Conseils clés pour améliorer la cybersécurité de votre entreprise

Sécurité reste un défi en constante évolution pour les organisations du monde entier, et les nouvelles menaces et vulnérabilités accentuent la pression exercée sur les fournisseurs pour qu’ils améliorent leur cybersécurité . Les clients, les gouvernements et les organisations sont plus susceptibles que jamais de s’enquérir de la sécurité des produits et des processus d’une entreprise. 

Et même si aucune tactique, pratique, processus ou technologie ne peut garantir la sécurité, il est important de commencer à mettre en œuvre ou à moderniser les pratiques de base afin d’améliorer l’infrastructure de sécurité. Mais cela peut être une tâche intimidante, en particulier lorsqu’il s’agit de l’assurance produit.

Pour vous aider, voici quelques conseils pratiques destinés aux entreprises qui cherchent à créer ou à améliorer leur profil de cybersécurité.

Voir aussi : Le CISO performant : comment gagner la confiance des parties prenantes

Améliorer votre profil de cybersécurité

Au cours des dernières années, la sécurité a joué un rôle de plus en plus crucial dans le cycle de développement des produits (PDL). En conséquence, les développeurs, les ingénieurs et les équipes produit se concentrent désormais intensément sur la création de produits sécurisés.

En matière d’assurance produit, trois grands domaines — l’intégration, l’automatisation et l’engagement communautaire — doivent retenir l’attention lorsqu’il s’agit d’améliorer le profil de cybersécurité d’une entreprise.

Intégrer les cycles de développement sécurisé et de développement des produits

L’intégration est essentielle lors du développement d’un produit. Pourtant, aujourd’hui, de nombreuses organisations n’intègrent pas le cycle de développement des produits au cycle de développement sécurisé (SDL).

L’objectif est de déplacer la sécurité plus en amont du cycle, des opérations vers le développement, afin de faciliter la découverte et la prévention des vulnérabilités. Cela peut inclure un cycle situé en amont de celui dans lequel une entreprise crée de la valeur.

Lorsque le matériel ou les composants logiciels tiers ne font pas l’objet d’un examen approfondi, les vulnérabilités peuvent être plus difficiles à découvrir, mais aussi se diffuser plus largement, ce qui peut compliquer leur correction. Par exemple, la faille d’Equifax en 2017 aurait été due à une vulnérabilité dans un logiciel open source. Plus récemment, le monde a réagi à une autre vulnérabilité open source dans Log4j.

Concevoir les produits en gardant la sécurité à l’esprit dès le départ et exiger des fournisseurs une transparence quant à leurs pratiques de sécurité constituent un bon point de départ pour améliorer la sécurité.

Intégrer une modélisation robuste des menaces

Intégrez une modélisation robuste des menaces dès le début du processus de développement. Dans ce cadre, déterminez ce qui a le plus de valeur pour le client et la manière dont cet élément pourrait être menacé.

Créez des cas d’usage, mais formez aussi les développeurs à penser comme un hacker afin d’évaluer les dangers liés aux utilisations imprévues. En outre, mettez en place des points de contrôle qu’un produit doit franchir avant de pouvoir passer au stade prêt à être livré.

Cette démarche ne fonctionnera pas sans l’adhésion des dirigeants de toute l’entreprise. Il est donc généralement judicieux de prévoir qu’il y aura des demandes de dérogation et de définir dès le départ un processus d’escalade incluant la validation des responsables produit et sécurité.

À terme, les cycles PDL et SDL devraient fusionner en un processus unique intégrant des éléments liés à la sécurité, à la confidentialité, aux fonctionnalités et à la qualité.

Voir aussi : Secure Access Service Edge : avantages majeurs, défis majeurs

Former le personnel aux fondamentaux de la sécurité des produits

Formez tous les développeurs et les ingénieurs aux fondamentaux de la sécurité des produits et assurez-vous qu’ils comprennent que la sécurité fait partie de leur travail. Faites-leur également savoir que des experts sont disponibles pour les aider.

Si une entreprise ne peut pas affecter un professionnel de la sécurité à chaque équipe produit, elle devrait envisager de former et de désigner des « security champions » capables d’aider les équipes produit à rester au fait des bonnes pratiques et des outils de sécurité. Ces référents peuvent également contribuer à maintenir une cohérence des exigences dans l’ensemble du portefeuille de l’entreprise. Aujourd’hui, ce rôle est souvent exercé en complément d’une autre fonction, mais il devrait devenir plus courant à temps plein à l’avenir.

Automatiser la détection des menaces et des vulnérabilités

L’automatisation offre une valeur considérable lorsqu’elle est correctement appliquée à l’assurance de la sécurité. Elle permet aux équipes produit de rechercher les vulnérabilités connues tout en allégeant la charge de travail des ingénieurs.

Analyser manuellement le code peut être fastidieux. L’automatisation rationalise et accélère le processus de détection des menaces et des vulnérabilités. Prenez en compte les éléments suivants :

• Commencez par examiner votre propre code à la recherche d’erreurs. De nombreux outils d’analyse statique prêts à l’emploi peuvent rechercher des schémas correspondant à des vulnérabilités probables que les développeurs risquent de ne pas détecter, comme les dépassements de tampon, les dépassements d’entiers ou les erreurs arithmétiques.
• Ensuite, vérifiez la présence de vulnérabilités connues dans les composants tiers à l’aide d’outils d’analyse de la composition logicielle.
• Enfin, investissez dans des outils de cybersécurité qui vérifient la présence de vulnérabilités divulguées publiquement, comme les scanners et les fuzzers. Même s’il peut être tentant de commencer par des outils avancés, il est généralement préférable de commencer simplement et de passer progressivement à des fonctionnalités plus avancées lorsque cela est nécessaire. Plusieurs scanners et fuzzers prêts à l’emploi et open source sont disponibles.

Participer à la vie de la communauté

Le dernier conseil concerne la participation à la vie de la communauté. Aucune organisation ne devrait fonctionner en vase clos. La communauté de la sécurité comprend des organismes de normalisation tels que le National Institute of Standards and Technology (NIST), le Trusted Computing Group (TCG) et l’International Standardization Organization (ISO).

Les communautés de la recherche et du monde universitaire sont également des partenaires essentiels dans la lutte contre les cybermenaces. Même le U.S. Department of Defense investit dans « Hack a Satellite », une initiative au cours de laquelle des chercheurs en sécurité sont autorisés à s’introduire dans de véritables satellites.

La participation à la vie de la communauté consiste à tisser des relations. En matière de divulgation coordonnée des vulnérabilités, créez un cadre permettant d’assurer une publication rapide pour les universitaires et envisagez de récompenser les découvertes de vulnérabilités avérées. La récompense peut être financière ou symbolique (par exemple, des tee-shirts). 

Voici d’autres domaines de participation à la vie de la communauté à envisager :

Créer une équipe de réponse aux incidents de sécurité produit

Établissez des processus pour recevoir et gérer les rapports de vulnérabilités. Les équipes de réponse aux incidents de sécurité produit (PSIRT) peuvent gérer l’ensemble du processus, de la découverte au triage, en passant par l’atténuation et la divulgation.

Une PSIRT est composée de personnes capables de comprendre des approches techniques complexes venant des ingénieurs ou des développeurs, mais aussi de communiquer avec les clients et les autres membres de l’écosystème.

Dans l’idéal, un seul membre de la PSIRT suivra un problème depuis le premier signalement jusqu’à sa divulgation. Pour savoir comment commencer, consultez le PSIRT Services Framework.

Encourager les hackers éthiques à contribuer à la détection des vulnérabilités

Les organisations disposant d’un programme mature de divulgation des vulnérabilités devraient encourager les hackers éthiques à contribuer à leur détection. Cela peut commencer par une adresse e-mail générique destinée aux soumissions. Pour rendre le processus plus accessible, créez une adresse Web contenant des instructions précises et des informations complémentaires sur la manière de signaler ces vulnérabilités.

Les approches les plus modernes comprennent des événements créatifs comme les hackathons ou les concours de capture du drapeau, au cours desquels des individus ou des équipes recherchent des vulnérabilités dans un délai donné. 

Voir aussi : Meilleurs scanners de sites Web 

Conclusion

Les organisations du monde entier s’efforcent d’améliorer leur profil de cybersécurité afin de fournir de meilleurs produits et de respecter leurs obligations en matière de responsabilité sociale. Des entreprises comme Microsoft, Salesforce et Google donnent de très bons exemples. Ces conseils pratiques ne représentent que la partie émergée de l’iceberg en ce qui concerne les mesures que les organisations peuvent prendre pour améliorer l’assurance de la sécurité au sein des équipes produit, mais ils constituent un excellent point de départ.

À propos de l’auteur : 

Camille Morhardt, directrice des initiatives de sécurité du Security Center of Excellence chez Intel