Secu
SPECIAL FIC : 6 actions pour résister aux cybermenaces de 2030
Par La rédaction, publié le 28 mars 2023
Fondamentalement, la cybersécurité est la réponse à un risque. À ce titre, c’est à la direction de la piloter. Il lui faudra toutefois être bien entourée, afin de saisir toutes les implications métiers liées aux menaces sur un numérique qui perfuse désormais l’entreprise et son business.
La cybersécurité couvre un ensemble de techniques et de pratiques visant à réduire les risques numériques. Ces risques, l’entreprise se doit de les identifier, de les qualifier, d’évaluer la probabilité et l’impact de chacun, puis de décider des actions à mener. Prenons le cas du courrier électronique, voie privilégiée des pirates pour extorquer des identifiants ou diffuser des malwares. C’est à la direction de prendre la mesure de ces risques, de décider de la meilleure option à appliquer – éviter, réduire, transférer ou accepter (voir encadré ci dessous) –, puis d’affecter les ressources, financières comme humaines, permettant de concrétiser ses choix. Le comité exécutif est donc l’organe d’où doivent partir toutes les décisions concernant la réduction du risque numérique, car il en connaît les implications métiers. Toutefois, il pourrait ne pas prendre toute la mesure de ces implications s’il prend conseil auprès d’experts au langage trop technique. Face à une complexité qui le dépasse, il pourrait alors décider de déléguer cette problématique à la DSI, qui sera plus à l’aise avec les aspects techniques… mais pourrait passer à côté des implications métiers. À ce titre, le RSSI se doit de faire le lien entre les aspects métiers et techniques du risque numérique. Pour être efficace, il doit avoir une position qui lui permet de remplir parfaitement ce rôle. « Nous militons pour qu’il ait une place au Comex, afin qu’il puisse pleinement s’exprimer et développer ses idées… mais aussi apporter un regard “conseil” sur chaque projet de transformation numérique », explique Michael Bittan, directeur exécutif d’Accenture Security France.
Sécuriser également ses projets de transformation
« Pour chaque projet de transformation, nous réfléchissons avec le client aux risques numériques. Lorsque vous adoptez un nouvel ERP, il faut penser à la gestion des correctifs de sécurité, par exemple. Et dans le cadre d’un ERP cloud, il faudra aussi penser aux interconnexions avec d’autres éléments du SI, hébergés sur site ou dans d’autres clouds. Enfin, sur ces infrastructures multi-cloud hybrides, il faudra traiter la problématique de la gestion des identités. Un des gros chantiers des entreprises dans les années à venir. » Sécuriser les projets de transformation numérique reste complexe, car cela nécessite de faire appel à de nombreux métiers. « Il faut des compétences d’intégration, bien entendu, mais aussi en cybersécurité offensive. Il faut également mettre en place un service dédié à la gestion des vulnérabilités, un SOC, voire de la cyber threat intelligence. Des compétences dont l’entreprise ne dispose pas forcément en interne. » Dossier réalisé par DAVID FEUGEY
ACTION 1 – Bien positionner le RSSI dans l’organisation
ACTION 2 – Prendre en compte le risque de sécurité IT avec méthode
ACTION 3 – Se reposer sur un SOC… externalisé
ACTION 4 – Former les utilisateurs pour forger une première ligne de défense
ACTION 5 – Pratiquer une sécurité plus offensive avec une red team
ACTION 6 – Anticiper le jour J en préparant une cellule de crise
Quatre stratégies face aux risques d’attaque par le vecteur de la messagerie
1. ÉVITEMENT
Lorsqu’en 2011, le PDG d’Atos avait prédit la fin du mail dans son organisation, l’ESN avait peut-être trouvé la parade ultime au phishing. Elle fera toutefois machine arrière quelques années plus tard.
2. RÉDUCTION
L’entreprise met en place un outil de filtrage des courriers indésirables ou malveillants, un antivirus sur chaque poste et, bien entendu, forme ses collaborateurs aux risques liés à l’utilisation de l’e-mail.
3. TRANSFERT
L’entreprise confie la gestion de sa messagerie à un tiers, qui se charge de la sécuriser et de former les utilisateurs aux dangers liés à son emploi.
4. ACCEPTATION
Un boulanger, dont la boîte aux lettres est un webmail d’opérateur consulté depuis un PC ne contenant aucune donnée sensible, n’a rien à craindre d’une attaque informatique.
À LIRE AUSSI :
