Découvrez quelques bonnes pratiques générales
Si vous regardez les veilles dans le monde de la finance, l’immobilier ou le domaine médical, vous pouvez constater que trois grandes directives reviennent constamment :
Informez-vous
Vous devez suivre des flux d’information dont la provenance, la pertinence ou la fréquence restent à définir en fonction de vos objectifs. Dans le contexte de la cybersécurité, vos interrogations devraient être les suivantes :
- Dois-je me former à une thématique particulière ? Ou encore acquérir une connaissance générale ?
- Quels sont les périmètres qui entrent dans le cadre de ma veille ? Des projets auxquels je voudrais ajouter des indicateurs en terme de sécurité ?
- Est-ce que le périmètre est sensible au point d’y investir beaucoup de moyens, afin d’avoir une veille continue et massive ? Ou devrait-elle être plus légère pour un futur projet à naître ?
Inscrivez vos recherches dans un processus continu
Vous devez impérativement planifier un processus régulier sur le modèle d’un PDCA ou Plan, Do, Check, Act. Si vous ne faites pas cet effort, votre processus de veille sera délaissé et ne pourra ni s’améliorer ni s’adapter à vos besoins.
La méthode PDCA : Plan Do Check Act
Analysez les informations
Il ne s’agit pas d’avoir des informations pour le plaisir d’en avoir. Elles doivent apporter une valeur pour vos équipes et se traduire en actions. Vous devez toujours vous demander ceci : si une information n’implique pas nécessairement pour moi ou mon équipe une prise de décision, est-elle vraiment pertinente ?
Une bonne veille met en œuvre des techniques d’acquisition, de stockage et d’analyse de l’information. Le but est que ces informations soient transmises rapidement aux acteurs concernés. C’est un véritable challenge, notamment dans de grandes entreprises !
Même si le cours « Mettre en place un système de veille informationnelle » est dédié au sujet, vous trouverez ici les quelques étapes clés d’une veille technologique réussie :
- le cadrage. Celui-ci a pour objectif de limiter le périmètre de l’étude pour mieux le maîtriser. On notera les étapes suivantes :
- faites un état des lieux. Il est nécessaire de faire un audit de l’existant afin de déterminer les coûts, démontrer la légitimité de votre projet et calculer le ROI ;
- respectez les étapes du projet de veille. Définissez tout ce qui doit l’être comme les objectifs, les thématiques à aborder… ;
- définissez particulièrement le plan fixé concernant les acteurs, les sujets et dates ;
- organisez votre veille : Qui veille ? Qui analyse ? Quels sont les composants de la cellule de veille ? Combien de temps durera-t-elle ? Est-ce permanent ou un projet ?
- la collecte. Vous devez lister les sources possibles pour le recueil de l’information, comme les salons ou les conférences. Vous vous devez aussi de diversifier vos points de vue, en imaginant les parties prenantes ayant participé à la construction de l’information. Il vous faut varier les expressions utilisées pour un sujet, afin de consulter les informations provenant d’acteurs différents ;
- l’analyse. Il vous faudra sélectionner les informations pertinentes, tout en mettant à profit les outils visuels les plus appropriés. N’hésitez pas à confronter les points de vue, afin d’enrichir votre analyse selon les différents profils de vos analystes ;
- le partage et la diffusion. Ciblez le contenu et intégrez les livrables en fonction du profil de vos cibles. L’information doit être utile et ne doit pas être excessive. Elle doit s’inscrire dans un objectif concret. N’hésitez pas à mesurer la satisfaction de vos lecteurs ;
- l’animation et le pilotage. Avancez pas à pas dans votre veille afin de ne pas oublier d’étapes. Aussi, désignez bien votre “chef d’orchestre” et n’oubliez pas de bien définir vos acteurs. De manière générale, vous aurez la plupart du temps les décideurs, les veilleurs, les analystes et les usagers de votre veille. Dans notre cas, les usagers seraient notamment les administrateurs, puisqu’ils devront agir en fonction de vos livrables.
Identifiez les particularités d’une veille en cybersécurité
Vous entendrez souvent parler de veilles techniques dans le cadre de votre activité. Maintenir une veille ne sera pas forcément facile de prime abord. Même si l’apparition du virus SASSER (entraînant des redémarrages intempestifs des serveurs) a permis la prise de conscience des systèmes de mises à jour Windows à appliquer, la veille reste un métier à part entière. Les acteurs se focalisent souvent sur la fourniture des services et ne comprennent pas forcément les enjeux de la sécurité informatique.
Je vous propose donc de regarder ensemble les différentes particularités d’une veille en cybersécurité, afin de vous aider à affiner votre posture et à communiquer efficacement sur les informations issues de votre veille technique.
Positionnez-vous en médiateur
D’abord, cette veille vous demandera plus que des connaissances techniques. Il vous faudra un véritable savoir-être de médiateur entre l’information récoltée et vos interlocuteurs. Les sujets abordés sont extrêmement sensibles. Nous parlons de vulnérabilités, de défauts de conception, de programmation, voire d’architectures. Humainement, il s’agit de se remettre en cause par rapport à l’existant. Vous aurez donc à faire preuve de patience et de pédagogie.
Votre rôle sera surtout d’aider vos interlocuteurs métier à prendre conscience de l’importance de se questionner et de se remettre en question.
Adaptez-vous aux situations et aux interlocuteurs
Vous rencontrerez parfois ce que l’on peut appeler “une résistance aux correctifs”. L’entreprise étant organisée sans prendre en compte la sécurité, vous devrez vous adapter à des équipes métiers réclamant un budget spécifique, mettant en avant des impossibilités d’arrêts des serveurs à patcher, ou des services mutualisés dont on ne peut déterminer précisément les conséquences d’une perturbation.
Vous devrez donc faire preuve d’imagination et d’ingéniosité afin de contourner toutes les barrières se présentant à vous. Soyez à l’écoute de vos interlocuteurs et tâchez d’argumenter efficacement l’importance de vos demandes.
Soyez acteur auprès de votre hiérarchie
Vous constaterez que les entreprises ont d’énormes difficultés à partager leurs informations sur les attaques subies, et tendent à garder secrètes les erreurs qu’elles ont commises. Vous devrez faire comprendre à votre hiérarchie les enjeux d’une collaboration étroite avec les acteurs extérieurs : les autres sociétés, l’ANSSI, les services de police et les acteurs spécialisés en cybersécurité.
Vous deviendrez donc en cas de crise un ambassadeur pour votre entreprise.
Générez de l’information depuis vos propres systèmes
Effectivement, en cybersécurité, vous avez cette particularité : vous apprendrez autant de sources extérieures que de vos propres systèmes à l’aide d’outils spécialisés ; c’est-à-dire que vous avez la possibilité de déterminer vous-même de générer de l’information, à la condition que vos systèmes ne soient pas opaques.
Suivez une méthodologie efficace de veille
Dans le contexte d’une veille en sécurité, les étapes sont à définir comme suit :
- Définissez d’abord vos actifs via une analyse en gestion des risques pour comprendre ce que vous devez protéger.
- Rédigez la politique de sécurité des systèmes d’information (PSSI) permettant de définir les mesures de protection à mettre en place. Un cours dédié à cette rédaction est accessible ici.
- Faites un inventaire de votre système d’information et de tout ce qui est lié aux actifs à protéger.
- Définissez les outils et les processus que vous allez mettre en place pour gérer les vulnérabilités.
- Déterminez des indicateurs permettant de mesurer l’efficacité de votre veille (indice de vulnérabilité des serveurs, nombre de services vulnérables, délai entre la publication d’un patch et son application).
L’élément clé à garder en tête : le but est de gérer le risque que nous avons déterminé à l’étape 1. Gardez à l’esprit que le risque est le produit de la probabilité de réalisation d’une menace, avec l’existence d’une vulnérabilité et son impact sur les actifs. Vous devez savoir gérer les risques sur vos « assets » et vous protéger de toute attaque sur le cœur de métier de votre activité.
Aussi, les conséquences de telles attaques seraient dramatiques. Voici une liste non exhaustive des menaces auxquelles les sociétés s’exposent :
- la fuite de secrets industriels comme les secrets de fabrication, les carnets d’adresses des clients, les contrats établis avec ces derniers ou avec des sous-traitants ;
- la divulgation de l’organisation des sites de production et leurs processus de fonctionnement ;
- la modification de sites et/ou de services pour une utilisation malveillante ;
- une atteinte à l’image de l’entreprise ;
- un impact durable sur la productivité.
Vous constaterez que nous avons deux grands composants dans cette approche : les politiques et les standards (processus, outils).
Les politiques
Côté directives, vous avez la politique de gestion des actifs dont découle la politique de gestion des vulnérabilités avec ses périmètres et sa criticité, mais aussi toute une politique de dérogations.
Les standards
De l’autre côté, dans les processus, vous avez impérativement l’inventaire du système d’information existant, toutes les procédures d’application des correctifs, les planifications des interventions qui en découlent, ainsi que l’élaboration des équipes qui en seront responsables.
La veille sécurité s’attarde essentiellement sur les vulnérabilités. Ce sont ces dernières qui sont responsables de la réalisation de la menace. Un processus de veille s’analyse en une recherche méticuleuse des vulnérabilités. Je vous propose dans le chapitre suivant de focaliser votre attention sur cette recherche des vulnérabilités.
