Opérations de sécurité : équilibrer automatisation et expertise humaine

La réponse aux incidents est vouée à devenir de plus en plus automatisée, car l'apprentissage automatique et l'IA ont un fort potentiel pour rendre l'ensemble du processus plus efficace, mais l'automatisation doit être faite avec prudence et jusqu'à un certain point, sans abandonner l'élément humain et en permettant aux RSSI de garder le contrôle sur tous les événements de cybersécurité, en raison de leur connaissance et expertise irremplaçables et des lacunes évidentes de ces technologies qui n'ont pas encore été résolues.

Les avancées dans les domaines de l'apprentissage automatique et de l'IA sont devenues de plus en plus visibles dans l'industrie de la cybersécurité ces dernières années. Diverses solutions conçues pour rationaliser les efforts de réponse aux incidents et les rendre plus efficaces emploient ces technologies de nos jours.

Il ne fait aucun doute qu'automatiser certaines tâches au sein du processus de réponse aux incidents – en particulier celles impliquant du travail routinier et mécanique – aide à rendre les organisations plus résilientes face aux cyberattaques. Mais certains professionnels de la cybersécurité tendent à confondre l'automatisation de certains aspects du processus avec le rendre entièrement automatique, qui sont en réalité deux concepts différents.

Il est important de noter que, lorsqu'il s'agit de réponse aux incidents cyber, automatisation et automatique ne doivent pas être considérés comme synonymes.

Dans son essence, l'automatisation, combinée à une solution d'orchestration, aide à réduire les temps de réaction en remplaçant les tâches les plus répétitives et routinières qui consomment habituellement une grande partie du temps que les professionnels de la sécurité dédient aux événements de cybersécurité, tout en leur permettant de garder le contrôle sur l'ensemble du processus et de maintenir la possibilité d'utiliser le jugement humain lors des étapes de prise de décision.

L'automatique, en revanche, signifie essentiellement donner le contrôle complet des incidents à une machine, ce qui dans certains cas peut produire des résultats incorrects et même causer des dommages sévères à une organisation.

Comment les RSSI naviguent dans le « nouveau monde automatisé vs automatique »

Dans cet environnement nouvellement créé, où l'idée de réponse automatique gagne de plus en plus de terrain, l'une des principales questions qui se posent au sein de la communauté des professionnels de la cybersécurité est de savoir comment les RSSI naviguent dans cet environnement et s'ils sont désireux d'implémenter une automatisation complète ou s'ils sont conscients des risques potentiels qu'elle implique et déterminés à rester sur une approche orchestrée.

On peut dire qu'il y a beaucoup de RSSI tentés d'adopter la réponse aux incidents automatique, mais ce qu'ils doivent savoir avant de le faire, c'est qu'il y a de nombreux défis et obstacles associés à un tel mouvement.

Par exemple, il y a des risques de conformité spécifiques qui pourraient surgir de ce type de scénario. La conformité avec les lois de notification de violation de données est primordiale dans le domaine de la réponse aux incidents, car les organisations sont tenues de notifier leurs clients des violations et de soumettre des rapports sur ces violations aux autorités appropriées dans un délai donné.

Pour pouvoir atteindre ce type de conformité, les organisations ne peuvent tout simplement pas compter sur un système de réponse aux incidents automatique, car cela implique une intervention humaine lors du processus d'évaluation de la portée, de la gravité et de l'impact des violations, qui doit être complété avant que l'organisation ne puisse décider si une violation spécifique est soumise aux lois de notification.

Le Règlement Général sur la Protection des Données (RGPD) en est un exemple, qui doit entrer en vigueur en mai 2018, est l'une de ces réglementations strictes qui exigent que certaines organisations ayant subi une violation de données la notifient dans les 72 heures suivant la prise de conscience de la violation, et notifient les individus affectés par cette violation s'il est déterminé qu'elle a eu un impact négatif.

Pour déterminer ces faits et décider si une violation doit être signalée, les organisations ont besoin de professionnels de la cybersécurité qui sont conscients de l'existence de telles réglementations et les connaissent en détail, et réagissent conformément à ces réglementations, ce qu'un système de réponse aux incidents automatique n'est pas capable de faire. Les sanctions pour non-conformité peuvent être assez sévères, incluant de lourdes amendes qui peuvent sérieusement nuire aux résultats financiers d'une organisation.

La cybersécurité gardera-t-elle l'élément humain à l'avenir ?

Une autre question majeure soulevée dans la communauté de la cybersécurité est de savoir s'il y a encore besoin de l'élément humain dans la réponse aux incidents. Les avancées rapides dans le domaine de l'apprentissage automatique et de l'intelligence artificielle ont mis cette question en lumière, les partisans de l'automatisation affirmant que c'est l'étape logique et inévitable pour la cybersécurité.

Bien que l'idée d'avoir une réponse aux incidents automatique puisse sembler attrayante, l'opinion la plus raisonnée et fondée est que l'élément humain continuera à jouer un rôle significatif dans la cybersécurité, pour plusieurs raisons importantes. Premièrement, comme indiqué ci-dessus, il y a le fait que le jugement humain est encore nécessaire dans de nombreux aspects clés de la réponse aux incidents, comme assurer la conformité réglementaire.

Ensuite, les professionnels de la cybersécurité expérimentés et hautement qualifiés sont, et devraient continuer à être, un élément inséparable du processus d'orchestration de la réponse aux incidents. L'orchestration est nécessaire pour que les équipes de sécurité puissent conduire efficacement et efficacement l'ensemble du processus de réponse aux incidents sans perdre le contrôle sur certains aspects essentiels, comme la récupération et l'éradication, en plus de la préparation et de l'analyse post-incident, qui nécessitent une intervention humaine.

De plus, les RSSI sont sans doute attendus pour rester partie prenante de certaines activités plus larges liées à la réponse aux incidents, comme sensibiliser tous les employés de leur organisation à la cybersécurité, et renforcer la résilience de leur organisation face aux futures cyberattaques.

Pour le dire brièvement, la réponse aux incidents est vouée à devenir de plus en plus automatisée, car l'apprentissage automatique et l'IA ont un fort potentiel pour rendre l'ensemble du processus plus efficace, mais l'automatisation doit être faite avec prudence et jusqu'à un certain point, sans abandonner l'élément humain et en permettant aux RSSI de garder le contrôle sur tous les événements de cybersécurité, en raison de l'expertise et la connaissance irremplaçables qu'ils ont et des lacunes évidentes de ces technologies qui n'ont pas encore été résolues.

Source : Dario Forte, fondateur & PDG de DFLabs