Guide pour entreprises: comment gérer la sécurité des informations

Au rythme où la transformation numérique s’accélère, les entreprises doivent maintenant prendre des mesures pour sécuriser leurs systèmes de gestion de l’information. Mais de trop nombreuses organisations ont retardé les investissements dans un système de sécurité complet, ce qui les laisse vulnérables aux attaques informatiques. Les activités de tout un chacun sont maintenant automatisées, numérisées et en ligne, ce qui présente des avantages en matière de rapidité et de coût, mais ce qui crée aussi une multitude de vulnérabilités potentielles. Heureusement, la mise en oeuvre d’un système de gestion de la sécurité de l’information (SGSI) efficace contribuera pour beaucoup à réduire les risques.

Les cyber-dangers

Le principal problème à l’ère de la transformation numérique, c’est la protection des données, en particulier contre les cybercriminels. Le géant des télécommunications Verizon a mené une recherche au sujet des risques les plus importants en matière de sécurité auxquels sont confrontées les entreprises, et il a conclu qu’il s’agissait du piratage informatique, qui contribue à concurrence de 40% aux violations de données, et des logiciels malveillants, qui sont responsables de 30% supplémentaires. Un exemple spectaculaire, ce fut, l’été dernier, une cyberattaque massive à l’encontre du géant du transport maritime de conteneurs Maersk, dans le port de Los Angeles. Avec des ordinateurs et des serveurs à l’arrêt, les travailleurs ont été forcés d’improviser en utilisant Twitter, Whats-App et des notes Post-it. L’attaque du rançongiciel Petya a coûté à Maersk 300 millions de dollars américains et a interrompu les opérations pendant deux semaines, prouvant ainsi que même les entreprises globales sont vulnérables aux attaques.

La technologie est un monde qui ne reste jamais immobile
et, malheureusement, cela s’applique aussi aux criminels. Cela signifie que les
entreprises ne peuvent jamais se reposer sur leurs lauriers lorsqu’il s’agit de
s’assurer qu’elles possèdent tous les outils et systèmes les plus récents pour
sécuriser leurs données en permanence, quoi qu’il leur arrive.

Un système de gestion de la sécurité de l’information (SGSI) bien conçu va accroître la résilience d’une entreprise vis-à-vis des cyberattaques. Mais il ne s’agit pas seulement de se brancher aux technologies de la sécurité, puis d’aller dormir. Créer le SGSI approprié nécessite beaucoup de réflexion avant de choisir un cadre politique et des technologies pertinentes.
Les entreprises doivent procéder à une évaluation du risque qui identifie les principales vulnérabilités et évaluer ensuite leur situation commerciale pour déterminer quel est leur budget. Elles devront décider si le personnel existant possède les aptitudes techniques, ou si elles doivent recruter, ensuite définir des objectifs à court et à long terme. En matière de sécurité, les risques changent rapidement et les systèmes SGSI doivent évoluer pour faire face aux nouvelles menaces. Pour leur analyse des risques, les entreprises doivent se faire guider parmi les multiples standards disponibles, incluant COBIT, la série de normes 27000 de l’International Organization for Standardization (ISO) et la série de normes 800 du National Institute of Standards and Technology (NIST) américain.

Identifier le point le plus faible de l'entreprise

Un cadre SGSI tiendra compte du fait que la plupart des incidents de cybersécurité sont causés par un manque de prise de conscience des victimes, qui tombent dans les pièges des cybercriminels. Un exemple notoire, ce fut la violation de sécurité massive de l’an dernier à l’agence d’évaluation du crédit Equifax, qui a divulgué les données de plus de 147 millions de consommateurs. Le CEO de l’entreprise a imputé la défaillance à une erreur humaine. Il est clair que la technologie est nécessaire pour réduire le risque d’erreur humaine autant que possible, même si elle ne peut jamais être complètement éliminée. Les programmes de formation en cybersécurité sont essentiels pour expliquer aux employés comment des erreurs mineures peuvent avoir des conséquences catastrophiques. Commettre des erreurs évitables peut aussi avoir un coût humain. Personne ne souhaite devoir licencier du personnel lorsque l’on est victime d’une campagne de hameçonnage, ou d’une attaque d’ingénierie sociale.

Les solutions GIS

Un autre problème important lors de la mise en oeuvre d’un système de sécurité de l’information, c’est la détermination de la façon d’organiser toutes les données qui affluent en provenance des dispositifs de sécurité, tels que les pare-feu, les serveurs proxy, les systèmes de détection d’intrusion et les logiciels antivirus. L’équipe IT peut rapidement être débordée, parce que l’installation d'un meilleur système de sécurité va augmenter plutôt que réduire les données d’alerte. Les entreprises devraient prendre en considération l’installation d’une technologie GIS (gestion des informations de sécurité) qui enregistre et trie les données enregistrées par d’autres logiciels.

Les grandes organisations ont commencé à utiliser des systèmes GIS il y a une décennie, mais le marché a connu une forte progression et ils font maintenant partie intégrante de la sécurité dans de nombreuses entreprises petites à moyennes. Au lieu que les équipes de sécurité IT trient manuellement des quantités de données, la boîte à outils GIS automatise le processus et normalise les données. Elle peut traduire des alertes des logiciels Cisco, Microsoft, ou CheckPoint dans un langage commun. Beaucoup de suites GIS comprennent de nombreuses applications permettant de traiter différents problèmes.

Lorsqu'elles décident du système GIS qu'elles vont acheter, les entreprises doivent prendre en compte le niveau de risque auquel elles sont confrontées et s’il possède les fonctionnalités nécessaires. Il doit être extensible, de façon à pouvoir enregistrer des informations provenant de centaines, ou même de milliers de dispositifs en temps réel. Il doit faire face à ce que Symantec appelle les “menaces combinées”, qui pourraient combiner les caractéristiques de virus, de chevaux de Troie et de code malveillant. Certaines entreprises souhaiteront une capacité de réponse active, ce qui signifie que le système GIS entreprend une action immédiate sur la base des données. Cette option nécessite toujours une installation minutieuse pour éviter des arrêts inutiles de serveurs et un blocage du trafic si le personnel
commet des erreurs bénignes. Il faut également veiller à négocier des politiques interdépartementales. Une GIS requiert une intégration complexe et des retards sont possibles, puisque chaque département possède des privilèges d’accès appropriés.

Une fois que le système a été conçu et installé, le processus n’est pas terminé. L’organisation doit définir des ICP pour surveiller son efficacité, ensuite passer en revue les violations importantes. Les acteurs malveillants exploitent sans cesse de nouvelles technologies et vulnérabilités, et il sera essentiel de déployer constamment de nouveaux outils, de nouvelles compétences et de nouvelles procédures pour les contrer. Heureusement, les entreprises technologiques évoluent aussi rapidement que les criminels et tous les outils sont disponibles pour implémenter un système robuste et sûr.