Le RGPD, emblématique de ces nouvelles réglementations, impose de protéger les données dites sensibles : les informations personnellement identifiables (PII), les informations de santé protégées (PHI), les données financières, etc. Dans la mesure où il se veut coercitif et s’applique à toutes les entreprises opérant sur le sol européen ou traitant des données de ses citoyens, il est impératif de le prendre en compte.
Au-delà des réglementations, les entreprises peuvent avoir besoin de se conformer à des standards internationaux pour la conduite de leurs affaires. On pense par exemple au PCI DSS (PaymentCardIndustry Data Security Standard) qui, sans être inscrit dans la loi, est un impératif incontournable pour les organisations dont les activités impliquent de traiter des paiements par carte.
L’asset management : première étape dans la construction d’une infrastructure conforme
L’asset management – ou autrement dit la gestion des actifs en entreprise – permet à une infrastructure de témoigner avec précision de son degré de conformité aux réglementations en vigueur. Tout commence par l’inventaire des actifs :en les appréhendant dans leur globalité, les entreprises peuvent mieux les protéger et les surveiller, tout en veillant au respect des normes. De plus, sila gestion des actifs permet d’évaluer les risques, cela permet également d’identifier les vulnérabilités, les menaces et les failles de sécurité sur des actifs critiques déterminés par d’autres réglementations ou standards.Une fois cette première étape d’identification achevée, il est alors possible d’identifier les assets qui exécutent des versions logicielles obsolètes ou vulnérables, de hiérarchiser plus facilement la gestion des correctifs et des mises à jour, et de maintenir la conformité réglementaire en matière de cybersécurité. Outre la gestion des vulnérabilités et l’évaluation des risques, le processus d’identification aide à répondre plus facilement aux incidents. En effet, les équipes IT peuvent cibler plus rapidement les actifs concernés, les isoler du réseau et prendre les mesures appropriées pour atténuer l’impact.
Renforcer les terminaux avec l’authentification multifactorielle
Dans l’objectif de construire une infrastructure solide et conforme, d’autres outils peuvent ajouter des contrôles supplémentaires non négligeables. Par exemple, si les solutions EDR (Endpoint Detection and Response) jouent un rôle essentiel dans une stratégie de cybersécurité centrée sur la conformité, c’est bien pour leurs capacités de visibilité et de contrôle en temps réel. Cette surveillance détecte les menaces avancées et les attaques sophistiquées, et aide à respecter les réglementations qui exigent une détection et une réponse rapides aux menaces. De plus, ces solutions fournissent des preuves pour les rapports d’incidents détaillés et les procédures judiciaires (le cas échéant).Par ailleurs, l’authentification multifactorielle (AMF) aide à prévenir les cyberattaques, mais aussi à répondre à certaines exigences de conformité imposant des couches de sécurité supplémentaires (au-delà des simples identifiants et mots de passe). En atténuant le risque de vol d’identification, l’AMF empêche tout accès non autorisé issu d’informations d’identification compromises et offre une protection contre la réutilisation de ces informations sur différentes plateformes. L’accès devient donc plus difficile et fastidieux pour les cybercriminels. Dans le cas d’une tentative de phishing redirigeant vers de fausses pages de connexion, le site ne fournit pas le facteur d’authentification – ce qui mettra la puce à l’oreille de l’utilisateur ciblé par l’attaque.
Le rôle majeur des cadres de travail et des règles de cybersécurité
Toute la technologie et les obligations réglementaires du monde ne sont rien sans l’humain, et les équipes IT le savent bien. Elles apportent leurs expertises et mettent en place un cadre spécifique pour que la sécurité et la conformité soient respectées à tout moment. Au travers de l’orientation et de la structure des données, ces cadres de travail fournissent une approche structurée de la gestion des risques et répondent aux exigences réglementaires.Les contrôles élémentaires, se renseigner et obtenir des conseils sur la gestion des risques tiers, l’amélioration en continu, l’évolution périodique des pratiques sont autant de prérequis exigés par les réglementations en vigueur, qui aident à leurs tours les entreprises à se tenir informées des évolutions légales et des menaces. Enfin, et toujours pour répondre à cet objectif, la création et le partage des politiques et procédures via une documentation spécifique sont plus que la bienvenue à la fois pour les utilisateurs mais aussi en cas d’incident.
En intégrant la conformité dans la stratégie de cybersécurité, il est alors possible de créer une infrastructure sécurisée et robuste qui protège contre les menaces et garantit le respect de la réglementation. Finalement, cette notion de conformité ne consiste pas à cocher des cases, mais bien à comprendre et à atténuer les risques. En intégrant ces considérations, les entreprises seront mieux armées pour naviguer dans le monde des cybermenaces et des exigences réglementaires en constante évolution.
Par Jean-Pierre Boushira, VP South EMEA, Benelux & Nordics chez Veritas Technologies
