Comment améliorer ses investissements dans la sécurité

Selon le cabinet d’étude Gartner, les dépenses en produits et services de sécurité ont dépassé les 114 milliards de dollars en 2018, une hausse de 12,4 % par rapport à l’année dernière. Cette année, il s’attend à ce que le marché progresse de 8,7 % pour atteindre 124 milliards de dollars. Mais comment rentabiliser ses investissements ? Quelles sont les solutions à déployer ?

Les attaques informatiques se multipliant et devenant de plus en plus complexes, les entreprises réagissent en déployant moult solutions. Encore faut-il connaitre de façon précise son niveau de sécurité actuel avant de se lancer dans de lourds investissements.

Et dans de nombreux cas, les entreprises sont très loin d’avoir une vision globale sur leurs vulnérabilités. Par ailleurs, le déploiement d’outils, aussi performants soient-ils, ne permet pas de relever un défi majeur : l’adoption par les collaborateurs.

Le comportement humain est ainsi : les utilisateurs trouveront un moyen de contourner une mesure de sécurité pour accomplir tranquillement leur travail.

Dans la plupart des entreprises, les investissements en sécurité sont nettement "surpondérés" en faveur de la prévention. Un exercice de rééquilibrage qui met l’accent sur les capacités de détection et d’intervention rapportera généralement des dividendes importants.

La sécurité des données : attention aux excès

Cette problématique n’est pas nouvelle. S’inspirer du RGPD est indispensable. Ce texte européen impose notamment de ne traiter que les données personnelles « strictement nécessaires à son activité. Appliqué à la cybersécurité, cela doit inciter les entreprises à entamer une salutaire purge de leurs données.

Il convient aussi de trouver un compromis entre la protection des donnéespersonnelles et confidentielleset la facilité d’utilisation.

Bien qu’il existe de nombreux outils de sécurité pour aider à résoudre ce problème, beaucoup échouent parce qu’ils mettent trop l’accent sur l’utilisateur final. Par exemple, certains outils de classification offrent aux utilisateurs une liste complexe d’options pour marquer les données avant de les partager en dehors de leur réseau.

Or, cette approche repose sur des employés enclins aux erreurs…

Une solution universelle ne fonctionne pas

Certaines solutions de sécurité retirent complètement l’utilisateur final de l’équation.

Par exemple, une politique générale qui chiffre tous les emails envoyés par des salariés n’est pas la bonne solution. Très vite, des collaborateurs vont utiliser d’autres solutions de messagerie (problématique du Shadow IT).

Une pyramide fragile

La plupart des entreprises protègent l’information du haut vers le bas, les données les plus sensibles se trouvant au sommet de la pyramide organisationnelle. Avec cette approche, elles ne protègent en fait que jusqu’à 40 % de l’ensemble de leurs informations.

Rappelons que la sécurité doit être globale pour être efficace… 

L’intelligence artificielle : pour une meilleure détection

L’IA permet de renforcer son niveau de sécurité. Mais elle ne peut se substituer au « flair », à l’expérience d’experts et aux bonnes pratiques !

Grâce aux progrès en matière de Machine learning, il est possible d’avoir une compréhension plus large du risque au moment de l’échange de données.

Mais attention, tout ce que nous souhaiterions sécuriser ou surveiller n’est pas facilement « automatisable ».  Il ne suffit pas d’investir dans les outils et la technologie les plus récents pour bénéficier d’un niveau de sécurité très élevé.

Admettre l’échec de programmes de prévention est une étape difficile. Elle implique de reconnaître que la gestion des risques liés à la cybersécurité n’est pas quelque chose qu’un service IT peut faire seul.

Tous les métiers sont concernés, car il y a une convergence des technologies et des flux. Ils doivent travailler ensemble de manière proactive pour aborder les questions de politique (contrôles d’accès, classification et conservation des données sensibles, surveillance du comportement des utilisateurs, sensibilisation…).