Cybersécurité continue : de l’audit à la supervision
Un audit de cybersécurité est un point de départ essentiel pour les organisations, car il permet de révéler les écarts, de hiérarchiser les risques et de fournir une direction claire. Cependant, cette photographie des systèmes de sécurité devient rapidement obsolète face à l’évolution constante des infrastructures, des usages et des menaces. Pour maintenir une posture de sécurité efficace, il est crucial de relier diagnostic, remédiation et supervision quotidienne dans un cycle de pilotage intégré.
L’audit cyber est indispensable, mais il ne suffit plus à lui seul
L’audit de cybersécurité confronte les pratiques d’une organisation à des référentiels établis, examine les configurations et met en lumière les risques nécessitant une action prioritaire. Bien qu’il remplace les impressions par un état des lieux documenté, même un test d’intrusion approfondi ne peut garantir la sécurité à long terme d’un système en constante évolution. Laurent Galvani, consultant senior en cybersécurité chez Fidens by TVH Consulting, souligne que « une campagne de tests d’intrusion doit être envisagée dans le temps, avec des tests réguliers et planifiés, s’inscrivant dans une démarche progressive vers la certification ISO 27001. »
Passer du diagnostic à une feuille de route actionnable
Un rapport d’audit peut contenir de nombreuses recommandations qui varient en termes d’urgence et de coût. Il est essentiel de les organiser en fonction des risques, de l’exposition des actifs et de l’effort requis. Certains « quick wins » peuvent être réalisés rapidement, tandis que d’autres nécessitent une révision plus approfondie des systèmes et des processus. La feuille de route doit également assigner des responsabilités claires, impliquant divers départements tels que la DSI, les métiers, et les achats, pour garantir une mise en œuvre efficace.
Maintenir l’effort lorsque l’audit est terminé
De nombreuses organisations se concentrent sur les écarts les plus visibles, revenant ensuite à une gestion au fil de l’eau. Cela peut entraîner la stagnation des actions correctives et la pérennisation des exceptions. Une posture continue nécessite un inventaire dynamique des actifs, incluant postes, serveurs, et applications, permettant de relier les vulnérabilités à des actifs spécifiques et de vérifier l’efficacité des corrections.
L’ANSSI (Agence nationale de la sécurité des systèmes d’information) promeut cette approche dans son cadre EBIOS Risk Manager, qui insiste sur l’importance de la veille sur les vulnérabilités et les correctifs.
RG System Suite et la sécurité au quotidien
Les plateformes de gestion à distance (RMM) jouent un rôle clé dans la supervision des actifs. RG System Suite, par exemple, offre une interface centralisée pour la supervision des équipements, la gestion des alertes et la mise à jour des systèmes. Nadine Pilote, directrice générale de Septeo IT Solutions, décrit cette solution comme un moyen d’améliorer la visibilité et le contrôle des équipes IT.
Relier gouvernance cyber et exploitation IT
Il est crucial que les équipes de cybersécurité et d’exploitation collaborent efficacement. Les plateformes comme RG System Suite fournissent des données précieuses qui permettent d’évaluer l’état des systèmes et de suivre l’application des recommandations issues des audits. Cette collaboration aide à éviter la confusion entre conformité et risque, en s’assurant que les mes de sécurité soient à la fois efficaces et adaptées aux besoins de l’organisation.
Installer une boucle d’amélioration continue
Le modèle d’amélioration continue repose sur six actions : évaluer, prioriser, corriger, superviser, mer et réévaluer. L’audit initie ce cycle, tandis que les données d’exploitation permettent d’évaluer l’efficacité des mes prises et d’identifier de nouveaux écarts. Une revue régulière impliquant le RSSI et d’autres parties prenantes est essentielle pour maintenir une posture de sécurité proactive.
En conclusion, la continuité dans la gestion de la cybersécurité est essentielle pour réduire l’exposition aux incidents. Plutôt que de se préparer intensément avant un audit, les organisations doivent s’efforcer de maintenir un lien constant entre les risques identifiés et la réalité technique de leurs systèmes.
Source : Fidens by TVH Consulting
