Avec le soutien de: Kaseya

Il s'agit d'un article de blog rédigé par International Data Corporation (IDC), leader mondial de l'analyse de marché, qui présente des analyses indépendantes sur l'état de la cyber-résilience des équipes informatiques.

À l'ère du numérique, les entreprises fonctionnent au rythme de l'information — c'est-à-dire essentiellement à la vitesse de la fibre optique, à la vitesse de la lumière et à la vitesse de traitement des données. Les grands modèles linguistiques (LLM) et l'informatique pilotée par des agents permettent désormais d'assimiler d'énormes volumes d'informations et de tirer des conclusions pertinentes. Cela incite les entreprises à étendre leur présence numérique.

Cette expansion perpétuelle pose problème. Les entreprises doivent ajouter de nouvelles identités à leurs plateformes IAM ; les pare-feu sont mis à jour pour refléter les nouvelles politiques d’accès et prendre en compte les nouvelles applications ; les terminaux téléchargent les dernières versions des logiciels de protection, et les données sont chiffrées. Les mesures prises par les entreprises pour protéger leurs actifs numériques restent du type « faites ceci, puis faites cela » — un processus manuel et répétitif.

Même si bon nombre de ces processus sont intuitifs, la protection des actifs individuels est-elle intégrée dans l'ensemble du système ? Pouvons-nous être certains que nos mesures de protection créent des redondances ? Devrions-nous simplement partir de la résilience et remonter en amont ?

La réponse à cette dernière question est probablement « oui ». Non pas parce que la prévention est vouée à l'échec, mais parce que le fait de partir de la résilience impose une rigueur que l'approche axée sur la prévention a souvent tendance à négliger. En vous demandant « Que se passerait-il si nous étions victimes d'une attaque ? » avant de vous demander « Comment l'empêcher ? », vous mettez en évidence les failles de votre architecture qui, sans cela, resteraient invisibles jusqu'à ce qu'une intrusion les révèle.

L'anatomie de la résilience

Réfléchissez à ce qu’implique la résilience. Pour effectuer une reprise sans heurts, vous devez connaître l’ensemble de vos ressources : chaque appareil, chaque identité, chaque application, chaque base de données. Et vous devez avoir la certitude que votre reprise ou votre restauration n’a pas été compromise. C’est précisément ce niveau de visibilité sur l’environnement qui fait défaut à la plupart des organisations, et c’est cette même visibilité qui les aurait rendues plus difficiles à pirater dès le départ.

Les cybercriminels l’ont déjà compris. Les acteurs malveillants les plus sophistiqués ciblent désormais spécifiquement les infrastructures de sauvegarde, non pas comme un objectif secondaire, mais comme un objectif principal. En effet, si l’on parvient à chiffrer ou à corrompre la sauvegarde d’une victime avant de déclencher le rançongiciel, on élimine ainsi sa principale option de restauration et on empêche toute récupération avant même qu’elle ne commence. Une organisation qui n’a pas mûrement réfléchi à sa résilience n’est pas seulement vulnérable à l’attaque initiale ; elle risque également de perdre toute capacité à s’en remettre.

Trois éléments caractérisent une stratégie de résilience aboutie :

La résilience axée sur la prévention consiste à maintenir une bonne visibilité à mesure que l’environnement évolue. La plupart des organisations déploient de nouvelles fonctionnalités plus rapidement qu’elles ne parviennent à les sécuriser, qu’il s’agisse de nouvelles applications SaaS, de nouveaux utilisateurs ou de nouvelles charges de travail dans le cloud. Chacun de ces événements crée un décalage entre ce qui est en cours d’exécution et ce qui est protégé. Combler cet écart en continu, plutôt que de manière ponctuelle, voilà à quoi ressemble concrètement la résilience axée sur la prévention.

La résilience au niveau de la détection repose sur la recoupement de différents types de signaux que la plupart des architectures de sécurité traitent de manière cloisonnée. La télémétrie de sécurité détecte les indicateurs actifs de compromission ; la télémétrie de sauvegarde et de stockage détecte quant à elle des éléments différents et plus précoces : les comportements de chiffrement qui précèdent le déclenchement de toute alerte. Une organisation capable de corréler simultanément ces deux flux bénéficie d’un avantage en matière de détection que les architectures exclusivement axées sur la sécurité ne peuvent pas égaler.

La résilience opérationnelle correspond à la fonction de reprise elle-même, définie de manière plus rigoureuse que la simple « restauration à partir d’une sauvegarde ». Elle implique des procédures de reprise documentées et testées, ainsi que la capacité à fournir des preuves de ce qui a été sauvegardé et de ce qui ne l’a pas été, car les obligations réglementaires et légales l’exigent désormais. Les assureurs spécialisés dans la cybercriminalité examinent de plus en plus la maturité opérationnelle plutôt que le simple déploiement d’outils, et la mise en place d’un dossier justifiable décrivant la manière dont les organisations détectent, réagissent et se remettent en état est devenue une exigence commerciale. Une sauvegarde qui n’a jamais été testée ne constitue pas une capacité de reprise — c’est une simple hypothèse.

Privilégier la relance

Les processus manuels et répétitifs décrits au début de cet article ne sont pas seulement inefficaces : ils sont également vulnérables. Ils sont remplacés par une architecture dans laquelle les opérations informatiques, les opérations de sécurité et les fonctions de résilience partagent une couche de données commune, de sorte que toute nouvelle identité ajoutée à une plateforme IAM est automatiquement prise en compte dans le niveau de sécurité, et qu’une anomalie détectée par le système de sauvegarde alerte automatiquement la pile de détection des menaces.

Partir de la résilience et remonter en amont ne signifie pas accepter la violation comme inévitable. Cela signifie être lucide quant à l’environnement complexe, en constante évolution et ciblée que vous défendez, et savoir que vos adversaires ont déjà évalué vos options de reprise. Privilégiez d’abord la reprise, et vous constaterez que l’architecture capable d’une reprise sans faille est aussi celle qui est la plus difficile à faire tomber.

L'évolution vers une approche de la sécurité axée sur la résilience reflète le fait que la prévention ne suffit pas à elle seule à combler toutes les failles engendrées par une empreinte numérique en constante expansion. Des fonctionnalités telles que la détection unifiée des menaces, la réponse gérée et la visibilité continue sur les identités, les terminaux et les environnements SaaS sont désormais des éléments essentiels d'une stratégie de sécurité aboutie. L'offre de sécurité complète et intégrée de Kaseya soutient ces objectifs dans le cadre d'une approche plus large de la détection, de la réponse et de la reprise. Découvrez les solutions de sécurité informatique de Kaseya