Quels sont ces trois grands principes qui façonnent le paysage de la cybersécurité?
Depuis quelques années, nous assistons à un changement radical de la façon dont les entreprises utilisent la technologie pour atteindre leurs objectifs. Mais qui dit usage accru des technologies dit aussi évolution des menaces et besoin d'adapter ses pratiques en conséquence.
La conversion au numérique des workflows et la transformation des systèmes IT ont un impact important sur les modèles économiques, et font peser des pressions supplémentaires sur les infrastructures IT. La croissance exponentielle des dispositifs mobiles, la migration vers le cloud, l’émergence de l’Internet des objets (IoT) et les réseaux (Software Defined Networks) définis par logiciel ouvrent la voie à de meilleures expériences client et facilitent l’accès à l’information de tout l’écosystème des entreprises.Toutefois, cette accessibilité accrue a pour effet de dynamiser le cyber champ de bataille et de créer et d’intensifier les problématiques de sécurité. Elle multiplie les cibles des attaques potentielles et rend les organisations plus vulnérables qu’auparavant. Les préoccupations de sécurité se généralisent au point de toucher toutes les facettes de l’entreprise et elles révèlent des pénuries de compétences dans des services qui n’existaient pas il y a seulement quelques années. Si l’on ajoute à cela la liste qui ne cesse de s’allonger des obligations réglementaires et de conformité des environnements, on peut imaginer l’ampleur des pressions sur la sécurité à l’ère du numérique.
« Les craintes, les incertitudes, le doute », préoccupations initiales de la sécurité IT, ne se limitent plus seulement à la gestion du risque IT mais aussi du risque pour la réputation de l’entreprise. La sécurité est désormais à l’ordre du jour des conseils d’administration et relève de la responsabilité de chaque salarié et fournisseur.
Le cas de compromission ultra médiatisé de Sony en 2014 a placé la cybercriminalité en tête de liste des priorités des entreprises, qui ont réalisé qu’une compromission ou une attaque pouvait avoir un impact majeur sur leur performance, sur la perception de leur image de marque et, surtout, sur les résultats financiers. La sécurité est devenue une question centrale à traiter pour toute l’entreprise et la gestion du risque une priorité stratégique.
Depuis le cas de Sony, la sécurité IT ne cesse d’évoluer et trois principes clés s’appliquent désormais :
· Le périmètre de sécurité s’est étendu. La sécurité n’est plus l’apanage de quelques cracks de l'informatique enfermés dans leur salle informatique, elle a désormais des répercussions à tous les niveaux, avec un périmètre très large. Son horizon est intrinsèquement lié aux opérations de l’entreprise (locales, régionales ou même internationales) et à tous les services concernés. L’approche de la sécurité fait désormais tomber les silos auxquels les entreprises sont habituées, avec pour effet d’intensifier les interactions entre services, de façon à identifier les actifs qui demandent à être protégés pour réduire l’impact d’une attaque future. Mais sa portée dépasse le cœur de l’entreprise et s’étend jusqu’à la périphérie, là où les données en transit (résidant dans le cloud, sur des terminaux mobiles et générées par l’IoT) sont des cibles mobiles potentielles d’une cyberattaque. Les entreprises qui opèrent leur transformation numérique associent la sécurité à leurs objectifs métier, elles instaurent ainsi des modèles économiques disruptifs, comme ceux de la banque mobile, et se focalisent davantage sur la prévention des cyberattaques.
· La sécurité est intégrée dans la démarche d’innovation. La sécurité IT n’est plus un obstacle au changement, freinant l’adoption de nouveaux processus et l’adaptation à des technologies innovantes. En réalité, la sécurité est une question centrale du nouveau monde numérique. Elle accélère la « rapidité de service » ; est intégrée aux réseaux SDN (Software Defined Networks) ; et ouvre l’accès en toute sécurité aux données de l’Internet des objets (IoT), et bien plus encore. La sécurité est désormais un prérequis, intégrée aux nouvelles technologies et aux dispositifs dès l’origine.
· La sécurité doit obéir aux critères de réactivité, d’agilité et d’intelligence. La vitesse et l’agilité ne sont pas les seuls critères vers lesquels la sécurité IT doit tendre. Elle doit aussi se montrer plus intelligente et plus efficace, souvent dans le contexte de budgets serrés ou réduits. Gérer la sécurité dans le monde du numérique suppose de collecter, synthétiser et analyser les données de sécurité comme un principe standard. Il ne s’agit pas seulement des données mais de ce que les données peuvent nous dire. Ces fournisseurs capables d’extraire de l’intelligence décisionnelle au sein d’une vue globale du réseau seront en première ligne de la nouvelle génération des services de sécurité, propices à une plus grande visibilité sur les cyber menaces et à la réduction des risques. Le marché de la veille de sécurité se répartira entre ceux qui se contentent de collecter les données et ceux qui ont la clairvoyance et l’expertise de produire des insights intelligents.
Comment appréhender le futur ?
Les tendances en matière d’innovation et de transformation numérique vont se poursuivre et s’intensifier à un rythme exponentiel et elles conditionneront la pérennité des entreprises. Pour que les entreprises se maintiennent et perdurent, il leur faut déployer de nouvelles technologies, définir des stratégies pour apporter aux clients une expérience satisfaisante (voire surpasser les attentes) et adopter une approche proactive de la sécurité.
L'édition 2017 du rapport sur les fuites de données de Verizon (DBIR) démontre que des tactiques d’attaque bien connues sont toujours en vigueur pour infiltrer les données, car de nombreuses entreprises ne sont toujours pas équipées des outils et processus de sécurité élémentaires. Face à la menace quotidienne du cybercrime, les entreprises ne peuvent plus se contenter d’agir a posteriori. L’enjeu est trop important.
Les entreprises qui se mettent en quête d’un partenaire professionnel de la sécurité doivent en choisir un capable de détecter les menaces, d’y répondre et d’atténuer et prévenir les risques. Elles ont besoin d’une visibilité complète, géographique, à l’échelle du réseau et couvrant aussi le dark net. Elles doivent aussi pouvoir identifier les menaces avant qu’elles ne s’infiltrent dans l’infrastructure. Il est important de ne jamais oublier qu’aucune entreprise, quels que soient sa taille et son secteur vertical, n’est immunisée contre le cybercrime.