Les bonnes pratiques en matière de sécurité des réseaux d’entreprise englobent les politiques, les procédures et les protections technologiques utilisées pour empêcher l’accès non autorisé, l’exploitation, la manipulation ou l’endommagement de l’infrastructure et des systèmes en réseau. Pour les entreprises modernes qui exercent d’importantes fonctions commerciales en ligne, il est impératif de mettre en place de solides défenses de cybersécurité afin d’éviter les dommages opérationnels, financiers et de réputation liés aux incidents de données.
La mise en œuvre de lignes directrices normalisées présente de nombreux avantages :
- Aligne les contrôles de sécurité des réseaux sur des techniques dont l’efficacité contre les menaces du monde réel a été prouvée par des tests et des perfectionnements.
- Fournit un langage et un cadre communs pour la gestion de la sécurité dans l’ensemble de l’organisation.
- Permet d’effectuer des comparaisons avec des pairs afin de valider la maturité du programme au fil du temps
- Exploite des orientations indépendantes des fournisseurs et optimisées pour l’interopérabilité.
- Les initiatives se concentrent sur une couverture complète sans lacunes
- C’est pourquoi le respect des recommandations de bonnes pratiques constitue la base du développement et du maintien d’une sécurité réseau adéquate dans les entreprises de tailles et de secteurs d’activité variés.
Définition des meilleures pratiques
Les meilleures pratiques représentent les procédures standard les plus efficaces définies en collaboration par des experts pour atteindre un résultat souhaité, en l’occurrence une sécurité réseau optimisée. Ces pratiques synthétisent de nombreuses données dans des politiques et des contrôles exploitables qui utilisent des innovations technologiques et des processus dont il est prouvé qu’ils renforcent la protection des systèmes et des données à un coût minimal.
De nombreux organismes gouvernementaux et alliances technologiques élaborent collectivement des lignes directrices et des cadres pour définir les meilleures pratiques en matière de cybersécurité. Parmi les exemples, on peut citer les contrôles du Center for Internet Security (CIS), la norme ISO 27001 et le cadre de cybersécurité du NIST. Ces paquets couvrent un ensemble complet de garanties avec des conseils de mise en œuvre définis et adaptables à divers environnements opérationnels. Les principaux domaines d’intervention couvrent
- Gouvernance et gestion des risques
- Gestion des identités et des accès
- Sécurité des données
- Gestion des actifs
- Protection des réseaux et des communications
- Endpoints
- Réponse aux incidents
Pris ensemble, ces domaines fournissent une couverture complète des personnes, des processus et des technologies nécessaires à la défense en profondeur contre les cybermenaces tout au long du cycle de vie de l’attaque. Les recommandations de bonnes pratiques dans ces domaines se répartissent en trois catégories de haut niveau :
Catégories de bonnes pratiques en matière de sécurité
Contrôles de sécurité préventifs :
Les contrôles préventifs se concentrent sur la protection proactive de l’infrastructure et des données en érigeant des barrières contre les attaques avant qu’elles ne se produisent. Cela permet de réduire la surface d’attaque en utilisant des mécanismes tels que :
- Pare-feu : Les pare-feu basés sur le réseau/l’hôte filtrent le trafic d’entrée/de sortie en fonction du contenu et du contexte afin d’empêcher l’exploitation.
- Systèmes de prévention des intrusions (IPS) : Les dispositifs IPS réseau combinent l’inspection approfondie des paquets et l’analyse prédictive pour bloquer et enregistrer les menaces connues. L’IPS hôte empêche la compromission des points d’extrémité.
- Prévention de la perte de données (DLP) : Les outils de prévention des pertes de données appliquent des politiques visant à éviter l’exfiltration et l’utilisation abusive de fichiers ou d’enregistrements sensibles.
- Contrôles d’accès : Les contrôles d’accès logiques stricts régulent l’accès aux ressources en fonction des rôles des utilisateurs et de l’authentification multifactorielle. Les contrôles d’accès physiques limitent également l’accès non autorisé aux installations.
- Formation à la sécurité : Le personnel doit recevoir une formation régulière sur les politiques et les nouvelles méthodes d’ingénierie sociale, d’hameçonnage et les techniques courantes de cyberattaque.
- Gestion des vulnérabilités : L’analyse continue suivie d’une correction rapide des vulnérabilités exploitables des logiciels, des systèmes d’exploitation et des micrologiciels réduit encore la surface d’attaque.
L’effet cumulatif établit des obstacles multicouches couvrant les paramètres du réseau, l’utilisation des données, la disponibilité des ressources et le comportement humain afin de minimiser efficacement les compromissions évitables.
Contrôles de sécurité des détectives :
Étant donné que toutes les attaques ne peuvent pas être évitées d’emblée, les contrôles de détection fournissent une surveillance et une analyse permettant d’identifier rapidement les menaces qui contournent la première ligne de défense. Une détection rapide permet de réagir plus rapidement pour limiter l’impact. Les méthodes utilisées sont les suivantes :
- Systèmes de détection d’intrusion (IDS) : les capteurs IDS identifient les anomalies comportementales et les schémas d’attaque connus dans le trafic du réseau, générant des alertes pour le triage.
- Gestion des informations et des événements de sécurité (SIEM) : Les solutions SIEM regroupent et mettent en corrélation les journaux d’audit, les alertes et les données des machines afin de fournir une visibilité centralisée et des rapports sur la situation en matière de sécurité.
- Détection et réponse des points d’accès (EDR) : Les outils EDR surveillent l’activité des points d’accès à la recherche d’événements suspects indiquant une compromission, tels que des déplacements impossibles, des modifications inhabituelles du registre ou un trafic sortant suspect.
- Analyse du comportement des utilisateurs et des entités (UEBA) : L’analyse du comportement des utilisateurs et des entités (UEBA) établit des modèles de référence pour le comportement normal des utilisateurs, des appareils et des systèmes afin de détecter les anomalies risquées telles que la compromission d’informations d’identification, l’exfiltration de données ou l’abus de privilèges.
- Analyse du trafic réseau (NTA) : L’analyse du trafic réseau examine les tendances et les modèles de flux afin de détecter les variantes qui tentent de passer sous le radar des outils basés sur les signatures.
L’accent n’est plus mis sur la prévention pure, mais sur la réaction rapide grâce à une analyse continue de la sécurité qui surveille le comportement de l’utilisateur et de la machine.
Contrôles de sécurité correctifs :
Enfin, les contrôles correctifs régissent le processus de réponse et de récupération afin de limiter les dommages après une intrusion. Les domaines clés sont les suivants
- Processus de réponse aux incidents (RI) : Le cadre de la RI fournit des procédures structurées pour l’investigation, l’endiguement, l’éradication et la récupération, coordonnées par une équipe de RI. L’objectif est de rétablir les opérations normales rapidement et en toute sécurité.
- Reprise après sinistre (DR) : Les plans de reprise après sinistre préparent à des scénarios dans lesquels la compromission met hors service l’infrastructure critique grâce à des techniques telles que des sauvegardes renforcées, des emplacements de basculement redondants, des procédures de communication d’urgence et des plans de continuité des activités.
- Analyse post-incident : Une analyse rigoureuse des causes profondes, des erreurs et des facteurs environnementaux après les incidents majeurs permet d’améliorer continuellement les processus. Les conséquences d’une négligence ou d’un oubli peuvent être catastrophiques.
En planifiant minutieusement les différents scénarios d’incidents, les organisations peuvent réagir plus facilement en cas de crise et minimiser les pertes. Les examens renforcent encore la résistance à des attaques similaires.
Ensemble, ces trois catégories de contrôles permettent une couverture complète de la sécurité en utilisant des techniques qui se chevauchent et dont l’efficacité a été prouvée par des tests en conditions réelles. Toutefois, la mise en œuvre pose des problèmes.
Défis liés à l’adoption des meilleures pratiques en matière de sécurité des réseaux d’entreprise
Bien que tous s’accordent sur leur valeur, des obstacles entravent fréquemment l’adoption des meilleures pratiques en matière de cybersécurité :
- Contraintes budgétaires : Les investissements proactifs en matière de sécurité perdent leur priorité au profit d’autres initiatives commerciales qui génèrent directement des revenus. L’absence de catastrophe engendre la complaisance. Cela conduit à des équipes de sécurité en sous-effectif et sous-financées qui tentent de surveiller une infrastructure obsolète.
- Manque de compétences spécialisées : Les talents en matière de cybersécurité restent rares dans l’ensemble du secteur. La plupart des organisations ne disposent pas des ressources nécessaires pour concevoir, mettre en œuvre et optimiser correctement les contrôles. Les outils complexes sont mal configurés ou sous-utilisés.
- Difficulté à suivre les actifs : L’intégration de nouveaux fournisseurs de services en nuage élargit rapidement la surface d’attaque. Lorsque les services informatiques perdent la visibilité sur les actifs et que les limites de propriété deviennent floues, des lacunes de couverture apparaissent. L’informatique fantôme exacerbe l’étalement urbain.
- Résistance culturelle : Les unités opérationnelles s’opposent souvent aux contrôles qui entravent la productivité, comme la gestion rigoureuse des accès. De même, les utilisateurs évitent les mesures de sécurité jugées contraignantes en raison de mauvaises interfaces ou d’un manque de formation.
- Dépendance à l’égard des processus manuels : Le paysage des cybermenaces évolue trop rapidement pour permettre une réponse purement manuelle. L’automatisation est obligatoire pour une application rapide et cohérente des politiques à grande échelle.
- Donner la priorité aux gains rapides plutôt qu’aux initiatives à long terme : La recherche de nouveaux outils tape-à-l’œil avant de s’attaquer aux principes fondamentaux entraîne des dépenses inutiles et une réduction limitée des risques. La patience est essentielle.
Bien que substantiels, ces obstacles peuvent être progressivement surmontés grâce à des campagnes de sensibilisation des cadres, à une allocation budgétaire intelligente et à une attention particulière portée à la maximisation de la valeur de l’entreprise.
Des stratégies telles que la mise en œuvre d’une authentification multifactorielle facile à utiliser de manière universelle offrent des avantages considérables en termes de sécurité, tout en étant peu complexes et peu coûteuses. Au fur et à mesure que les capacités et la confiance se développent au fil du temps grâce à de petites victoires successives, les obstacles culturels plus importants s’estompent peu à peu. En fin de compte, la mise en œuvre des meilleures pratiques en matière de sécurité repose sur des changements progressifs ciblés stratégiquement à des étapes régulières.
Personnalisation pour différents types d’entreprises
La combinaison spécifique des contrôles mis en avant varie en fonction de la taille de l’entreprise, de son secteur d’activité et de sa propension à prendre des risques. Cependant, une approche basée sur le cycle de vie, échelonnant la mise en œuvre et automatisant la maintenance, permet aux organisations de tous types de renforcer progressivement les protections sans surcharger les ressources. Parmi les personnalisations, citons
Petites entreprises
- Adoptez les pare-feux en tant que service pour éviter les investissements initiaux importants.
- Priorité aux correctifs/mises à jour, aux contrôles d’accès et à la restauration des sauvegardes
- Commencez par les principes fondamentaux de la sécurité, puis augmentez la surveillance et les outils en conséquence.
Grandes entreprises
- Associer les contrôles à des cadres globaux (NIST CSF, CIS 20 Controls).
- Protéger en profondeur les joyaux de la couronne grâce au cryptage des données, à l’enregistrement des accès et à la surveillance des utilisateurs.
- Automatiser l’application des politiques, les alertes et les rapports grâce à l’intégration SIEM
Secteur financier
- Contrôles d’accès stricts, surveillance de l’activité et prévention de la perte de données pour les informations sensibles
- Se concentrer sur les menaces internes grâce à l’analyse du comportement des utilisateurs
- Prévoyez un basculement rapide avec des sites alternatifs pour assurer la continuité.
Organismes de santé
- Isoler les anciens dispositifs médicaux dépourvus de fonctions de sécurité grâce à la segmentation du réseau
- Anonymiser/chiffrer les données des patients au repos et mettre en place des filtres DLP
- Recherchez en permanence les vulnérabilités des équipements médicaux IoT.
Fabricants
- Séparer les réseaux d’usine de l’infrastructure informatique de l’entreprise
- Verrouillez les appareils et les machines embarqués grâce à des mises à jour de micrologiciels, des systèmes d’exploitation corrigés et des interfaces inutiles désactivées.
- Surveillez en permanence le réseau OT pour détecter les communications anormales.
Maintien de l’actualité des contrôles
Tout d’abord, les technologies de détection et d’atténuation des menaces nécessitent des mises à jour constantes pour identifier les nouvelles attaques et rester efficaces au fil du temps. Par exemple, les signatures expirent, les anomalies évoluent et des vulnérabilités apparaissent dans le code au fur et à mesure que les environnements informatiques changent. Sans vigilance, les mesures préventives deviennent obsolètes, la surveillance perd son contexte et les plans d’intervention en cas d’incident ne couvrent pas les actifs touchés.
C’est pourquoi Vumetric recommande à ses clients de revalider les contrôles techniques et les processus tous les trimestres à l’aide de directives telles que les contrôles CIS IG1 et IG2, tout en effectuant des tests d’intrusion complets tous les ans. En d’autres termes, les exercices Red Team autorisés simulent des attaques réelles afin d’évaluer si les mesures actuelles restent adéquates au fur et à mesure que les tactiques progressent.
Cependant, de nombreux clients ont, à juste titre, du mal à se tenir au courant de ce qui se passe sur le marché. Plus précisément, les outils de sécurité fragmentés, avec des tableaux de bord et des alertes surchargés, dispersent des ressources limitées. En conséquence, les oublis potentiels se multiplient, ce qui conduit à des évaluations de risques erronées. Les équipes affrontent les mêmes menaces de base transformées en zero day en raison des lacunes de l’environnement.
En résumé, les équipes de sécurité souhaitent innover mais doivent d’abord maîtriser les fondamentaux. De plus, les consultants de Vumetric peuvent effectuer des évaluations de diligence raisonnable des capacités de prévention, de détection et d’intervention afin de déterminer les lacunes de la couverture sans pression immédiate d’achat. Pour plus de clarté, la mise en correspondance des contrôles avec les normes industrielles permet de préciser les prochaines étapes en fonction du budget et de l’impact sur l’activité.
