier une vision périmétrique de la sécurité avec une politique de sécurité s’apparentant à un « château-fort » considéré comme imprenable, alors que le Web a aboli toute notion de frontières entre une entreprise et son environnement qui, de fait, devient mondial. L’explosion des usages en mobilité, des terminaux et des objets connectés rend cette approche relativement inefficace : les entreprises n’ont plus de frontières, par conséquent le modèle périmétrique devient inopérant, à mesure que le centre de gravité des systèmes d’information s’est déplacé vers le cloud, y compris pour les applications métiers stratégiques (par exemple Salesforce…).
• Empiler des solutions au fur et à mesure qu’une problématique de sécurité apparaît. Cela a conduit à une prolifération de solutions de sécurité (appliances, firewalls, anti-virus, filtrage de contenus, VPN…), pas toujours compatibles, et qui a complexifié le management opérationnel de la sécurité. Là encore, cette approche devient moins pertinente, ne serait-ce que pour des considérations financières et de trop grande complexité… qui présente elle-même un risque. Ce serait en effet un comble de créer de l’insécurité en ajoutant des solutions de sécurité !
• Faire l’impasse sur certains risques. Dans la mesure où la sécurité à 100 % n’est jamais possible, la plupart des entreprises se concentrent sur les risques dont elles estiment qu’ils sont les plus probables, ou les plus faciles à traiter. Cette approche peut bien sûr se justifier pour des raisons budgétaires ou de disponibilité des ressources, mais l’insécurité demeure.

Transformer les pratiques de sécurité : les stratégies gagnantes

Ces pratiques historiques heurtent de plus en plus les exigences des utilisateurs et celles des responsables sécurité. Pour résumer, aujourd’hui, les utilisateurs veulent être protégés de manière transparente et les RSSI veulent être rassurés (voir tableau ci-dessous).

Comment transformer les pratiques de sécurité de manière à répondre à ces deux besoins, de réassurance et de protection ? Il s’agit, dans tous les cas, de protéger les trois actifs essentiels de toute organisation dont les caractéristiques et les périmètres évoluent en permanence : les actifs tangibles (les postes de travail, les terminaux mobiles, les datacenters…), les actifs intangibles (les données, les informations confidentielles…) et les actifs qui permettent de créer des interactions efficientes entre tous ces éléments (les utilisateurs, les transactions métiers, les flux d’informations…). D’ici 2020, 30 à 40 % des dépenses de sécurité s’orienteront vers des fournisseurs qui offrent une approche intégrée de la sécurité, souligne IDC.

Trois stratégies s’avèrent particulièrement pertinentes :

1. Simplifier et unifier. L’empilement des solutions de sécurité ne peut se poursuivre, car il conduit à une explosion des coûts, à un manque de cohérence de la politique de sécurité et, de fait, à une perte de maîtrise des entreprises sur leur réelle exposition aux menaces. Il faut donc simplifier et unifier, de manière à ce que les RSSI retrouvent une certaine sérénité…. et le contrôle de leur cœur de métier : protéger les actifs et les utilisateurs, en conservant une granularité suffisante.
2. Protéger l’utilisateur en inspectant en temps réel tout le trafic. Les utilisateurs perçoivent toujours la sécurité comme une contrainte et sont très enclins à en contourner les mécanismes. Dans un environnement multi-connecté, basé sur la mobilité, le Web et une rapide transformation des usages des technologies, encourager les utilisateurs à s’affranchir des mécanismes de sécurité devient suicidaire. La sécurité doit devenir ubiquitaire et transparente pour l’utilisateur, autrement dit s’appliquer partout, en permanence, sans que l’utilisateur se soucie de devoir agir pour être mieux protégé, qu’il soit dans l’entreprise ou connecté à un réseau Wi-Fi d’un aéroport ou d’un hôtel. Ainsi, la pertinence et la performance des politiques de sécurité reposent sur une transformation qui les fait passer d’une approche « Technology centric » à une approche « People centric ».
3. Variabiliser les coûts avec le cloud. Le manque de budget et les contraintes organisationnelles constituent les deux contraintes majeures que mettent en exergue les RSSI pour exercer leurs missions, selon une étude du Clusif. Malgré l’augmentation des investissements des entreprises en sécurité, la dimension d’optimisation des coûts reste prioritaire, en particulier pour recruter. La proportion d’entreprises qui estiment que la pénurie de ressources en cybersécurité affecte l’efficacité de leurs politiques de sécurité a doublé entre 2015 et 2018, assurent les analystes de Gartner, passant de 25 % à 51 %. Selon une analyse de McAfee, 46 % des experts en cybersécurité considèrent qu’ils auront des difficultés ou qu’il leur sera impossible de faire face à l’augmentation et à la complexité des menaces.

Le cloud peut être l’une des solutions, avec au moins trois avantages : transformer des coûts fixes en coûts variables, prendre en compte la croissance des volumes (d’utilisateurs, de terminaux, d’implantations géographiques…) et maintenir la sécurité à l’état de l’art. On passe ainsi d’une approche peu agile (investir, implémenter, amortir, mettre à jour, monitorer en interne…) à une approche beaucoup plus flexible, de type « Security as a Service » dans laquelle la « scalabilité » est fondamentale, selon les nombres d’utilisateurs, les pays d’implantation, le nombre de sites ou de transactions…

Une étude d’Accenture, basée sur 247 entreprises dans le monde issues de dix secteurs d’activités différents, a identifié les quatre facteurs différenciant les entreprises les mieux protégées :

• La stratégie : elles ont aligné leurs objectifs de sécurité avec leurs objectifs business. Elles portent une attention particulière à l’innovation pour anticiper et détecter plus rapidement les nouvelles menaces, afin de protéger efficacement leurs réseaux et leurs données.
• La vision technologique : elles s’appuient sur les technologies émergentes pour bénéficier des dernières technologies (cloud, mobile, réseaux sociaux…) et d’expertises. Elles adaptent leurs technologies à l’apparition de nouvelles menaces.
• La gouvernance : elles ont modifié, de manière significative, leur approche en matière de sécurité et mis en place des programmes très stricts pour détecter, analyser et endiguer les attaques. Le RSSI porte pleinement la stratégie et reporte à la direction générale.
• Le budget : elles ont un budget dédié à la sécurité en constante croissance, dont une large part est consacrée à l’innovation.

Si l’on reprend ces quatre éléments, on peut aisément en déduire les quatre principes d’action des entreprises en matière de sécurité :

Les points-clés d’une roadmap de la sécurité des systèmes d’information
	Domaines	Principes d’action	Objectifs
Stratégie sécurité	Stratégie	Adapter	Gérer les volumes
	Vision	Anticiper	Anticiper les nouvelles menaces
	Gouvernance	Piloter	Conserver le contrôle
	Budget	Optimiser	Variabiliser les coûts
Source : Digitalonomics.

 

Sécurité : les quatre mauvaises pratiques
Problèmes	Conséquences
Un manque d’audits réguliers et de pilotage central de la sécurité	Une perspective limitée sur l’exposition aux risques Un manque d’alignement avec la stratégie d’entreprise
Des coûts de sécurité non détaillés et intégrés dans le budget global IT	Une connaissance limitée de ce qui est réellement dépensé pour la sécurité Un manque de priorisation des investissements
Une approche tactique et non stratégique de la sécurité	Un manque de vision stratégique et de planification Une vulnérabilité des architectures de sécurité et un manque de roadmap
Un focus sur le court terme	Un manque de visibilité sur les risques Un risque sur le maintien du niveau de sécurité à moyen et long terme
Source : Gartner.

Ruptures technologiques, nouveaux usages et besoins de sécurité
Principales ruptures	Disponibilité	Intégrité	Confidentialité	Traçabilité
Cloud	*****	***	*****	***
Mobilité	*****	****	*****	*****
Transformation digitale	****	****	*****	**
Source : Digitalonomics.

 

Le monde idéal selon les utilisateurs et les responsables sécurité
Que veulent les utili­sa­­teurs ? Être protégés !	Que veulent les DSI et les RSSI ? Être rassurés !
Être protégés partout et en temps réel	Stopper les menaces potentielles
Ne pas subir de temps de latence	Différencier la politique de sécurité selon les utilisateurs et les lieux
Ne pas installer d’applications de sécurité sur son poste de travail	Contrôler les accès
Protéger toutes les données	Gérer la sécurité hors des périmètres de l’entreprise (le cloud)
Accéder facilement à ses applications métiers	Contrôler la bande passante au profit des applications métiers
Ne pas subir de contraintes supplémentaires	Disposer d’une vision centralisée
Faire confiance au RSSI pour identifier les sites à risques	Disposer d’un reporting en temps réel avec un tableau de bord personnalisable
Garder son profil de sécurité en tous lieux	Prévenir la fuite d’informations

 

Sécurité : un marché mondial tiré par les services et les infrastructures
Segments du marché	2018	2019	Évolution
Applications de sécurité	2 742	3 003	+ 9,5 %
Sécurité cloud	304	459	+ 51 %
Sécurité des données	3 063	3 524	+ 15 %
Gestion des identités	9 768	10 578	+ 8,3 %
Protection des infrastructures	14 106	15 337	+ 8,7 %
Risk management	4 347	4 712	+ 8,4 %
Sécurité des réseaux	12 427	13 321	+ 7,2 %
Autres logiciels de protection de l’information	2 079	2 285	+ 9,9 %
Services de sécurité	58 920	64 237	+ 9 %
Logiciels grand public	6 395	6 661	+ 4,1 %
Total	114 152	124 116	+ 8,7 %
Source : Forecast : Information Security, Worldwide, 2016-2022, 2Q18 Update”, Gartner.

---

Quelles sont les missions d’un RSSI ?

Selon le panorama des métiers de la sécurité des systèmes d’information, publié par l’Anssi, un RSSI exerce les principales missions suivantes :

• Il définit la politique de sécurité du système d’information et veille à sa mise en application.
• Il joue un rôle de conseil, d’assistance, d’information, de formation et d’alerte auprès de la direction.
• Selon la taille de l’entité, il joue un rôle opérationnel dans la mise en œuvre de la politique de sécurité ou encadre une équipe composée d’experts techniques et de consultants.
• Il propose à l’autorité compétente la politique de sécurité du SI et veille à son application.
• Il peut intervenir en matière de SSI sur tout ou partie des systèmes informatiques et télécoms de son entité, tant au niveau technique qu’organisationnel.
• Il effectue un travail de veille technologique et réglementaire sur son domaine et propose les évolutions qu’il juge nécessaires pour garantir la sécurité du système d’information dans son ensemble.
• Il est l’interface reconnue des exploitants et des chefs de projets, mais aussi des experts et des intervenants.

Source : Panorama des métiers de la sécurité des systèmes d’information, ANSSI.
Lien : www.ssi.gouv.fr/publication/kit-de-presse-panorama-des-metiers-de-la-securite-du-numerique/

---

Les qualités des responsables sécurité

1. Technologue : design et déploiement des infrastructures techniques, promotion des standards de sécurité, mise en œuvre des contre-mesures…
2. Gardien : audit de la sécurité, des processus, des données, des programmes de sécurité…
3. Stratège : pour l’allocation des investissements en cyber sécurité, en lien avec les métiers…
4. Conseiller : anticipation des menaces émergentes, analyse des besoins, création de la roadmap sécurité…

Source : « The new CISO : leading the strategic security organization », Deloitte Review, n° 19, 2016. Lien : lc.cx/spot46-15

---

Sécurité : les sept tendances du futur

Ping Identity a publié deux rapports sur les évolutions futures de la protection des identités, fruits du CISO Advisory Council, réunion qui rassemble des responsables de la sécurité des systèmes d’information (RSSI) de grandes entreprises américaines. Sept tendances s’en dégagent :

• L’avènement de nouvelles méthodes de vérification des identités, encore inconnues, adaptées à l’évolution du monde numérique.
• La généralisation des méthodes d’authentification sans mot de passe.
• L’exploitation croissante de l’analyse comportementale et du Machine Learning.
• L’impératif de la protection des données personnelles.
• L’apparition de nouveaux outils basés sur la Blockchain et d’autres technologies.
• La protection de l’identité des objets connectés.
• L’émergence de la biométrie comme méthode d’authentification.

Source : “7 Trends That Will Shape the Future of Identity,” et “8 Things Your C-Suite Should Know About Identity”, Ping Identity.

---

Sécurité : les cinq erreurs les plus courantes

1. Les identifiants communs : configurer le même mot de passe sur tous les postes de travail et/ou comptes admin de serveurs est pratique pour les équipes IT, mais ça l’est tout autant pour les hackers et les initiés malveillants.
2. L’accès persistant : un trop grand nombre d’entreprises ont des comptes admin comportant les mêmes mots de passe privilégiés depuis trop longtemps pour gérer les machines.
3. Le périmètre poreux : les outils de sécurité du périmètre, comme les pares-feux et ceux de détection d’intrusion, sont efficaces contre les menaces connues. Mais les attaques de phishing ciblées, les attaques Zéro Day et autres menaces complexes de ce type peuvent aisément contourner les protections du périmètre et infiltrer le réseau.
4. Les mauvaises hypothèses : l’une des plus dangereuses consiste à croire que l’environnement IT ne peut pas être compromis ou ne l’a pas été. C’est toujours un mauvais pari.
5. Les administrateurs locaux : autoriser les utilisateurs à s’authentifier sur leurs propres machines en tant qu’administrateur est une pratique IT normale, bien que périlleuse.

Source : Gestion des privilèges : les 5 grandes erreurs en matière de cybersécurité, Bomgar- BeyondTrust.

---

Sécurité dans le cloud : pourquoi les fichiers de logs ne suffisent pas

Bien que les utilisateurs n’aient pas un accès direct à l’infrastructure de cloud public, les fournisseurs de cloud offrent un accès aux journaux des événements qui ont eu lieu dans le cloud de l’utilisateur. Grâce à ceux-ci, les administrateurs peuvent visualiser, rechercher, analyser et même réagir à des événements spécifiques, s’ils utilisent des API pour intégrer ces données à une solution de gestion des événements et des incidents de sécurité (SEIM). Mais les fichiers de logs ne sont pas suffisants pour maintenir la sécurité, pour quatre raisons :

• Il se peut que toutes les données nécessaires ne soient pas recueillies au moyen des fichiers de logs.
• Bien que les journaux d’événements permettent d’identifier le moment de déclenchement d’une alerte, ils ne fournissent pas suffisamment d’informations pour en déterminer la cause.
• Les menaces les plus sophistiquées sont de plus en plus capables d’avancer dans une organisation sans déclencher d’alertes.
• À long terme, la gestion des fichiers de logs peut s’avérer coûteuse.

Source : Keysight Technologies.