Cybersécurité simplifiée : commencez par la fin pour les fabricants

La cybersécurité est un sujet complexe quel que soit le secteur vertical. Pour réduire cette complexité, il aide de la cadrer dans le contexte business. Pour les fabricants, il y a un concept familier : commencer par la fin.

À quoi ressemble la fin en cybersécurité ? La réponse aux incidents. Le paysage étourdissant de solutions, vendeurs et services gérés tourne généralement autour de la prévention d'incidents cyber. Si une once de prévention vaut une livre de guérison, la cybersécurité est fondamentalement un processus de gestion des risques, et un coup d'œil aux gros titres récents montre que la prévention absolue est impossible. En fait, certaines des plus grandes entreprises mondiales avec des opérations cyber d'élite partent du principe que, malgré leurs talents et budgets formidables, leurs défenses ont déjà été percées.

Cette hypothèse est-elle raisonnable pour les petits fabricants ? Absolument. Le 13e rapport annuel Verizon Data Breach Investigation Report (l'un des plus respectés et attendus chaque année) analyse plus de 150 000 incidents cyber collectés auprès de plus de 80 contributeurs de recherche dans 16 verticales sectorielles, dont la fabrication. Selon le rapport, les fabricants sont uniques en ce qu'ils sont constamment ciblés à la fois par des cybercriminels organisés ET des acteurs d'État-nation, plutôt que par l'un ou l'autre. Globalement, les temps de détection et réponse les plus rapides se mesurent en jours. 25 % des brèches du rapport 2020 se mesurent en mois ou plus.

Les incidents cyber sont inévitables, mais leurs impacts peuvent être grandement atténués avec une planification de réponse adéquate. Le rançongiciel peut être une menace existentielle pour l'entreprise ou une simple gêne causant un temps d'arrêt inattendu, tout dépend de la qualité de la planification avec la fin en tête. Les fournisseurs de services gérés peuvent détecter un incident, mais sont rarement capables d'y répondre. Les entreprises se retrouvent souvent en difficulté juridique non pas pour avoir subi un incident, mais pour manque de mesures raisonnables dans la planification et l'exécution de la réponse aux incidents. Bientôt, les fournisseurs DoD ne pourront plus soumissionner sur de nouveaux contrats sans intégrer des exigences robustes de réponse aux incidents dans leurs programmes de sécurité globaux. C'est révélateur : sur les 12 paragraphes du règlement d'acquisition DoD principal pour la cybersécurité, un seul est dédié à la « sécurité adéquate » tandis que cinq le sont à la réponse et au signalement d'incidents.

Ne pas garder la fin en tête en gérant le risque cyber peut facilement mener à la fin de l'organisation. Le CMTC a une vaste expérience pour aider les fabricants à réinventer leurs programmes de cybersécurité, grands ou petits. N'hésitez pas à nous contacter pour plus d'infos sur les sujets ici, le DBIR Verizon 2020, ou simplement pour démystifier et comprendre le monde complexe de la cybersécurité.