Un mercredi matin ordinaire, un ingénieur en sécurité cloud arrive au bureau vers 8 h 00 et passe les deux heures suivantes à passer en revue les e-mails et les SMS signalant de petits incidents de sécurité survenus au cours des 12 à 24 dernières heures.
Ces messages font généralement état d’attaques d’hameçonnage au cours desquelles un petit groupe d’utilisateurs de CRM a vu ses mots de passe compromis, d’échecs de sauvegarde censées protéger contre les attaques par rançongiciel, de problèmes de renouvellement des mots de passe au sein de l’équipe dirigeante, qui poussent un trop grand nombre de ses membres à les noter sur des post-it collés à leur écran. Bref, une journée normale dans la vie d’un professionnel de la sécurité informatique, qu’il travaille sur des systèmes cloud ou sur site.
Les humains sont faillibles
La plupart des problèmes de sécurité impliquent des humains, qu’il s’agisse d’identifier ou de résoudre des problèmes mineurs comme majeurs. Révélation : les humains sont faillibles. Une étude menée par Ponemon et IBM indique que les serveurs cloud mal configurés sont à l’origine de 19 % des fuites de données. Il s’agit d’un problème coûteux, dont le coût moyen s’élève à 500 000 dollars par fuite. Ce chiffre ne tient pas compte des éventuels cauchemars en matière de relations publiques, qui peuvent faire disparaître une entreprise (et l’ont déjà fait par le passé).
La pandémie a relocalisé de nombreux employés dans des bureaux à domicile. En conséquence, la majeure partie du monde a accéléré sa migration vers le cloud, considéré comme résistant aux pandémies. Le cloud implique généralement une modernisation des systèmes et offre souvent des mesures de sécurité plus modernes que la plupart des plateformes sur site. Toutefois, cette migration rapide a entraîné des erreurs ou des oublis en matière de sécurité qui n’ont pas encore été identifiés et corrigés.
Sécurité proactive
Alors, quelle place la sécurité proactive occupe-t-elle ? En termes simples, la sécurité proactive consiste à automatiser la plupart des processus et mécanismes des opérations de sécurité afin de prévenir la majorité des attaques en adoptant une posture défensive avant qu’elles ne surviennent.
La sécurité proactive peut être passive : on part alors du principe que ce type d’attaque va se produire et les systèmes mettent en place de manière proactive la défense ayant le plus de chances de réussir. Par exemple, nous définissons une défense contre les attaques par rançongiciel afin de protéger les systèmes en continu.
Ou, ce qui est aujourd’hui plus courant, nous définissons et mettons en œuvre une défense active. Cela signifie être capable de détecter les problèmes et de déployer automatiquement des défenses proactives. Les systèmes de sécurité formulent une hypothèse éclairée, généralement à l’aide de systèmes d’IA, pour déterminer quelle attaque est probablement en cours, puis mettent en place une défense efficace.
Par exemple, le système d’IA associé à vos systèmes d’automatisation de la sécurité peut prendre en compte les signalements d’attaques externes qui arrivent en continu dans les flux d’actualités. Grâce à ces informations, il peut repérer des schémas révélateurs d’attaques probables lorsqu’elles se produisent, ainsi que des moyens de les stopper.
Définir la véritable valeur métier
Ce que nous attendons, c’est une métrique qui définisse les dommages évités par une entreprise si une solution de sécurité repousse une seule tentative de fuite. Un système de sécurité coûteux peut être rentabilisé si les pertes financières liées aux dommages potentiels d’une fuite et aux problèmes de relations publiques qui en découlent dépassent les coûts initiaux et récurrents du système.
Cependant, la plupart des entreprises n’accepteront pas cette comptabilité hypothétique comme une véritable façon de mesurer la valeur d’une solution de sécurité, proactive ou non. La plupart des services financiers (et, à mesure que leurs rapports remontent la chaîne hiérarchique, la plupart des membres des conseils d’administration) veulent comprendre les économies concrètes réalisées sur les coûts transactionnels, plutôt que les bénéfices immatériels associés à une catastrophe hypothétique qui pourrait se produire… ou pas.
La meilleure façon de satisfaire les comptables est de définir la valeur d’une solution de sécurité proactive en fonction des économies concrètes qu’elle permet à l’entreprise de réaliser en automatisant de manière proactive ses systèmes de sécurité cloud et non cloud.
L’un des leviers les plus simples et les plus rentables consiste à retirer la plupart des processus humains de l’équation. Réduire le nombre de personnes nécessaires pour gérer les problèmes de SecOps (opérations de sécurité) permet généralement de réaliser au fil du temps des économies importantes et faciles à quantifier.
Pour établir un dossier justifiant l’utilisation d’une technologie de sécurité proactive au regard des économies concrètes, nous vous conseillons de vous concentrer sur les points suivants :
- La réduction des effectifs nécessaires aux SecOps. Lorsque vous automatisez suffisamment de processus de sécurité pour adopter une posture proactive, vous pouvez vous passer des personnes chargées de ces tâches quotidiennes et ainsi réaliser des économies.
- Moins de personnes impliquées signifie moins d’erreurs humaines. La plupart des problèmes de sécurité peuvent être imputés à des erreurs humaines, et non à la technologie. Il s’agit le plus souvent de petits problèmes qui finissent par s’accumuler, comme l’oubli de désactiver un compte, qui peut être signalé lors d’un audit et entraîner des amendes.
- Enfin, abstraire les équipes opérationnelles de la complexité des solutions de sécurité. La plupart des solutions de sécurité cloud et non cloud actuelles sont très complexes et nécessitent des compétences spécialisées pour fonctionner. Cela entraîne des erreurs lorsque les connaissances nécessaires font défaut, ainsi que des coûts supplémentaires, car les systèmes complexes nécessitent davantage de personnel spécialisé pour les gérer, avec par exemple des compétences différentes selon les systèmes de sécurité natifs du cloud. Concentrez-vous sur l’utilisation d’un système de sécurité capable de fonctionner sur différents systèmes et clouds, et de fournir une couche d’abstraction entre les équipes opérationnelles et la complexité de la solution de sécurité. C’est une source d’économies évidente.
Jusqu’où peut-on automatiser ?
Avec suffisamment de temps et d’argent, vous pourriez automatiser presque tous les processus de sécurité et être ainsi proactif à près de 100 %. Dans le monde réel, soumis aux contraintes budgétaires, l’équipe responsable de la technologie d’automatisation de la sécurité doit déterminer comment configurer le système pour répondre aux besoins les plus probables des solutions cloud et non cloud.
Lorsque vous choisissez un outil, la question n’est pas de savoir dans quelle mesure il répond aux attentes du secteur, mais dans quelle mesure il automatisera la sécurité de vos configurations système spécifiques.
Les équipes de sécurité des entreprises choisissent souvent des systèmes de gestion des identités, de chiffrement et d’automatisation ou de gestion de la sécurité bien classés, ainsi que d’autres technologies de sécurité dont l’entreprise n’a peut-être pas besoin. Elles finissent par comprendre que certaines possibilités d’automatisation n’existent pas pour les types de systèmes qu’elles souhaitent protéger. Pour éviter ce problème, exigez des tests d’acceptation avant achat qui incluent des automatisations types au sein des systèmes et entre eux.
Une fois les bons outils d’automatisation de la sécurité choisis, l’argent devient l’autre problème évident. Combien pouvez-vous investir dans cette automatisation ? N’oubliez pas : l’automatisation de la sécurité n’est qu’une plateforme technologique, qui nécessite une personnalisation poussée pour devenir proactive. Il faut généralement des mois de développement pour atteindre un véritable état de proactivité. C’est là que doit être consacré l’essentiel de l’investissement.
Une fois la plupart des inefficacités des systèmes et des erreurs humaines éliminées grâce à l’automatisation proactive, le système peut éviter à l’entreprise de faire la une des journaux pendant 24 heures. Le chemin est encore difficile et coûteux, mais les résultats en valent la peine si l’opération est correctement menée. En définitive, les stratégies et technologies de sécurité proactive optimisées offrent aux entreprises bien plus, pour bien moins cher.