Évaluer le risque IT : stratégies, frameworks et meilleures pratiques pour la protection business

Michael Aminzade de Trustwave

Atteindre une protection sans faille contre les cybercriminels est quasi impossible, mais des évaluations de risque IT systématiques donnent aux organisations la meilleure défense contre les attaques.

Avec un paysage de menaces en flux constant, prioriser les revues de risk-management qui traitent vos défis uniques est essentiel.

« Une fois les plus grands risques identifiés, implémenter le niveau optimal de sécurité qui adresse vos besoins spécifiques peut commencer, » dit Michael Aminzade, vice-président de la Conformité Globale et Services Risque chez Trustwave.

Exécuter une évaluation complète de risque de sécurité de l'information découvre les gaps les plus critiques et vous permet de développer un plan de mitigation ciblé. Avant de commencer, vous devez comprendre vos objectifs business, identifier menaces potentielles, évaluer la probabilité de compromission, et quantifier l'impact d'une perte. Engager la direction senior, administrateurs IT, et parties prenantes via interviews approfondies assure que toutes les facettes organisationnelles sont évaluées pour gaps de sécurité.

La triade classique CIA — confidentialité, intégrité, et disponibilité — sert de guide fondamental pour les évaluations cyber-sécurité. Trouver un équilibre entre les trois est challengeant ; sur-emphasiser la disponibilité peut éroder confidentialité et intégrité, tandis qu'un focus excessif sur confidentialité ou intégrité peut saper la disponibilité.

Après avoir complété l'évaluation, vous déterminez quels contrôles de sécurité mitigant le mieux le risque business. Ces contrôles blendent typiquement technologie, politique, processus, et procédures.

Frameworks d'évaluation de risque

Quand vous conduisez une évaluation de risque sécurité, vous pouvez choisir parmi plusieurs frameworks bien établis. Les cinq les plus largement adoptés sont la série ISO 27000x, OCTAVE, COBIT, NIST 800-53, et le NIST Cybersecurity Framework (CSF). NIST, une agence du Département du Commerce US, offre des documents de guidance gratuits qui ont fait du CSF le choix préféré pour entreprises, institutions éducatives, et agences gouvernementales worldwide.

Le CSF est structuré autour de trois composants : le profil framework, le core framework, et les tiers d'implémentation. Sa flexibilité lui permet d'opérer aux côtés d'autres processus de risk-management, comme les standards ISO, et il est pertinent pour organisations hors États-Unis.

NIST 800-53 supporte la conformité avec les standards US Federal Information Processing Standards (FIPS) et précède le CSF. Il fournit des preuves d'efficacité des contrôles, insights sur la qualité du risk-management, et information sur forces et faiblesses des systèmes d'information.

Meilleure pratique

Alors que le cybercrime se commercialise, beaucoup d'organisations vont au-delà de la conformité vers des stratégies complètes de mitigation de risque et protection de données. Les méthodologies modernes d'évaluation de risque couvrent maintenant toute la supply chain, incluant l'accès vendeurs tiers aux systèmes internes.

La tendance BYOT a accru le besoin de sécurité endpoint robuste et d'une compréhension plus profonde de comment les endpoints influencent le profil de risque d'une organisation. Donnée cette complexité ajoutée, partner avec un fournisseur de services de sécurité gérés (MSSP) peut être inestimable. Leur expertise profonde vous aide à sécuriser un paysage réseau en expansion.

Développer un modèle d'évaluation de risque requiert l'adhésion de la direction senior. Les exécutifs doivent soit accepter les risques inhérents, soit s'engager sur un plan de remédiation qui aligne la posture de risque avec les niveaux de tolérance de l'organisation. Idéalement, le CISO ou CIO devrait superviser le planning d'évaluation, les findings, et plans de remédiation, et fournir des mises à jour régulières à l'équipe exécutive. Tous les employés, cependant, partagent la responsabilité de la sécurité de l'organisation.

La formation devrait couvrir comment repérer menaces comme emails malveillants et outline procédures pour reporter incidents suspects. Si la sécurité parfaite est inatteignable, le but est d'atteindre le niveau optimal de sécurité pour votre business.

Établir un framework de risque et conduire des évaluations de risque IT identifient le niveau de sécurité approprié pour votre organisation. Une fois les faiblesses identifiées, elles peuvent être remédiées, sauvegardant votre business.

Combiner évaluations de risque avec évaluations de maturité sécurité permet aux organisations de construire une feuille de route d'investissement stratégique et démontrer le ROI aux parties prenantes.

L'auteur de ce blog est Michael Aminzade, vice-président de la Conformité Globale et Services Risque chez Trustwave