Les éléments d’un Plan de Cybersécurité Efficace

Les cyberattaques ne préviennent pas. Les cybercriminels observent, sondent, patientent… et frappent dès qu’une faille se présente. Aujourd’hui, les organisations doivent faire face à une réalité simple : si votre infrastructure n’est pas activement protégée, elle est déjà vulnérable.

C’est peut-être flatteur de savoir que d’autres pensent à vous presque sans cesse, mais quand il s’agit de pirates informatiques, ce n’est pas vraiment une situation enviable. Les acteurs malveillants sont constamment à la recherche d’informations qu’ils peuvent dérober à votre organisation. Ils sondent votre réseau à la recherche de vulnérabilités qu’ils peuvent exploiter pour leur profit personnel. Ils pourraient même suivre vos employés et autres utilisateurs qui ont accès à vos systèmes et à votre réseau.

Face à cette menace permanente, réagir efficacement à une attaque exige anticipation, méthode et coordination. Chaque organisation devrait disposer d’un plan de cybersécurité structuré, intégrant des éléments clés qui permettent aux équipes de réagir rapidement : stopper l’attaque, sécuriser les accès, protéger les données et limiter les impacts.

Ce premier volet explore les composants essentiels d’un plan de cybersécurité efficace. Le second article s’intéressera au rôle stratégique du Privileged Access Management (PAM), levier unificateur pour définir et appliquer les politiques d’accès dans un contexte de prévention comme de réponse aux incidents.

Composantes d’un Plan de Cybersécurité

Les éléments suivants doivent être en place pour a) empêcher les violations de se poursuivre et b) répondre rapidement aux incidents et atténuer leurs impacts. Votre plan de cybersécurité devrait inclure tous les éléments suivants pour que votre organisation puisse répondre efficacement à une violation.

1. Mettre en ordre les bases de la sécurité

Une partie du processus de planification devrait consister à éviter d’avoir un problème dès le départ. Les meilleurs incidents sont ceux qui ne se produisent jamais. Pour atteindre cet objectif, ou du moins améliorer vos chances de ne jamais subir de violation catastrophique, assurez-vous que vos systèmes de sécurité de base fonctionnent de manière optimale. Et assurez-vous que vos politiques de sécurité sont pleinement appliquées. Celles-ci comprennent :

• Firewalls
• Intrusion Detection Systems
• Systèmes Security incident and event management (SIEM), si approprié
• Systèmes automatisés de surveillance de la sécurité et d’orchestration des alertes, si approprié
• Filtres anti-spam/anti-phishing
• Access control – à la fois Identity and Access Management (IAM) et Privileged Access Management (PAM) pour l’accès administratif backend.
• Mots de passe robustes/authentification à deux facteurs lorsque nécessaire
• Chiffrement des données sensibles – au repos et en transit, selon les exigences des réglementations et des politiques
• Logiciels de sécurité pour smartphones

2. Collaborer avec les parties prenantes internes

En cas de violation de la cybersécurité, le personnel et les équipes des services informatiques, financiers, juridiques et autres de l’entreprise doivent être prêts à intervenir à tout moment. Chacun doit avoir un rôle prédéterminé lié à la réponse aux incidents. Éliminer les conjectures permettra d’évaluer la situation sans perdre de temps précieux. Tous les employés doivent être formés pour reconnaître les signes d’une attaque. Le moment venu, ils reconnaîtront, espérons-le, des tactiques telles que l’ingénierie sociale utilisée pour inciter les gens à fournir des informations personnelles, à installer des logiciels malveillants sur le réseau ou à permettre au pirate de voler des informations. Quand il s’agit de perte de données, tout le monde est mobilisé, et chaque minute compte.

3. Travailler dans un cadre structuré

La réponse en cybersécurité doit s’adapter aux types de données protégées et aux circonstances impliquées. Un framework est une composante importante de la gestion des risques en cybersécurité. Il nécessite une gouvernance pour toutes les personnes, technologies et processus de l’organisation. Lorsque vous devez agir, ce framework doit vous fournir le plan nécessaire pour faire face à un incident de cybersécurité sans conjecture ni retard. Sa portée doit s’étendre à tous les processus de travail, aux personnes à l’intérieur et à l’extérieur de l’entreprise, y compris les fournisseurs tiers, ainsi qu’aux appareils connectés à votre réseau d’entreprise. Si vous ne savez pas par où commencer, consultez le US Computer Emergency Readiness Team (US-CERT) Framework ou le NIST Cybersecurity Framework.

4. Être conscient du Threat Intelligence

Plus vous pourrez prendre des décisions éclairées lors d’une cyberattaque, mieux vous vous en sortirez. Tout d’abord, vous devez reconnaître les signes d’une attaque ainsi que les tactiques, procédures et techniques, en utilisant des indicateurs prédéterminés comme référence. Le Threat Intelligence implique ces indicateurs, le contexte et des informations exploitables sur les menaces existantes et émergentes pour les actifs de l’entreprise. Les connaissances incluses ici sont fondées sur des preuves, fournissant les clés pour prendre des décisions éclairées dès le début d’un incident cyber. Les vulnérabilités telles que les mots de passe administratifs partagés, les logiciels et systèmes d’exploitation non corrigés, les configurations d’infrastructure ou les opérations et processus commerciaux fournissent un contexte à la menace. Reconnaître les actes accidentels ou intentionnels d’un membre du personnel fournira également le Threat Intelligence nécessaire pour répondre de manière appropriée à un incident de cybersécurité.

5. Comprendre les facteurs réglementaires et la responsabilité générale

Une réponse à une violation doit tenir compte des réglementations relatives à votre secteur d’activité, en particulier dans des domaines comme la santé ou la finance. Vous risquez des amendes et d’autres pénalités si des informations personnelles sont exposées. Par exemple, si votre organisation est jugée négligente dans sa gestion de la sécurité, il pourrait y avoir des conséquences légales (responsabilité civile) et réglementaires. Disposer d’un journal d’audit détaillé de ce qui s’est passé avant, pendant et après la violation peut s’avérer très utile pour disculper votre organisation de l’accusation de négligence dans ses obligations de sécurité.

6. Réaliser une évaluation approfondie des risques

Référez-vous à un modèle des menaces les plus répandues basé sur les risques identifiés, leur probabilité de survenance et les dommages qu’ils pourraient causer. Les actions entreprises devraient impliquer le personnel approprié décrit dans le modèle. Une fois les menaces de cybersécurité hiérarchisées, les étapes pour s’attaquer à chacune d’entre elles lorsqu’elles se produisent sont plus claires pour toutes les parties prenantes. L’évaluation des risques ne permet pas seulement d’affiner votre réponse en matière de cybersécurité, mais aide également à prévenir les attaques dès le départ. Il s’agit de se mettre dans la peau d’un attaquant. Si vous pouvez déterminer ce qui peut être le plus précieux pour eux, il devient plus évident où concentrer vos ressources pour protéger les données les plus vulnérables.

7. Entreprendre une planification de réponse aux incidents

Référez-vous aux changements les plus récents du plan et aux menaces et réglementations les plus actuelles. Incluez les dernières améliorations, formations et préparations pour que vos équipes sachent comment agir dès qu’une menace est détectée. C’est également une bonne idée de reconnaître que malgré tous vos efforts de prévention, une violation de sécurité est toujours possible. Les menaces de cybersécurité évoluent constamment. C’est pourquoi il est important d’être proactif. Les améliorations, la formation et la préparation doivent être accomplies avant la prochaine tentative majeure de violation.

Chaque plan doit être testé et tenu à jour. Les plans de réponse aux incidents obsolètes risquent d’être inefficaces.

Si tous les composants de votre plan sont en place, vous pouvez alerter instantanément tout le personnel et les programmes de gestion des risques liés à la cybersécurité. La visibilité est un autre facteur clé lorsqu’un incident se produit. Il est préférable de pouvoir voir qui a accédé au réseau, à quels systèmes et à quel moment (une caractéristique des systèmes de Privileged Access Management), afin de recueillir autant d’informations que possible.

Dans la partie 2 de cette série, découvrez comment le PAM fait fonctionner tous les autres éléments de votre plan de cybersécurité comme prévu… PAM et le Plan de Cybersécurité.