Cybersécurité et résilience Services de conseil

La cybersécurité consiste à protéger les systèmes, les réseaux et les données contre les accès non autorisés, les attaques et les dommages. La résilience numérique est la capacité d'absorber un choc, de détecter un incident et de s'en relever lorsque des mesures de protection ont été contournées. Ensemble, elles forment un ensemble permanent de décisions concernant le risque, le budget et le contrôle, plutôt qu'un simple produit : il s'agit de tenir les attaquants à distance le plus possible et de maintenir le fonctionnement des affaires lorsqu'un d'entre eux pénètre dans le système.

Portée

Protection

Protection des réseaux et des points d'accès : pare-feu, segmentation et surveillance pour ralentir un intrus.
Contrôle d'accès : déterminer qui peut accéder à quels systèmes. Souvent la mesure de défense la plus économique.
Gestion des identités : les comptes compromis sont l'une des principales portes d'entrée, donc la double authentification (MFA) et le principe du moindre privilège sont essentiels.
Protection des données : chiffrement, sauvegardes et règles de rétention pour les données au repos et en transit.

Détection, réponse et rétablissement

Détection : repérer une activité inhabituelle tant qu'elle est encore contenable, et non après sa propagation.
Confinement : isoler rapidement un système ou un compte affecté avant qu'il n'atteigne le reste de l'infrastructure.
Rétablissement : restaurer les services et les données à partir de copies propres, à jour et testées, dans un délai que l'entreprise peut absorber.
Continuité : maintenir les opérations essentielles, même en mode dégradé, pendant que le rétablissement est en cours.

Zones critiques

Télétravail : les dispositifs situés hors du réseau du bureau élargissent la surface d'attaque et affaiblissent le périmètre traditionnel.
Accès des tiers : les fournisseurs et les intégrations détiennent souvent plus d'identifiants que le personnel interne.
Logiciels malveillants à rançon (ransomware) : les attaques modernes partent du principe que l'accès initial est acquis. La différence entre une mauvaise semaine et une mauvaise année réside principalement dans la conception du rétablissement.
Intégrité des sauvegardes : une sauvegarde accessible par le même attaquant que le système en ligne n'est pas une protection. Seules comptent les copies hors ligne ou isolées.

Pourquoi la prévention seule ne suffit pas

Aucune pile de contrôles n'arrête toutes les tentatives. La sécurité réduit la fréquence des succès des attaques ; la résilience gère ce qui se passe après celle qui réussit. Un programme solide planifie les deux aspects.

Critères d'évaluation

Coût par rapport à la couverture : l'outillage complet est coûteux, il faut donc prioriser les actifs dont la perte serait la plus préjudiciable.
Objectifs de rétablissement : combien de temps chaque système peut rester arrêté avant que le coût ne dépasse celui de la restauration. Le chiffre honnête par système, et non le chiffre optimiste.
Charge de maintenance : les outils génèrent des alertes et des mises à jour. Sans gestion, ils deviennent du bruit et des lacunes.
Tests : un plan de réponse à un incident ou de rétablissement qui n'a jamais été exercé n'est qu'un brouillon. Les tests révèlent les lacunes à moindre coût et transforment des jours de conjectures en actions mesurées.
Autorité de décision : qui peut déclarer un incident, ordonner une mise hors service ou une restauration. Cela doit être défini à l'avance, et non improvisé à 2 h du matin.
Conformité : les réglements définissent de plus en plus les contrôles minimaux, les attentes de rétablissement et les obligations de déclaration.

Comment NobleConsul peut aider

Le cas échéant, NobleConsul peut soutenir ces décisions par des activités de conseil potentielles, notamment l'évaluation technologique, la conception de solutions et les conseils d'implémentation pour les contrôles de protection ; la revue de la couverture de détection et de rétablissement ; la conception d'objectifs de rétablissement réalistes par système ; et la planification de tests qui démontrent que la conception est robuste.