{"partition": "head_middle", "source_domain": "www.zdnet.fr", "digest": "sha1:GXWDEUWN3DIU6W3LYILXUGIXHCVHCRC7", "path": "/lustre/fsn1/projects/rech/qgz/uzq54wg/processed_redpajama/base_processing/output/fr/2016-26/000_00028.parquet"}
Sécurité : les DSI hésitent à se fier à des tierces-parties
Sécurité : Face à la complexité du dossier sécurité, les DSI tentent de s’organiser au mieux avec le concours, ou la pression, d’un RSSI. Le recours à des spécialistes semble se limiter aux audits, obligatoires. Pourtant, la sécurité du système d’information peut-elle encore s’envisager comme un domaine en autarcie, fût-il hautement protégé ? Par
Mercredi 16 Mars 2016
La sécurité du système d'information est un chantier sans cesse actif. Pour plusieurs raisons. La course-poursuite ne ralentit pas entre les cybercriminels - des hackers toujours plus inventifs jusqu'à des organisations criminelles mafieuses voire certains Etats - et les gendarmes du Net, incarnés par une armée d'experts en sécurité. Les applications courantes comme les solutions métiers informatiques spécialisées deviennent plus sophistiquées et de plus en plus communicantes. Elles sont donc toujours plus exposées aux risques de vol, de détournements frauduleux, ou d'altérations aux conséquences d'autant plus sérieuses que la plupart de ces actes malveillants restent longtemps invisibles. Selon plusieurs experts en audit, les risques et pertes sont en constante augmentation et 8 fois sur 10, l'entreprise piratée ne le sait pas.Ces risques pourraient encore augmenter avec la multiplication des process automatiques dus à la transformation numérique des entreprises. Les données falsifiées en début de chaîne de traitement, y compris en provenance des capteurs du nouvel univers IoT (Internet of things), vont s'insérer dans des applications elles-mêmes susceptibles d'enclencher automatiquement des actions ou des prises de décisions à un rythme qui s'accélère.Faute de budget…La plupart des entreprises ne découvrent pas le phénomène. Mais beaucoup de DSI ont du mal à obtenir des nouveaux budgets pour prévenir cette montée des risques. Certains, à court d'arguments face à leur direction, en viennent à souhaiter des incidents sérieux afin que le top-management prenne conscience de la nécessité d'investir un peu plus dans la sécurité, comme on le fait dans l’assurance contre les sinistres courants.Pour leur part, certains responsables de la sécurité du SI, affirmant leur maîtrise de la situation, hésitent à se tourner vers des compétences externes, sauf, pour les missions d'audit (parce que, là, ils n’ont pas le choix…)Des paradoxes constantsEn matière de sécurisation des données au sein d'une entreprise, les paradoxes ne manquent pas : ils conduisent à admettre qu'il n'est pas réaliste de vouloir fonctionner en autarcie; il n'est plus imaginable de construire un système de verrouillage uniforme, reposant sur un rempart de 'firewalls' protégeant tous les accès au système d'information sur une zone délimitée unique (DMZ). Car la plupart des architectures SI aujourd'hui ont dû s'ouvrir aux smartphones et aux tablettes personnelles, comme aux accès vers le Cloud, notamment pour des applications en SaaS. Les utilisateurs finaux souscrivent aujourd’hui à des services SaaS ou à Dropbox sans l’aval de la direction informatique et en dépit des règles de sécurité (cf. le 'shadow IT'). Ils y accèdent souvent avec des 'devices' non contrôlés par l’entreprise. Et ce n’est pas un épiphénomène : un DSI d’une société du CAC 40 qui estimait à près de 100 le nombre total d’applications SaaS « pirates » dans sa société, a appris d’un audit qu’il y en existait, en réalité, 2500...De même, les réseaux sociaux et les applications de communications intrusives comme Skype se généralisent. Le réseau de l'entreprise s'ouvre également aux partenaires, fournisseurs ou grands clients ou instances professionnelles.Ne pas baisser la gardeDans ce nouveau contexte, il est certes important de renforcer sinon maintenir à niveau les compétences sécurité en interne, dans l'entreprise. On veille en priorité à renforcer l'authentification mais surtout à verrouiller les données par des solutions de chiffrement. Et à partir d'un certain périmètre à protéger. Une équipe sécurité du SI peut être constituée en 'centre opérationnel de sécurité' (ou SOC, Security Operation Center). Toute cette organisation peut être opérée en interne. Mais le budget risque d’être bien lourd. Il faut aussi opérer, régulièrement, des tests d'intrusion et vérifier la résilience des protections mises en place, et donc faire réaliser des audits de conformité. Force est de recourir à des prestataires, qui outre des solutions de supervision, proposent des 'scans' de vulnérabilités.L'ouverture à l'extérieur s'impose également pour être averti des principales cyber-attaques, comme cela se pratique pour la signature des virus. Afin d'identifier et, mieux, anticiper de possibles agressions externes, il faut alors échanger des informations y compris, parfois, avec ses concurrents. Certes, ce pourrait être un avantage concurrentiel de ne pas le faire, mais il ne faut pas se tromper de bataille. C'est le principe même du 'Threat intelligence sharing' qui veut que l'on partage des informations entre plusieurs entreprises afin d'être mieux protégé des cyber-menaces. C'est notamment crucial s'agissant des attaques dites APT (menaces persistantes avancées, Avanced persistent threats) : des malwares s’infiltrent dans les réseaux, se mettent en sommeil durant plusieurs semaines ou plusieurs mois puis se réveillent à une date programmée.Un certain nombre d'entreprises, adeptes des services managés (sans nécessairement aller jusqu'à l'infogérance), ont depuis longtemps opté pour des services support externes comme le help desk. Ce n’est pas la majorité. La déclinaison de cette forme de sous-traitance dans le domaine de la sécurité tend pourtant à se développer, y compris en France où le tissu de sociétés de services spécialisées dans la cyber-sécurité est réputé dense.Il est vrai que, pour une entreprise de taille moyenne, mettre en place des procédures de sécurité telles que définies par les normes ISO 27000 (phases 'do','check', 'act', etc., avec cercle vertueux d'amélioration) n'est pas à sa portée. Comme le recommande l'organisation Clusif, il convient de s'en tenir à « une politique de sécurité réaliste, cohérente et pragmatique , et non à une accumulation de mesures et de produits de sécurité ». Et comme le constate une note de synthèse CyberEdu (initiée par l’ANSSI, Agence Nationale de Sécurité des SI), on assiste, face à la montée des attentes en matière de sécurité, à un besoin croissant en compétences. La logique voudrait alors que l’on se tourne vers des spécialistes. L’ordonnancement des bonnes pratiques selon l'ISO 27002 (Source : CyberEDu/ANSSI) 01.2015.Certains se proposent de construire un socle SIEM (management du SSI) avec tableaux de bord décisionnel, de faire l’analyse de logs, jusqu'à s’appuyer sur des systèmes experts ou la mise en corrélation d’incidents avec les dispositifs de sécurité, les nœuds réseaux et les serveurs d’applications, etc. La tendance est également à l’analyse comportementale en lien avec des codes suspects.Des précautions à prendreFaire appel à un prestataire spécialisé n'implique pas de s'en remettre à lui sans contrôle. L'ANSSI fournit une liste de précautions et de bonnes pratiques à respecter dans un contrat de services managés : des délais d'installation des correctifs de sécurité, des journaux d'événements et des reportings réguliers. Les procédures de confidentialité sont strictement définies au préalable. Toutes les interventions doivent être tracées. Les audits de sécurité sont effectués par une société tierce partie.Et laissons le mot de la fin au CLUSIF (Lionel Mourer) : «Le danger, c’est le manque de suivi sur ces processus, trop souvent insuffisant. On se contente d’externaliser sans ensuite auditer ces entreprises externes et leur gestion des informations. Et on a parfois des surprises ». Le rapport 2015 de l’association révélait que 44% des entreprises ayant recours à l’infogérance ne réalisent pas d’audit sur la gestion de leurs données à l’extérieur
Sommaire du dossier - Simplifier l'IT
1 - Trop complexe, le SI pèse sur la compétitivité
2 - Comment reprendre la main sur le cycle de vie des données ?
3 - Le Shadow IT : puisqu’il subsiste, comment en tirer parti ?
4 - Cloud : comment s’extirper des contraintes ambiantes ?
5 - Stockage, sauvegarde, archivage : comment garder la maîtrise et sous-traiter ?
6 - Sécurité : les DSI hésitent à se fier à des tierces-parties
7 - Compétences de la DSI : Une nécessaire mutation, avec ou sans partenaires ?
8 - Le DSI et la profusion des données : nouveaux défis, nouvelles missions
Sujet: Simplifier l'IT DSI Sécurité Cloud Monitor
Suivre via: RSS
Réagissez à l'article	Connectez vous ou Enregistrez-vous pour commencer la discussion
publicité A la une de ZDNet	Dernières news
Les news les plus populaires	publicité 4G Monitor
Comparez les performances 4G des opérateurs mobiles