Comment puis-je améliorer la stratégie de cybersécurité dans mon entreprise ?

De nombreux facteurs et prémisses doivent être pris en compte par une organisation pour définir sa stratégie de cybersécurité ; cependant, le simple fait qu’une organisation se pose cette question est déjà un signe de maturité.

En premier lieu, la cybersécurité est un « ensemble de mesures de protection de l’information, par le traitement des menaces qui mettent en péril l’information traitée par les systèmes d’information interconnectés ». Selon l’ISACA (Information Systems Audit and Control Association).

Autrement dit, nous parlons de systèmes, de réseaux et de données que nous devons protéger. Et cette protection dépendra de l’infrastructure dont nous disposons, des ressources de l’organisation pour les protéger, de sa maturité, etc.

La technologie liée à la cybersécurité n’a pas de sens en elle-même : elle a l’obligation de soutenir les objectifs stratégiques de l’organisation. Par exemple, si l’organisation souhaite ouvrir une nouvelle ligne d’activité ou numériser un domaine en mettant en place un nouveau logiciel, la cybersécurité doit être le domaine chargé de protéger l’organisation contre les attaques qui mettent en danger la sécurité de l’information de ces nouveaux services.

C’est pourquoi, dans certains modèles, un rôle comme celui du CISO se situe au sein de la direction générale afin de connaître de première main les objectifs stratégiques de l’entreprise et de les protéger de manière adéquate. Comme dans toute stratégie, l’implication de la direction générale est un élément clé.

Certaines prémisses peuvent déterminer la stratégie de cybersécurité de l’organisation, comme les facteurs juridiques. Par exemple, si une organisation dispose de systèmes mis en place pour soutenir des services essentiels, elle sera considérée comme une infrastructure critique et devra tenir compte d’une série d’exigences dans sa stratégie. La conformité est donc un aspect à prendre en compte dans la mise en œuvre de la cybersécurité au sein d’une entreprise.

Tout cela nous amène à penser que la stratégie de cybersécurité dépendra des objectifs stratégiques et commerciaux de l’organisation, des ressources et capacités qu’elle possède et de facteurs internes et externes que nous appellerons le contexte. Nous adapter à notre réalité est essentiel pour réussir à faire descendre la stratégie au niveau opérationnel d’une organisation.

Un bon point de départ pour définir la stratégie de sécurité est de répondre à la question suivante : qu’est-ce qui est critique pour l’organisation ? quels sont les actifs dont nous ne pouvons pas nous passer ?

Il est en outre conseillé de poser cette question à plusieurs responsables ou domaines au sein de l’organisation, car il est assez courant qu’un processus métier important dépende d’un actif que seul un domaine connaît.

Sachant ce que nous devons protéger, nous devons faire l’exercice d’identifier les risques susceptibles de compromettre son intégrité et d’identifier les contrôles que nous avons mis en place. Sans savoir ce qui pourrait nous arriver et ce dont nous disposons, il serait erroné de nous mettre directement à implanter des contrôles.

Cet exercice nous permettra d’identifier nos forces et nos faiblesses en matière de cybersécurité dans l’entreprise, de repérer nos lacunes et d’agir sur elles. De plus, il nous offrira une vue d’ensemble de nos différentes couches et de la manière dont nous protégeons nos actifs les plus précieux :

À ce stade, nous serions en train de constituer une stratégie connue sous le nom de défense en profondeur. Ce concept trouve son origine dans le monde militaire : il s’agit d’une stratégie qui permet de ralentir l’avancée de l’ennemi grâce à différentes méthodes et différents contrôles (couches), plutôt que de se fier à une seule méthode de protection, aussi excellente soit-elle.

Cette stratégie fait en sorte que l’attaquant ait besoin de plus de temps et de connaissances pour atteindre son objectif, à savoir compromettre la sécurité de nos actifs critiques. Elle permet en outre au défenseur d’élaborer une réponse plus efficace.

Cependant, ne pensons pas uniquement aux mesures techniques et aux programmes de cybersécurité. La manière dont l’utilisateur interagit avec nos systèmes sera tout aussi, voire plus, importante. Cette couche de gestion contient toutes les politiques, réglementations et procédures de l’organisation et permet de disposer des principes de base sur lesquels articuler le reste des garanties plus techniques.

La complexité de l’infrastructure des organisations rend nécessaire la mise en place d’un cadre de gestion permettant de tenir à jour tous les processus mis en œuvre. Rapports à la direction des données pertinentes, gestion des incidents, évaluation et gestion des risques, gestion de la conformité, etc. Ils devront être définis et maintenus.

Nous avons la possibilité de définir ces processus selon les besoins de l’organisation ou de mettre en œuvre un cadre de sécurité de l’information reconnu dans le secteur. Il en existe certains que nous pourrions mettre en œuvre selon notre objectif : ISO 27001, les contrôles de sécurité CIS, le cadre NIST, PCI-DSS, l’ENS, etc.

Cela dépendra des ressources et des besoins de l’organisation : mettre en œuvre un seul cadre ou combiner les exigences de deux ou plusieurs. Par exemple, si nous avons besoin d’une certification par un tiers, nous choisirons ISO 27001, tandis que si nous développons une passerelle de paiement, PCI DSS sera sûrement une bonne option. Bien entendu, ce type de tâche sera bien plus facile si nous disposons d’un outil qui nous permet de combiner tous les aspects d’un système de ce type à différentes échelles au sein de notre organisation. Chez GlobalSuite Solutions , nous pouvons vous accompagner en mettant en œuvre les procédures appliquées par la norme ISO 27001, en réalisant un premier diagnostic de conformité et en travaillant à combler les lacunes pour mettre à jour votre système de gestion de la sécurité de l’information (SMSI) et vos systèmes de cybersécurité pour réaliser l’automatisation grâce à GlobalSuite®.

Mais ce n’est pas tout : lorsque nous définissons une stratégie, nous devons tenir compte du fait que notre réalité change constamment en matière de cybersécurité. La stratégie que nous définissons doit être suffisamment flexible pour s’adapter aux exigences du marché et aux nouvelles technologies au fil du temps.

Un exemple récent de la nécessité d’adapter la stratégie de cybersécurité des entreprises au changement est celui provoqué par la pandémie de COVID-19. La plupart des organisations disposaient d’une stratégie de protection des utilisateurs se trouvant hors du réseau d’entreprise, fondée sur l’authentification via un service contrôlé et sécurisé, comme une connexion VPN. Ce type de connexions était dimensionné pour un nombre limité d’utilisateurs ; ces besoins ont toutefois changé lorsque tout le monde a dû se connecter depuis chez soi.

Du jour au lendemain, les organisations se sont vues obligées de fournir des accès à de nouveaux appareils, parfois non professionnels, un nombre considérable de connexions incompatibles avec les licences dont elles disposaient, etc. Autrement dit, du jour au lendemain, la stratégie de protection des appareils des utilisateurs a dû changer.

Tant les fabricants que les entreprises ont eu besoin de proposer et d’adopter des solutions de cybersécurité qui renforçaient l’appareil avec lequel ils se connectaient, et non le réseau utilisé, car étant hors du périmètre de l’entreprise, ils n’y avaient pas accès.

Nous devons être prêts au changement, y compris dans nos stratégies car, même si nous ne savons pas comment, il est certain qu’il viendra.

Les connaissances de l’équipe, le nombre de programmes de cybersécurité nécessaires et la mise à jour constante lors de la mise en œuvre de tous ces contrôles entraînent une grande complexité, qu’une organisation ne peut souvent pas assumer seule. C’est pourquoi de nombreuses entreprises font appel à un soutien externe pour les aider face aux cyberincidents, surveiller leur infrastructure à la recherche d’anomalies ou, en définitive, fournir des solutions de cybersécurité de manière spécialisée. Il s’agirait de services de SOC managé, de CERT, d’assurances contre les cyberrisques, etc. Selon la taille de notre entreprise, la stratégie d’externalisation des opérations peut s’avérer une bonne alternative.

Et maintenant, quelle est votre stratégie ? Quelle qu’elle soit, il est important de prendre en compte les conclusions suivantes :

• Des décisions fondées sur les données et l’information : la première étape pour définir une stratégie est de connaître notre organisation, ce qui est important et quelles sont nos forces et nos faiblesses.
• La stratégie de cybersécurité devra être soutenue par la direction générale. Et inversement, la cybersécurité doit soutenir les objectifs commerciaux et s’y adapter.
• La stratégie de cybersécurité doit soutenir les objectifs commerciaux. La première étape est de savoir ce qui est important pour l’organisation, la seconde est de le protéger.
• Mettre en place un cadre de gestion de la cybersécurité nous permettra de mieux gérer les processus. Qu’il s’agisse d’ISO 27001, 27110, de l’ENS, du cadre NIST, etc. C’est une bonne stratégie que de choisir une norme qui définit et met en relation les différents processus.
• La stratégie est la conséquence de votre contexte. Pour définir une stratégie, vous devez connaître votre réalité. Les ressources sont toujours limitées.
• Des responsabilités et des rôles de sécurité définis. Il est essentiel de déterminer qui s’occupe de quoi afin de définir les différents processus à mettre en œuvre pour assurer une bonne gestion de la cybersécurité.