Thomas Koch, Associate Partner – EY Luxembourg

Les défis que doivent relever les entreprises en matière de cybersécurité exigent désormais de recourir à une variété de compétences. Pour se protéger de manière optimale, on ne peut plus se contenter de protéger ses systèmes avec des solutions techniques. La prévention, le contrôle et l’analyse des incidents sont des dimensions qu’il ne faut pas négliger. « La problématique encore trop souvent constatée aujourd’hui est que ces fonctions, si elles sont mieux comprises des acteurs, sont la plupart du temps envisagées séparément. Elles sont menées par différentes personnes ou prestataires de service, sans qu’un regard d’ensemble ne soit forcément apporté, commente Thomas Koch, Associate Partner, responsable de la practice cybersecurity d’EY Luxembourg. Lutter efficacement contre la menace implique de mobiliser une réelle expertise, mais aussi de développer une approche intégrée, dans une dynamique d’amélioration continue. »

1. La bonne prévention au départ d’une vraie solution

La première dimension visant à garantir une protection optimale des systèmes informatiques est d’assurer avant tout une prévention optimale. « Cela implique tout d’abord de mener des campagnes de simulation de brèche, explique Thomas Koch. C’est aujourd’hui le seul moyen de vérifier que les procédures visant à bien réagir fonctionnent. » Cet exercice dépasse le cadre du simple test de pénétration. « La démarche ne se contente pas de déceler les failles au niveau technique du périmètre technologique. Aujourd’hui, la plupart des brèches ont pour origine une erreur humaine. Les acteurs malveillants parviennent à contourner les mesures de protection à travers les collaborateurs de l’entreprise, poursuit Thomas Koch. A mes yeux, notamment, la sensibilisation des collaborateurs au risque constitue désormais la mesure de prévention la plus critique pour sécuriser un environnement. » La prévention doit donc s’inscrire dans une approche plus large. « Il faut mettre à l’épreuve les mesures existantes à travers des scénarios, en simulant une attaque pour voir comment s’organise la réaction, poursuit le l’Associate Partner. L’idée est de vérifier que les procédures d’urgence sont bien établies et que les acteurs impliqués peuvent effectivement être mobilisés. » Est-ce que l’on dispose des informations nécessaires pour joindre les équipes capables de répondre à la menace et effectuer l’analyse ? A-t-on bien tout prévu pour répondre aux obligations réglementaires en cas de brèche ? « En partant de la faille, on peut mieux constater où les contrôles ont échoué, pour améliorer la protection et agir plus efficacement », conclut Thomas Koch.

2. Se doter d’une capacité de réagir

Quelle que soit l’entreprise, personne n’est à l’abri d’une faille. Le risque zéro n’existe pas et tout système est susceptible d’être un jour compromis. Sans qu’elles en aient conscience, de nombreuses organisations sont actuellement infectées. « Au-delà de la prévention et de la préparation, il est important de se doter d’une réelle capacité de détection des failles. Des outils performants, comme un Security Operations Center, permettent de détecter plus efficacement des comportements anormaux au cœur des systèmes et des réseaux », explique Thomas Koch. A l’heure où les cybercriminels usent d’astuces pour demeurer sous les radars afin d’avoir la possibilité d’exploiter un maximum de ressources, il faut tout mettre en œuvre pour les démasquer le plus rapidement possible.

3. Analyser chaque attaque pour améliorer les procédures

Chaque faille détectée doit faire l’objet d’une analyse approfondie. Une analyse forensique, au-delà de la détection, permet de mieux comprendre ce qui n’a pas fonctionné. Il permet d’identifier les dégâts, mais aussi d’en savoir plus sur la manière dont l’attaque a été orchestrée. « A partir d’une telle analyse, on peut tirer des leçons précieuses, explique Thomas Koch. Une meilleure compréhension de chaque brèche effectivement constatée, dans une approche intégrée, permet d’améliorer considérablement la maturité de l’entreprise à l’égard des enjeux de cybersécurité. »

Pour améliorer en continu la protection de l’entreprise vis-à-vis de la menace, il faut donc s’inscrire dans une approche intégrée, envisager la cyber-sécurité sous tous ces aspects, du début à la fin. « Les acteurs doivent se préparer au pire. Cela n’est possible que si les équipes communiquent mieux entre elles et que l’ensemble de l’entreprise, à commencer par la direction, est conscient des enjeux », assure Thomas Koch. La prévention, avec l’évocation des scénarios, doit pouvoir être menée à tous les niveaux de l’organisation. « Trop souvent, si des mesures de protection raisonnables ont été mises en œuvre, les organisations n’ont pas pris le temps de vérifier si tout fonctionnait comme prévu », poursuit-il. L’exercice permet de passer en revue chaque élément, étape par étape. « Les organisations, quel que soit leur niveau de maturité, comprennent alors rapidement que la cybersécurité n’est pas un enjeu technique ou IT, mais une question d’attitude, de comportement à adopter », conclut l’expert.

« La cybersécurité n’est pas un enjeu IT, mais une question d’attitude à adopter. »