Radar du RSSI : quelles priorités en 2023 ?

L’actualité des derniers mois a confirmé l’importance de la cybersécurité pour les grandes organisations. Sous l’influence des nouveaux équilibres géopolitiques et de l’accélération de la transformation numérique, les groupes internationaux ont pris conscience des investissements nécessaires. Les changements amorcés sont amenés à s’accélérer dans les mois à venir – sous la pression des régulateurs et grâce à de nouvelles pratiques organisationnelles et innovations technologiques.

Du côté des pouvoirs publics, les travaux règlementaires ne cessent de croître et l’encadrement légal se renforce.

L’émergence de nouvelles règlementations affecte les acteurs de la cybersécurité de façon paradoxale. D’un côté, cette attention est un levier pour débloquer des fonds et déployer de larges programmes de sécurisation. De l’autre, les actions de contrôle requises sont extrêmement mobilisatrices et éloignent les équipes d’actions cyber à plus forte valeur ajoutée… Certaines mesures exigées par la réglementation peuvent parfois être déconnectées de la réalité opérationnelle ; elles engendrent alors des modifications profondes des systèmes d’information qui complexifient leur gestion quotidienne. Dans les années à venir, la construction du cadre légal nécessitera un dialogue continu et constructif avec les régulateurs.

Les stratégies cyber ne peuvent plus faire l’économie du facteur humain pour maintenir leur niveau de sécurité. La première question que devraient se poser les RSSI : “make or buy” ? Autrement dit, faut-il internaliser les compétences, ou bien externaliser les activités auprès de tiers plus ou moins proches ? Historiquement, le réflexe était de se tourner vers l’extérieur dans le cadre d’un besoin temporaire ; la sécurité était vue comme un mal nécessaire. Aujourd’hui, elle devient une problématique métier à part entière, avec l’augmentation des enjeux de résilience, du niveau de sécurité des produits, des exigences dans les appels d’offre, ou encore de l’intérêt des clients. Dès lors, il paraît indispensable de réfléchir en profondeur à sa stratégie et d’adopter une approche de Smart Sourcing.

Dans un marché tendu comme celui que nous connaissons, une stratégie RH efficace repose sur deux piliers : le recrutement, et la rétention des talents. Le premier nécessite parfois de la créativité ! Par exemple, en recrutant des profils non spécialistes à former, en s’appuyant sur la mobilité interne ou en visant à augmenter la diversité des profils, en particulier vers les femmes.  Une fois l’équipe constituée, il devient crucial de fidéliser les collaborateurs.

• Les salaires peuvent être des leviers d’attractivité… comme de départ. La filière cybersécurité révèle des disparités salariales croissantes entre les secteurs, et, à plus large échelle, entre les pays.
• La connaissance des profils et compétences clés permet d’arbitrer entre expertise et management, tout en donnant des objectifs clairs, un chemin de carrière et des enjeux adaptés à chacun.
• La formation continue de chaque type de profil est aussi un facteur de rétention ; stratégie que les organisations devraient développer davantage, avec une formation initiale pour les profils non-cyber et la construction d’un cursus d’expertise pour les profils avancés.

La sécurité des sites de production industrielle est en forte progression. Bien que le chemin à parcourir reste long – au regard du retard accumulé et de la durée de vie des installations, il est bien balisé. En revanche, alors que les industriels numérisent de plus en plus leur production et vendent les services numériques associés, la sécurité des produits demeure balbutiante. C’est un élément de différenciation aujourd’hui ; ce sera un prérequis demain. C’est le moment pour évaluer ses cycles de fabrication, de vente et d’après-vente, pour agir sur la cybersécurité. Ces évolutions nécessitent également la création de filières distinctes et intégrées avec le SI de gestion historique.

Le secteur financier, quant à lui, restructure la filière cyber et ses filières sœurs (risque informatique, fraude, sécurité des biens et des personnes…) en réponse aux exigences accrues du régulateur. En particulier, la résilience devient le point central des programmes de transformation, avec son lot de nouvelles problématiques : identification et cartographie des services essentiels, capacité à sortir rapidement d’une plateforme ou d’un service tiers (stressed exit)… Le phénomène s’accroît au Royaume Uni ; il émerge aux Etats-Unis et en France.

Outre les problématiques organisationnelles, le marché s’adapte autour de nouvelles solutions de sécurisation pour accompagner la transformation digitale. Cette dernière est portée par un “move to cloud” généralisé sur l’ensemble des secteurs, un rapprochement entre l’OT et l’IT dans le monde industriel, et encore et toujours l’ouverture du système d’information à de nombreux partenaires, acquisitions ou clients. Ce mouvement entraine des réponses tactiques en cybersécurité, avec l’apparition d’un outillage permettant de mieux maitriser les projets en cours (voir encadré sur le cloud). A moyen terme, l’atomisation du système d’information se poursuit et nécessite de repenser son modèle de sécurité – évidemment vers une logique Zero Trust.

Longtemps une simple philosophie, le Zero Trust prend de l’ampleur. Les principes se déclinent en mesures concrètes et de nouvelles solutions apparaissent : citons par exemple la publication des premiers frameworks, comme celui du DoD (Department of Defense) aux États-Unis. Les retours d’expérience s’avèrent plutôt positifs, en particulier sur les logiques d’accès distant ou de micro segmentation. Pour les défis à venir, on pense forcément à la gestion de l’identité et des accès des collaborateurs, des partenaires, des clients, mais aussi de plus en plus des machines ou des données, avec les fameux IdP (Identity Provider). Cependant, le chemin vers une migration complète du système d’information semble long, voire n’aura certainement pas d’intérêt pour les systèmes les plus anciens qui devront être protégés autrement.

Les applications et plateformes CI/CD (Continuous Integration/Continuous Delivery) constituent les prochaines zones d’attaques privilégiées par les cybers attaquants. A ce titre, leur mise sous contrôle est primordiale. La sécurité et les démarches DevSecOps doivent être replacées au cœur des activités des équipes de développement, afin d’intégrer au plus tôt les protections nécessaires (avec le fameux mouvement “shift left” qui consiste à positionner la sécurité au plus près des développeurs et à les responsabiliser). Le mode agile a sensiblement éloigné les équipes sécurité de la conception des applications ; il est nécessaire d’augmenter le nombre de garde-fous technologiques. Les thématiques concernées vont de la formation à l’audit de code source, en passant par la gestion des secrets sur les plateformes de développement, des containers ou encore la mise en place des nomenclatures logicielles (SBOM).

De nombreux attaquants profitent des failles de sécurité dans les systèmes des tierces parties pour atteindre une organisation. Première étape pour limiter ce type d’intrusion : identifier les partenaires et prestataires à encadrer en priorité. Usuellement, les départements achats identifient les niveaux de risques en fonction du chiffre d’affaires réalisé par les tiers. Mais ce classement n’est pas toujours pertinent pour évaluer un risque de fuite de données ou d’interruption de services, dans la mesure où des prestataires de petites tailles peuvent détenir des informations critiques ou fournir un maillon d’un service essentiel.

Pour les plus critiques, il est nécessaire d’envisager un renforcement des engagements contractuels en matière de sécurité et de résilience. Pour aller plus loin, ce risque doit être pris en compte dans les processus, qu’il s’agisse de la gestion d’incidents touchant les tiers, la capacité à les intégrer dans ses systèmes de gestion d’accès, voire de leur propre niveau de résilience cyber.

Les plateformes de gestion de tiers sont une piste pour centraliser les résultats et les moyens d’agir. Celles-ci seront autant utile en prévention, pour les analyses de résilience, que pour la définition et le suivi de la mise en œuvre des exigences, ou encore en réaction en cas d’incident.