Supposons une brèche : Bonnes pratiques en matière de cyber-résilience

La question n'est pas de savoir si, mais quand une organisation ou un individu sera victime d'une violation dans le cyberespace. Si vous en êtes convaincu, vous avez franchi l'étape cognitive la plus importante : vous êtes prêt à "assumer la violation" et à renforcer votre résilience pour résister à une cyberattaque.

Mais si vous supposez qu'il y a eu violation, qu'est-ce que cela signifie pour la façon dont vous envisagez les investissements en matière de sécurité dans les personnes, les processus et la technologie ? Plus important encore, quelles stratégies votre organisation devrait-elle employer pour devenir sûre au-delà de la violation ? Le 24, 2018, Illumio a réuni un groupe de leaders en stratégie de cybersécurité et en technologie à Washington, D.C., pour discuter de l'hypothèse d'une violation et identifier les meilleures pratiques en matière de cyber-résilience. 

Vous trouverez ci-dessous un résumé des principales conclusions de cette journée. Pour ceux qui souhaitent entendre toutes ces personnes intelligentes parler, restez à l'écoute des vidéos. 

Les 3 principaux enseignements

Si vous supposez qu'il y a eu violation, vous devez le faire :

1. Adoptez un état d'esprit d'adversaire.
2. Suivez une stratégie de confiance zéro et micro-segmentez vos réseaux.
3. Entraînez-vous et préparez votre organisation à la gestion des brèches.
   
   

Violation de l'hypothèse : Explication

Pour assumer une violation, il faut adopter un état d'esprit d'adversaire. Aujourd'hui, les États-nations adversaires et les organisations criminelles disposent de l'argent, du personnel et du temps nécessaires pour travailler patiemment à vous frapper dans le cyberespace. Supposer une brèche signifie être prêt à affronter une attaque contre les choses auxquelles vous tenez le plus, d'une manière à laquelle vous ne pouvez pas nécessairement vous attendre. Cette hypothèse est inscrite dans notre ADN dans le monde physique de l'après¹¹ septembre - si nous voyons quelque chose, nous savons tous qu'il faut le dire - mais le concept ne s'est pas traduit dans nos pratiques de cybersécurité (même si l'utilisation des données et de l'internet s'est développée de manière exponentielle).   

Pour parer à toute éventualité, il faut d'abord protéger vos actifs les plus précieux et les plus essentiels à la mission de l'entreprise. Si un acteur hostile cherche à obtenir un avantage, que tentera-t-il de voler, de manipuler ou de briser dans une organisation ? Si vous pensez qu'il y a eu violation, vous devez vous concentrer sur la protection des données qui sont à la base de vos missions les plus importantes. Dans le cas de l'Office of Personnel Management (OPM) des États-Unis, il s'agissait de la base de données qui contenait les dossiers de 21,5 millions de fonctionnaires du gouvernement américain. Dans le cas du fournisseur de soins de santé de Singapour, SingHealth, en 2018, c'est la base de données du nuage de santé publique qui a stocké les données de santé de 1,5 million de Singapouriens. Dans le cas de l'entreprise de commandement et de contrôle nucléaire de l'armée américaine, il pourrait s'agir des systèmes de communication par satellite qui soutiennent la dissuasion nucléaire américaine.

Supposer une violation signifie prévoir de perdre une partie de ce à quoi vous tenez et se préparer à travailler avec des données exposées ou dégradées. En cas de violation, l'efficacité de votre mission peut être mise à mal. C'est pourquoi l'armée américaine met en place une redondance pour sa logistique et ses opérations. Pour défendre une ville contre une attaque combinée de missiles balistiques et de cyberattaques, deux batteries Patriot peuvent suffire, mais l'armée peut en installer quatre pour des raisons de résilience. En cas d'interruption des activités d'une banque, que ce soit à la suite d'une attaque par déni de service distribué ou d'une attaque par logiciel malveillant, les banques peuvent souhaiter investir dans des réseaux redondants afin de poursuivre leurs opérations financières si l'un d'entre eux tombe en panne.

Vous serez mieux loti après une violation si vous avez pris en compte ces scénarios.

Investir dans la résilience est la conclusion logique de l'hypothèse d'une violation. Il n'en reste pas moins qu'il s'agit là de prémisses inconfortables. De la même manière que vous souscrivez une assurance-vie après la naissance d'un enfant, vous serez mieux loti après une violation si vous avez pris en compte les pires scénarios.     

Confiance zéro et microsegmentation

Vous ne pouvez pas investir au hasard ; vous avez besoin d'une stratégie pour sécuriser votre patrimoine. Chase Cunningham, l'un des plus grands penseurs américains en matière d'opérations de sécurité et de cyber-analyse, aide les organisations à mettre en œuvre une stratégie de confiance zéro pour assurer leur résilience. La confiance zéro repose sur l'idée que les utilisateurs au sein d'un réseau ne sont pas plus dignes de confiance que les utilisateurs en dehors d'un réseau. Comme il l'affirme, bon nombre des cyberattaques majeures dont nous avons entendu parler au cours de la dernière décennie reposent sur un problème simple : les centres de données sont ouverts et non sécurisés. 

La durée moyenne pendant laquelle un intrus peut rester dans un réseau sans être détecté est de plus de six mois. Dans un centre de données non sécurisé comme celui de l'Office of Personnel Management en 2014/15, l'intrus chinois a bénéficié d'une liberté d'accès totale. Si vous ne faites confiance à personne et que vous vérifiez tout ce qui entre dans votre réseau, vous devez sécuriser votre centre de données de l'intérieur pour empêcher les actions non autorisées.

Dans le nouveau monde de l'informatique dématérialisée, les outils d'hier risquent de ne plus suffire. À l'instar de l'informatique dématérialisée, vos investissements en matière de sécurité doivent évoluer en fonction des menaces. La micro-segmentation définit des politiques et des règles pour la manière dont chaque partie du centre de données interagit. Il s'agit d'une nouvelle couche - une dernière couche de résilience dans la nouvelle pile de sécurité.

Se préparer à devenir sûr au-delà de la violation

Au niveau stratégique, les organisations assument la rupture et planifient la perturbation par le biais de divers moyens de gestion et non technologiques. La formation est essentielle. Au sein du ministère de la défense, l'armée américaine s'entraîne non seulement à faire face à des brèches, mais aussi à des perturbations cybernétiques totales des opérations militaires ; au-delà des investissements de redondance, comme une batterie Patriot supplémentaire, les pilotes et les capitaines préparent quotidiennement leurs équipes à "voler à l'aveugle" en cas d'attaque. Cela peut signifier faire voler un F-35 sans communications ou piloter un navire dans l'océan sans le système de positionnement global.

De même, les entreprises doivent se préparer à une brèche en identifiant les procédures d'urgence dont elles pourraient avoir besoin pour gérer la crise. L'une des étapes les plus importantes consiste à identifier les faits ; sans eux, vous ne pouvez pas bien communiquer au sein de votre organisation ou à l'extérieur. Il est utile d'élaborer un cahier des charges pour la gestion des brèches - et d'organiser des exercices sur table pour identifier les lacunes et les failles afin de voir comment votre organisation pourrait réagir en cas d'incident. Le meilleur exercice sur table est celui qui modifie les systèmes de communication d'une organisation et oblige les équipes à réagir sans avoir accès aux données. Enfin, les organisations doivent s'entraîner à communiquer avec les actionnaires et les autres acteurs du monde extérieur au sujet de la violation.

Après une violation, les reproches et les analyses médico-légales sont la partie la plus facile de l'histoire. Il est plus difficile d'inciter les dirigeants à investir. Modifier leurs schémas mentaux et assumer les violations, investir dans le personnel et la technologie pour résister aux attaques et prendre le temps de s'entraîner à la perturbation. Pourtant, grâce à de petits investissements de pointe, les pays et les organisations peuvent empêcher les pires scénarios de se produire - et devenir plus sûrs qu'ils ne le sont.