Selon une récente étude CyberArk, seulement 44 % des responsables français interrogés affirment que leur entreprise a mis en place une stratégie de sécurité des accès à privilèges. Or, la protection de ces accès est un élément essentiel de la stratégie de cybersécurité, car il s’agit de la voie royale des cybercriminels pour mettre rapidement la main sur des données sensibles. Les entreprises doivent donc dès à présent déterminer leurs besoins et choisir les outils qui permettront de sécuriser ces accès clés. Il existe pour cela trois étapes à suivre.
Prioriser et automatiser
Effectuer manuellement la protection, la gestion et le contrôle des accès à privilèges peut se révéler fastidieux et consommateur en ressources. Pour une grande entreprise, il est en effet impossible de gérer et de protéger, sans recourir à l’automatisation, les milliers de comptes, d’identifiants et de secrets à privilèges utilisés quotidiennement dans les environnements sur site, dans le cloud et les pipelines DevOps.
Selon une enquête récente de Imperva, plus de la moitié des entreprises (55 %) enregistrent plus de 10 000 alertes de sécurité par jour, et 27 % d’entre elles en reçoivent plus d’un million par jour ! L’analyse manuelle des risques et des vulnérabilités liés à la sécurité des accès à privilèges est donc soumise à des erreurs humaines. Mais une seule alerte manquée peut engendrer des millions d’euros à investir pour contenir la menace, lister l’étendue des dommages et rétablir une cyberprotection efficace. La mise en œuvre d’outils de gestion d’accès à privilèges, capables d’automatiser les tâches manuelles, simplifie les opérations, améliore l’efficacité et libère le personnel IT. Ces derniers peuvent alors se concentrer sur des tâches stratégiques à forte valeur ajoutée – tout en renforçant le dispositif de sécurité global.
Déterminer les besoins actuels et futurs
Il est impossible de protéger ce que l’on ne voit, ou ne connait, pas. Ce n’est donc qu’après un inventaire complet et une évaluation des comptes, des identifiants et des secrets à privilèges, qu’il est possible de déterminer efficacement les éléments de sécurité dont l’entreprise aura besoin pour assurer sa sécurité, aujourd’hui et demain. En effet, avant de chercher à sécuriser ses accès à privilèges, il est important de regarder au-delà des besoins actuels. Il faut tenir compte de la manière dont la stratégie IT de l’entreprise évoluera ; et d’y intégrer la cybersécurité. Il s’agit de déterminer si l’outil choisi peut s’adapter à des environnements complexes, fournir un support clé en main pour les systèmes de sécurité existants ; mais aussi s’intégrer facilement à d’autres fournisseurs et applications - avec lesquels l’entreprise travaille déjà, ou auxquels elle envisage de faire appel à l’avenir.
Etablir un benchmark des outils disponibles
Pour définir ses besoins et les offres disponibles sur le marché, les entreprises peuvent élaborer une simple matrice de notation qui résume les capacités requises et souhaitées. Cela permettra d’évaluer les utilisations actuelles et futures, par rapport aux fonctionnalités disponibles sur le marché, et d’établir rapidement l’outil idéal à déployer. Bien que chaque organisation ait des besoins différents, il existe des critères d’évaluation communs à prendre en compte :
- La gestion des mots de passe. L’outil offre-t-il une rotation de mots de passe flexible et configurable pour les utilisateurs, les applications et les outils DevOps ?
- La sécurité et la reprise. Existe-t-il un coffre-fort numérique isolé, renforcé et sécurisé pour stocker en toute sécurité les identifiants et les enregistrements des session à privilèges ? Dispose-t-il de multiples options pour une disponibilité accrue et une reprise après sinistre ?
- L’audit et le suivi. La solution offre-t-elle un support solide pour l’audit et le suivi, ainsi que la possibilité de détecter un comportement suspect sur les comptes ?
- L’intégration aux outils. Peut-on facilement intégrer la solution à une large gamme d’outils d’exploitation IT et de sécurité ?
- La recherche de comptes à privilèges. Les comptes et les identifiants à privilèges peuvent-ils être automatiquement localisés ?
- L’automatisation des tâches à privilèges. Peut-on automatiser les tâches quotidiennes chronophages de gestion des accès à privilèges ?
- La sécurité dans le cloud. La solution a-t-elle la capacité de sécuriser, de surveiller et de contrôler l’accès aux offres « as-a-service » que l’entreprise utilise ou prévoit d’utiliser à l’avenir ?
- La gestion DevOps. Tous les éléments sensibles du processus DevOps bénéficient-ils d’une gestion complète ?
- Une architecture flexible et évolutive. L’outil est-il conçu pour s’adapter à des options de déploiement flexibles en fonction des objectifs fixés ?
Ces trois étapes importantes des processus d’évaluation aideront les entreprises à choisir le fournisseur de sécurité le plus à même de répondre à leurs besoins, qui s’intégrera le mieux à leur portefeuille de sécurité élargi et qui offrira le meilleur support à long terme. Leurs accès à privilèges seront alors protégés efficacement, et par conséquent les informations de leurs clients et partenaires seront sécurisées, et leur image et réputation préservées.
Par Mathieu Richard, Sales Director, France, chez CyberArk
