[et_pb_section fb_built=\u00a0\u00bb1″ admin_label=\u00a0\u00bbSection\u00a0\u00bb _builder_version=\u00a0\u00bb4.22.0″ _module_preset=\u00a0\u00bbdefault\u00a0\u00bb custom_margin=\u00a0\u00bb0px||0px||false|false\u00a0\u00bb custom_padding=\u00a0\u00bb0px||0px||false|false\u00a0\u00bb locked=\u00a0\u00bboff\u00a0\u00bb global_colors_info=\u00a0\u00bb{}\u00a0\u00bb][et_pb_row column_structure=\u00a0\u00bb1_4,3_4″ _builder_version=\u00a0\u00bb4.27.0″ _module_preset=\u00a0\u00bbdefault\u00a0\u00bb custom_padding=\u00a0\u00bb50px||||false|false\u00a0\u00bb custom_css_main_element=\u00a0\u00bbz-index:0!important;\u00a0\u00bb global_colors_info=\u00a0\u00bb{}\u00a0\u00bb][et_pb_column type=\u00a0\u00bb1_4″ disabled_on=\u00a0\u00bbon|on|off\u00a0\u00bb _builder_version=\u00a0\u00bb4.22.0″ _module_preset=\u00a0\u00bbdefault\u00a0\u00bb custom_padding=\u00a0\u00bb||||false|false\u00a0\u00bb sticky_position=\u00a0\u00bbtop\u00a0\u00bb sticky_offset_top=\u00a0\u00bb100px\u00a0\u00bb sticky_limit_bottom=\u00a0\u00bbsection\u00a0\u00bb motion_trigger_start=\u00a0\u00bbtop\u00a0\u00bb global_colors_info=\u00a0\u00bb{}\u00a0\u00bb][et_pb_text admin_label=\u00a0\u00bbindice\u00a0\u00bb _builder_version=\u00a0\u00bb4.27.0″ _module_preset=\u00a0\u00bbdefault\u00a0\u00bb custom_margin=\u00a0\u00bb||0px||false|false\u00a0\u00bb custom_padding=\u00a0\u00bb||14px||false|false\u00a0\u00bb link_option_url=\u00a0\u00bb#1″ global_colors_info=\u00a0\u00bb{}\u00a0\u00bb]<\/p>\n
Sections<\/strong><\/p>\n [\/et_pb_text][\/et_pb_column][et_pb_column type=\u00a0\u00bb3_4″ _builder_version=\u00a0\u00bb4.27.0″ _module_preset=\u00a0\u00bbdefault\u00a0\u00bb custom_css_main_element=\u00a0\u00bbz-index:0!important;\u00a0\u00bb global_colors_info=\u00a0\u00bb{}\u00a0\u00bb][et_pb_text admin_label=\u00a0\u00bbseccion\u00a0\u00bb module_id=\u00a0\u00bb1″ module_class=\u00a0\u00bbittopicscontent\u00a0\u00bb _builder_version=\u00a0\u00bb4.27.0″ _module_preset=\u00a0\u00bbdefault\u00a0\u00bb z_index=\u00a0\u00bb0″ custom_margin=\u00a0\u00bb0px||0px||true|false\u00a0\u00bb custom_padding=\u00a0\u00bb0px||0px||false|false\u00a0\u00bb custom_css_main_element=\u00a0\u00bbfont-family:%22Pandora-Light%22;\u00a0\u00bb locked=\u00a0\u00bboff\u00a0\u00bb global_colors_info=\u00a0\u00bb{}\u00a0\u00bb]NWilliam Faulkner, prix Nobel, a \u00e9crit qu\u2019on ne peut pas nager vers de nouveaux horizons sans le risque et le courage de perdre de vue le rivage. Bonne chance pour expliquer cela aux RH lors de l\u2019entretien de d\u00e9part, si cette citation a inspir\u00e9 votre strat\u00e9gie de cybers\u00e9curit\u00e9. Dans ce domaine, l\u2019att\u00e9nuation des risques est le principe fondamental<\/strong> \u2014 tout le reste n\u2019est que litt\u00e9rature. C\u2019est pourquoi nous allons voir les \u00e9l\u00e9ments cl\u00e9s de cette gestion des risques<\/a> : ses strat\u00e9gies, ses outils, les normes et bien plus encore.<\/p>\n Dans la vie, il est impossible d\u2019\u00e9liminer compl\u00e8tement les risques. Mais en tant que responsables de la s\u00e9curit\u00e9, nous devons trouver un juste \u00e9quilibre : r\u00e9duire les risques au maximum sans compromettre les op\u00e9rations de l\u2019organisation.<\/strong><\/p>\n Trouver cet \u00e9quilibre est loin d\u2019\u00eatre simple. Commen\u00e7ons donc par le d\u00e9but.<\/p>\n Avant toute chose, mettons-nous d\u2019accord sur les d\u00e9finitions. Lorsqu\u2019on parle d\u2019att\u00e9nuation des risques, il est essentiel de bien comprendre les concepts de base.<\/p>\n Une strat\u00e9gie de s\u00e9curit\u00e9 solide consiste \u00e0 \u00e9quilibrer ces trois facteurs, comme un jongleur essayant de maintenir des assiettes en rotation sans les faire tomber. Cela implique de prendre des risques calcul\u00e9s et d\u2019allouer les ressources selon l\u2019impact et la gravit\u00e9 des menaces<\/strong>.<\/p>\n Traditionnellement, il existe quatre approches pour g\u00e9rer les risques et les menaces :<\/p>\n Le ransomware n\u2019est qu\u2019une menace parmi tant d\u2019autres qui p\u00e8sent sur l’infrastructure IT<\/a>, On peut classer les menaces en plusieurs cat\u00e9gories :<\/p>\n Ces types de menaces sont interconnect\u00e9s<\/strong> : une faille op\u00e9rationnelle ou de s\u00e9curit\u00e9 peut affecter la r\u00e9putation et entra\u00eener des sanctions.<\/p>\n Par exemple, Gitlab a connu une panne op\u00e9rationnelle en 2017 sur une base de donn\u00e9es de production, provoquant des heures d\u2019indisponibilit\u00e9 et la perte de 300 Go de donn\u00e9es… et de r\u00e9putation. De m\u00eame, une coupure dans un centre de donn\u00e9es AWS en 2021 a mis hors service des entreprises comme Coinbase ou Disney+, montrant qu\u2019en d\u00e9pit de la strat\u00e9gie de transfert, le risque ne se cr\u00e9e ni ne se d\u00e9truit, il se transforme simplement.<\/p>\n De la m\u00eame fa\u00e7on, on a l\u2019amende record inflig\u00e9e \u00e0 Amazon de 746 millions d\u2019euros (la petite monnaie dans la poche de pantalon de Bezos) pour non-respect du RGPD. Ou encore les 18,5 millions de Target (plus 202 millions de frais juridiques, montrant que les avocats sont une autre menace) pour le vol de 40 millions de num\u00e9ros de cartes de cr\u00e9dit et violation du PCI-DSS.<\/p>\n En termes de r\u00e9putation, l\u2019affaire Cambridge Analytica a caus\u00e9 plus de tort \u00e0 Facebook que n\u2019importe quelle d\u00e9claration de Zuckerberg, tandis que le piratage de Sony Pictures en 2014 a laiss\u00e9 l\u2019impression qu\u2019il valait mieux ne m\u00eame pas leur confier le nom du chat.<\/p>\n Dans un tel contexte, tout ce qui ne serait pas un plan global sera insuffisant<\/strong>. Il ne s\u2019agit pas d\u2019un document statique oubli\u00e9 dans un tiroir, murmurant pourquoi on l\u2019a abandonn\u00e9, mais bien d\u2019une approche active align\u00e9e sur les meilleures pratiques et normes<\/strong> telles que l\u2019ISO 31000 ou le NIS SP 800-37 pour la gestion des risques<\/a>.<\/p>\n Les \u00e9tapes<\/strong> du plan :<\/p>\n Analysons chaque \u00e9tape.<\/p>\n La cybers\u00e9curit\u00e9 est le plus vaste des continents et il est impossible de tout couvrir \u2014 mais ce n\u2019est pas n\u00e9cessaire. Chaque organisation poss\u00e8de un mod\u00e8le de menaces diff\u00e9rent et la premi\u00e8re \u00e9tape consiste \u00e0 identifier celles qui sont prioritaires pour nos actifs critiques<\/strong> (donn\u00e9es, syst\u00e8mes et services).<\/p>\n Comme nous n\u2019avons pas un budget illimit\u00e9 et que tous les risques ne se valent pas, nous devons :<\/p>\n Le r\u00e9sultat concret de cette \u00e9tape est une liste de risques associ\u00e9s<\/strong> \u00e0 notre infrastructure. Par exemple, notre ancien ERP ne re\u00e7oit plus de mises \u00e0 jour de s\u00e9curit\u00e9, nous exposant ainsi aux attaques SQLi.<\/p>\n Tous les risques ne se valent pas. Certains peuvent \u00eatre improbables, d\u2019autres plausibles mais avec un impact minimal. C\u2019est pourquoi nous devons \u00e9valuer ces deux facteurs et classer les risques identifi\u00e9s selon leur probabilit\u00e9 et leur impact<\/strong>. Cela nous permet d\u2019\u00e9tablir un tableau ou une matrice indiquant si chaque facteur de risque est faible, moyen ou \u00e9lev\u00e9.<\/p>\n Par exemple, en suivant le principe de sauvegarde 3-2-1, la copie hors site peut \u00eatre difficile d\u2019acc\u00e8s, ce qui rend la probabilit\u00e9 de br\u00e8che faible, mais son impact \u00e9lev\u00e9 en cas de survenance.<\/p>\n Si nous travaillons pour une organisation mature disposant de donn\u00e9es historiques, nous pouvons r\u00e9aliser une analyse quantitative en plus de l\u2019analyse qualitative. Cela implique de se familiariser avec des concepts de gestion des risques tels que :<\/p>\n Le r\u00e9sultat tangible de cette phase est un classement des risques<\/strong> (qualitatif, quantitatif ou les deux) selon leur niveau de criticit\u00e9<\/strong>.<\/p>\n Au cours de notre travail, nous aurons parfois l\u2019impression d\u2019avoir mille fronts ouverts avec seulement quelques soldats disponibles. L\u2019\u00e9tape pr\u00e9c\u00e9dente sert \u00e0 les affecter dans les bonnes tranch\u00e9es. Autrement dit, \u00e0 allouer les ressources disponibles aux menaces pr\u00e9sentant le plus grand impact<\/strong>.<\/p>\n Par exemple, nous avons une liste qui ferait p\u00e2lir la liste de courses hebdomadaire. Nous y identifions un risque DDoS avec un ALE calcul\u00e9 de 300 000 euros, car nous sommes une boutique en ligne et chaque seconde d\u2019indisponibilit\u00e9 compte. De la m\u00eame mani\u00e8re, nous analysons que, compte tenu des donn\u00e9es clients \u00e0 prot\u00e9ger, le RGPD pourrait nous infliger une lourde amende de plus de 100 000 euros si nous ne les s\u00e9curisons pas correctement.<\/p>\n Le r\u00e9sultat de cette \u00e9tape serait une liste d\u2019actions imm\u00e9diates<\/strong>, comme par exemple, mettre en place un WAF (Web Application Firewall) et\/ou collaborer avec Cloudflare pour att\u00e9nuer le risque DDoS, ainsi que v\u00e9rifier les points du RGPD afin de r\u00e9duire le montant potentiel de l\u2019amende.<\/p>\n Ensuite, nous continuerons avec les autres risques\u2026 ceux qui ont moins de z\u00e9ros derri\u00e8re.<\/p>\n Vider l\u2019oc\u00e9an \u00e0 la louche serait plus facile que de contenir toutes les menaces. En plus, elles se reproduisent plus vite que les tribbles (r\u00e9f\u00e9rence pour les vrais geeks qui trahissent mon \u00e2ge et mes obsessions). C\u2019est pourquoi, apr\u00e8s les \u00e9tapes pr\u00e9c\u00e9dentes, le travail ne fait que commencer<\/strong>.<\/p>\n \u00c0 ce stade, nous devons valider l\u2019efficacit\u00e9 des mesures mises en place et continuer \u00e0 nous adapter<\/strong> aux nouvelles menaces qui \u00e9mergent chaque jour.<\/p>\n Autrement dit, faire notre travail, dont la performance est g\u00e9n\u00e9ralement \u00e9valu\u00e9e \u00e0 l\u2019aide d\u2019indicateurs tels que :<\/p>\n Attendre n\u2019est ni une mani\u00e8re de vivre, ni une fa\u00e7on de d\u00e9fendre notre infrastructure IT. C\u2019est pourquoi la gestion des risques doit \u00eatre proactive et anticipative<\/strong>, en partant du principe qu\u2019il ne s\u2019agit pas de savoir si une menace se concr\u00e9tisera, mais quand<\/strong> et en mettant en \u0153uvre des strat\u00e9gies capables de les att\u00e9nuer imm\u00e9diatement. En suivant le sch\u00e9ma des 4 strat\u00e9gies classiques que nous avons vu, nous pouvons appliquer :<\/p>\n R\u00e9duction des risques<\/strong>. R\u00e9duire la probabilit\u00e9 d\u2019une br\u00e8che et de ses cons\u00e9quences gr\u00e2ce \u00e0 :<\/p>\n Transfert des risques<\/strong>. Impliquant des strat\u00e9gies telles que :<\/p>\n \u00c9limination des risques<\/strong>. Impossibles \u00e0 supprimer totalement, mais fortement r\u00e9duits sur certains aspects gr\u00e2ce \u00e0 des tactiques telles que :<\/p>\n Acceptation des risques<\/strong>. Lorsque ceux-ci ont un faible impact ou que leur att\u00e9nuation aurait un co\u00fbt prohibitif. Par exemple, en acceptant qu\u2019un certain pourcentage de phishing passe \u00e0 travers nos d\u00e9fenses.<\/p>\n Une grande partie de la cybers\u00e9curit\u00e9 quotidienne repose sur l\u2019utilisation d\u2019outils sp\u00e9cialis\u00e9s. Sans eux, il est impossible de faire face \u00e0 la situation actuelle<\/strong> en mati\u00e8re de risques.<\/p>\n IDS<\/a>, firewalls<\/i>, SOAR<\/a>… les options sont nombreuses et nous devons d\u00e9ployer les outils n\u00e9cessaires selon l\u2019analyse des risques r\u00e9alis\u00e9e dans les \u00e9tapes pr\u00e9c\u00e9dentes. Mais au centre de ces outils se trouve le SIEM<\/strong>, le centre de commande, l\u2019ordinateur central de l\u2019Enterprise, qui permet la proactivit\u00e9 et l\u2019action instantan\u00e9e face aux br\u00e8ches. Cela gr\u00e2ce aux capacit\u00e9s d\u2019un SIEM comme celui de Pandora pour :<\/p>\n L\u2019essentiel est que le SIEM agit comme l\u2019\u0153il de Sauron qui voit tout et constitue la premi\u00e8re ligne de d\u00e9fense active, envoyant les premi\u00e8res r\u00e9ponses automatis\u00e9es sur le champ de bataille.<\/p>\n Sans lui, les autres applications mettront en place une d\u00e9fense fragment\u00e9e, sans vision globale et sans communication entre les outils, laissant passer sous le radar des attaques sophistiqu\u00e9es comportant de nombreuses \u00e9tapes.<\/p>\n En technologie, il faut r\u00e9pondre \u00e0 de nombreux ma\u00eetres, et l\u2019un des plus importants est la l\u00e9gislation en mati\u00e8re de cybers\u00e9curit\u00e9, particuli\u00e8rement en ces temps troubl\u00e9s.<\/p>\n Tout responsable doit enfiler sa casquette d\u2019avocat et bien conna\u00eetre la r\u00e9glementation qui le concerne<\/strong>.<\/p>\n Par exemple, la directive europ\u00e9enne NIS2<\/a> ds\u2019applique aux entreprises consid\u00e9r\u00e9es comme critiques, comme celles du secteur de l\u2019\u00e9nergie ; le PCI-DSS nous concerne si nous traitons des paiements en ligne ; le RGPD s\u2019applique \u00e0 nous tous ; et l\u2019ISO 27001<\/a> n\u2019est pas une loi obligatoire mais constitue un cadre d\u2019excellence et de bonnes pratiques qui nous apportera la confiance des clients et des institutions.<\/p>\n Ces lois exigent des audits, une supervision<\/a> active, la tenue de journaux (logs)<\/strong>… Nous devons conna\u00eetre leurs exigences, mais voici la cl\u00e9 pour toutes les respecter :<\/p>\n Si nous appliquons les meilleures pratiques de cybers\u00e9curit\u00e9, restons \u00e0 la pointe de l\u2019excellence et mettons en \u0153uvre des outils professionnels pour nous accompagner, nous serons toujours en avance sur les exigences et resterons conformes<\/strong>.<\/p>\n La l\u00e9gislation a g\u00e9n\u00e9ralement un l\u00e9ger retard par rapport \u00e0 l\u2019innovation, ce qui est normal. En restant inform\u00e9s et en adoptant ces innovations, nous nous assurons de notre conformit\u00e9.<\/p>\n eu importe votre niveau d\u2019expertise, vous ne pourrez pas stopper le tsunami constant de menaces sans outils sp\u00e9cialis\u00e9s<\/strong>. Bonne chance si vous comptez vous user les yeux sur les logs ou gaspiller votre expertise \u00e0 mitiger les DDoS et le \u00e9ni\u00e8me phishing, pendant que des acteurs malveillants exploitent des attaques complexes qui passent parce que vous n\u2019avez pas eu le temps de les voir venir.<\/p>\n C\u2019est pourquoi il est essentiel d\u2019utiliser des outils qui int\u00e8grent \u00e9galement les meilleures pratiques, et de disposer de ce chef d\u2019orchestre qu\u2019est le SIEM.<\/p>\n Dans le cas de Pandora SIEM, il permet notamment :<\/p>\n D\u00e9tection des menaces complexes<\/strong> en croisant en quelques secondes les donn\u00e9es et la t\u00e9l\u00e9m\u00e9trie<\/a> des r\u00e9seaux, endpoints et applications, renforc\u00e9e par l\u2019IA pour la gestion de l\u2019ensemble de ces donn\u00e9es<\/a> Et cela quel que soit l\u2019environnement : Red Hat<\/a> Windows, macOS, ou tous \u00e0 la fois.<\/p>\n Example<\/i> : identification d\u2019une attaque APT (sch\u00e9ma : VPN + t\u00e9l\u00e9chargements massifs + PowerShell suspect), permettant d\u2019\u00e9viter un vol de donn\u00e9es.<\/p>\n Adaptation de la d\u00e9tection aux risques propres \u00e0 notre secteur<\/strong> et aux exigences r\u00e9glementaires.<\/p>\n Example<\/i> : r\u00e8gle anti-fraude pour notre soci\u00e9t\u00e9 financi\u00e8re bloquant les transactions sup\u00e9rieures \u00e0 10 000 \u20ac depuis des localisations anormales, r\u00e9duisant ainsi les fraudes.<\/p>\n\n
Concepts cl\u00e9s : risque, menace et impact<\/h2>\n
\n
Les 4 grandes strat\u00e9gies de gestion des risques en s\u00e9curit\u00e9<\/h2>\n
\n
Principaux types de menaces IT<\/h2>\n
\n
Comment concevoir un plan efficace de r\u00e9duction des risques<\/h2>\n
\n
1. R\u00e9aliser un inventaire<\/h3>\n
\n
2. Analyse des risques<\/h3>\n
\n
3. Priorisation des risques<\/h3>\n
4. Suivi et supervision<\/h3>\n
\n
Strat\u00e9gies pratiques pour anticiper les menaces<\/h2>\n
\n
\n
\n
Outils essentiels pour prot\u00e9ger l\u2019infrastructure<\/h2>\n
\n
Normes cl\u00e9s pour la s\u00e9curit\u00e9 IT<\/h2>\n
Cas pratique : comment Pandora SIEM aide \u00e0 prot\u00e9ger votre entreprise<\/h2>\n
1. Corr\u00e9lation avanc\u00e9e<\/h3>\n
2. R\u00e8gles personnalis\u00e9es<\/h3>\n
3. R\u00e9ponse automatis\u00e9e ajustabl<\/h3>\n