Souffrir d'un excès d'outils de sécurité

Cet article a été initialement publié sur Security Boulevard. Il a été mis à jour et syndiqué ici.

‍

Nous avons presque ancré dans notre psyché collective que « plus, c'est mieux ». Si vous appréciez quelque chose, pourquoi ne pas en avoir deux, trois, voire plus ? Après tout, on n'a jamais trop de bonnes choses, n'est-ce pas ?

Malheureusement, si cette logique fonctionne pour certains domaines, elle atteint vite ses limites. Dans certains cas, on observe des rendements décroissants. Quelle valeur ajoutée ou quel plaisir supplémentaire vous apportera vraiment cette treizième part de gâteau ? Parfois, l'excès peut même devenir un risque majeur pour vous ou votre organisation.

Trop d'outils de cybersécurité

La cybersécurité est un domaine critique où l'excès est devenu problématique, avec une prolifération incontrôlée d'outils ces dernières années. Une étude de Dark Reading révèle que la plupart des RSSI s'appuient en moyenne sur 55 à 75 produits ou applications de sécurité distincts pour protéger leurs réseaux. Pourtant, les attaques réussissent toujours. Selon le rapport Verizon 2023 sur les violations de données, les attaques complexes sont en hausse et leur détection prend plus de temps que jamais.

Comment les attaquants parviennent-ils à contourner ce qui semble être une barrière infranchissable de 75 outils ou plus ? En réalité, ils déclenchent souvent des alertes, mais les équipes humaines sont trop occupées à maintenir leurs outils ou à traiter des milliers de notifications quotidiennes pour les remarquer. Cette profusion d'outils offre aux attaquants la couverture idéale pour rester indétectés.

Un rapport récent de TechRadar a souligné les conséquences négatives d'une accumulation d'outils de cybersécurité. Parmi les entreprises interrogées, 71 % estiment posséder plus d'outils que leurs équipes ne peuvent en gérer. Loin d'améliorer la posture de sécurité, cette multiplication des outils la dégrade. Contrairement à l'idée reçue selon laquelle plus d'outils signifie plus de sécurité, la grande majorité des répondants se sentent moins en sécurité à cause de la complexité de leur environnement.

La situation s'est aggravée avec la migration massive vers le cloud. Auparavant, dans un environnement quasi exclusivement sur site, multiplier les couches de sécurité était une stratégie efficace, ou du moins, elle ne générait pas de conséquences négatives aussi rapidement. Dans le cloud, en revanche, chaque outil ajouté accroît la complexité et multiplie les vulnérabilités.

Outre la maintenance des outils redondants, le problème majeur d'une approche centrée sur les outils est l'avalanche de faux positifs. Traquer ces alertes inutiles accapare le temps des équipes de sécurité sans bénéfice réel, permettant aux véritables attaques de se dissimuler parmi le bruit. Les menaces réelles risquent ainsi de ne jamais être détectées à temps.

Une meilleure approche

Supprimer tous vos outils de sécurité serait désastreux. Cependant, il est crucial de ne pas en avoir trop, au risque de négliger les solutions réellement efficaces. L'enjeu est de sélectionner les bons outils et de s'assurer qu'ils ne deviennent pas un gouffre en temps et en ressources.

La clé de la consolidation réside dans l'investissement simultané dans une approche humaine de la sécurité. Cela inclut l'implication d'acteurs traditionnellement écartés de ce rôle : les développeurs, chargés de coder les applications mêmes que les attaquants ciblent.

Bien que la sécurité ne soit pas traditionnellement leur mission, les choses changent. Encourager les développeurs à se concentrer sur la sécurité est un pilier du DevSecOps, où chacun devient responsable du déploiement d'applications sécurisées. Sans attendre qu'ils deviennent des experts, les former à l'écriture de code sécurisé et les valoriser permet de réduire la dépendance aux outils redondants.

En partant d'un code sain, vous pourrez éliminer de nombreux outils de scan. Vous favoriserez ainsi un environnement où les développeurs créent du code sécurisé, complété par quelques outils sélectionnés, faciles à gérer pour vos équipes sans surcharge cognitive.