Dans notre précédent article de cette série consacrée à la GRC, nous avons exploré la fonction IDENTIFY du framework CyberFundamentals (CyFun®) : comprendre quels actifs existent, quels systèmes sont critiques et où les risques peuvent émerger.
Mais la visibilité à elle seule ne réduit pas les risques. Savoir quels actifs sont critiques est précieux, mais cela a peu d’impact si aucune mesure n’est prise pour les protéger. Une fois qu’une organisation comprend ce qui compte le plus, le défi suivant consiste à assurer la sécurité de ces actifs.
C’est là qu’intervient la fonction PROTECT.
PROTECT regroupe l’ensemble des mesures, contrôles et processus destinés à limiter les risques de cybersécurité et à réduire les conséquences d’un incident lorsqu’il survient. Elle répond à une question fondamentale : Comment protéger nos actifs les plus importants ?
Qu’il s’agisse d’identités numériques, d’applications métiers critiques, de données sensibles ou encore d’environnements de technologie opérationnelle (OT), l’objectif est de garantir que ces actifs restent sécurisés, disponibles et résilients face aux menaces.
Table des matières : |
L’une des idées reçues les plus fréquentes en cybersécurité est que chaque actif doit bénéficier du même niveau de protection.
Dans les faits, cette approche n’est ni réaliste ni efficace.
La visibilité apportée par IDENTIFY permet aux organisations d’établir des priorités. Un système critique nécessitera des mesures de protection plus strictes qu’un actif présentant peu de risques. L’impact métier, l’exposition aux menaces et les exigences réglementaires influencent directement le niveau de protection à mettre en place.
C’est pourquoi la cybersécurité repose avant tout sur une approche basée sur les risques. Les organisations ne protègent pas tout de manière uniforme : elles concentrent leurs efforts sur ce qui est réellement essentiel à leur activité.
Aucune mesure de sécurité n’est infaillible.
Un mot de passe robuste peut être compromis. L’authentification multifacteur peut être contournée. Un collaborateur peut cliquer sur un lien de phishing. Certaines vulnérabilités peuvent passer inaperçues malgré les contrôles en place.
C’est pourquoi PROTECT repose sur le principe de la défense en profondeur.
Plutôt que de s’appuyer sur un seul mécanisme de sécurité, plusieurs couches de protection complémentaires sont mises en œuvre afin de réduire les risques.
Une stratégie de protection moderne combine généralement :
Si l’une de ces couches est contournée, les autres continuent à jouer leur rôle.
L’objectif n’est pas de construire une forteresse impénétrable. Il s’agit avant tout de mettre en place plusieurs couches de protection afin de rendre les attaques plus difficiles à mener et d’en limiter considérablement l’impact.
Dans le cadre de la directive NIS2, la protection ne relève plus uniquement des bonnes pratiques : elle constitue une exigence réglementaire.
Plusieurs obligations sont directement liées à la fonction PROTECT, notamment :
Mettre ces mesures en place ne suffit pas. Les organisations doivent également pouvoir démontrer qu’elles sont effectivement appliquées, suivies dans le temps et adaptées au niveau de risque.
C’est ici que la gouvernance et la documentation deviennent essentielles. NIS2 met davantage l’accent sur la capacité à démontrer un niveau de maturité en cybersécurité que sur de simples déclarations d’intention.
PROTECT s’articule autour de six piliers complémentaires qui contribuent à réduire les risques et à renforcer la résilience de l’organisation.
L’accès doit être limité aux bonnes personnes, au bon moment et pour les bonnes raisons.
Cela comprend notamment :
Les contrôles d’identité restent aujourd’hui parmi les mesures de sécurité les plus efficaces à la disposition des organisations.
La technologie seule ne peut pas arrêter toutes les attaques.
Malgré les avancées technologiques, l’humain reste l’un des principaux vecteurs d’attaque exploités par les cybercriminels. La sensibilisation constitue donc une couche de protection essentielle.
Les organisations devraient mettre en place :
Une véritable culture de la sécurité ne se construit pas lors d’une session annuelle de formation, mais grâce à un travail continu et à l’implication de chacun.
Les données représentent souvent la cible finale des attaquants.
Les organisations doivent porter une attention particulière à :
L’objectif est de garantir que les informations restent protégées, même lorsqu’un système est compromis.
La sécurité doit être intégrée aux opérations quotidiennes.
Cela inclut notamment :
En matière de cybersécurité, la régularité et la cohérence sont souvent plus efficaces que la complexité.
Un système qui n'est pas maintenu régulièrement devient progressivement plus vulnérable aux menaces.
Les organisations doivent veiller à :
Une grande partie des cyberattaques exploite encore aujourd’hui des vulnérabilités pour lesquelles des correctifs existent déjà.
Les technologies apportent les mécanismes techniques qui renforcent l’ensemble des autres couches de protection.
Parmi les exemples :
La technologie est indispensable, mais elle n’est réellement efficace que lorsqu’elle s’appuie sur des processus solides et des utilisateurs sensibilisés.
Là où IDENTIFY aide les organisations à comprendre ce qu’elles possèdent, PROTECT veille à ce que ces actifs soient correctement protégés.
Ensemble, ces deux fonctions constituent les fondations d’un programme de cybersécurité mature. Sans visibilité, les efforts de protection risquent d’être mal ciblés. Sans protection, la visibilité seule apporte peu de valeur.
La maturité en cybersécurité ne se mesure pas au nombre d’outils déployés, mais à la capacité d’appliquer les bonnes mesures de protection de manière cohérente et durable.
⏭️ Prochain article : DETECTMême la stratégie de protection la plus robuste part du principe que des incidents peuvent malgré tout se produire. Dans le prochain article de notre série « GRC en Belgique », nous explorerons la fonction DETECT du framework CyberFundamentals (CyFun®) et verrons comment les organisations identifient les activités suspectes, détectent les menaces à un stade précoce et obtiennent la visibilité nécessaire pour réagir avant qu’un incident mineur ne devienne un problème majeur. Car il est impossible de réagir à ce que l’on ne voit pas. |