Votre programme de sécurité se concentre uniquement sur la réponse aux incidents ? Vous faites fausse route.

Une version de cet article a été publiée dans le Forbes Technology Council. Il a été mis à jour et syndiqué ici.

‍

Rien ne vaut le fait de se retrouver du mauvais côté d'une violation de données. Au début, il peut y avoir du déni, puis de la panique. Une fois que tous les jurons ont été proférés et que le RSSI a dû participer à une conférence téléphonique à 2 heures du matin avec les relations publiques, il est temps de retrousser ses manches et de se mettre au travail pour sécuriser les terminaux, les systèmes et éliminer rapidement tout vecteur d'attaque potentiel. C'est tout sauf une partie de plaisir.

Et pourtant, c'est une réalité à laquelle de nombreuses organisations seront confrontées à l'avenir, et à laquelle il faut absolument se préparer avec un plan complet de réponse aux incidents de cybersécurité. Le problème, cependant, est que cette stratégie réactive concentre la majeure partie du temps, des ressources et des efforts, au lieu de travailler à prévenir ou à réduire la gravité potentielle des cyberattaques en amont. C'est un peu comme appeler une ambulance pour une suspicion de crise cardiaque ; les résultats sont souvent bien moins positifs — sans parler des dommages plus importants — que si des mesures de santé préventives avaient été en place avant qu'il ne soit trop tard.

À cette fin, à quoi ressemble un plan préventif ? Explorons comment les professionnels de la sécurité peuvent utiliser tous les outils à leur disposition pour atténuer les cyberrisques croissants, au quotidien :

Comprendre l'étendue du travail à accomplir

Cela semble évident, mais le « bon » plan pour atténuer les cyberrisques comporte des nuances selon les secteurs, et il est important de comprendre ce qui est nécessaire dès le départ pour atteindre le résultat souhaité.

Quels problèmes de sécurité existent actuellement ? Combien de temps et de ressources mobilisent-ils ? Combien d'entre eux sont des problèmes récurrents ? Ce sont des facteurs importants qui vous donneront un point de départ fondamental. Tenez compte des rôles à pourvoir, des lacunes dans les outils, et de ce qui est nécessaire en termes d'expertise et d'outillage pour sécuriser les terminaux et réduire la surface d'attaque, tout en anticipant d'autres domaines de risque potentiel.

Un rapport récent a révélé que onze secteurs ont été confrontés à une vulnérabilité grave, dans au moins la moitié de leurs applications, chaque jour au cours de l'année écoulée. En particulier, les secteurs des services publics, de l'administration publique et des services professionnels ont mis en moyenne 288 jours pour corriger les vulnérabilités connues. C'est incroyablement lent, ce qui laisse à un attaquant largement assez de temps pour causer des dommages sérieux si ces vulnérabilités sont découvertes avant qu'un correctif ne puisse être appliqué. Ceci, couplé à la probabilité que les organisations subissent une violation de données approchant les 30 %, est un rappel qui donne à réfléchir : la réaction aux incidents ne suffit pas, et les enjeux sont tout simplement trop élevés pour se contenter de se préparer à l'impact d'une cyberattaque à grande échelle en espérant que tout ira bien.

Se préparer à obtenir l'adhésion pour un changement culturel

Bousculer le statu quo a tendance à faire sourciller, mais la vérité est que les programmes de sécurité devraient être dans un état d'amélioration continue. Chaque composant doit rester pertinent, et les nouveaux développements doivent être évalués et pris en compte.

Mettre l'accent sur une approche préventive — par opposition à réactive — peut ne pas être bien compris en dehors de l'équipe de sécurité, surtout si aucun incident de sécurité majeur n'a eu lieu. Cela peut être perçu comme quelque chose qui n'est pas cassé et qui n'a donc pas besoin d'être réparé. Dans ce cas, obtenir l'adhésion de la direction est essentiel. Voici quelques points pertinents à leur soumettre :

• Les économies de temps et d'argent réalisées grâce aux mesures préventives, telles que la formation basée sur les rôles et les outils associés, par rapport au coût potentiel d'un incident critique
• Comment la détection et la correction des vulnérabilités permettent de respecter les délais de publication, avec moins d'obstacles de la part de l'équipe de sécurité
• Pourquoi se préparer et anticiper les risques de sécurité potentiels, de l'équipe de développement jusqu'à la mise en production, permet d'économiser plus de temps (sans parler d'argent) au global. Pour mettre les choses en perspective, les vulnérabilités découvertes tardivement lors de la phase de test — ou pire, après la mise en production — peuvent augmenter les coûts de 3000 % en moyenne.
  

Il est essentiel que les changements culturels proposés soient alignés sur les objectifs commerciaux, même s'ils semblent inconfortables au début.

La sensibilisation à la sécurité est une chose, les compétences en sécurité sont tout

En tant que secteur, nous parlons fréquemment de l'importance de la sensibilisation à la sécurité, et c'est une composante de plus en plus critique pour chaque membre du personnel d'une organisation. Cependant, il ne suffit pas de se contenter de belles paroles et de formations passives, surtout pour ceux qui occupent des postes techniques.

En clair, toute personne manipulant du code représente un risque de sécurité potentiel si elle n'est pas équipée des compétences nécessaires pour coder de manière sécurisée. Une sensibilisation générale aux paramètres de sécurité de base est un bon début, mais sans connaissance contextuelle des modèles de codage sécurisés, les mauvaises habitudes persistent, et c'est sur ce manque de compétences en développement de qualité que les attaquants comptent pour faire leur sale besogne.

Ne sous-estimez pas vos développeurs.

Bien que les mentalités évoluent, de nombreuses organisations sont structurées de telle manière que les développeurs sont rarement une réelle considération dans les plans d'atténuation de la sécurité. Certains secteurs — comme la banque et la finance — ont des exigences de conformité et réglementaires strictes qui entraînent des pratiques de sécurité et des formations renforcées pour l'ensemble du personnel. Et bien qu'ils soient certainement en avance sur d'autres secteurs, presque toutes les organisations sur la planète pourraient bénéficier d'une armée interne de développeurs sensibilisés à la sécurité, tous capables de détecter les bugs de sécurité courants avant qu'ils ne soient intégrés. La plupart sont loin d'atteindre cette pièce maîtresse du puzzle de la sécurité — et c'est pourtant nécessaire si nous voulons un jour espérer sécuriser le déluge de code qui augmente en volume d'année en année.

La sécurité préventive doit commencer dès que les développeurs commencent à écrire du code, mais on ne peut attendre d'eux qu'ils comblent seuls le fossé des compétences en sécurité. Ils ont besoin d'outils adaptés et de conseils contextuels pour atteindre un niveau de qualité supérieur. Les meilleurs résultats sont obtenus lorsque la sécurité fait partie intégrante de leur quotidien, et non lorsqu'elle est ajoutée après coup, de manière sporadique, à l'approche des audits de conformité annuels.