La sécurité zéro confiance, l'état d'esprit "Assumez la violation" et le projet de loi britannique sur la réforme des données

Alors que 90 % des organisations prévoient de donner la priorité à une stratégie de sécurité "Zero Trust" en 2022, un nombre étonnamment faible d'entre elles pensent qu'elles seront victimes d'une violation. Mais la combinaison de cyberattaques omniprésentes et de réseaux de plus en plus dispersés et sans périmètre signifie qu'il est presque garanti que les organisations seront attaquées et violées.

Ce fossé entre l'adoption de la confiance zéro et l'engagement à l'égard de l 'état d'esprit "assumer la violation" de la confiance zéro laisse de nombreuses organisations vulnérables - et a été au centre de l'actualité de ce mois-ci en matière de cybersécurité.

La mentalité "Assumez la violation" prépare aux inévitables cyberattaques

Ce n'est qu'une question de temps avant qu'une organisation ne soit victime d'une cyberattaque. Les violations sont inévitables - et elles peuvent avoir des conséquences financières dévastatrices pour les organisations qui n'ont pas mis en place un plan d'atténuation. Andrew Rubin, PDG et cofondateur d'Illumio, a abordé ce nouveau paradigme de sécurité dans un article du Financial Times paru ce mois-ci, intitulé Cyber Attackers : Si vous ne pouvez pas les arrêter, perturbez-les.

Dans cet article, M. Rubin explique que la nature dispersée et hybride des réseaux actuels rend les organisations de plus en plus vulnérables aux violations. Des cyberattaques sophistiquées comme celle de SolarWinds montrent que les organisations doivent se concentrer sur l'atténuation des cyberrisques plutôt que d'essayer de contrecarrer toutes les intrusions possibles dans le réseau.

"Le problème des ransomwares est devenu tellement omniprésent", a déclaré M. Rubin. "Cela prouve à tout le monde que vous serez touché presque quoi qu'il arrive, ce qui n'est pas un échec de votre cyber-stratégie, mais signifie simplement que vous devez faire évoluer votre cyber-stratégie pour à la fois détecter et arrêter la propagation.

Outre les couches de détection et de visibilité, l'article souligne que l'un des meilleurs moyens d'arrêter la propagation d'une attaque est la segmentation "zéro confiance". Il divise un réseau en plusieurs parties, de sorte que lorsque des attaquants s'infiltrent dans un réseau, les équipes de sécurité peuvent rapidement mettre l'attaque en quarantaine. 

D'un point de vue financier, l'article souligne que les organisations doivent se préparer à des violations potentiellement dévastatrices dans le cadre de leur processus de gestion des risques. L'adoption de nouvelles défenses de sécurité peut contribuer à ralentir et à isoler les attaquants lorsqu'il est impossible de les arrêter complètement.

La confiance zéro est la norme en matière de cybersécurité

L'article de VentureBeat intitulé " Everything You Need to Know About Zero-Trust Architecture" (Tout ce que vous devez savoir sur l'architecture de confiance zéro ) met en évidence la valeur de l'architecture de confiance zéro dans la protection contre les cyberattaques croissantes d'aujourd'hui.

L'article explique comment la cybersécurité a évolué au cours des dernières années. Avec l'augmentation du nombre d'employés travaillant à distance et la migration d'un nombre croissant d'organisations vers le cloud, les réseaux deviennent de plus en plus dépourvus de périmètre. Selon VentureBeat, cela signifie que les outils de sécurité traditionnels ne peuvent à eux seuls préparer les organisations à gérer les inévitables cyberattaques d'aujourd'hui

Et si VentureBeat considère la confiance zéro comme l'un des meilleurs moyens de répondre à la nécessité de trouver de nouvelles solutions pour faire face aux nouvelles attaques, il reconnaît également que cette notion est devenue un peu à la mode et que sa définition est ambiguë. L'article précise que Zero Trust n'est pas un produit ou un argument publicitaire, mais plutôt une philosophie conçue pour gérer les problèmes de sécurité modernes.

Un cadre de confiance zéro part du principe que tous les environnements informatiques présentent des vulnérabilités que les cyberattaquants finiront par trouver. Pour y remédier, l'article explique comment une philosophie de confiance zéro se concentre sur l'amélioration de la visibilité dans tous les environnements et sur la segmentation du réseau afin d'arrêter la propagation des cyberattaquants qui peuvent abuser de la confiance automatique pour accéder à des informations critiques pour l'entreprise.

La complexité des réseaux de nombreuses entreprises augmentant de jour en jour, la segmentation du réseau peut sembler décourageante. Cependant, VentureBeat cite Illumio comme une solution qui peut aider à automatiser la mise en œuvre de la segmentation zéro confiance. Cela signifie qu'il faut créer des politiques de sécurité qui soient à la fois efficaces et pragmatiques. Une architecture de confiance zéro peut être facilement mise en pratique pour protéger les organisations contre les cyberattaques.

Près de la moitié des responsables de la sécurité pensent qu'ils ne seront pas victimes d'une intrusion.

Bien que 90 % des responsables de la sécurité accordent la priorité aux stratégies de confiance zéro cette année, 47 % d'entre eux déclarent qu'ils ne pensent pas qu'ils seront victimes d'une intrusion. Pour mieux comprendre ces tendances issues du Zero Trust Impact Report d'ESG, ChannelBuzz s'est entretenu avec PJ Kirner, directeur technique et cofondateur d'Illumio. Les statistiques contredisent les principes fondamentaux de la confiance zéro: il faut toujours supposer que les brèches sont inévitables et que les attaquants peuvent déjà avoir accès au réseau.

"Nous avons créé Illumio en gardant ces principes à l'esprit il y a dix ans et nous pensons parfois que les gens les comprennent parfaitement, mais ces 47 % de données suggèrent que ce n'est pas le cas", a déclaré M. Kirner.

M. Kirner a indiqué que, dans certains cas, il pense que ce chiffre est simplement dû au fait que les cadres pensent qu'ils ne possèdent pas le type de données suffisamment précieuses pour être volées.

"Leur objectif est de protéger les joyaux de leur couronne", a-t-il déclaré. "Cependant, la confiance zéro exige que les clients partent toujours du principe qu'une violation a eu lieu et que les attaquants sont à l'intérieur. Ce groupe croit en la confiance zéro, mais je ne pense pas qu'il adhère encore à la partie 'assumer la brèche'".

Pourtant, le rapport d'ESG révèle que 76 % des organisations interrogées ont été attaquées par des ransomwares et que 66 % ont subi au moins une attaque de la chaîne d'approvisionnement en logiciels. Les cyberattaques sont plus fréquentes que jamais et M. Kirner explique que les organisations doivent mettre en place un plan de sécurité.

La bonne nouvelle ? Le rapport indique également que la segmentation zéro confiance a développé un impact commercial quantifiable, 81 % des responsables de la sécurité estimant que la segmentation zéro confiance devrait faire partie de leur stratégie de base zéro confiance.

L'enquête d'ESG a révélé que la segmentation zéro confiance permet aux organisations d'économiser en moyenne 20,1 millions de dollars en applications en ville, d'éviter cinq cyber-catastrophes par an et d'accélérer 14 projets supplémentaires de transformation numérique et en nuage au cours de l'année à venir.

"Le fait que les gens pensent que la segmentation est un pilier essentiel de Zero Trust est important pour nous, car cela valide ce que nous faisons", a déclaré M. Kirner.

Nouveau projet de loi britannique sur la réforme des données

Adam Brady, directeur de l'ingénierie des systèmes chez Illumio, a écrit pour IT Supply Chain à propos du nouveau projet de loi britannique sur la réforme des données. Le projet de loi détaille le plan du Royaume-Uni pour remplacer l'actuel règlement général sur la protection des données (RGPD), qui régit le traitement des données personnelles des individus au Royaume-Uni.

L'article met en lumière les débats en cours au sein du gouvernement britannique sur les réglementations en matière de cybersécurité, qui reflètent une tendance plus large des gouvernements à prendre des mesures plus proactives pour développer de meilleures cyberdéfenses au sein des organisations publiques et privées.

Par rapport à l'actuel GDPR, Brady explique comment le projet de loi sur la réforme des données prévoit des lois plus souples et moins strictes en matière de protection des données. Il a indiqué que le Royaume-Uni devait s'attendre à certains inconvénients liés à des lois de protection plus souples, mais il a souligné quelques avantages de la flexibilité accrue du projet de loi par rapport au RGPD.

Selon M. Brady, le nouveau projet de loi offrira une plus grande souplesse dans les processus d'entreprise et une réduction des frais administratifs grâce à l'assouplissement des règles de conformité. En outre, le traitement plus souple des données personnelles par rapport au RGPD actuel attirera probablement des entreprises technologiques, de vente au détail et autres au Royaume-Uni. Elle profitera surtout aux petites entreprises, qui pourront consacrer moins de temps et d'argent à la protection de la confidentialité des données et à la mise en conformité.

Bien que le nouveau projet de loi permette de s'assurer que les contrôles du traitement des données n'entravent pas le commerce, M. Brady a déclaré que le projet de loi ne contenait pas de lignes directrices similaires pour les cyberattaques. Les réglementations gouvernementales doivent garantir que les organisations sont prêtes à gérer les violations inévitables du réseau - et les effets qui en résultent sur le commerce et les chaînes d'approvisionnement. M. Brady a affirmé que les règles britanniques en matière de cybersécurité devraient correspondre à d'autres directives gouvernementales similaires qui recommandent une approche de sécurité "zéro confiance" pour se défendre contre les cyberattaques sophistiquées d'aujourd'hui.

Illumio remporte des prix de l'industrie

Pour terminer le mois, les Remote Tech Breakthrough Awards ont décerné à Illumio le prix de l'entreprise de sécurité du travail à distance de l'année dans la catégorie Leadership.

Depuis 2020, Illumio a lancé deux produits, Illumio CloudSecure et Illumio Edge, tout en étant entièrement à distance. Ces deux produits répondent aux défis uniques en matière de cybersécurité que pose aux entreprises la pandémie mondiale de sécurisation de l'informatique en nuage et des appareils des travailleurs à distance.

En 2021, Illumio a remporté le prix de la solution globale de sécurité du travail à distance de l'année dans le cadre des Remote Tech Breakthrough Awards.

Ce mois-ci, Illumio a également remporté le prix Publisher's Choice Zero Trust Award décerné par Cyber Defense Magazine (CDM), le principal magazine électronique sur la sécurité de l'information. Ce prix souligne l'importance de la segmentation "zéro confiance" pour éviter que les brèches ne se transforment en cyber-catastrophes.

Pour en savoir plus sur ce qui fait d'Illumio un chef de file en matière de segmentation sans confiance :

• Téléchargez les rapports Forrester Wave qui désignent Illumio comme leader dans les domaines du Zero Trust et de la microsegmentation. 
• Découvrez comment Illumio a aidé un cabinet d'avocats international à mettre fin à une attaque de ransomware. 
• Contactez-nous dès aujourd'hui pour planifier une consultation et une démonstration.