Gestion continue de la posture ou évaluations ponctuelles

Garder une longueur d'avance en sécurité commence par un changement d'état d'esprit

La plupart du travail de sécurité commence par une sollicitation. Un auditeur envoie une liste de demandes ou une alerte tombe dans la boîte de quelqu'un, et l'équipe laisse tout tomber pour enquêter et répondre. Prendre de l'avance demande un autre état d'esprit. Décidez à quoi ressemble une bonne posture, vérifiez-la à un rythme régulier et corrigez ce qui dérive avant que quiconque ait à vous solliciter. C'est cela, la sécurité proactive, et vous n'aurez jamais à enquêter sur l'incident que vous avez évité.

Le cycle sollicitation, enquête, réaction

Beaucoup des équipes avec lesquelles je discute gèrent la sécurité comme une boucle à deux déclencheurs.

Le premier est l'audit. Personne n'examine de près la posture avant l'arrivée de l'auditeur. L'équipe passe alors des semaines à extraire des rapports, reconstituer des chronologies et courir après des captures d'écran pour prouver qu'elle a respecté les critères toute l'année. Cela peut cocher la case de la conformité. Comme pratique de sécurité, c'est très insuffisant, car les preuves montrent ce qui était vrai la semaine de leur collecte et très peu de choses sur les mois précédents.

Le second est l'alerte. Les équipes plus matures choisissent les scénarios qui comptent pour elles, construisent des alertes autour et enquêtent quand l'une se déclenche. C'est un vrai progrès. Le hic, c'est que beaucoup d'alertes décrivent une politique déjà violée. Quand vous apprenez que quelqu'un a été ajouté à Domain Admins, ou qu'un dossier de fichiers sensibles a été ouvert à Everyone, vous enquêtez sur une violation que vous auriez préféré empêcher. Dans les deux cas, c'est l'auditeur ou l'incident qui fixe le calendrier de votre équipe.

Les référentiels attendent déjà une amélioration continue

Les auditeurs ont dépassé les instantanés depuis un moment. Un rapport SOC 2 Type I vérifie si les contrôles sont correctement conçus à une date donnée. Un rapport Type II teste s'ils ont fonctionné efficacement sur une période, généralement de 3 à 12 mois. ISO/IEC 27001:2022 exige de surveiller et de mesurer vos contrôles de sécurité (clause 9.1) et d'améliorer en continu votre système de management de la sécurité (clause 10.1). NIST CSF 2.0 inclut à la fois la surveillance continue et l'amélioration comme catégories. Chaque référentiel vous demande de montrer que vous agissez sur votre posture dans la durée, et la course pré-audit est la façon la plus difficile de le prouver.

À quoi ressemble la sécurité proactive en pratique

La sécurité proactive est surtout un rythme construit autour de politiques, et vous pouvez commencer petit.

• Définissez vos premières politiques à partir d'un référentiel. Inutile d'inventer une définition du bon niveau. Partez du référentiel qui compte pour votre entreprise, qu'il s'agisse des CIS Benchmarks, de NIST CSF ou des critères SOC 2 testés par votre auditeur. Transformez quelques-uns de ses contrôles en politiques. De bons points de départ sont les comptes activés sans connexion récente, les comptes qui n'exigent pas de mot de passe, les groupes privilégiés dont personne ne sait expliquer les membres et les fichiers sensibles partagés avec Everyone ou avec des utilisateurs externes.
• Connaissez vos scénarios et obtenez les données. Pour chaque politique, décidez de ce que vous devez voir pour savoir si elle est respectée. Déployez ensuite un outil qui surveille ces informations en continu, afin de ne pas les reconstituer à la main chaque trimestre.
• Rendez les constats clairs et exploitables. Votre base de référence n'est utile que si l'équipe peut la lire d'un coup d'œil et savoir quoi corriger en premier. S'il faut un expert pour interpréter les résultats, ils ne seront pas suivis d'effet.
• Passez en revue les risques proactifs chaque semaine. Réservez 30 minutes pour examiner les risques les plus importants qui ne sont pas encore devenus une alerte ou un incident. Pour chacun, décidez s'il est acceptable. Sinon, corrigez-le. Si vous continuez à accepter le même constat, votre politique doit peut-être être ajustée à la réalité de l'entreprise.
• Surveillez la tendance. Un score isolé montre où vous en êtes aujourd'hui. Son évolution dans le temps montre à la direction, et à votre auditeur, si la pratique fonctionne. De petites améliorations régulières facilitent les audits et continuent de réduire le risque, ce qui vous éloigne d'une éventuelle violation.

Prenons un exemple courant. Un prestataire termine un projet et son compte reste activé. Dans un modèle piloté par les alertes, vous l'apprenez lorsque ce compte se connecte depuis un endroit inattendu. Avec un rythme proactif, il apparaît dans votre revue hebdomadaire comme un compte activé sans activité récente, et vous le désactivez avant que quelqu'un d'autre puisse l'utiliser.

Le travail sur la posture n'arrêtera pas toutes les attaques, et vous avez toujours besoin d'alertes pour les comportements suspects. Il réduit les mauvaises configurations sur lesquelles s'appuient les attaquants, de sorte que les alertes que vous recevez ont plus de chances de signaler quelque chose de nouveau.

Pourquoi la plupart des équipes restent réactives

La taille de l'équipe compte moins que la maturité de la pratique. Une équipe de trois personnes peut mener un programme mature, et une grande entreprise peut encore courir d'audit en audit. Les équipes qui peinent le plus sont celles qui cherchent à s'améliorer, ou que pousse à le faire une nouvelle exigence de conformité, une revue de sécurité client ou un questionnaire de cyberassurance.

Ce qui les freine, c'est la friction. Elles n'ont pas de définition toute faite du bon niveau. Elles ne savent pas lesquels de centaines de paramètres comptent le plus, et personne n'a le temps de bâtir un référentiel de zéro. Les grandes organisations font souvent appel à des consultants pour en livrer un. C'est coûteux et cela produit en général une évaluation de plus, figée à une seule date. La plupart des petites et moyennes entreprises ne peuvent pas le budgéter du tout.

Je pense que supprimer cette friction est le travail du produit. Un bon outil de posture doit vous offrir une base de référence intégrée, une vue en langage clair de ce qui fait monter votre risque et une idée nette de ce qu'il faut corriger en premier. S'il attend de l'équipe qu'elle apporte son propre référentiel, la plupart des équipes ne dépassent jamais la première étape.

Commencez par le rythme

Pas besoin d'un programme mature pour démarrer. Commencez par quelques politiques issues d'un référentiel, obtenez une base de référence et protégez 30 minutes par semaine. Quelques mois plus tard, les sollicitations ne dictent plus votre agenda et le prochain audit devient un rapport que vous pouvez sortir en une après-midi.

C'est le type de pratique que nous bâtissons Netwrix 1Secure pour soutenir, avec des évaluations de risques intégrées qui donnent aux équipes un point de départ pour leur posture.

Découvrez où en est votre posture aujourd'hui. Lancez un essai gratuit de Netwrix 1Secure.