Résilience de l’entreprise

  • Article

Si une organisation ne peut jamais avoir une sécurité parfaite, elle peut devenir résiliente aux attaques de sécurité. Tout comme nous ne sommes jamais totalement à l’abri de tous les risques liés à la santé et à la sécurité dans le monde physique, les données et les systèmes d’information que nous utilisons ne sont jamais sécurisés en permanence à 100 % contre toutes les attaques.

Concentrez vos efforts de sécurité sur le renforcement de la résilience de vos opérations métier aux incidents de sécurité. Ces efforts peuvent contribuer à réduire les risques et vous permettre de renforcer en permanence votre situation de sécurité et votre capacité à répondre aux incidents.

La résilience exige d’adopter une vision pragmatique consistant à présupposer une violation de sécurité. Elle nécessite un investissement continu tout au long du cycle de vie des risques de sécurité.

Cycle de résilience de la sécurité

  • Avant un incident : améliorer en permanence la situation de sécurité et la capacité de l’organisation à répondre à un incident. L’amélioration permanente de la sécurité permet de limiter la probabilité et l’impact potentiel d’incidents de sécurité sur les ressources et les opérations de votre entreprise. Si les disciplines de sécurité couvrent un grand nombre de techniques, toutes conçues pour augmenter le coût des attaques. Elles conduisent les attaquants à développer et à essayer de nouvelles techniques quand les anciennes cessent de fonctionner. Ces techniques augmentent les coûts et les frictions, ce qui a pour effet de ralentir et de limiter la réussite des attaques.

  • Pendant un incident : les opérations d’entreprise doivent se poursuivre pendant un incident, même si elles sont détériorées, ralenties ou limitées à des systèmes critiques. Au cours d’une attaque, un hôpital ne peut pas cesser de soigner ses patients, un navire doit pouvoir poursuivre le déplacement de sa cargaison, et un avion doit pouvoir continuer à voler en toute sécurité. Les deux priorités majeures au cours d’un incident sont les suivantes :

    • Protéger les opérations critiques : en cas de menace, tous les efforts doivent se concentrer sur la protection et le maintien des stratégiques, avant toutes les autres fonctions.
    • Prévenir les dommages supplémentaires : la priorité par défaut pour les opérations de sécurité consiste à découvrir la pleine étendue de l’accès de l’attaquant, puis à évincer rapidement celui-ci de l’environnement. Cette éviction empêche l’attaquant d’occasionner des dommages supplémentaires, y compris par voie de représailles.

  • Après un incident : si des opérations d’entreprise se détériorent pendant une attaque, des réparations doivent être effectuées immédiatement pour restaurer la pleine capacité opérationnelle. Ces réparations s’imposent même si cela revient à restaurer des opérations sans les données perdues lors d’une attaque, par exemple par rançongiciel, ou par un programme destructeur tel que NotPetya.

  • Boucle de rétroaction : les attaquants se répètent ou répètent ce que d’autres attaquants ont trouvé. Comme ils tirent des enseignement de leurs attaques contre votre organisation, vous devez aussi apprendre continuellement de ces attaques. Concentrez-vous sur les techniques éprouvées et disponibles précédemment tentées. Assurez-vous ensuite de pouvoir détecter et bloquer ces attaques, ainsi que d’y réagir rapidement et de récupérer par la suite. Vos efforts augmentent le coût de toute attaque dirigée contre votre organisation, et découragent ou ralentissent des attaques futures.

Regardez la vidéo suivante pour découvrir comment créer et maintenir la résilience de votre entreprise aux attaques de sécurité.

Objectifs de résilience

La résilience de la sécurité vise à étayer la résilience de votre entreprise.

  • Permettez à votre entreprise d’innover et de s’adapter rapidement à un environnement en perpétuelle évolution. La sécurité doit toujours rechercher des moyens sûrs de dire oui à l’innovation à l’adoption de nouvelles technologies. Votre organisation peut ensuite s’adapter à des changements inattendus de son environnement, comme le glissement soudain vers le télétravail au cours de la pandémie de COVID-19.
  • Limitez l’impact et la probabilité des interruptions avant, pendant et après des attaques actives dirigées contre les opérations de votre entreprise.

Résilience de la sécurité et présupposition de violation

Une bonne sécurité commence par une présupposition de violation ou compromission. Vous devez comprendre que les systèmes informatiques fonctionnent sur l’Internet ouvert où des criminels attaquent et compromettent sans cesse des organisations. Cette présupposition est un principe fondamental de la Confiance zéro qui inspire des comportements de sécurité sains et pragmatiques. La Confiance zéro prépare votre organisation à empêcher des attaques, à limiter les dommages qu’elles peuvent occasionner et à récupérer rapidement à la suite de celles-ci.

Remarque

Le principe de présupposition de violation ne considère pas que chaque compromission est un événement susceptible d’être signalé à un régulateur. Il part de l’hypothèse que certains niveaux de défenses de sécurité ont été violés ou compromis. Il se focalise ensuite sur la résilience de l’organisation au travers d’améliorations de la situation de sécurité et des processus de réponse.

Présupposer une compromission doit conduire à des changements au niveau des personnes, des processus et de la technologie à l’œuvre au sein de votre organisation. L’éducation, les exercices et d’autres activités de préparation aux incidents illustrent bien cette approche. Pour plus d’informations, consultez Préparation aux incidents.

Présupposer une compromission marque un changement important par rapport à la façon classique de penser la sécurité. Cette mentalité supposait que les organisations pouvaient établir un réseau parfaitement sécurisé protégé par un périmètre de sécurité, ce qui avait pour effet de limiter toute leur activité à ce réseau. Certains aspect de cette stratégie sont appréciables dans une entreprise résiliente. Mais l’hypothèse d’un réseau parfaitement sécurisé ne fonctionne pas dans un monde de travail itinérant, et de modèles d’entreprise, plateformes technologiques et autres menaces de sécurité en constante évolution.

La résilience requiert un partenariat étroit entre les parties prenantes, les professionnels de l’informatique et les responsables de la sécurité.

Étapes suivantes

Les disciplines de sécurité dans la méthodologie de sécurisation s’alignent sur l’objectif de renforcement de la résilience aux incidents de sécurité. Pour plus d'informations, consultez les pages suivantes :