Plus de leçons de Steph Curry sur la sécurité des entreprises : Quand quelque chose ne va pas

Cet article a été publié à l'origine sur Forbes.com. Lisez la première partie de la série ici. 

Dans la première partie de cette série en deux volets, j'ai parlé des similitudes entre la protection des biens de grande valeur dans les espaces publics dans le monde réel et dans l'entreprise. Il s'agit notamment de comprendre la valeur des biens, de réduire les voies d'accès aux biens afin de minimiser la surface d'attaque potentielle et d'utiliser des contrôles de sécurité sur les points d'accès.

J'ai utilisé une analogie autour de Steph Curry, dont les buts à longue portée ont forcé les équipes adverses à changer leur tactique de défense. L'un des meilleurs tireurs de tous les temps, Curry a une valeur inégalée pour les Golden State Warriors. Incontournable sur le terrain, comment le protéger en dehors du terrain ?

J'ai décrit un scénario dans lequel Steph prononce un discours dans un auditorium public, où un plan de sécurité est élaboré pour lui afin de verrouiller les portes latérales et une porte arrière de la salle et de limiter l'accès à l'autre porte arrière à lui et à son personnel muni d'un badge. Cinq détecteurs de métaux assurent la protection des portes d'entrée pour garantir la sécurité du lieu. Dans l'entreprise, vous utiliserez la micro-segmentation et le principe du moindre privilège pour réaliser l'équivalent dans un centre de données ou un environnement en nuage.

Tout comme dans le monde réel, les problèmes de sécurité de dernière minute surgissent constamment dans les entreprises. Supposons que l'un des détecteurs de métaux présente des problèmes peu avant le début de l'événement. Pour une raison quelconque, il ne fonctionne pas correctement et manque certains objets métalliques, ce qui signifie qu'il n'est pas fiable. Vous ne pouvez pas les réparer ou les remplacer parce que vous n'en avez pas le temps. Si vous les fermez complètement, vous créerez une congestion importante pour les détecteurs de métaux restants qui sont ouverts. Les gens seront coincés dans des files d'attente longues et lentes, et nombre d'entre eux seront encore dans la file d'attente lorsque l'événement commencera. Si vous laissez les portes des détecteurs de métaux ouvertes et que vous demandez aux agents de sécurité de procéder à des fouilles corporelles, vous risquez de passer à côté d'armes cachées et de mettre Curry en danger. Il est clair que la protection de Curry l'emporte sur les désagréments subis par les participants.

Cela équivaut à la découverte d'une application ou d'un contrôle de sécurité dont la vulnérabilité n'a pas été corrigée dans une entreprise. L'arrêt d'applications et de points d'accès critiques dans une entreprise pour des raisons de sécurité peut avoir de graves répercussions sur le trafic réseau, les flux de travail et les opérations commerciales, ce qui affecte la productivité, le service à la clientèle et les résultats à long terme. Si vous ne pouvez pas résoudre rapidement le problème (par exemple, en appliquant un correctif au logiciel), vous mettez vos clients et votre entreprise en danger.

Il existe d'autres options qui permettent de compenser ces défaillances dans les contrôles de sécurité. Pour l'événement Curry, vous pourriez placer davantage de gardes aux détecteurs pour effectuer des fouilles, mais si cela permet de faire avancer les files d'attente un peu plus rapidement, ils risquent tout autant de ne pas voir les armes cachées.

Une autre idée consiste à demander aux gardiens des détecteurs de métaux cassés d'utiliser des baguettes pour détecter les objets métalliques. Cela peut augmenter l'investissement financier, mais il s'agit d'une solution de sécurité solide qui contribuera à satisfaire les participants. Dans l'entreprise, les équipes de sécurité ne peuvent peut-être pas attendre les correctifs, mais elles peuvent utiliser la micro-segmentation afin de créer un contrôle compensatoire qui élimine la possibilité d'exploitation de la vulnérabilité.

Ces scénarios traitent des failles de sécurité dans un système de contrôle d'un bien, mais qu'en est-il si la faille est associée au bien lui-même ? Supposons que l'un des badges VIP, qui donne un accès direct à Curry, disparaisse. Vous avez besoin d'un moyen d'identifier rapidement le problème et de le résoudre. Dans ce cas, des agents de sécurité munis de baguettes pourraient être ajoutés à l'entrée VIP.

L'essentiel est de comprendre les risques et d'être en mesure d'agir rapidement pour remédier à la vulnérabilité, sans arrêter les systèmes ou ajouter une charge supplémentaire à votre infrastructure. L'élément essentiel est que vous devez être en mesure de voir quelles sont les voies d'accès existantes (votre "exposition"), d'identifier votre vulnérabilité et de déterminer les mesures à mettre en place pour la compenser. Vous n'avez pas besoin de contrôles de sécurité partout. Vous pouvez déployer des ressources de manière efficace et les placer là où vous en avez le plus besoin, c'est-à-dire aux points d'accès aux actifs les plus critiques.

Les équipes de sécurité doivent constamment prendre des décisions de ce type à la volée, et plus elles ont accès à des données sur la situation, meilleures sont les décisions qu'elles peuvent prendre. De nouveaux outils sont disponibles pour aider les équipes de sécurité à se décharger de la charge et de la complexité d'une partie de cette prise de décision en temps réel et leur permettre de se concentrer sur la logique d'entreprise de haut niveau qu'elles souhaitent mettre en œuvre.

À l'avenir, il sera peut-être possible de résoudre le problème des détecteurs de métaux cassés sans avoir à remplacer ou à réparer manuellement les machines. Et si la plate-forme matérielle devenait plus intelligente et que les détecteurs de métaux étaient programmables ? Les paramètres et les fonctionnalités peuvent être adaptés en temps réel, y compris les mises à jour de sécurité des logiciels. La micro-segmentation fait de même pour les politiques et les contrôles de sécurité au sein de l'entreprise, ce qui constitue un atout majeur pour les professionnels de la sécurité.