Les logiciels oubliés fragilisent la sécurité

Si la sous et la non-utilisation de logiciels et de services de sécurité – désignées par le néologisme de « shelfware » – relèvent parfois d’un choix délibéré et stratégique, ce pratiques sont le plus souvent source d'inquiétude. Différentes situations font qu’une entreprise se retrouve avec des outils de sécurité dans son arsenal de défense : un DSI a insisté pour acheter une technologie particulière après avoir vu une publicité ; des cadres achètent une option spécifique pour répondre aux pré-requis d'un partenaire en vue de la signature d’un contrat ; des équipes renouvèlent toutes les licences de produits existants lors d'une fusion/acquisition au lieu de se débarrasser des logiciels superflus, etc. Alan Brill, le directeur général senior des cyberrisques pour le consultant Kroll, a été confronté à tous ces scénarios. « Il arrive souvent que des sets d'outils achetés ne soient pas utilisés du tout ou à minima des fonctionnalités disponibles », avoue-t-il. Les recherches confirment les constatations de M. Brill. Selon l’étude réalisée par CSO intitulée « 2020 Security Priorities » (Priorités en matière de sécurité en 2020), 50 % des responsables de la sécurité déclarent ne pas avoir recours à toutes les fonctions incluses dans leurs technologies ou services de sécurité. Par ailleurs, 26 % déclarent qu’ils manquent de ressources en personnel, de services d'assistance ou de capacités de déploiement pour mettre en œuvre les technologies et/ou services de sécurité qu'ils ont acquis. En outre, les personnes interrogées indiquent qu'elles n'utilisent que 72 % des produits ou services de sécurité achetés ou sous contrat.

Selon les experts, la fonction de sécurité pose clairement un problème de « shelfware », autrement dit de sous ou de non-utilisation de produits, de services ou de fonctionnalités, et cette situation n’est pas sans conséquences. L'achat excessif et la sous-utilisation des outils et des technologies de sécurité sont non seulement coûteuses et source de gaspillage, mais ils ajoutent une complexité inutile, surchargent un personnel déjà très occupé et entravent des opérations de sécurité plus productives. « Il peut y avoir différentes raisons à cela, mais la conséquence, c’est qu’il y a des coûts d'opportunité perdus et la question se pose de savoir si l’entreprise aurait pu utiliser ces produits ou services pour améliorer la sécurité », explique Alan Brill.

Un meilleur usage pour en tirer une pleine valeur

Ces chiffres ne surprennent pas Neil Daswani, vétéran de la cybersécurité et coauteur de Big Breaches : Cybersecurity Lessons for Everyone (Les violations majeures : quelles leçons en tirer pour la cybersécurité). Lui aussi déclare avoir vu des équipes de sécurité acheter des solutions qu’elles n’ont pas déployées pleinement par la suite. « Il y a des raisons légitimes à la sous-utilisation perçue, mais il y a aussi des préoccupations légitimes », prévient-il. En effet, dans certains cas, les équipes de sécurité peuvent choisir des solutions de manière réfléchie en sachant qu'elles n’utiliseront que certaines capacités spécifiques de ces outils et qu'elles n’activeront uniquement les fonctions qui correspondent aux besoins stratégiques de leur entreprise. « C'est parfaitement acceptable », selon M. Daswani. D'autres font remarquer que les équipes de sécurité achètent de la redondance à dessein pour s'assurer qu'elles disposent des capacités nécessaires en cas de besoin. Par exemple, un RSSI peut faire appel à deux ou plusieurs fournisseurs de services pour avoir le support idoine en cas de violation, et être sûr d'obtenir une aide suffisante même en cas d'attaque à grande échelle ciblant de nombreuses entreprises.

Cependant, les experts en sécurité affirment que les situations où la sous-utilisation des outils de sécurité n'est pas stratégique mais réactionnelle sont plus nombreuses. Il peut arriver qu’une équipe de sécurité hérite d'une série d'outils redondants après une fusion/acquisition. Elle peut aussi avoir accumulé les mêmes capacités à partir de plusieurs solutions, les employés et les cadres déployant leurs options préférées. D'autres encore ont pu choisir des technologies sans avoir les ressources nécessaires pour former leurs employés ou en embaucher de nouveaux pour comprendre, déployer ou utiliser correctement l'ensemble des capacités qu'ils ont achetées. John Kronick, directeur régional de la gestion des risques et de la gouvernance pour le consultant en sécurité NCC Group, et lui-même ancien RSSI, explique qu'il a travaillé avec une entreprise qui disposait d'un logiciel de prévention de la perte de données (Data Loss Prevention, DLP) et d'un système de gestion des informations et événements de sécurité (Security Information and Event Management, SIEM), mais que celle-ci n'avait pas les ressources nécessaires pour les adapter aux besoins particuliers de l’entreprise, ce qui signifie qu'aucun des outils ne fonctionnait au maximum de sa valeur.

Auditer, évaluer et ajuster

Dans le même temps, les RSSI ont moins le droit à l’erreur, tant en ce qui concerne leurs stratégies de sécurité que les opérations de leur équipe. Le nombre et la complexité des menaces ne cessent de croître, le coût de l'échec augmente et le budget pour financer les programmes restera serré. Par conséquent, les RSSI sont soumis à une pression croissante pour maximiser la valeur de leurs investissements. « Les RSSI doivent s'assurer qu'ils utilisent pleinement leurs solutions et services avant d'en demander davantage. S'ils y parviennent, c'est la première étape pour entamer un dialogue productif sur les prochaines menaces contre lesquelles il faudra défendre l’entreprise et sur l’argent qu’il faudra investir pour y parvenir », explique M. Daswani.

« Pour ce faire, les RSSI doivent commencer par bien comprendre les solutions de sécurité dont ils disposent afin de pouvoir évaluer si elles s'alignent sur la stratégie de sécurité de l’entreprise et si elles permettent de traiter les risques auxquels elle est confrontée », prévient pour sa part Don Heckman, directeur de la cybersécurité chez Guidehouse, une entreprise de conseil, de consulting et d'externalisation. « Toute entreprise devrait réaliser, au moins tous les 12 à 24 mois, un audit de son environnement, de son programme et de ses technologies de cybersécurité. Toute entreprise devrait d’abord se doter d’un solide programme de gestion des risques, définissant les risques et les mesures d'atténuation appropriées. Elle devrait également procéder à un examen stratégique de ce qu’elle possède, de ce qu’elle devrait avoir et ce dont elle pourrait se délester. Elle peut procéder à une rationalisation des outils afin de déterminer réellement si elle dispose des bons outils pour ses besoins de cybersécurité, en se débarrassant des redondances et de la complexité, et en comblant les lacunes. » Ce travail permettra aussi aux RSSI d'axer les programmes de formation du personnel sur les technologies restantes, et d’améliorer encore plus les chances d'utiliser chacune d'entre elles à sa pleine valeur. Selon M. Heckman, ce travail est payant. « Tout le monde se plaint de ne pas avoir assez d'argent, demande un budget plus conséquent pour sa cybersécurité, mais en fin de compte, si chacun prenait le recul nécessaire et faisait une évaluation complète de ses outils et de ses capacités de cybersécurité, il pourrait constater que s’il récupérait la moitié de l'argent dépensé pour des capacités qu'il n'utilise pas, il pourrait couvrir d'autres ressources plus stratégiques », présente-t-il.

Une sélection plus stratégique pour l'avenir

Tous les achats à venir devraient faire l'objet du même examen minutieux de la part des RSSI afin de s'assurer que la fonction de sécurité n’est pas à nouveau sous-utilisée. Pour ce faire, ces derniers devraient aligner chaque nouvel achat sur leurs objectifs stratégiques, comme l’explique Tom Kellermann, responsable de la stratégie de cybersécurité chez VMware, Global Fellow du Wilson Center for Cybersecurity Policy et membre du United States Secret Service Cybercrime Investigations Advisory Board. Celui-ci suggère d'aligner les capacités sur des frameworks comme le modèle MITRE ATT&CK. M. Kellermann conseille également aux RSSI de ne pas acheter de produit de sécurité en licence perpétuel, mais d'opter de préférence pour du logiciel SaaS afin de gagner en flexibilité et de suivre le rythme des innovations futures. Les RSSI doivent de plus s'assurer que leurs nouveaux achats n'ont pas un but unique, mais qu'ils peuvent être intégrés dans leur environnement via des API et, en fin de compte, travailler de manière cohérente avec les autres technologies de sécurité pour fournir les informations nécessaires à la détection des menaces qui représentent les plus grands risques pour l’entreprise. « Il faut parvenir à réduire le nombre de contrôles de sécurité à cinq ou six pour obtenir cette visibilité », précise M. Kellermann.

Investir dans l'automatisation

Les experts font remarquer que les équipes de sécurité sont tellement submergées par le nombre d'alertes qu'elles désactivent certaines capacités de détection juste pour s’en sortir, et c’est justement ce volume élevé d'alertes générées par les outils qui contribue à leur sous-utilisation. C'est un problème courant. 70% des personnes interrogées dans le cadre d'une enquête réalisée récemment par Dimensional Research pour le compte de Sumo Logic ont déclaré que le nombre d'alertes de sécurité qu'elles reçoivent quotidiennement a au moins doublé au cours des cinq dernières années. En outre, 93 % d'entre elles ont déclaré que leurs équipes de sécurité ne pouvaient pas traiter toutes les alertes de sécurité dans la même journée, et 83 % ont affirmé que leurs équipes de sécurité étaient fatiguées par ces avertissements. Pour remédier à ce problème, M. Kronick conseille aux RSSI d'automatiser autant que possible le processus de façon à ce que le personnel n’ait à traiter que les signaux réellement problématiques. M. Kronick ajoute que la mise en œuvre de l'automatisation n'aide pas seulement les RSSI à maximiser la valeur des technologies qu'ils ont déjà déployées, mais qu'elle permet aussi d'améliorer leur posture de sécurité globale, ce qui présente un avantage encore plus important.

Créer des partenariats

Maarten Van Horenbeeck, RSSI de l’éditeur Zendesk, cite deux exemples montrant que la sous-utilisation est révélatrice d'un problème. Le premier est celui où l'équipe de sécurité achète un outil et le met en œuvre dans son propre domaine de contrôle, alors qu'il serait préférable que l'équipe établisse un partenariat avec l'ensemble de l'entreprise pour que d'autres équipes l'adoptent. « Il s’agit souvent d’outils d'évaluation de la protection. Pour être efficaces, les équipes de sécurité doivent externaliser radicalement la fonction de sécurité et favoriser la transmission de leurs connaissances avec l'ensemble de l'entreprise, notamment en partageant les capacités de nombreux outils qu'elles utilisent », souligne-t-il. L’autre exemple est celui de l'équipe de sécurité qui ne comprend pas pleinement les capacités d'un outil et ne l'utilise donc pas au maximum de son efficacité – un scénario qui peut être amélioré par un meilleur partenariat avec le fournisseur. « Cela peut arriver quand l'équipe de sécurité ne considère pas le fournisseur comme une source d’expertise externe plus approfondie à même d’améliorer la sécurité. Chaque fois que l’on fait appel à un fournisseur de sécurité, on ne cherche pas seulement un outil : on cherche aussi à renforcer l'efficacité de son programme de sécurité dans un domaine où le fournisseur est un expert, et pas nous. C’est la raison pour laquelle il est important d’établir une relation de grande confiance avec le fournisseur et son équipe », précise-t-il.

Privilégier l'efficacité

Même si les équipes de sécurité doivent s'assurer qu'elles tirent le meilleur parti de leurs technologies existantes afin d'éviter les redondances involontaires et les dépenses inutiles, M. Daswani insiste sur le fait que l’usage maximal des outils ne doit pas être un critère de réussite. Oui, selon lui, les RSSI doivent éviter « les mises en œuvre de mesures de sécurité diverses et variées mal conçues ». Mais c’est l'efficacité de la contre-mesure mise en place qui doit servir de principal indicateur. « Si vos contre-mesures vous permettent une efficacité de 99,9 % pour protéger l’entrée de menaces identifiées, peu importe si vous n’avez pas utilisé toutes les fonctionnalités disponibles. Un plus grand nombre de fonctionnalités peuvent contribuer à renforcer les contre-mesures, mais le véritable indicateur reste celui de l'efficacité, l’usage étant l’autre indicateur à considérer en second lieu. »