Views
5 months ago

Cybersecurity 2019

  • Text
  • Faire
  • Attaques
  • Suisse
  • Entreprise
  • Contre
  • Netzmedien
  • Mots
  • Peuvent
  • Passe
  • Entreprises

08 SPÉCIAL MANAGEMENT

08 SPÉCIAL MANAGEMENT Comment les CISO travaillent à améliorer la posture sécuritaire de leur entreprise Face à des menaces croissantes, les responsables en chef de la sécurité travaillent à étendre la sécurité dans l’organisation et les processus de l’entrprise. Des progrès sont néanmoins à faire en matière de fixation des budgets et de sensibilisation des employés, selon une vaste enquête de Cisco. Yannick Chavanne, Rodolphe Koller Seuls 35% des responsables estiment qu’il leur est facile de déterminer la portée d’une attaque, de la contenir et de remédier à la faille. L’humain est régulièrement identifié comme le maillon faible en matière de sécurité. Pourtant, seul un CISO sur deux s’évalue comme excellent lorsqu’il s’agit de gérer ce facteur humain. Par exemple au niveau des procédures d’onboarding et de gestion des départs. Toujours selon l’étude, les responsables sécurité ne proposent pas assez fréquemment des formations au personnel: seulement 39% des répondants organisent des formations suite à un incident. 61% des entreprises organisent tous les six mois des tests d’intrusion et exercices de réponse à une cyberattaque. «Il y a une marge de progression dans ce domaine», analysent les auteurs. Un tiers des CISO sondés ne procèdent à ces tests qu’une fois par année et une faible part encore plus rarement. Une majorité des responsables sont satisfaits de la manière dont ils intégrent la sécurité dans les applicatifs et dans les processus d’acquisition et de maintenance. Pour la cinquième fois, Cisco a publié son CISO Benchmark Report. Menée auprès de plus de 3200 responsables en sécurité IT dans 18 pays, l’étude permet de comprendre les craintes principales des Chief Information Security Officers (CISO), comment ils développent la sécurité auprès des autres fonctions de l’entreprise et les critères qu’ils utilisent pour déterminer leur budget. Contrôle et évaluation des dépenses Pour contrôler les dépenses de sécurité, les CISO se basent en priorité sur les objectifs organisationnels. Presque tous accordent leur confiance à la direction quant aux paramètres choisis pour évaluer l’efficacité de leur programme de sécurité. Pour établir leur budget, une part importante des responsables sécurité (42%) s’appuie sur les budgets des années précédentes. Les auteurs de l’étude déconseillent cette approche, la nature des menaces pouvant passablement évoluer d’une année à l’autre. Pour la même raison, faire correspondre un budget de sécurité à un pourcentage du chiffre d’affaires ne constitue pas une bonne stratégie. Plus originales, certaines entreprises intègrent la possibilité de s’assurer contre les risques pour déterminer leur budget… Collaboration et sensibilisation Dans leur nette majorité (95%), les CISO interrogés estiment très bien collaborer avec les administrateurs réseau. Cette absence de silos est financièrement profitable. Mieux les CISO et les administrateurs réseau collaborent, moins les coûts relatifs à une brèche sont élevés. Une corrélation qui pourrait motiver la mise en place d’équipes DevSecOps, indiquent les auteurs de l’étude. Malware + e-mail + négligence: le trio infernal Les malwares et leurs variantes (ransomwares et spywares) sont responsables de plus de la moitié des brèches de sécurité avérées expérimentées par les milliers de responsables en sécurité IT interrogés. L’e-mail ressort en outre comme un vecteur de risque à contrôler de près, les spams truffés de virus et les tentatives de phishing étant en cause dans une brèche sur quatre. Si bien que le comportement des utilisateurs est aujourd’hui la plus grande préoccupation des CISO. En comparaison, les risques liés au passage au cloud leur semblent plus aisés à contrôler. De l’acquisition de produits aux droits d’accès, la sécurité est partout Pour assurer la protection de leur organisation, les CISO passent régulièrement en revue leurs pratiques et outils de sécurité. Ils font en sorte de gérer comme il se doit les contrôles techniques et intègrent la sécurité dans les procédures d’acquisition, de développement et de maintenance des systèmes et applications. Il convient en outre de contrôler de manière appropriée les droits d’accès aux réseaux, systèmes, applications, fonctions et données. Les CISO interrogés estiment aussi procéder adéquatement à l’intégration de la sécurité dans les systèmes et applications. Plus de la moitié des responsables sécurité estiment par ailleurs faire «un excellent travail» de gestion de la sécurité des ressources humaines grâce à un onboarding complet des employés et à de bons processus de gestion des mutations et des départs. En revanche, moins de la moitié des CISO jugent faire un bon travail d’intégration de la sécurité dans les applications mobiles externes et orientées client. www.ictjournal.ch © netzmedien ag

MANAGEMENT SPÉCIAL09 Lequel des éléments suivants votre organisation utilise-t-elle pour déterminer et/ou contrôler les dépenses de sécurité? A quelle fréquence votre entreprise pratique-t-elle un test ou exercice pour mettre en pratique son plan de réponse à un incident de cybersécurité? Objectifs de l’organisation en matière de sécurité 47% Tous les 6 mois Une fois pas an Une fois tous les 2 ans Rarement (plus de 2 ans entre les test) Jamais 46% Budgets basés sur les budgets des années précédentes 42% Pourcentage du chiffre d’affaires 40% 3% 3% Cyberassurance 35% 33% 61% Outsourcing 4% Aucune mesure 0% Autres méthodes Source: CISO Benchmark Report 2019, Cisco Source: CISO Benchmark Report 2019, Cisco Quels types d’incidents/attaques de sécurité avez-vous rencontrés au cours de l’année écoulée? Les 4 pratiques complémentaires les plus couramment employées par les CISO pour assurer la protection de leur entreprise Malware Spams infectés Phishing Spyware 36% 38% 42% 49% 57 % Nous revoyons régulièrement nos pratiques et outils de sécurité pour nous assurer qu’ils sont à jour et efficaces. 56 % Les contrôles de sécurité technique des systèmes et des rése aux sont bien gérés. Violation de données 33% Ransomware Malware sur mobile Partage de fichiers inapproprié Identifiants volés Malware sans fichier 23% 21% 19% 19% 27% 55 % Nous faisons un bon travail d’intégration de la sécurité dans nos procédures d’acquisition, de développement et de maintenance des systèmes et applications. 54 % Les droits d’accès aux réseaux, systèmes, applications, fonctions et données sont contrôlés de manière appropriée. Source: CISO Benchmark Report 2019, Cisco Source: CISO Benchmark Report 2019, Cisco www.ictjournal.ch © netzmedien ag