Les meilleures pratiques en matière de cyber-résilience dans le monde de l'entreprise

Face à l'adversité, la capacité de votre entreprise à poursuivre ses activités, même en mode dégradé, dépend fortement de la résilience de ses cyber-systèmes.

Contenu :

1. Qu'est-ce que la cyber-résilience ?

2. Les trois composantes principales de la cyber-résilience

3. En quoi la cyber-résilience diffère-t-elle de la cybersécurité ?

4. Cyber-résilience et COVID-19

5. Comment la cyber-résilience affecte-t-elle les activités quotidiennes ?

6. Planifier la cyber-résilience

7. Pourquoi l'entreprise doit-elle s'intéresser à la cyber-résilience ?

8. Comment améliorer la cyber-résilience de votre entreprise

 

 

Qu'est-ce que la cyber-résilience ?

Qu'est-ce que la cyber-résilience ? La cyber-résilience est la capacité d'une organisation à continuer à fournir ses produits et services, indépendamment de tout événement cybernétique susceptible d'avoir une incidence sur les activités normales de l'entreprise. Cette capacité est mise en évidence par le concept selon lequel les entreprises doivent se préparer, prévenir, répondre et se rétablir avec succès dans un état sécurisé sans dégradation ou perturbation de leurs attentes normales en matière de fourniture de services. La sécurité doit être considérée comme une fonction essentielle de l'entreprise, conçue pour protéger les ressources et mise en œuvre pour atténuer les risques. 

Les organisations doivent concevoir et mettre en œuvre une infrastructure, des applications et des opérations sécurisées pour être cyber-résilientes. L'intégration de la sécurité est donc une décision essentielle et consciente dans l'approche de la conception de solutions d'entreprise de bout en bout. Correctement mise en œuvre, la cyber-résilience réunit la sécurité de l'information, la continuité des activités et la résilience organisationnelle, garantissant ainsi une approche de conception sécurisée. Les meilleures pratiques en matière de sécurité doivent être prises en compte et intégrées dans les politiques, les procédures, l'infrastructure et les applications, et fournir une visibilité et un contrôle appropriés sur ces composants, indépendamment d'une activité normale ou défavorable.

 

Les trois principales composantes de la cyber-résilience

Protéger 

En protégeant vos systèmes, vos données et vos applications, vous vous assurez que les seules personnes qui peuvent accéder à vos systèmes sont les utilisateurs autorisés. La possibilité de suivre les utilisateurs dans leur parcours au sein de votre système est le signe d'une bonne gestion de l'accès aux identités. Vous devez également être en mesure de détecter toute vulnérabilité dans votre système, ce qui vous permet d'en déceler les faiblesses. Les données contenues dans votre système, qu'il s'agisse des informations de vos clients ou de vos employés ou de la propriété intellectuelle de votre organisation, doivent être protégées par des niveaux de sécurité élevés.

 

Détecter

Votre stratégie de cyber-résilience doit permettre de détecter les tentatives d'actes malveillants à l'encontre de votre entreprise. Cela peut parfois s'avérer difficile, car les acteurs malveillants peuvent travailler de manière cachée et sont devenus plus sophistiqués dans leurs tentatives d'atteinte à la sécurité de vos systèmes. Il convient de noter que certaines menaces avancées ne se limitent pas à des tentatives extérieures et peuvent commencer à l'intérieur de votre organisation. IBM a constaté que le délai moyen de détection et d'endiguement d'une atteinte à la sécurité est de 280 joursLe délai moyen de détection et de confinement d'une faille de sécurité est de 280 jours.

Un élément clé de la détection est de savoir quelles données sont conservées, et où elles sont conservées, sur les systèmes de votre entreprise. Cela vous permet de créer des systèmes de cyber-résilience capables d'identifier les comportements qui ne correspondent pas aux modèles habituels et qui peuvent donc exposer l'entreprise à un risque d'atteinte à la sécurité.

Évoluer

Le dernier élément de votre stratégie de cyber-résilience doit être la capacité d'évoluer et d'adapter votre sécurité, en veillant à ce que vous restiez à l'avant-garde des menaces. Les pirates informatiques s'efforcent en permanence de trouver des moyens nouveaux ou différents d'exploiter les vulnérabilités de vos systèmes, et une entreprise cyber-résiliente a la capacité d'anticiper ces nouvelles attaques grâce à la modélisation des menaces, et de s'efforcer de défendre une attaque avant qu'elle ne devienne une vulnérabilité.

Pour pouvoir évoluer, vous devrez être en mesure de déployer et d'intégrer rapidement de nouveaux services sur site et dans l'informatique dématérialisée. Idéalement, tous les produits que vous utilisez, y compris les logiciels et les microprogrammes, sont conformes à leurs meilleures pratiques et déploient en temps utile les correctifs ou les mises à jour nécessaires pour remédier aux failles de sécurité.

 

En quoi la cyber-résilience diffère-t-elle de la cybersécurité ?

Il est essentiel de connaître la différence entre la cyber-résilience et la cybersécurité pour être en mesure de protéger votre entreprise. Alors que la cybersécurité se concentre davantage sur la protection de votre organisation contre une cyberattaque, la cyberrésilience est ce qui se passe lorsque l'une des mesures de cybersécurité échoue, ou si les systèmes sont perturbés par des éléments tels que les pannes de courant, les conditions météorologiques et l'erreur humaine. La cybersécurité fait appel à des réseaux privés virtuels, des pare-feu, des logiciels anti-programmes malveillants, des outils de correction et à la formation des employés aux comportements sécuritaires. La cyber-résilience est ensuite prise en compte si les opérations de l'entreprise dépendent fortement de la technologie, en particulier lorsque des données critiques sont stockées électroniquement, et comment les zones d'opérations peuvent être affectées par des adversaires.

Un bon programme de cyber-résilience permettra à votre organisation de sécuriser ses activités, tout en réduisant le temps d'exposition aux cyber-menaces, ce qui diminuera l'impact des cyber-attaques et contribuera à la pérennité de votre entreprise.

 

Cyber-résilience et COVID-19

La cyber-résilience peut s'avérer particulièrement utile à une époque comme celle que nous vivons actuellement, où, en raison des mesures de verrouillage, le commerce en ligne connaît un essor sans précédent, et où ces services doivent garantir leur fiabilité en dépit des événements liés à la sécurité. Des entreprises comme Amazon, Zoom, Google et Microsoft ont renforcé non seulement leurs mesures de cybersécurité, mais aussi leur cyber-résilience. 

Grâce à la pandémie de COVID-19, les organisations ont pu prendre conscience de l'importance et des enjeux de leur stabilité, de leur productivité et de leur survie. De plus en plus d'organisations adoptent des modèles d'entreprise numériques pour permettre à leurs employés de travailler à domicile, et la question de l'accès à distance susceptible de compromettre les systèmes internes a été abordée grâce à la cyber-résilience. Avec le passage rapide d'une majorité de personnes travaillant à domicile, cette numérisation forcée a été mise à profit par des acteurs malveillants et des pirates informatiques. Depuis le début de la pandémie, on observe une augmentation significative du phishing, des offres frauduleuses, des ransomwares et du harcèlement. L'intégration de l'authentification multifactorielle ou des réseaux privés virtuels (VPN) a aidé les entreprises à renforcer leurs mesures de sécurité pour des questions telles que l'accès des travailleurs à distance, et l'amélioration des politiques relatives aux vidéoconférences a permis de se protéger contre le "zoom-bombing", où des trolls de l'internet se joignent à des vidéoconférences dans l'intention de provoquer une intrusion indésirable et perturbatrice.

Dans ce climat technologique, avec les risques graves et existentiels, il est impératif de disposer de rapports réfléchis sur la cyber-résilience pour votre système global de cyber-résilience. Une plus grande transparence pour les parties prenantes permet de prendre des décisions plus éclairées. En mettant en place des pratiques et des systèmes de cyber-résilience appropriés, votre entreprise peut être mieux équipée pour construire une nouvelle culture, plus forte, qui aide à lutter contre les risques. Cela peut se traduire par une comptabilité et des rapports précis sur les redondances des systèmes, des cartes de dépendances actualisées pour les architectures de systèmes complexes et la mise en place de méthodes pour que ces informations parviennent à ceux qui en ont besoin en cas d'événement inattendu. Enfin, une entreprise qui communique de manière réfléchie sur sa cyber-résilience peut bénéficier d'une meilleure réputation, directement liée à l'attention et à la transparence. Lorsque vos systèmes tombent en panne en raison d'une circonstance imprévue, informez-en vos utilisateurs et expliquez les mesures prises ou les procédures à sécurité intégrée actuellement en vigueur pour atténuer le problème.

Si la pandémie de COVID-19 a radicalement affecté le fonctionnement des entreprises, les pandémies ne sont pas les seuls éléments dont les entreprises ont besoin pour renforcer leur résilience. D'autres facteurs extérieurs peuvent affecter la résilience de votre entreprise : changements brusques dans l'économie, forces de la nature, terrorisme (cybernétique ou physique), et bien d'autres encore - et tous doivent être pris en compte dans la planification de la reprise après sinistre lorsqu'il s'agit de renforcer la résilience de votre entreprise.

 

Comment la cyber-résilience affecte-t-elle les activités quotidiennes ?

La cyber-résilience affecte les processus en exigeant qu'ils disposent de plans d'urgence pour surmonter efficacement l'indisponibilité des systèmes, qu'il s'agisse de services destinés aux consommateurs, comme un site web de vente, ou de services internes, comme les ressources humaines et la comptabilité.

Elle peut affecter les processus numériques et physiques. Par exemple, les ventes en ligne et la livraison des marchandises doivent pouvoir résister à la mise hors ligne des systèmes de gestion des stocks. Il serait inacceptable pour les clients que leurs marchandises ne soient pas livrées par Amazon si, d'une manière ou d'une autre, un serveur d'Amazon était compromis. Les processus doivent donc être redondants.

 

 

Planifier la cyber-résilience

Si les processus peuvent être adaptés pour tenir compte de la cyber-résilience, le meilleur moyen est d'intégrer ces préoccupations dès le stade de la planification :

• Tenir compte des systèmes redondants, mais physiquement séparés. La mise en place de plusieurs couches de redondance, qu'il s'agisse de disques, de blocs d'alimentation, de câbles d'alimentation et de réseau, de courant alternatif, de serveurs redondants et en grappe, ainsi que d'une surveillance multicouche dans le nuage, peut avoir un impact sur votre cyber-résilience.
• Concevoir l'architecture du système en tenant compte du temps nécessaire à l'exécution des tâches de maintenance et/ou utiliser un outil de correction en direct.
• Faites en sorte que vos systèmes tiennent compte de la "conception pour l'échec" en tant que préoccupation centrale, que cet échec provienne d'une faille de sécurité ou d'un problème matériel. La meilleure façon de concevoir un logiciel en tenant compte des défaillances est de le créer dès le départ avec la mentalité que chaque élément peut et va tomber en panne, que ce soit par malveillance ou par accident, sans que cela ait un impact sur l'expérience de l'utilisateur final.

L'une des composantes des meilleures pratiques est une politique solide de correction des vulnérabilités. Habituellement, la correction des vulnérabilités nécessite une fenêtre de maintenance parce qu'il s'agit d'une activité perturbatrice (redémarrage du système, redémarrage des services). Avec un outil de correction en direct, le processus de correction peut se dérouler sans ces perturbations, ce qui signifie des temps de réponse plus rapides en cas de divulgation de nouvelles vulnérabilités.

 

Pourquoi votre entreprise devrait-elle s'intéresser à la cyber-résilience ?

Votre entreprise doit se préoccuper de la résilience cybernétique afin de pouvoir continuer à fournir des capacités essentielles et critiques, tout en donnant aux cyberdéfenseurs les outils nécessaires pour répondre rapidement et efficacement aux actions adverses. Lorsque des mesures de résilience sont intégrées au cours du processus d'acquisition souple et extensible, la capacité des cyberdéfenseurs à s'adapter et à contrer les adversaires augmente.

Les fonctions essentielles de votre entreprise doivent être maintenues en cas d'attaque, de catastrophe ou de toute autre force. Même si votre entreprise a mis en place un processus de reprise après sinistre axé sur les catastrophes naturelles, l'idéal est de disposer d'un plan de reprise après sinistre qui inclut également la cyber-résilience en cas de tout autre événement susceptible de mettre en péril vos systèmes essentiels.

Grâce à une approche souple et adaptable de la cybersécurité et de la cyberrésilience, votre organisation peut en tirer des avantages dans un environnement qui évolue constamment en raison des catastrophes potentielles, des pirates informatiques et même de l'évolution du modèle d'entreprise. Voici quelques-uns de ces avantages :

• Moins d'incidents - Lorsque vous disposez d'un système qui surveille et protège en permanence les données de votre entreprise, vous êtes en mesure de réagir à toutes les vulnérabilités et à tous les risques, ce qui réduit le nombre d'incidents.
• Moins d'amendes et de pénalités - Vous devez être en mesure de vous conformer à tout mandat gouvernemental ou réglementaire en matière de sécurité. En mettant en place un processus de cyber-résilience solide, vous êtes en mesure d'identifier et de protéger facilement les données que vous collectez, ce qui entraîne moins d'amendes et de pénalités, et réduit même le risque de poursuites judiciaires.
• Moins de risques d'atteinte à la sécurité - Un processus de cyber-résilience solide permet d'atténuer les risques d'atteinte à la sécurité. Une faille de sécurité peut non seulement affecter vos besoins technologiques, mais aussi interrompre des processus commerciaux vitaux, provoquant un cauchemar en matière de relations publiques et portant atteinte à la réputation de votre entreprise.
• Amélioration de la réputation - Dans le climat technologique actuel, les clients se méfient de plus en plus des personnes à qui ils confient leurs données. S'ils voient dans les nouvelles qu'une marque a été associée à une faille de sécurité, ils se méfieront. Toutefois, les entreprises qui s'efforcent de protéger les données de leurs clients et qui mettent en œuvre de solides programmes de cybersécurité et de cyberrésilience finiront par attirer davantage de clients et par accroître leur résultat net.

 

 

 

Comment améliorer la cyber-résilience de votre entreprise

La mise en place d'une stratégie efficace de cyber-résilience peut inclure de multiples facettes de solutions de cybersécurité. Il peut s'agir de

• Intelligence artificielle/apprentissage automatique - L'intelligence artificielle/apprentissage automatique joue un rôle important dans l'efficacité de la cyber-résilience. Grâce à l'énorme quantité de données créées par les solutions de sécurité, l'IA/ML peut analyser les comportements ou les risques et automatiser une réponse qui augmente la capacité de votre organisation à s'adapter à différentes attaques ou vulnérabilités.
• Sécurité des données - Garantir la sécurité de vos données, structurées ou non, doit être une préoccupation majeure et une composante de vos systèmes de cybersécurité et de cyberrésilience. Vous devez être en mesure d'analyser les données dont vous disposez et d'obtenir des informations importantes, tout en restant en conformité avec les réglementations gouvernementales.
• Sécurité des applications - Votre stratégie d'application commence dès le processus de développement, et vos tests doivent s'intégrer à votre DevOps, tout en étant évolutifs et flexibles pour une utilisation sur site ou à la demande.
• Gestion des identités et des accès - La gestion des identités et des accès à vos systèmes vous permet de gérer les personnes, qu'il s'agisse d'employés ou de clients, et les appareils ou services qui accèdent à vos données et à vos systèmes. La gestion des identités et des accès vous permet de développer des identités de confiance, d'observer les schémas normaux de ces identités et d'identifier les schémas anormaux.

 

 

Conclusion

Les modèles d'entreprise qui réussissent doivent prendre en compte et déployer des systèmes et des processus qui sont cyber-résistants afin de garantir l'efficacité opérationnelle et le succès. Des incidents de sécurité se produiront, mais il appartient à chaque entreprise de déterminer dans quelle mesure elle souhaite que ces incidents affectent ses résultats. L'amélioration des processus tels que la maintenance et le passage à des outils de correctifs en direct, s'ils ne sont pas encore utilisés, est un pas dans la bonne direction.