Que sont les contrôles de sécurité ?

Les contrôles de sécurité constituent l’épine dorsale de toute stratégie de sécurité robuste : ce sont les mesures que les organisations mettent en place pour protéger leurs actifs — personnes, biens ou données — contre une multitude de risques et de menaces de sécurité. Ces contrôles sont soigneusement conçus pour prévenir, détecter, contrer ou réduire l’impact des incidents de sécurité sur les biens physiques, les informations, les systèmes informatiques ou d’autres actifs précieux. En comprenant et en mettant en œuvre des contrôles de sécurité efficaces, les organisations peuvent créer un environnement renforcé qui garantit la sécurité et l’intégrité de leurs opérations.

Bree Fowler, rédactrice senior chez CNET, a animé une table ronde lors du Bitwarden Open Source Security Summit 2024 avec Schlomo Schapiro, ingénieur principal chez Tektit Consulting, et Bjoern Sjut, directeur général de la productivité et de l’informatique chez Front Row. La conversation a exploré les tendances et défis actuels de la résilience en matière de sécurité et de l’adoption par les employés. Elle comprenait des recommandations des deux experts sur la manière d’améliorer la sécurité globale grâce à des contrôles de sécurité stratégiques et réfléchis.

Schapiro a ouvert la discussion en soulignant la menace que représentent les technologies de logiciel en tant que service (SaaS).

« La plupart des entreprises ignorent complètement ou sous-estiment la menace que représente leur paysage SaaS actuel », a déclaré Schapiro. « Elles accordent essentiellement une confiance aveugle à leurs fournisseurs SaaS et renoncent à la pleine maîtrise de leur périmètre. C’est l’une des plus grandes erreurs que commettent les entreprises. Elles laissent leur périmètre devenir une clôture fragile criblée de trous, que les pirates peuvent ensuite exploiter. En tant que secteur, nous devons nous mettre en phase avec la réalité. »

Sjut a également souligné l’importance des périmètres, en notant que le basculement massif vers les applications cloud les a rendus plus opaques. Sa principale préoccupation réside toutefois dans le fait que les personnes sont beaucoup plus mobiles. « Si nous ne voulons pas équiper tout le monde d’appareils dédiés et spécifiques, nous devons gérer les défis posés par un environnement BYOD. Associé à ces outils cloud, cela signifie que nous avons davantage de vecteurs d’attaque sur les appareils et via les applications. »

Si les appareils BYOD peuvent présenter des risques de sécurité, les organisations peuvent renforcer leurs défenses avec des outils comme les gestionnaires de mots de passe. Bitwarden offre un accès multiplateforme pour les applications mobiles, de navigateur et de bureau, permettant un environnement sans limite de mots de passe et d’appareils.

La plupart des organisations doivent composer avec de nombreux éléments mouvants pour renforcer leur sécurité. Pour éviter que des aspects importants ne passent entre les mailles du filet, Shapiro estime que « les entreprises doivent s’assurer que chaque application introduite dans leur pile utilise une authentification fédérée auprès de leur fournisseur d’identité principal. L’un des pires scénarios consiste à avoir des comptes ou des applications mal compris, qui restent actifs après le départ d’un employé de l’organisation. »

Sjut souligne que la sécurité ne devrait pas être réservée à « une fonctionnalité d’entreprise. En tant que secteur, nous devrions tous défendre une sécurité intégrée afin de ne pas nous retrouver à devoir combler des failles avec de nombreuses mesures différentes. »

Les professionnels de la sécurité doivent assembler toutes les pièces du puzzle et déterminer ce qui fonctionne le mieux pour eux. Les contrôles sont essentiels pour atténuer les risques métier et garantir efficacement la sécurité.

« Nous voulons trouver le juste équilibre entre sécurité et productivité. Je pense qu’une erreur commise par de nombreuses entreprises consiste à inscrire à l’ordre du jour un objectif de sécurité qui peut empêcher les personnes d’être productives. À long terme, cela les rend moins sûres, car les employés mettent en place leur propre shadow IT, totalement en dehors du périmètre des contrôles de sécurité de l’entreprise. Selon nous, tout est question d’équilibre, associé à une approche fondée sur les risques. » - Bjoern Sjut

Si les organisations veulent que leurs services de sécurité soient efficaces, elles doivent encourager et permettre aux utilisateurs de faire leur travail efficacement.

« Il est toujours important qu’un service informatique soit accessible. Il faut créer un environnement dans lequel le chemin de moindre résistance pour l’utilisateur ne contourne pas votre sécurité. » - Schlomo Schapiro

Les employés qui ne peuvent pas partager des fichiers de travail pertinents avec des clients ou des membres de l’équipe sont plus susceptibles de contourner les protocoles de sécurité. La seule façon de s’en prémunir est de veiller à ce que « les employés se sentent soutenus dans leur productivité. Il s’agit vraiment de collaboration et de trouver le juste équilibre entre productivité et sécurité (Sjut). »

Les gestionnaires de mots de passe peuvent aider les utilisateurs à trouver le juste équilibre entre sécurité et productivité. Ils offrent un moyen rapide et efficace de créer, gérer et sécuriser les mots de passe. Les gestionnaires de mots de passe réputés tels que Bitwarden intègrent également des outils MFA que les utilisateurs peuvent exploiter pour ajouter une couche de sécurité supplémentaire, comme le Bitwarden Authenticator intégré ou l’application autonome Bitwarden Authenticator.

Les personnes ont naturellement tendance à éviter les frictions, y compris celles causées par les politiques de sécurité. Fowler a demandé à Schapiro et Sjut comment ils incitent au mieux les employés à éviter de contourner les bonnes pratiques de sécurité.

« Ma recommandation personnelle est de considérer vos utilisateurs comme des développeurs citoyens. Il est important de permettre à vos employés d’utiliser les systèmes que vous fournissez. Il est important d’être accessible, de tendre la main et de donner la priorité à l’accompagnement des utilisateurs. » - Schlomo Schapiro

Sjut a fait remarquer que, dans de nombreuses entreprises, il peut être difficile pour les utilisateurs de savoir comment obtenir l’accès à un outil dont ils ont besoin. C’est particulièrement fréquent dans les entreprises de taille moyenne, car l’entreprise peut être assez grande pour perdre de vue tous les outils disponibles, mais pas assez pour disposer d’une supervision au niveau de l’entreprise.

« À mon avis, beaucoup d’entreprises gèrent leur informatique de manière incorrecte. Elles ne la gèrent pas comme un défenseur du statu quo. Elles la gèrent plutôt comme un service de gestion des installations chargé de maintenir l’activité. Très peu d’organisations informatiques ont pour objectif de rendre les gens plus productifs. » - Bjoern Sjut

Schapiro a souligné l’importance de maîtriser les périmètres SaaS et de disposer d’un plan solide pour récupérer les sauvegardes, y compris des tests réguliers afin de s’assurer que chacun comprend son rôle. Les organisations doivent se concentrer sur la protection et la maintenance des systèmes critiques afin d’éviter les violations et de garantir qu’ils restent fonctionnels et sécurisés face aux attaques potentielles.

Sjut a déclaré qu’en plus des sauvegardes, de nombreuses entreprises n’ont pas vraiment une compréhension solide de l’identité, y compris celle des personnes avec lesquelles elles collaborent, comme les freelances.

« Le nombre de comptes Google personnels utilisés pour gérer les données Google Analytics me laisse perplexe », a déclaré Sjut. « La plupart des entreprises doivent gérer les identités numériques. Mon impression générale est qu’il y a rarement quelqu’un qui se sent responsable des identités numériques au sein de l’organisation. Les entreprises doivent comprendre leur fournisseur d’identité principal, le fonctionnement des identités et savoir si elles les maîtrisent. Plus les utilisateurs se connectent à des applications cloud sur un appareil personnel sans que l’employeur ait de visibilité sur cette identité, plus il devient difficile d’atténuer les dommages. »

Les contrôles de sécurité peuvent être globalement classés en trois grands types : contrôles physiques, techniques et administratifs. Chaque type joue un rôle essentiel dans la création d’un cadre de sécurité complet. En intégrant ces trois types de contrôles, les organisations peuvent créer une stratégie de défense multicouche qui couvre divers aspects de la sécurité.

• Les contrôles physiques comprennent des mesures telles que les systèmes de contrôle d’accès, les caméras de surveillance et les systèmes d’alarme. 

• Les contrôles techniques englobent des outils et technologies tels que les gestionnaires de mots de passe, les pare-feu, les systèmes de détection d’intrusion et le chiffrement. 

• Les contrôles administratifs comprennent les politiques de sécurité, les procédures et les programmes de formation conçus pour gérer et encadrer la posture de sécurité globale d’une organisation. 

Les contrôles de sécurité techniques sont essentiels pour protéger les actifs numériques d’une organisation, notamment les systèmes informatiques, les réseaux et les données. Ces contrôles couvrent un ensemble de technologies et de pratiques conçues pour prévenir, détecter et contrer les cybermenaces, notamment le chiffrement, les pare-feu, les contrôles d’accès, les antivirus et la détection des logiciels malveillants. Ils sont indispensables pour se protéger contre les cybermenaces telles que le piratage, les logiciels malveillants et les ransomwares, et pour garantir l’intégrité et la confidentialité des actifs numériques.

Les gestionnaires de mots de passe comme Bitwarden fournissent des rapports sur l’état des mots de passe, les mots de passe exposés ou réutilisés, les mots de passe faibles, les sites web non sécurisés, les identifiants en deux étapes inactifs et les violations de données connues.

Les contrôles de sécurité administratifs sont des mesures conçues pour gérer et encadrer la posture de sécurité d’une organisation au moyen de politiques de sécurité, de procédures et de formations. Ces contrôles sont essentiels pour guider le comportement des employés et garantir la conformité aux normes de sécurité. Les contrôles de sécurité administratifs sont cruciaux pour se protéger contre les menaces internes, l’ingénierie sociale et les défauts de conformité, et pour garantir une approche complète de la gestion de la sécurité.

• Des directives claires concernant les politiques et procédures de sécurité aident les employés à comprendre leurs rôles et responsabilités dans le maintien de la sécurité, en garantissant une application cohérente des mesures de sécurité.

• Former les employés aux bonnes pratiques de sécurité et aux menaces potentielles aide à instaurer une culture axée sur la sécurité et réduit le risque d’erreur humaine.

• Les plans de réponse aux incidents permettent aux organisations de réagir rapidement aux incidents de sécurité, en minimisant les dommages et en garantissant une réponse coordonnée.

• Le respect des exigences de conformité et des réglementations, telles que HIPAA et PCI-DSS, garantit que les organisations remplissent leurs obligations légales et protègent les informations sensibles.

• Identifier et atténuer régulièrement les risques de sécurité aide les organisations à éviter les menaces potentielles et à maintenir une posture de sécurité robuste.

Les contrôles de sécurité sont des mesures indispensables que les organisations doivent mettre en œuvre pour protéger leurs actifs contre un large éventail de risques et de menaces de sécurité. Comprendre les différents types de contrôles de sécurité — physiques, techniques et administratifs — ainsi que leurs fonctions est crucial pour élaborer une stratégie de sécurité efficace. De plus, connaître les domaines souvent négligés, comme la formation à la sensibilisation à la sécurité et les contrôles de sécurité physiques, peut aider les organisations à corriger les vulnérabilités potentielles. En adoptant une approche globale qui combine ces contrôles, les organisations peuvent garantir la confidentialité, l’intégrité et la disponibilité de leurs informations et de leurs actifs, renforçant ainsi leur résilience globale en matière de sécurité.