Home » 2019 » février

Monthly Archives: février 2019

Top 10 des certifications qui paient

2019 vient de commencer et déjà les tendances sur les certifications qui paient le mieux commencent à émerger. Cette année marque un tournant complet en tête du classement. Vous souhaitez investir dans une formation et une certification? Voici donc le top 10 des certifications qui paient en 2019.

Top 10 des certifications qui paient en 2019
Crédit © rawpixel.com 2019

Chaque année, en février, Global Knowledge publie sa liste annuelle de certifications informatiques les mieux rémunérées. Cette liste reflète les philosophies changeantes et les tendances technologiques ayant un impact considérable sur les départements informatiques. Il s’agit là des tendances constatées des États-Unis. Cependant, chacun sait que la tendance aux USA ne fait que précéder ce qui se passe ensuite en France et, à plus long terme, en Afrique. Il faut donc considérer cette liste comme une pré-tendance. Le rapport définitif concernant l’Europe et l’Afrique ne sera publié que vers le milieu de l’année. Nous y reviendrons donc à ce moment.

Les certifications les mieux payées de cette année révèlent une forte poussée sur des sujets bien particuliers tels que l’informatique en nuage, la cybersécurité, les réseaux et la gestion de projets. De fait, le cloud et la gestion de projet prennent les cinq premières places.

Les certifications les plus recherchées et les mieux payées

Voici donc le classement des 10 certifications les mieux payées en 2019 sur le territoire Américain.

  1. Google Certified Professional Cloud Architect
  2. Project Management Professional (PMP)
  3. Certified ScrumMaster
  4. AWS Certified Solutions Architect – Associate
  5. AWS Certified Solutions Developer – Associate
  6. Microsoft Certified Solutions Expert (MCSE): Server Infrastructure
  7. ITIL Foundation
  8. CISM – Certified Information Security Manager
  9. CRISC – Certified in Risk and Information Systems Control
  10. CISSP – Certified Information Systems Security Professional

1. Google Certified Professional Cloud Architect

Cette certification a vu le jour en 2007. Elle permet aux professionnels de l’informatique de se qualifier en tant qu’architecte cloud sur la plateforme GCP (Google Cloud Platform). Elle démontre la capacité de concevoir, développer et gérer une architecture cloud sécurisée, évolutive et fiable à l’aide des technologies Google Cloud Platform (GCP).

C’est la première année que GCP Cloud Architect apparaît en tête de la liste de certifications les mieux rémunérées. Les compétences en cloud sont essentielles pour presque toutes les organisations. En général, les emplois dans le domaine de l’infonuagique rapportent plus de 100 000 dollars par an aux États-Unis. De plus, les décideurs ont toujours du mal à pourvoir tous les postes vacants dans ce domaine. Ce sont deux raisons pour lesquelles GCP a fait sensation lors de ses débuts.

Comment vous certifier?

L’examen de certification s’adresse à un architecte qui doit comprendre quelle solution convient le mieux à un scénario donné. Il n’y a pas de questions dédiées à une utilisation spécifique du produit. L’examen doit être passé en personne dans un centre de test Kryterion.

Quel salaire pouvez-vous espérer?

Aux USA, le salaire annuel moyen pour les titulaires de cette certification est de 139.529 $ (soit environ 123.000 Euros).

2. Project Management Professional (PMP)

PMP a été créé et est administré par le Project Management Institute (PMI). Il s’agit de la certification la plus importante reconnue par l’industrie, aux USA, pour les gestionnaires de projets. Elle offre aux employeurs et aux clients l’assurance qu’un chef de projet possède à la fois l’expérience et les connaissances nécessaires pour définir, planifier et exécuter efficacement leurs projets. La détention du PMP est souvent le facteur de différenciation clé dans la sélection des personnes à engager ou à qui confier d’importantes initiatives de projets organisationnels.

Pour plus d’informations sur le PMP, je vous invite à consulter un de mes précédents articles : PRINCE2 vs PMP : quelle méthode de gestion de projets choisir?

Comment vous certifier?

La certification PMP repose sur deux facteurs: l’expérience de la gestion de projet et le succès des examens. Pour obtenir leur certification, les personnes doivent suivre 35 heures de formation de préparation au PMP. De plus, ceux qui ont moins d’un bac+3 doivent avoir 7500 heures d’expérience en gestion de projet, tandis que ceux qui ont un bac+3 ou plus doivent en avoir 4500. Pour devenir certifié, vous devez postuler sur le site Web de PMI. Ensuite, une fois votre candidature approuvée, vous pouvez vous inscrire à l’examen via Prometric.

Pour conserver la certification PMP, 60 unités de développement professionnel (PDU, similaires aux CPE ou CPD des autres certifications) sont nécessaires tous les trois ans.

Quel salaire pouvez-vous espérer avec un PMP?

Aux USA, le salaire moyen d’un chef de projet certifiés PMP est de 135.798 $ (soit environ 120.000 Euros).

3. Certified ScrumMaster

L’obtention d’une certification Certified ScrumMaster confirme que vous comprenez la méthodologie Agile Scrum et que vous maîtrisez la mise en pratique de Scrum. Un ScrumMaster certifié dirige une équipe et l’aide à travailler ensemble pour apprendre le framework Scrum et à atteindre son plus haut niveau de performance. Le ScrumMaster élimine également les perturbations internes et externes qui pourraient nuire à la réalisation des objectifs. L’obtention de cette certification vous fait bénéficier d’une adhésion de deux ans à Scrum Alliance.

Certified ScrumMaster figurait au huitième rang de la liste des certifications les mieux payées de l’année dernière. Elle monte donc de 5 places dans le classement. Ceci traduit une demande en forte progression de professionnels certifiés face à une offre de certifiés encore assez faible.

Comment vous certifier?

La certification ScrumMaster certifié a été créée et est gérée par Scrum Alliance. Elle oblige l’intéressé à suivre le cours de deux jours de préparation à la certification ScrumMaster®. Après avoir réussi ce cours, vous devrez réussir l’examen.

La certification est valable deux ans à compter de la date de certification initiale. Le renouvellement de votre certification, requiert d’obtenir 40 unités d’éducation Scrum (SEU) au cours de chaque période de deux ans.

Quel salaire pouvez-vous espérer avec une certification ScrumMaster?

Aux USA, en 2019, le salaire annuel moyen d’un ScrumMaster certifié s’établit à 135.441 $ (soit environ 120.000 Euros).

4. AWS Certified Solutions Architect – Associate

L’examen de niveau associé AWS Certified Solutions Architect témoigne de l’expertise d’une personne dans la conception et le déploiement de systèmes évolutifs sur AWS. Il n’est donc pas surprenant que cette certification figure de nouveau dans le top 5 en raison du besoin du marché en architectes de solutions AWS qualifiés et certifiés. Cette certification existe depuis plusieurs années et montre l’ampleur de la demande d’année en année en raison de la croissance du cloud.

Il s’agit de l’étape préalable à l’obtention de la certification AWS Certified Solutions Architect – Professional.

Comment vous certifier?

Pour pouvoir passer la certification, vous devez avoir une expérience pratique avec l’environnement AWS (Amazon suggère six mois ou plus). L’examen est informatisé et proposé dans les centres de test PSI. L’examen de certification AWS Certified Solutions Architect – Associate aborde divers sujets, dont la conception sur AWS, la sélection des services AWS appropriés pour une situation donnée, l’entrée et la sortie de données vers et depuis l’environnement AWS, l’estimation des coûts AWS et la détermination des coûts. des mesures de contrôle.

Quel salaire pouvez vous espérer?

Le salaire moyen aux USA, en 2019, d’un AWS Certified Solutions Architect – Associate est de 132.840 $ (soit environ 117.000 Euros).

5. AWS Certified Developper – Associate

Cette certification fait partie du top cinq pour la deuxième année consécutive. Elle valide l’expertise technique dans le développement et la maintenance d’applications sur AWS, par opposition à la conception de la solution avec la certification Solutions Architect. L’obtention de la certification AWS Certified Developer démontre la capacité à utiliser efficacement les kits SDK AWS pour interagir avec des services dans des applications et écrire du code qui optimise les performances des applications AWS.

L’explosion de popularité de la certification AWS Certified Developer est directement liée à la croissance rapide des entreprises développant des applications en nuage afin de développer rapidement leur empreinte et de rester compétitives. Cela est également lié à l’explosion exponentielle des objets connectés (IoT) et du développement mobile, dont une grande partie est soutenue par des ressources dans le cloud.

Comment vous certifier?

Pour être certifié, vous devez justifier d’une expérience pratique d’un ou de plusieurs langages de programmation, ainsi que de l’environnement AWS (Amazon demande une durée minimum de six mois ). L’examen est informatisé et proposé dans les centres de test PSI, comme tous les examens AWS. L’examen de certification AWS Certified Developer – Associate aborde un grand nombre de sujets, notamment l’utilisation des SDK pour interagir avec les services AWS, la sélection des services AWS appropriés pour une situation donnée, la création d’un code optimisant les performances des services AWS utilisés dans une application et la sécurité du codage. pour accéder aux services AWS.

Quel salaire pouvez vous espérer?

En 2019, toujours aux USA, le salaire annuel moyen d’un certifié AWS Developper – Associates s’établit à 130.369 $ (soit environ 115.000 Euros).

6. Microsoft Certified Solutions Expert (MCSE) : Server Infrastructure

Cette certification a été retirée en 2017, mais elle n’expire pas pour ses détenteurs. Elle a été remplacée par la certification MCSE: Cloud Platform and Infrastructure. À la fin de 2018, Microsoft a commencé un virage important, passant des certifications axées sur la technologie aux certifications basées sur les rôles. En conséquence, MCSE: plate-forme et infrastructure cloud a été retiré et divisé en quatre certifications différentes, dont trois se concentrant sur les rôles d’administrateur Azure, de développeur et d’architecte de solutions et sur l’infrastructure de base MSCE: Core, qui est plus proche de la priorité locale de MCSE: infrastructure de serveur.

Microsoft a sauté dans le jeu de la certification cloud avec les deux pieds. L’augmentation exponentielle de la demande de spécialistes en cloud qualifiés, associée à une stratégie multi-cloud utilisée par la plupart des entreprises, a permis aux nouvelles certifications Azure basées sur des rôles de pénétrer le marché avec une demande exceptionnellement élevée.

Comment vous certifier?

Bien qu’il y ait maintenant plus d’options pour ceux qui avaient autrefois convoité MCSE: Infrastructure de serveur, ces options sont maintenant définies plus clairement. La stratégie de gestion de la charge de travail de votre entreprise (et dans le cas d’une stratégie centrée sur le cloud, votre rôle) déterminera les nouvelles certifications que vous rechercherez. Une stratégie sur site s’adapte à la nouvelle infrastructure MCSE: Core Infrastructure, tandis qu’une stratégie cloud s’adresse à un rôle: administrateur, développeur / ingénieur cloud ou architecte de solutions cloud. L’ajout de rôles supplémentaires est prévu dans le futur.

Quel salaire pouvez vous espérer avec une certification MCSE?

Actuellement, aux USA, le salaire moyen d’une personne certifiée MCSE est de l’ordre de 121.288 $ (soit environ 107.000 Euros).

7. ITIL Foundation

Au cours des 30 dernières années, ITIL est devenu le cadre de gestion informatique le plus largement utilisé dans le monde. Pourquoi? Il s’agit d’un ensemble de meilleures pratiques permettant d’aligner les services fournis par le système informatique sur les besoins de l’organisation. Il couvre tout, de la gestion de la disponibilité et des capacités à la gestion des changements et des incidents, en plus de la gestion des applications et des opérations informatiques.

Et cette année, ITIL vient d’être mise à niveau. ITIL 4 sort ce mois-ci et s’aligne sur les nouvelles méthodes de travail accompagnant la révolution numérique, telles que DevOps, Agile et Lean IT.

ITIL 4 Foundation est la certification d’entrée de gamme ITIL et fournit un aperçu de haut du modèle central et de ses composantes.

Cette certification est acceptée comme un cadre pour la gestion des services TI. En tant que telle, elle diffère des autres certifications de cette liste. Elle est également l’une des rares à se focaliser sur la co-création de valeur par les métiers et l’informatique .

Comment se certifier?

Pour obtenir la certification, vous devez simplement réussir l’examen. Il n’y a pas d’autres conditions préalables pour l’examen Foundation. La réussite de cette certification constitue toutefois un pré-requis à la poursuite des cours ITIL de niveau supérieur

Quel salaire pouvez-vous espérer avec une certification ITIL Foundation?

En 2019, aux USA, le salaire annuel moyen d’une personne titulaire d’une certification ITIL Foundation (v3 ou 2011) s’établit à 120.766 $ (soit environ 106.500 Euros).

8. CISM – Certified Information Security Manager

L’ISACA a créé et maintient la certification CISM. Il s’agit d’une certification axée sur le management, destinée aux professionnels qui construisent et gèrent la sécurité des informations d’une entreprise. Le CISM encourage les meilleures pratiques en matière de sécurité internationale. Le CISM s’adresse typique aux rôles de CISO et de RSSI. Pour en savoir plus, je vous invite à lire un de mes précédents articles : CISM vs CISSP.

Comment vous certifier?

L’examen est proposé chaque année au cours de plusieurs périodes de test désignées et est assisté par ordinateur. L’inscription se fait via le site Web ISACA, ainsi que par un localisateur d’examens. L’examen se déroule dans les centres PSI.

Cette certification nécessite également au moins cinq ans d’expérience dans le domaine des systèmes d’information, dont au moins trois en tant que responsable de la sécurité. Votre expérience doit avoir été acquise dans les 10 ans précédant l’examen. Si vous n’avez pas l’expérience requise, vous disposez de cinq ans suivant la réussite à l’examen pour l’acquérir. Il existe quelques équivalences à l’exigence d’expérience pour cette certification. Des crédits de formation continue (CPE) sont nécessaires chaque année pour maintenir votre certification.

Quel salaire pouvez-vous espérer avec un CISM?

Le salaire moyen annuel, en 2019 aux USA, d’un CISM est de 118.412 $ (ce qui équivaut à environ 104.500 Euros).

9. CRISC – Certified in Risk and Information Systems Control

L’ISACA propose et gère également cette certification. CRISC est la meilleure certification en termes de maîtrise des risques. Des professionnels certifiés CRISC aident les organisations à comprendre les risques de l’entreprise et possèdent les compétences nécessaires pour mettre en œuvre, développer et gérer des contrôles de systèmes d’information.

Comment vous certifier?

Pour obtenir la certification CRISC, vous devez avoir au moins trois ans d’expérience dans au moins deux des quatre domaines couverts par la certification et vous devez réussir l’examen. L’expérience doit être acquise au cours des 10 années précédentes ou au plus cinq ans après avoir réussi l’examen. L’examen n’est proposé que pendant les fenêtres désignées chaque année et est assisté par ordinateur. L’inscription se fait via le site web ISACA. Utilisez le localisateur CBT pour trouver un site de test chez PSI.

De plus, des crédits de formation professionnelle continue (CPE) sont nécessaires chaque année pour conserver votre certification. L’obtention de la certification CRISC nécessite des efforts continus et des années de planification. Toutefois il s’agit d’une certification de premier plan depuis des années. Et avec la le développement continu de l’informatique nuagique, elle restera très demandée dans les années à venir.

Quel salaire pouvez-vous espérer avec un CRISC?

En 2019 aux USA, le salaire moyen annuel pour une personne titulaire de la certification CRISC est de 117.395 $ (soit environ 103.500 Euros).

10. CISSP – Certified Information Systems Security Professional

Proposé par le consortium indépendant ISC (International Information Systems Security Certification) ² le CISSP est conçu pour démontrer son expertise en matière de sécurité. Comme pour les autres certifications liées à la sécurité, la demande est forte. Et elle devrait le rester pendant de nombreuses années encore.

CISSP est un indicateur largement reconnu de connaissances, d’expérience et d’excellence figurant sur le CV de nombreux professionnels de l’informatique. Le CISSP n’est pas simplement une recommandation émanant de groupes industriels. Il a atteint une position respectée en tant que certification IT importante. L’importance de cette certification notable se traduit par son apparition sur un nombre important d’offres d’emploi. Effectuer une recherche d’emploi révèle qu’un nombre impressionnant de postes en TI et en sécurité exigent que les candidats soient certifiés CISSP.

Comment se certifier?

L’examen est disponible dans les centres de test Pearson Vue. Les candidats au CISSP doivent avoir au moins cinq ans d’expérience rémunérée à temps plein dans au moins deux des huit domaines du CISSP. Si vous n’avez pas d’expérience professionnelle, vous pouvez toujours obtenir le titre de partenaire (ISC) ² en passant l’examen tout en cherchant à obtenir la certification complète. Vous aurez jusqu’à six ans pour compléter l’expérience requise.

L’examen porte sur huit domaines de la sécurité informatique, notamment la sécurité et la gestion des risques, la sécurité des communications et du réseau, la sécurité du développement de logiciels, la sécurité des actifs, l’architecture et l’ingénierie de la sécurité, la gestion des identités et des accès, l’évaluation et les tests de sécurité et les opérations de sécurité. Pour rester certifiés, les CISSP doivent obtenir chaque année des crédits de formation professionnelle continue (CPE).

Quel salaire pouvez-vous espérer avec un CISSP?

Le salaire annuel moyen d’un CISSP, en 2019 aux USA, s’établit à 116.900 $ (soit un peu plus de 103.000 Euros).

.

Top 5 des types de cyber-attaques en 2019

Votre entreprise risque d’être la victime de cyber-criminels. Afin de vous permettre de mieux cerner les menaces de sécurité auxquelles vous êtes exposés, en voici le top 5 en 2019. Pour chaque catégorie de cyber-attaque, je vous propose également quelques contre-mesures possibles.

Top 5 des types de cyber-attaques en 2019
Crédit © rawpixel.com 2019

Une cyber-attaque consiste en tout type d’action offensive qui cible des systèmes informatiques, des infrastructures, des réseaux informatiques ou des dispositifs informatiques personnels. Les cyber-criminels utilisent des méthodes diverses pour voler, modifier ou détruire des données ou des systèmes d’information.

En 2019, selon le dernier rapport d’IBM, chaque entreprise dans le monde à une probabilité de 28% de subir une cyber-attaque.De plus, le coût moyen d’une violation de données s’élève à 3,4 millions de dollars. Il est donc préférable de connaître le risque auquel vous êtes exposé si vous voulez mieux vous prémunir. A chaque type d’attaque correspondent une ou plusieurs réponses permettant de réduire le risque. Nous vous proposons ici le top 5 des cyber-attaques que vous avez le plus de risque de devoir affronter.

1. Attaque par déni de service (DoS) ou par déni de service distribué (DDoDS)

Une attaque par déni de service surcharge les ressources d’un système. Elle l’inonde de demandes au delà de sa capacité maximum.. Ainsi, le système ne peut plus répondre aux demandes de service des utilisateurs autorisés. Une attaque DDoS est aussi une attaque sur les ressources du système. Mais elle est lancée à partir d’un grand nombre d’autres machines hôtes infectées par des logiciels malveillants contrôlés par l’attaquant (botnet).

Contrairement aux attaques qui sont conçues pour permettre à l’attaquant d’obtenir ou d’augmenter l’accès, le déni de service ne procure pas d’avantages directs aux attaquants. La satisfaction du déni de service est une motivation pour certains. Cependant, si la ressource attaquée appartient à un concurrent, alors l’avantage pour l’attaquant peut être tout à fait réel. Mais souvent, l’objectif d’une attaque DoS est de mettre un système hors ligne pour qu’une autre attaque puisse être lancée simultanément. L’attaque DoS sert ainsi à masquer la véritable attaque qui se déroule en parallèle. Vous pourrez retrouver ce point dans un de mes précédents articles décrivant la chaîne cyber criminelle (cyber kill chain). Un exemple courant est le détournement de session, que je décrirai plus tard.

Pour tout savoir sur les attaques de type DoS et DDoS, vous pouvez également télécharger cet excellent document de l’ANSSI : Comprendre et anticiper les attaques DDoS.

Il existe différents types d’attaques DoS et DDoS ; les plus courantes sont l’attaque TCP SYN flood, teardrop attack, smurf attack, ping-of-death attack et l’utilisation des botnets.

Attaque TCP SYN Flood

Ici, les cyber-criminels exploitent l’espace tampon à l’initialisation d’une session TCP (Transmission Control Protocol). Le dispositif de l’attaquant inonde la petite file d’attente du système cible de demandes de connexion (SYN). Mais lorsque le système cible répond à ces demandes, le dispositif de l’attaquant ne réagit pas. Le système cible se trouve alors bloqué en attente de la réponse. En générant suffisamment de connexions incomplètes de ce type, il est possible de surcharger les ressources du système et ainsi de l’empêcher d’accepter de nouvelles requêtes, avec pour résultat un déni de service.

Contre-mesures possibles :

  • Placez les serveurs derrière un pare-feu configuré pour arrêter les paquets SYN entrants.
  • Augmentez la taille de la file d’attente de connexion et diminuez le délai de temporisation des connexions ouvertes.

Attaque Teardrop

Elle consiste à envoyer des paquets TCP qui se recouvrent en jouant sur le champ de fragmentation dans les paquets du protocole Internet séquentiel (IP) sur l’hôte attaqué. Le système attaqué tente de reconstruire les paquets pendant le processus mais il échoue. Le système cible devient alors désorienté et plante.

Contre-mesures possibles :

Appliquez les correctifs système pour vous protéger contre cette attaque DoS ou désactivez SMBv2 et bloquez les ports 139 et 445.

Attaque Smurf

Il s’agit là d’un ping flooding un peu particulier. C’est une attaque axée sur les réseaux. Ce procédé comporte deux étapes:

  • La première consiste à récupérer l’adresse IP de la cible par spoofing.
  • La seconde est d’envoyer un flux maximal de packets ICMP ECHO (ping) aux adresses de Broadcast. Chaque ping comportant l’adresse spoofée de l’ordinateur cible.

Si le routeur permet cela, il va transmettre le broadcast à tous les ordinateurs du réseau, qui vont répondre à l’ordinateur cible. La cible recevra donc un maximum de réponses au ping, saturant ainsi totalement sa bande passante… Bien entendu, plus de réseau comporte de machines et plus c’est efficace… Ce processus est répétable et peut être automatisé pour générer d’énormes d’encombrements du réseau.

Contre-mesures possibles :

Pour vous protéger contre ce genre d’attaque, vous devez désactiver les diffusions dirigées par IP sur les routeurs. Ceci empêchera ou limitera la demande de diffusion d’écho ICMP sur les périphériques réseau. Une autre option serait de configurer les systèmes finaux pour les empêcher de répondre aux paquets ICMP à partir d’adresses de diffusion. Vous pouvez également configurer le firewall pour filtrer les packets ICMP echo ou les limiter à un pourcentage de la bande passante.

Ping of death

Un ping a normalement une longueur maximale de 65535 ((2 exp 16) – 1) octets, incluant une entête de 20 octets. Un ping of death c’est un ping qui a une longueur de données supérieure à la taille maximale. Lors de son envoi, le ping of death est alors découpé en packets plus petits. L’ordinateur cible qui reçoit ces paquets doit les reconstruire. Il peut alors subir des débordements de tampon et d’autres plantages. Certains systèmes ne gèrent pas cette fragmentation, et se bloquent, ou crashent complètement. D’où le nom de cette attaque.

Contre-mesures possibles :

Pour commencer, mettez à jour votre OS. Puis effectuez un test avant que quelqu’un d’autre le fasse à votre place. Si le système réagit correctement, il n’y a pas de problème. Dans le cas contraire, les attaques Ping of death peuvent être bloquées en utilisant un pare-feu qui vérifiera la taille maximale des paquets IP fragmentés.

Botnets

Les botnets sont les millions de systèmes infectés par des logiciels malveillants sous le contrôle de cyber-criminels, afin d’effectuer des attaques DDoS. Ces robots ou systèmes zombies sont utilisés pour effectuer des attaques contre les systèmes cibles. De la sorte, ils submergent souvent la bande passante et les capacités de traitement du système cible. Ces attaques DDoS sont difficiles à retracer parce que les botnets sont situés dans des lieux géographiques différents.

Contre-mesures possibles :

Il est très difficile de se protéger contre les botnets. Par contre, on affaiblit les botnets grâce aux mesures suivantes :

  • Le filtrage RFC3704 empêchera le trafic en provenance d’adresses piratées et aidera à assurer la traçabilité du trafic jusqu’à son réseau source correct. Par exemple, le filtrage RFC3704 supprimera les paquets des adresses de liste bogon.
  • Le filtrage des trous noirs, qui élimine le trafic indésirable avant qu’il n’entre dans un réseau protégé. Lorsqu’une attaque DDoS est détectée, l’hôte BGP (Border Gateway Protocol) doit envoyer des mises à jour de routage aux routeurs des FAI afin qu’ils acheminent tout le trafic en direction des serveurs victimes vers une interface null0 au prochain saut.

2. Attaque de l’homme au milieu

On parle d’attaque de l’homme au milieu (Man in the Middle ou MitM) lorsqu’un pirate s’insère entre les communications d’un client et d’un serveur. C’est une attaque qui a pour but d’intercepter les communications entre deux parties, sans que ni l’une ni l’autre ne puisse se douter que le canal de communication entre elles a été compromis. Le canal le plus courant est une connexion à Internet de l’internaute lambda. L’attaquant doit d’abord être capable d’observer et d’intercepter les messages d’une victime à l’autre. Les pirates interceptent les e-mails, l’historique de votre navigation sur Internet et les réseaux sociaux pour cibler vos données sécurisées et commettre des actes criminels.

attaque homme du milieu

Contrairement au phishing qui nécessite que vous baissiez votre garde involontairement et que vous ouvriez votre ligne de défense, une attaque dite de l’homme du milieu est une cyber-attaque passive. Elle se fait sans que vous en ayez conscience.

Elle affecte laussi bien es particuliers que les entreprises. Personne n’est à l’abri. En 2015, une importante opération menée par Europol a piégé 49 membres d’un groupe de cyber-criminels. Ils ciblaient des victimes à travers toute l’Europe. Leurs méthodes impliquaient l’utilisation de techniques de piratage informatique pour pénétrer des communications de confiance entre les entreprises et leurs clients. Une fois à l’intérieur, ils ont surveillé les communications et poussé les victimes peu méfiantes à transférer de l’argent sur leurs comptes bancaires.

Méthodes d’attaque

L’augmentation spectaculaire des bornes wifi gratuites et des connexions à haut débit a contribué à améliorer nos vies. Mais c’est aussi une aubaine pour les criminels qui veulent espionner ou intercepter vos activités en ligne.

Les voyageurs constituent une cible facile pour les cyber-criminels. Une méthode d’attaque classique consiste à créer sa propre connexion wifi. Imaginez que vous vous trouvez dans votre restaurant préféré. Vous configurez alors vos paramètres wifi pour vous connecter au réseau gratuit. Les réseaux disponibles listés sont-ils tous des réseaux wifi légitimes, ou certains appartiennent-ils à un pirate?

Cette question est primordiale. En effet, une fois que vous vous connectez à un faux réseau, le pirate obtient l’accès instantané à votre appareil. Il est très facile pour un pirate de créer des bornes wifi frauduleuses lui permettant d’avoir accès aux informations personnelles des personnes qui tentent de s’y connecter.

Détournement de messagerie

Le détournement de messagerie consiste à cibler des comptes de messagerie et à espionner des communications. Une fois infiltrés dans ce système fermé, les cyber-criminels peuvent envoyer de faux e-mails ou des imitations très réalistes. Généralement il s’agit de demande d’un transfert d’argent, de vos informations financières ou encore de vos mots de passe. Cela peut être particulièrement problématique lorsque les cibles sont des dirigeants d’une entreprise. Ils peuvent ainsi recevoir de faux e-mails semblant pourtant authentiques et leur demandant de transférer de l’argent.

Détournement de session

Le détournement de session est une attaque courante, où le pirate prend le contrôle des cookies de votre navigateur. Les cookies sont de petits morceaux de données qui stockent des renseignements sur les sites Web que vous visitez. Grâce à cet accès, le cyber-criminel peut voler tout un tas de données. Il peut s’agir de vos informations de connexion ou de vos informations personnelles saisies dans les formulaires en ligne.

Comment se protéger d’une attaque de type homme au milieu?

L’essentiel est de faire en sorte de naviguer en toute sécurité.

  • Cryptez le trafic entre le réseau et votre appareil à l’aide d’un logiciel de chiffrement de navigation. Vous pourrez ainsi repousser les éventuelles attaques dites de l’homme du milieu.
  • Vérifiez toujours la sécurisation des sites que vous visitez. La plupart des navigateurs affichent un symbole de cadenas à côté de l’URL lorsqu’un site Web est sécurisé. Si vous ne voyez pas ce symbole, vérifiez que l’adresse Web commence par « https ». Le « S » signifie « sécurisé » et garantit que vos données ne seront pas susceptibles d’être interceptées par des cyber-criminels.
  • Utilisez un pare-feu. C’est également un moyen fiable de protéger vos données de navigation. Sans être infaillible, un pare-feu fournit un degré de sécurité supplémentaire lorsque vous utilisez un réseau wifi public. Si vous naviguez souvent sur un réseau wifi public, configurez un réseau privé virtuel (VPN). Ce type de réseau protège votre trafic et complique la tâche des pirates qui voudrait l’intercepter.
  • Mettez vos logiciels de sécurité à jour. Les cyber-criminels ne cessent de s’adapter et de se perfectionner. Vous devriez donc en faire de même. En mettant à jour votre solution de sécurité, vous avez accès en permanence à des outils les plus actualisés. Et ils surveilleront votre activité en ligne pour une navigation sécurisée et agréable.

3. Phishing et Spear Phishing

L’hameçonnage (phishing) est la pratique consistant à envoyer des courriels qui semblent provenir de sources fiables. Le but est d’obtenir des renseignements personnels ou d’influencer les utilisateurs à faire quelque chose. Il combine l’ingénierie sociale et la supercherie technique. Cela peut prendre la forme d’une pièce jointe à un mail qui charge un logiciel malveillant sur votre ordinateur. Cela peut également être d’un lien vers un site Web illégitime qui peut vous amener à télécharger des logiciels malveillants ou à communiquer vos renseignements personnels. Pour une description détaillée, je vous invite à relire un de mes précédents articles : Phishing mode d’emploi.

L’hameçonnage au harpon (spear phishing) est un type particulier d’activité d’hameçonnage très ciblé. Les cyber-criminels prennent le temps de faire des recherches sur leurs cibles pour créer des messages personnels et pertinents. Pour cette raison, l’hameçonnage au harpon peut être très difficile à identifier et encore plus difficile à défendre. L’une des façons les plus simples qu’un pirate peut utiliser pour mener une attaque de harponnage est l’usurpation de courriels. Par exemple l’information dans la section « De » du courriel donne l’impression qu’elle provient de l’une de vos connaissances. Ce peut être votre direction ou un partenaire d’affaire. Les cyber-criminels utilisent souvent le clonage de site web pour donner de la crédibilité à leur histoire. Ils copient des sites Web légitimes pour vous tromper en fournissant des informations personnellement identifiables (IPI) ou des identifiants de connexion.

Comment vous protéger de l’hameçonnage ou de l’hameçonnage au harpon?

Pour réduire le risque d’être victime d’hameçonnage, je vous propose ces techniques simples :

  • Pensée critique – Ne considérez jamais un courriel comme fiable par défaut. Peut-être simplement êtes-vous occupé ou stressé ou avez-vous 150 autres messages non lus dans votre boîte de réception. Arrêtez-vous un instant et analysez soigneusement le courriel.
  • Survolez les liens – Déplacez votre souris sur le lien, mais ne cliquez surtout pas dessus ! Il suffit de laisser le curseur de votre souris sur le lien et de voir où il vous emmènerait réellement. Appliquer la pensée critique pour déchiffrer l’URL.
  • Analyse des en-têtes de courriel – Les en-têtes de courriel définissent comment un courriel est arrivé à votre adresse. Les paramètres « Reply-to » et « Return-Path » doivent conduire au même domaine que celui indiqué dans l’email.
  • Sandboxing – Vous pouvez tester le contenu des e-mails dans un environnement sandbox, en enregistrant l’activité à partir de l’ouverture de la pièce jointe ou en cliquant sur les liens à l’intérieur de l’e-mail.

4. Attaque par drive by download

Les attaques Drive by-download sont une méthode courante pour propager des logiciels malveillants. Les cyber-criminels recherchent les sites Web non sécurisés. Ils y implantent alors un script malveillant dans le code HTTP ou PHP sur l’une des pages. Ce script, invisible, peut installer des logiciels malveillants directement sur l’ordinateur d’une personne qui visite le site. Il peut aussi rediriger la victime vers un site contrôlé par les cyber-criminels. Les Drive by-download peuvent se produire lors de la visite d’un site Web ou de l’affichage d’un message électronique ou d’une fenêtre contextuelle.

Contrairement à de nombreux autres types d’attaques de cybersécurité, un drive-by ne nécessite pas qu’un utilisateur active l’attaque. Ainsi, même si vous n’avez pas cliqué sur un bouton ou ouvert une pièce jointe malveillante, vous pouvez être infecté. Un téléchargement par drive-by download peut profiter d’une application, d’un système d’exploitation ou d’un navigateur Web qui contenant des failles de sécurité dues à des mises à jour échouées, ou à l’absence de mises à jour.

Méthode d’attaque

Attaque de type drive by download
Crédit © Sophos

Une attaque de type drive by download se déroule en 5 étapes.

Le terme drive-by download décrit la manière avec laquelle les malwares infectent votre ordinateur, lors de la simple visite d’un site web qui utilise un code malveillant (l’étape 1 de la cyberattaque : le point d’entrée).

La plupart du temps, il s’agit de sites officiels, qui ont été corrompus et qui vous redirigent vers un autre site web sous le contrôle de hackers (l’étape 2 d’une attaque web la distribution).

Aujourd’hui, les cyber-criminels utilisent des malwares sophistiqués, disponibles sous la forme d’un kit d’exploit, et qui permettent de trouver une vulnérabilité au sein de votre logiciel parmi des milliers de possibilités.

Lorsque votre navigateur internet est redirigé vers le site web qui héberge un kit d’exploit, il examine votre système d’exploitation, votre navigateur internet et les autres logiciels (comme votre lecteur de PDF ou le lecteur vidéo). L’objectif est de trouver une faille de sécurité qu’il pourra exploiter (l’étape 3 de la cyber-attaque : l’exploit).

Lorsque le kit d’exploit a identifié une vulnérabilité, l’étape 4 d’une attaque web l’infection, peut commencer. Dans la phase d’infection d’une attaque web, le kit d’exploit télécharge le logiez malveillant qui s’installe alors sur votre ordinateur.

Pour finir, vient l’étape 5 d’une attaque webl’exécution. Lors de cette étape,  le logiciel malveillant fait ce pour quoi il a été conçu, à savoir rapporter de l’argent à son maître.

Par exemple, le malware connu sous le nom de Zbot (APT), peut avoir accès à vos emails et vos comptes bancaires. Un autre type de charge utile est appelée ransomware. Le logiciel malveillant prend en otage vos fichiers en les cryptant et vous demande de payer une rançon pour les récupérer.

Comment vous protéger contre une attaque de type drive-by?

Pour vous protéger contre les attaques par drive-by-download, vous devez tenir à jour vos navigateurs et systèmes d’exploitation. Evitez également  les sites Web qui pourraient contenir des codes malveillants. Tenez-vous-en aux sites que vous utilisez normalement – mais gardez à l’esprit que même ces sites peuvent être piratés. Ne conservez pas trop de programmes et d’applications inutiles sur votre machine. Plus vous avez de plug-ins, plus il y a de vulnérabilités exploitable par des attaques par drive-by-download.

5. Attaque par mot de passe

Méthode d’attaque

Les mots de passe sont le mécanisme le plus couramment utilisé pour authentifier les utilisateurs d’un système d’information. L’obtention de mots de passe est donc une approche d’attaque commune et efficace. Les cyber-criminels obtiennent l’accès au mot de passe d’une personne de multiples façon. Il  suffit souvent de regarder autour du bureau de la personne, de sniffer la connexion au réseau pour acquérir des mots de passe non cryptés, d’utiliser l’ingénierie sociale, d’accéder à une base de données de mots de passe ou de le deviner directement. La dernière approche peut se faire de manière aléatoire ou systématique :

  • Deviner un mot de passe par un passage en force brutal signifie essayer de nombreux mots de passe en espérant que l’un d’entre eux fonctionne. Les cyber-criminels appliquent alors une certaine logique en essayant des mots de passe liés au nom de la personne, à sa fonction, à ses loisirs, à ses proches ou à des éléments similaires.
  • Dans une attaque par dictionnaire, un dictionnaire de mots de passe communs est utilisé pour tenter d’accéder à l’ordinateur et au réseau d’un utilisateur. Une approche consiste à copier un fichier crypté contenant les mots de passe, à appliquer le même cryptage à un dictionnaire de mots de passe couramment utilisés et à comparer les résultats.

Comment vous protéger?

Afin de vous protéger contre les attaques par dictionnaire ou par force brute, vous pouvez mettre en œuvre une politique de verrouillage de compte qui verrouillera le compte après quelques tentatives de mot de passe invalides.

Vous avez un témoignage ou un commentaire? Alors ne soyez pas timide et laissez-nous un commentaire. Plus il y a d’échanges sur ce sujet sensible et plus les gens seront informés et sensibilisés. N’oubliez pas : la probabilité de subir une cyber-attaque en 2019 est de 28%. Si cet article vous a plu, vous pouvez aussi nous laisser un « like » et vous abonner à notre blog.

ITIL 4 Foundation – Une toute nouvelle certification

A l’heure où AXELOS lance la nouvelle certification ITIL 4 Foundation, regardons si, et en quoi elle est vraiment nouvelle. Non seulement le référentiel de bonnes pratiques d’ITSM d’AXELOS est revu en profondeur, mais les certifications aussi. Exit l’usine à gaz du schéma de formation et de certification d’ITIL v3. L’idée est de mieux coller aux besoins des organisations, aujourd’hui moins orientées sur la technique et les processus. Le syllabus de la certification ITIL 4 Foundation a donc été complètement repensé et c’est un bien.

ITIL 4 Foundation : une toute nouvelle certification
Crédit © rawpixel.com 2019

La certification ITIL 4 Foundation est conçue comme une introduction à ITIL 4. Elle permet aux candidats de comprendre la gestion des services informatiques à travers un modèle opérationnel de bout en bout pour la création, la livraison et l’amélioration continue de produits et de services basés sur la technologie. L’objectif est clairement d’amener les candidats à comprendre comment l’informatique peut aider le business à créer de la valeur. Il y a de nombreuses années qu’on ressert le même discours. Cette fois, AXELOS a mis l’accent sur cet aspect avec notamment le concept de co-création entre les TI et les parties prenantes. Ce concept est totalement au coeur du modèle central dans ITIL 4.

Le nouveau syllabus

Les objectifs de la formation et de l’examen de certification

La formation ITIL 4 Foundation a pour objectif d’initier les candidats à la gestion des services basés sur des systèmes informatiques modernes. Elle a pour objet de leur fournir une compréhension du langage commun et des concepts clés. Elle leur montre comment ils peuvent améliorer leur travail et celui de leur organisation grâce aux directives ITIL 4. En outre, cette formation permettra au candidat de comprendre le cadre de gestion du service ITIL 4 et comment il a évolué, pour adopter les technologies et les méthodes de travail modernes.

Le cours ITIL 4 Foundation s’adresse à toute personne travaillant dans l’informatique qui recherche une formation en gestion des services informatiques et une compréhension de la manière de fournir une valeur business. Il concerne également toute personne cherchant à mettre à niveau sa certification et ses connaissances ITIL v3.

L’examen de certification a pour but d’évaluer si le candidat peut démontrer une connaissance et une compréhension suffisantes du cadre de gestion de service ITIL 4. En outre, la certification ITIL 4 Foundation est une condition préalable pour passer les certifications de niveau supérieur. Ces dernières évaluent l’aptitude du candidat à appliquer les parties pertinentes du cadre ITIL dans son contexte.

Le cours de préparation

Conçu pour une durée d’étude optimale de 2 jours (hors examen), le cours est une introduction à ITIL 4. Il vous permet de comprendre une nouvelle façon de voir la gestion des services informatiques via un système de valeur de service (SVS).

Quelle est la différence entre ITIL v3 et ITIL 4? En résumé, ITIL v3 décrit la gestion des services autour de 26 processus et fonctions faisant partie d’un cycle de vie continu en 5 étapes : stratégie des services, conception des services, transition des services, exploitation des services et amélioration continue des services. Tout le corpus de connaissances v3 est toujours très utile et pertinent!

ITIL 4 vous présente une vue plus évoluée d’un système de valeur de service (SVS), qui fournit une image globale de ce que signifie réellement contribuer à la valeur de l’entreprise. Le cadre intègre désormais également des concepts de modèles tels que Lean IT, Agile et DevOps.

Le contenu détaillé du syllabus

Les concepts testés lors de l’examen s’articulent autour de 7 thèmes correspondant chacun à un module d’apprentissage.

  1. Concepts clés de la gestion des services (12,5% des questions d’examen)
  2. Principes directeurs d’ITIL (15%)
  3. Les 4 dimensions de la gestion des services (5%)
  4. Gestion des services et création de valeur (SVS) (2,5%)
  5. Activités de la chaîne de valeur et leurs interactions  (5%)
  6. Introduction aux 15 pratiques d’ITIL (17,5%)
  7. Plongée en profondeur dans les 7 pratiques essentielles (42,5%)
    • Amélioration continue
    • Gestion des changements
    • La gestion des incidents
    • Gestion des problèmes
    • Gestion des requêtes de service
    • Le centre de services
    • La gestion des niveaux de service

La différence avec la version précédente réside dans le fait que l’orientation processus est maintenant moins centrale. Mais surtout les éléments de l’ancienne certification practitioner sont maintenant intégrés dès le niveau Foundation. Dans mes précédents articles ITIL – les raisons d’échec dans votre organisation, ITIL – 5 erreurs majeures de mise en oeuvre et ITIL – 6 autres erreurs de mise en oeuvre, je mettais l’accent sur la mise en oeuvre des pratiques ITIL 2011 qui était le plus souvent défaillante. Le contenu de la certification practitioner était théoriquement là pour combler les manques des publications centrales dans ce domaine. Hélas, cette certification n’a eu que peu de succès. Dans ITIL 4, les aspects de mise en oeuvre font désormais partie du syllabus dès la certification Foundation. C’est un véritable progrès.

Format de l’examen

Le format de l’examen ne change pas par rapport à l’examen Foundation d’ITIL 2011. Il se compose toujours de 40 questions multi choix et se déroule sur une heure. Le score de passage est toujours de 65% (26 bonnes réponses sur 40). Disponible en anglais à partir du 28 février, l’examen se déroule en ligne ou sur papier. Et il est toujours géré par Peoplecert. Les organismes de formation accrédités (ATOs) le proposent également à la fin de leurs sessions de formation.

Le cursus complet des certifications ITIL 4

Le cursus complet des certifications s’articule désormais autour de deux grandes lignes : ITIL 4 Managing Professional et ITIL 4 Strategic Leader. Quelle que soit la filière choisie, la certification ITIL 4 Foundation est un pré-requis exigé.

Nouveau parcours de formations et de certifications ITIL 4
Crédit © AXELOS 2019

Pour découvrir en détail l’ensemble de ces certifications, je vous invite à consulter mon article ITIL 4 : De nouvelles certifications. L’ensemble de ces formations et les certifications correspondantes seront lancées au deuxième semestre 2019.

Pont ou pas pont?

On me pose souvent cette question : y a-t-il un « bridge » possible pour les gens qui possèdent une certification ITIL v3 ou 2011.? La réponse est clairement oui pour les niveaux MP (Managing Professional) et SL (Strategic Leader). Mais seulement à condition d’être déjà ITIL v3 Expert ou d’avoir accumulé au minimum 17 crédits sur ITIL v3 ou ITIL 2011. Dans le cas contraire, vous devrez repasser les examens ITIL 4 correspondants.

Pour la certification Foundation, dans la mesure où elle constitue le socle des autres modules, il n’existe pas de pont. Tout le monde doit donc passer la certification ITIL 4 Foundation pour démarrer son parcours sur la nouvelle version.

Comment se préparer à l’examen de certification ITIL 4 Foundation?

Pour vous préparer à l’examen de certification ITIL 4 Foundation, il existe diverses possibilités. Cependant, AXELOS n’exige pas que vous suiviez une formation préalablement à la certification. Vous pouvez donc décider de travailler par vous-même avec les publications officielles et de vous lancer.

Un certain nombre d’ATOs (organismes de formation accrédités par AXELOS/Peoplecert) proposent d’ores et déjà des session de préparation de trois types :

  • Cours en ligne (en auto-apprentissage)
  • Formation à distance
  • Session publique en présentiel
  • Formation intra-entreprises (directement dans votre organisation).

Dans tous les cas, vérifiez bien l’accréditation de l’organisme de formation auquel vous faites appel. En effet, seuls les ATOs ont l’autorisation d’accéder et de reproduire la documentation officielle d’AXELOS. De plus leurs formateurs sont évalués et audités régulièrement. Ces audits portent à la fois sur leur connaissance d’ITIL 4, mais aussi sur leurs compétences pédagogiques. Cela garantit donc la qualité de la formation qui vous est dispensée.

Cet article vous a intéressé? N’hésitez pas à poster vos remarques et vos questions en commentaire. Cela permet d’alimenter un débat entre nos lecteurs. Merci également de nous mettre un « like » si vous aimez et à nous suivre régulièrement. 

Violations de données : un gouffre financier évitable?

Comme chaque année depuis 13 ans, IBM vient de publier son rapport sur les coût des violations de données. Cette année, le coût moyen des violations de données dans le monde est en hausse de 6,4% par rapport à l’année précédente. Il atteint désormais 3,86 millions de dollars (environ 3,4 millions d’euros). Le coût moyen de chaque enregistrement perdu ou volé contenant des informations sensibles et confidentielles a également augmenté de 4,8% par rapport à l’année dernière pour atteindre 148 $ (soit environ 130 euros). Ce sont des sommes considérables. Imaginez le coût de la violation de données qui a affecté les hôtels Marriott fin 2018. 500 millions d’enregistrements de données personnelles de clients ont été affectées!! 

Violations de données : un gouffre financier pour les entreprises
Crédit © rawpixel.com 2019

Dans cet article, je vous explique comment on évalue ces coûts et comment essayer de les réduire. Cela vous permettra également d’identifier les impacts auxquels vous devez vous attendre lorsque cela vous arrivera. Vous remarquez que je n’ai pas dit « si cela vous arrive ». En effet, cela vous arrivera à coup sûr. Voyons donc les enjeux de sécurité de l’information auxquels vous devez faire face…

Le temps c’est de l’argent

Beaucoup connaissent l’adage selon lequel «le temps, c’est de l’argent». C’est un conseil judicieux pour quiconque soumis à un stress persistant dans sa vie professionnelle (et personnelle). Cela s’applique également aux violations de données. L’étude 2018 sur le coût des violations de données, réalisée par IBM / Ponemon Institute, est un guide indispensable à l’intention des CISO (Responsables de la Sécurité de l’Information), des CPO (responsables de la protection de la vie privée), des DPO (responsables de la protection des données), des gestionnaires de risques et des consultants. Elle leur permet de mieux gérer leurs cyber-risques et les coûts concomitants en cas d’infraction aux réglementations (RGPD par exemple).

Le rapport souligne le coût élevé des violations de données. Dans le même temps, souvent, les responsables de la cybersécurité ignorent si ou quand de telles violations ont lieu dans leurs réseaux. Certains gardent la tête dans le sable et ne privilégient pas suffisamment la détection comme moyen de connaissance. Les réglementations récentes en matière de confidentialité exigent le signalement en temps voulu d’une violation de données lorsque le Responsable du Traitement en a connaissance. Cela peut peut-être amener certains à penser qu’éviter de connaître une violation est une bonne stratégie. Cela permettrait de réduire les coûts associés aux rapports.

Une mauvaise stratégie des entreprises

Hélas, cette «stratégie de l’autruche» n’est pas seulement imprudente et contraire à l’éthique. Elle est bien plus coûteuse pour les organisations. Elle peut même s’avérer catastrophique. Une détection plus rapide des violations de données peut réduire considérablement les pertes. N’oubliez jamais que les pirates de frappent pas d’un seul coup. Ils ont tout leur temps. Et plus vous tardez à réagir, plus ils auront de temps pour commettre des dégâts.

Si nous reprenons le cas de la violation de données qui a touché les hôtels Marriott. C’est le 19 Novembre 2018 que l’investigation a permis de déterminer qu’une violation avait eu lieu. Apparemment un outil avait déjà alerté sur un accès non autorisé dès le 8 septembre. Cela représente plus de 60 jours de délai. Mais cette attaque avait probablement démarré bien avant septembre 2018.

La chaîne cyber-criminelle peut prendre un temps extrêmement long. Je vous invite à bien la comprendre. Elle est décrite de façon détaillée dans un de mes articles récents sur les tests de pénétration.

Le coût stupéfiant des violations de données

En 2018, dans le monde, le coût moyen d’une violation de données hausse de 6,4% par rapport à l’année précédente. Il s’élève désormais à 3,86 millions de dollars (3,4 millions d’euros). Ces statistiques devraient être très préoccupantes. Et elles ne représentent que les coûts tangibles d’une violation. Ce montant ne prend notamment pas en compte les coûts des amendes réglementaires. Par conséquent, les chiffres figurant dans ce rapport doivent être considérés comme une limite basse. Les autres coûts potentiels comprennent les frais liés aux litiges, les amendes pour non-conformité réglementaire et les pertes de revenus dues aux clients qui quittent l’entreprise à la suite d’une violation. Les entreprises investissent massivement dans les produits de cybersécurité et les services professionnels. Alors, pourquoi le coût des violations de données ne diminue-t-il pas? La question mérite d’être posée.

Des moyens insuffisants mis en oeuvre

Chaque nouvelle réglementation relative à la protection des données personnelles appelle à prendre des «mesures de sécurité appropriées». C’est le cas notamment du règlement général européen sur la protection des données (RGPD) ou de la loi américaine sur la protection des renseignements personnels des consommateurs (CCPA). Les entreprises ne prennent en général ces mesures de sécurité de l’information que pour éviter des amendes dissuasives. Et par souci de facilité et d’économie, elles se limitent à s’appuyer sur des outils informatiques facilement accessibles.  C’est hélas très insuffisant. Elles ne mettent pas en oeuvre les actions nécessaires pour prévenir la violations résultant d’erreurs humaines. J’ai rarement vu des actions de formation de masse portant sur l’ensemble du personnel. C’est généralement considéré comme trop coûteux et trop lourd.

Des réglementations qui ne vont pas assez loin

L’aspect le plus frustrant de ces nouvelles réglementations est que la responsabilité des données incombe au responsable du traitement. Cela signifie qu’une organisation est responsable de la protection de ses données, peu importe avec qui les données sont partagées et comment les données sont traitées. Cela vaut également une fois qu’elles ne sont plus sous son contrôle. Les obligations contractuelles d’un fournisseur tiers de sécuriser les données une fois qu’il y a accès résultent du contrat entre le responsable du traitement et son sous-traitant.

Le RGPD, impose que de tels accords soient signés. Cependant, il place l’entière responsabilité sur l’organisation d’origine en tant que responsable des pertes de données. Les amendes encourues peuvent atteindre jusqu’à de 4% du chiffre d’affaires mondial annuel, ou 20 millions d’euros par violation. Alors, peut-être que les meilleures pratiques «raisonnables» ne suffisent pas. Peut-être que la technologie liée à la cybersécurité n’est pas utilisée pour s’attaquer au bon problème.

Meilleure détection et meilleure réponse

Le délai moyen moyen d’identification d’une violation est maintenant de 197 jours. Cela représente une légère amélioration par rapport à l’année précédente. Cependant ce délai reste beaucoup trop long. Imaginez-vous vivre avec un voleur chez vous qui dérobe tout ce qui a de la valeur pendant 197 jours? 197 jours pendant lesquels vous ne vous apercevez de rien?

Considérez le comportement typique des attaquants. Je l’ai décrit en détail dans mon précédent article « Tests de pénétration : nécessaires mais pas suffisants« . C’est ce qu’on appelle la chaîne cyber-criminelle.  Ils suivent une méthodologie éprouvée. Cela commence par la reconnaissance pour localiser leur cible et identifier les points d’entrée. Vient ensuite la première entrée (généralement par les utilisateurs du harponnage au sein de la cible choisie). Une fois qu’ils ont réussi à voler les informations d’identité d’un utilisateur légitime, ils s’installent pour établir le contrôle pendant de longues périodes. Ils se déplacent latéralement, recherchant d’autres informations d’identification, serveurs, journaux, fichiers et documents qu’ils souhaitent. Les documents et les données sont regroupés et exfiltrés à l’aide de protocoles courants. Ils utilisent aussi des sites tiers qui servent de serveurs de transfert à partir desquels ils peuvent télécharger leurs biens volés. Le fait d’avoir pris pied permet l’exfiltration de données à long terme à un rythme adapté à leurs besoins.

Et ce qui est le plus frappant, c’est que tout cela se déroule à l’insu de l’organisation cible.

L’utilisation de leurres est-elle efficace?

La plupart des approches de détection de fraude passent à côté de la cible en matière de détection précoce. Une variété de sociétés de technologie de détection de fraude vantent les réseaux de miel (honeynets en anglais) permettant une détection précoce. En gros, il s’agit de leurres qui vont agir comme des pièges à pirates. Je vous invite à consulter cet article sur le blog du hacker pour mieux comprendre leur fonctionnement. On installe les honeynets à côté de serveurs opérationnels. Et les attaquants ne seraient attirés par ces honeynets que s’ils y étaient conduits. On prend soin d’empêcher les utilisateurs ordinaires de se connecter à des réseaux de miel. Sinon, les fausses alarmes auraient un impact négatif sur les affaires. Et, au moment où un attaquant est tombé dans un leurre (en anglais honeypot), il aura déjà avoir effectué une recherche sur le réseau opérationnel et probablement déjà volé son butin. Malheureusement, cette approche est inefficace pour détecter et réagir aux violations de données.

Il existe également des technologies émergentes de capteurs qui offrent une meilleure solution. On les déploie directement dans l’environnement opérationnel. Par exemple, des capteurs de perte de données peuvent être générés automatiquement, des documents leurres hautement crédibles avec des balises incorporées placées de manière stratégique dans des dossiers, des répertoires ou des partages tiers afin d’inciter les pirates à les ouvrir et d’alerter les équipes de sécurité sur les violations à un stade précoce.

Des pistes pour améliorer la détection

L’absence de données de recherche réelles et à grande échelle sur le monde réel a empêché la mise au point de systèmes de détection d’intrusion (IDS) efficaces pouvant arrêter une attaque dès le début de son cycle de vie. La plupart des organisations confrontées à ce type d’attaques préfèrent ne pas les annoncer publiquement pour des raisons de responsabilité et de confidentialité.

Soixante-douze pour cent des incidents résultant des menaces internes (insiders en anglais) survenus dans les établissements sondés ont été traités en interne. Aucune action judiciaire ni intervention de la police n’est intervenue. Seulement 13% des incidents issus de menaces internes ont été traités en interne mais ont donné lieu à des poursuites judiciaires. L’annonce de telles attaques peut également avoir des conséquences sur les parts de marché d’une entreprise. Pour ces mêmes raisons, les victimes d’infractions sont encore moins susceptibles de partager des données réelles qui pourraient être utilisées pour étudier de telles attaques avec le monde de la recherche.

Les attaques de mascarade

Une attaque courante est la mascarade ou usurpation d’identité (en anglais, masquerade). Elle consiste à tromper les mécanismes d’authentification pour se faire passer pour un utilisateur autorisé, de façon à obtenir des droits d’accès illégitimes et ainsi compromettre la confidentialité, l’intégrité ou la disponibilité. Un cas particulier de d’usurpation d’identité consiste pour un attaquant à « forger » de fausses adresses d’origine pour les messages qu’il émet. Dans ce cas, nous parlons alors plus particulièrement de spoofing (littéralement, parodie) d’adresse. Ce déguisement est, par exemple, très facile à réaliser sur le réseau Internet, puisqu’il n’y a pas d’authentification sur les adresses IP.

L’étude des attaques par mascarade souffre également de la rareté des données réelles, malgré leur importance. Trente-cinq pour cent des dirigeants et des membres des autorités publiques ont vu leurs informations, systèmes et réseaux utilisés sans autorisation. Les attaques de mascarade se classent au deuxième rang des cinq principaux cyber-crimes perpétrés par des personnes extérieures, juste après les virus, les vers et autres vecteurs d’attaque malveillants.

L’expérience de la DARPA

L’essentiel de cette expérience est le suivant. Les imposteurs, tout comme les voleurs qui s’introduisent dans une maison, doivent collecter des informations sur l’environnement dans lequel ils viennent d’entrer. Ils doivent en savoir plus sur leur domicile, rechercher des objets de valeur à voler et empaqueter des données pour les exfiltrer. Cette activité précoce est essentielle pour détecter leur activité néfaste. Par conséquent, le fait de placer les capteurs qui agissent comme des fils de déclenchement dans les dossiers et les répertoires les plus susceptibles d’être recherchés dans le cadre d’une attaque sert de mécanisme de détection.

L’efficacité de l’utilisation de capteurs intégrés dans des documents comme moyen de détecter la perte de données a été prouvée par une étude scientifique parrainée par la DARPA. L’étude a mesuré les vrais et faux positifs et les vrais négatifs. Dans le cadre de l’étude, 39 imposteurs individuels, tous sélectionnés pour leur connaissance approfondie et sophistiquée de l’informatique et des systèmes en général, ont été autorisés à accéder à un système comme s’ils avaient déjà réussi à voler les références nécessaires. Les imposteurs ont ensuite été informés que leur travail consistait à voler des informations sensibles dans le système en exploitant les informations d’identification qui leur étaient fournies. L’étude a suivi une méthodologie prescrite et statistiquement valide selon laquelle les imposteurs étaient informés du type d’informations à voler, mais non de la manière de les voler. Ils ont été laissés à eux-mêmes pour trouver et exfiltrer leur butin.

Dans cette étude, l’utilisation stratégique de capteurs pour détecter le moment où les documents ont été consultés a permis:

  • de détecter 98% des imposteurs
  • la génération d’un seul faux positif par semaine d’opération
  • de réussir la détection dans les 10 minutes.

Conclusion

La détection précoce d’un accès non autorisé à des données sensibles, telle que celle décrite dans cette étude de la DARPA, peut permettre aux organisations de ne pas souffrir du coût d’une violation. Il y a 28% de chances qu’une entreprise subisse une violation dans les deux prochaines années. Cela peut entraîner une perte de 3,6 millions USD basée sur le coût moyen d’une violation de données. En utilisant ces chiffres comme point de repère, la détection d’une violation dans les 30 jours ou moins (au lieu de la moyenne de 197 jours) permet à l’entreprise d’économiser un million de dollars en coûts. La plupart des entreprises s’appuient déjà sur des capteurs de réseau et de points d’accès pour collecter des données de sécurité critiques. Pourquoi ne pas utiliser des capteurs à la source des données?

Si le temps de détection est essentiel pour permettre aux entreprises de réaliser des économies substantielles, le secteur de la sécurité doit examiner de nouvelles technologies et approches pour améliorer cette mesure. L’utilisation de capteurs de perte de données est une méthode éprouvée pour attraper rapidement les imposteurs dès le début d’une attaque.

Les violations de données représentent un gouffre financier pour les entreprises. Cependant, ce n’est pas inévitable. Des solutions existent pour réduire les impacts. Encore faut-il que les dirigeants comprennent l’ampleur du phénomène et évaluent correctement les risques.

Vous êtes tous et toutes concerné(e)s puisqu’un quart d’entre vous serez potentiellement affectés dans les deux ans qui viennent. Alors, n’hésitez pas à réagir et à donner votre avis au travers de vos commentaires.

 

ITIL 4 : la co-création au coeur du modèle central

Nous approchons à grands pas de la publication officielle de ITIL 4 annoncée pour le 18 février. En avant-première, voici un des éléments importants de cette nouvelle version. Exit le cycle de vie des services apparu dans ITIL V3. Maintenant, ITIL 4 s’appuie sur un modèle central autour duquel tout s’organise. L’objectif du modèle central d’ITIL 4 est la création de valeur pour l’organisation réalisée sur la base de la co-création. Mais, qu’est-ce que c’est que la co-création? Est-ce une notion nouvelle? Je vais essayer de lever le voile sur cet aspect essentiel.

ITIL 4 : la co-création de valeur au coeur du modèle central
Crédit © rawpixel.com 2019

C’est aujourd’hui, 11 février, que les premiers cours accrédités de préparation à la certification ITIL 4 Foundation commencent à être délivrés. Dans une semaine, le 18 Février, AXELOS publiera officiellement la documentation ITIL 4. Et ce n’est que le 28 février que les premiers examens de certification ITIL 4 Foundation, en Anglais, seront disponibles pour le grand public. Or, à ce jour, AXELOS maintient un secret absolu sur le contenu détaillé de son référentiel de bonnes pratiques. Cependant, les formateurs accrédités, dont j’ai le plaisir de faire partie, ont déjà pu avoir accès à ce contenu. Je vous en livre dans cet article quelques aspects essentiels.

Des services informatiques vitaux pour la transformation numérique

Une étude réalisée par Forbes et BMC en 2017 auprès de 261 CEOs dans le monde montre la façon dont les services informatiques crée de la valeur pour les entreprises dans le cadre de la transformation numérique. Les principaux résultats sont les suivants :

  • La majorité des exécutifs (56%) qui ont répondu admettent que le périmètre des TI change à un rythme extrêmement rapide. Ils reconnaissent qu’il est très difficile de faire face au besoin de compétences indispensables pour répondre aux besoins. L’absence su le marché de compétences TI alignées sur le business est aujourd’hui un des grands challenges.
  • Une large majorité admet que les budgets TI peinent à satisfaire simplement le maintien en état de fonctionnement de ce qui existe. L’absence d’une approche de gestion des services nuit à la compétitivité des entreprises. Trois dirigeants sur quatre s’accordent pour dire que le temps, l’argent et les ressources consacrés à la maintenance et à la gestion courantes (par rapport au développement de nouveaux projets ou aux nouvelles initiatives) affectent la compétitivité globale de leurs organisations.
  • La gestion des services TI joue un rôle crucial dans les principales initiatives de business numérique. Une majorité de cadres, 56%, indiquent que la gestion des services informatiques est soit «extrêmement importante», soit proche d’être vitale dans les efforts de cloud computing ainsi que dans les initiatives de Big Data de leur entreprise. Cinquante-quatre pour cent ont également indiqué que la gestion des services informatiques était «extrêmement importante» ou proche de d’être importante pour soutenir leurs efforts de mobilité. La plus grande contribution de la fonction ITSM aux efforts de transformation numérique réside dans la transparence et la productivité.

Le modèle central d’ITIL 4

L’objectif principal de la nouvelle version du référentiel ITIL 4 est répondre aux besoin des entreprises de la 4ème révolution industrielle. Celle-ci est basée sur une économie numérique. Elle va donc aider à la transformation numérique des organisations.

Nous reviendrons en détail sur le contenu d’ITIL 4 après la publication officielle par AXELOS. Mais, ce qui saute d’abord aux yeux, c’est la création d’un modèle central (« core model »). Et, ce modèle est fondamental. En effet, il constitue le véritable coeur de la création de valeur : le SVS (système de valeur des services). Donc, tout s’articule en son sein et autour de ce système central.

ITIL 4 : le modèle central
© AXELOS 2019

Comme vous pouvez le voir sur le schéma ci-dessus, tout part de la reconnaissance d’opportunités ou de demandes. L’objectif, au travers du SVS, est alors de transformer ces opportunité et demandes en produits et services créant de la valeur pour l’ensemble des parties prenantes. Pour ce faire, l’organisation va s’appuyer sur les éléments de ce modèle, à savoir :

  • les principes directeurs
  • la gouvernance,
  • la chaîne de valeur des services
  • les pratiques (qu’on retrouvait auparavant dans les processus d’ITIL v3)
  • et l’amélioration continue.

Un alignement sur les autres cadres de référence

Ainsi le périmètre d’ITIL 4 change complètement. On sort de la direction informatique pour couvrir l’intégralité de l’organisation avec ses parties-prenantes.

Ce modèle marque un virage très affirmé vers le principe de la valeur des TI pour l’organisation. ITIL 4 renforce le fait que les TI doivent toujours considérer leur contribution directe au succès de l’entreprise et non être perçues comme un centre de coût.

Pour les lecteurs réguliers de ce blog, admettez avec moi que tout cela s’aligne fortement sur un autre référentiel : COBIT.

En mettant d’avantage l’accent sur la « demande » et « l’engagement » avec les parties prenantes, ITIL 4 s’aligne désormais également avec le BRM (Business Relationship Management) qui a le vent en poupe ces dernières années. Si ces concepts étaient déjà présents dans ITIL 2011, ils deviennent dorénavant centraux dans ITIL 4.

L’autre changement important est la reconnaissance et l’intégration de trois grands courants sur le marché. Il s’agit de LeanIT et DevOps et OCM (Organizational Change Management). Avec ITIL 4, ces pratiques sont expliquées et intégrées au cadre de référence.

La co-création au service de la création de valeur

D’après mon expérience, les clients, grands et petits, comprennent que l’alignement conduit à une transformation qui dépasse leurs attentes. Plus les clients réalisent que leur fournisseur s’engage à les écouter, à accepter et à répondre à leurs exigences précises, et plus ils désirent être impliqués dans cette organisation.

La co-création, qu’est-ce que c’est?

La phrase-clé, c’est «être impliqué». Cela prend de plus en plus la forme de ce qu’on appelle la co-création client. Prahalad et Ramaswamy ont défini la co-création comme « la création conjointe de valeur par l’organisation et le client afin de permettre au client de co-construire l’expérience de service pour l’adapter à son contexte. » Dans mon travail, je définis la co-création comme  « la création délibérée de partenariats avec des clients, partenaires ou employés stratégiques pour concevoir, résoudre un problème, améliorer les performances ou créer un nouveau produit, service ou business. »

Le concept existe depuis 2000, mais il a fallu plus de dix ans pour qu’il devienne populaire. La co-création ne se limite pas à créer un comité de clients pour donner leur avis sur un nouveau produit. Ce n’est pas seulement consulter les clients sur une astuce de vente et de marketing. Il s’agit de créer conjointement de la valeur, tant pour le fournisseur que pour les clients. Pour la plupart des managers, l’idée même de faire participer les clients de manière ouverte et transparente est effrayante. Et je ne vous parle pas de leur réaction quand il s’agit de partager des données détaillées avec les clients! Et pourtant, les bénéfices réalisés grâce cette approche devraient les amener à y réfléchir d’avantage.

Un exemple de co-création chez DHL

Je ne vous surprendrai probablement pas si je vous dis que la co-création est au coeur de la stratégie d’Amazon. Cela explique en partie son exceptionnelle croissance depuis plusieurs années. Mais je vais prendre un autre exemple. Il est peut-être un peu moins connu. C’est celui de DHL, le leader mondial de la logistique. DHL fait partie de la plus grande société mondiale de services de courrier et de logistique, Deutsche Post (« DP ») DHL. Vous les connaissez sans doute par leurs camions de livraison jaunes et rouges. Privatisé il y a 15 ans, le groupe DP DHL emploie quelque 350 000 personnes dans le monde. Et il génère un chiffre d’affaires annuel de plus de 60 milliards de dollars. Vous pourriez penser qu’une entreprise de cette taille aurait du mal à être agile et encore moins à fixer des normes en matière d’innovation et de service à la clientèle.

DHL a découvert que ses clients recherchaient de l’aide pour améliorer leurs performances. Et cette amélioration reposait en partie sur leur chaîne logistique. «C’est tout un défi, car nous avons généralement affaire à des chaînes d’approvisionnement mondiales très complexes», a déclaré Bill Meahl, directeur commercial de DHL, «une chaîne qui nous a incités à nous engager dans une aventure de co-création client».

Comment cela a démarré

S’engager sur cette voie signifiait plus que des modifications de processus et de services. Il fallait aussi sélectionner les « bons clients » avec lesquels travailler. Mais il fallait surtout prendre en compte l’approfondissement des capacités des employés afin de comprendre leur incidence sur les activités, la perception et la durabilité des clients. Selon M. Meahl, l’un des facteurs de succès critiques a été d’enseigner aux employés comment «se mettre dans la peau d’un client afin de bien comprendre la dynamique de travail avec les clients». Cette compétence est essentielle pour élaborer une gamme de recommandations viables et de nouvelles solutions qui répondent non seulement aux objectifs du client, mais démontrent également la valeur de DHL en tant que partenaire commercial.

DHL comprend que l’innovation doit être centrée sur le client. Ils veillent notamment à ce que cela se produise en réunissant les clients et leurs partenaires de service DHL dans des centres d’innovation spécialement conçus, basés en Allemagne et à Singapour, pour des ateliers de partage des meilleures pratiques et de création de valeur. L’objectif est d’ «organiser des ateliers pratiques intensifs explorant et comprenant les tendances technologiques, économiques, sociopolitiques et culturelles afin de développer de nouvelles méthodes de gestion des chaînes d’approvisionnement et de la logistique».

Co-création : mode d’emploi

Les sessions commencent parfois par un aperçu de ce à quoi pourrait ressembler une entreprise en 2050. DHL utilise une méthodologie éprouvée de planification de scénarios. L’approche de DHL entraîne les clients dans un voyage dans le temps qui présente une vue à quatre quadrants de ce à quoi le monde pourrait ressembler en 2050. Les quadrants sont radicalement différents les uns des autres. Ainsi, un quadrant est toujours un scénario catastrophique et son contraire un monde parfait. La puissance de la planification par scénario réside dans le fait qu’elle brise les mentalités. L’équipe commune « revient » ensuite en arrière de 2050 à 2020. Cela fournit une plate-forme pour des lignes de tendance, des compétences de base et des problèmes spécifiques à résoudre. À partir de là, l’équipe commune réfléchit aux solutions et aux approches à mettre en oeuvre.

Des résultats concrets

Beaucoup de projets ont été lancés suite aux plus de 6 000 engagements réalisés dans les centres d’innovation de DHL. Parmi ceux-ci et et parmi les résultats d’autres formats de co-création avec les clients, citons:

  • Parcelcopter, un projet de recherche sur la livraison de drones, qui pourrait à l’avenir permettre aux entreprises d’être plus réactives, agiles et économiques.
  • «Lunettes intelligentes» et réalité augmentée, co-créées avec le client de DHL, Ricoh, afin d’améliorer l’efficacité de la gestion des stocks et des entrepôts de 25%.
  • «Maintenance à la demande» (MoDe), co-créé avec le client de DHL, Volvo Trucks, et d’autres partenaires, utilise des capteurs qui renvoient automatiquement les performances des véhicules et des composants afin de déterminer le moment et l’endroit où la maintenance des camions sera requise.
  • IoT Report, un rapport de l’industrie, rédigé par DHL et Cisco, qui a identifié et évalué les implications et les cas d’utilisation des objets connectés dans la logistique.
  • Applications robotiques actuellement testées conjointement avec des clients. Celles-ci partent des chariots automatiques qui aident les préparateurs à effectuer leur travail de manière moins pénible. Et elles vont jusqu’aux robots collaboratifs qui aident les travailleurs à obtenir des services à valeur ajoutée tels que le co-packing.
  • Rapport collaboratif de DHL et d’IBM explorant comment l’intelligence artificielle pourrait considérablement améliorer les activités logistiques actuelles de bout en bout.

Une expérience difficile mais réussie

Meahl admet que le concept de co-création a été initialement accueilli avec scepticisme, tant en interne et qu’en externe. Les clients pensaient que c’était une tactique de vente intelligente. En interne, DHL dispose de plusieurs unités commerciales qui ont des modèles commerciaux différents desservant les mêmes clients. Il fallait identifier les « bons » dirigeants de DHL qui « possédaient ce client ». Ensuite il fallait aligner et coordonner plusieurs équipes afin de produire les résultats des ateliers d’innovation. Tout cela a obligé l’entreprise à examiner de près sa propre structure et ses processus. Et bien entendu elle a été amenée à se réformer pour améliorer son efficacité et son efficience.

Le résultat en vaut la peine. Les scores de satisfaction client sont aujourd’hui supérieurs à 80%. Dans le même temps, les performances de livraison à temps dans le monde sont égales ou supérieures à 97%. Les taux de perte des clients sont en baisse.  Et, de plus,  les revenus provenant des nouveaux services / produits sont en hausse.

Meahl insiste sur le fait que les entreprises doivent structurer leurs organisations et leurs processus en fonction de leurs clients. La co-création est le nouvel enjeu du succès.

L’importance de la co-création dans ITIL 4

En 2019, les technologies jouent un rôle central dans la majorité des domaines d’affaires. Cependant, si ces technologies sont gérées en silo, sans comprendre comment elles contribuent directement à la croissance et l’efficacité, l’entreprise est vouée à l’échec. La principale réflexion à faire suite à ITIL 4 se situe donc  au niveau de la relation entre le « business » et les TI. L’expérience le démontre : la synergie entre les TI et le Business est essentielle. Les organisations deviennent alors plus productives, plus proactives et répondent mieux aux changements du marché.

La définition même du service a évolué dans ITIL 4. Elle est maintenant beaucoup plus claire et plus compréhensible. Elle fait également référence de façon explicite à la co-création.


« Un service est un moyen de permettre la co-création de valeur en facilitant l’obtention des résultats demandés par les clients, sans que les clients n’aient à gérer les coûts et les risques spécifiques. » (ITIL 4)


Il est clair que sans l’implication du client, le fournisseur ne pourra pas satisfaire les attentes de celui-ci. La définition et la mise en oeuvre du service résultent donc d’une co-création entre le client et le fournisseur. Ainsi, c’est la clé-même de la création de valeur qui est au centre du modèle.

Vous pensez que cette évolution dans le bon sens et permettra à ITIL 4 de reprendre son leadership? Au contraire, vous pensez que tout cela n’apporte pas grand chose de nouveau? Vous voulez en savoir plus sur ITIL 4? Alors, ne soyez pas timide, envoyez nous vos remarques et vos questions au travers de vos commentaires.  Et surtout n’hésitez pas à lancer le débat. Nous vous en remercions.

Tests de pénétration : nécessaires mais pas suffisants

Trop souvent, lors de mes missions dans différentes parties du monde, je fais face à des idées fondamentalement erronées sur l’objectif d’un test de pénétration. Et malheureusement, ces incompréhensions peuvent mener à des catastrophes en termes de  création de valeur. Dans cet article, j’explore certains des comportements courants que j’ai pu constater vis à vis des pentests. Ils conduisent le plus souvent à une absence de retour sur investissement, faute d’être correctement utilisés. Et, hélas, ils aboutissent systématiquement à une augmentation des risques business due à un faux sentiment de sécurité.

Cybersécurité - Les tests de pénétration sont indispensables mais insuffisants
Crédit : © rawpixel.com 2018

Si vous êtes un lecteur régulier de ce blog, vous savez que j’aborde régulièrement des sujets relatifs à la cybersécurité. Mes articles s’appuient souvent sur des référentiels, des normes ou des réglementations. Aujourd’hui, je vous propose un sujet un peu différent. On entend de plus en plus parler de tests de pénétration (ou pentests) des systèmes d’information. On parle également souvent de tests d’intrusion. Mais à quoi cela sert-il vraiment? Est-ce vraiment utile? Et si vous réalisez ce type de test, cela vous garantit-il que votre système informatique est vraiment sécurisé? Je vais essayer de répondre à toutes ces questions et vous démontrer l’utilité de ces tests de sécurité. Je vais aussi vous démontrer qu’ils ne constituent qu’un des éléments de la chaîne, parmi beaucoup d’autres. En d’autres termes, je vais vous expliquer pourquoi les tests de pénétration sont indispensables mais totalement insuffisants.

En quoi consiste la chaîne cyber-criminelle (« Cyber Kill Chain »)?

Il est important de connaître les étapes qu’un cybercriminel va suivre pour attaquer votre entreprise / service. Le terme «chaîne cyber-criminelle» a été adopté pour exprimer l’ensemble de ces étapes.

Pour mieux comprendre l’intérêt des tests de pénétration, il faut d’abord comprendre ce qu’on appelle la chaîne cyber-criminelle (« Cyber Kill « Chain’). En fait il s’agit de comprendre comment se déroule une cyber-attaque de façon générale.

A l’origine, c’est l’armée qui utilisait le terme de « chaîne de destruction ». Cette « chaîne » définit les étapes que l’ennemi utilise pour attaquer une cible. En 2011, Lockheed Martin a publié un document définissant une «chaîne cyber-criminelle». Ce document, similaire à celui de l’armée, définit les étapes suivies par les hackers dans les cyber-attaques d’aujourd’hui. Et c’est en comprenant chacune de ces étapes que les défenseurs peuvent mieux identifier et bloquer les attaques.

Chaîne cyber-criminelle selon Lockheed Martin
© Lockheed Martin 2011

La chaîne cyber-criminelle, telle que décrite dans le document de Lockheed Martin se compose de 7 étapes.

Une variante, définie par Varonis, rajoute une étape supplémentaire : l’exfiltration. C’est une étape qui apparaît nécessaire. En effet, un pirate ne commet jamais une attaque sans avoir une stratégie de sortie.

Chaîne cyber-criminelle ver. 2 ou les étapes suivies par les cybercriminels
© Varonis 2016

Voici la description détaillée de chacune des étapes d’une chaîne cyber-criminelle (le chemin suivi pour attaquer une cible) :

1. Reconnaissance

Tout « casse » réussi commence toujours par une mission de repérage des lieux. Le même principe s’applique dans le cas d’une cyber-attaque. La phase de reconnaissance constitue la phase préliminaire de toute attaque. Il s’agit de la mission de recueil d’informations. Le cybercriminel recherche alors les indications susceptibles de révéler les vulnérabilités et les points faibles de votre système. Les pare-feu, les dispositifs de prévention des intrusions, les périmètres de sécurité (et même les comptes de médias sociaux) font l’objet de reconnaissance et d’examen minutieux. Les outils de repérage analysent les réseaux des entreprises pour y trouver des points d’entrée et des vulnérabilités à exploiter.

2. Intrusion

Après avoir obtenu ces renseignements, il est temps de s’infiltrer dans le système. Le cybercriminels est maintenant juste derrière la porte. Il est prêt à agir. Il doit encore, cependant, piéger les lieux pour faciliter son attaque. L’intrusion constitue le moment où l’attaque devient active. Les logiciels malveillants (y compris les ransomware, spyware et adware) peuvent être envoyés vers le système pour en forcer l’entrée. C’est la phase de livraison. Elle peut s’effectuer par e-mail de phishing ou prendre la forme d’un site Web compromis. Elle peut aussi venir du sympathique café au coin de la rue avec sa liaison WiFi non sécurisée, facile à utiliser par les pirates. L’intrusion constitue le point d’entrée d’une attaque. C’est le moment où les agresseurs pénètrent dans la place.

3. Exploitation

Le hacker se trouve de l’autre côté de la porte et le périmètre est désormais violé. La phase d’exploitation d’une attaque exploite les failles du système. Les cybercriminels peuvent désormais entrer dans le système, installer des outils supplémentaires, modifier les certificats de sécurité et créer de nouveaux scripts à des fins nuisibles.

4. Escalade de privilèges

Quel intérêt y aurait-t-il à entrer dans un bâtiment si vous restez coincé à la réception? Vous devez absolument pénétrer le coeur du bâtiment pour y trouver les secrets les plus intéressants. C’est ce que font les cybercriminels en utilisant l’escalade de privilèges. Ils vont ainsi pouvoir obtenir des autorisations élevées d’accès aux ressources. Ils modifient les paramètres de sécurité des GPO, les fichiers de configuration, les permissions et essaient ensuite d’extraire des informations d’identification.

5. Mouvement latéral

Vous avez maintenant carte blanche. Il vous reste cependant à trouver la chambre forte où sont protégées les informations les plus précieuses. Les cybercriminels se déplacent de système en système, de manière latérale, afin d’obtenir d’autres accès et de trouver toujours plus de ressources. C’est également une mission avancée d’exploration des données. Au cours de cette mission, les cybercriminels recherchent des données critiques et des informations sensibles, des accès administrateur et des serveurs de messagerie. Ils utilisent souvent les mêmes ressources que le service informatique de l’entreprise. Ils tirent également parti d’outils intégrés tels que PowerShell et se positionnent de manière à causer le plus de dégâts possible.

6. Camouflage

C’est bon, vous êtes arrivés au bon endroit. Encore faut-il vous assurer que vous n’allez pas vous faire repérer. Mettez les caméras de sécurité en boucle et montrez un ascenseur vide. Ainsi, personne ne verra ce qui se déroule en coulisses. Les hackers font exactement la même chose. Ils masquent leur présence et leur activité pour éviter toute détection et déjouer les investigations. Cela peut prendre la forme de fichiers et de métadonnées effacés, de données écrasées au moyen de fausses valeurs d’horodatage (timestamps) et d’informations trompeuses. Ou encore cela peut se faire sous forme d’informations critiques modifiées pour que les données semblent ne pas avoir été touchées.

7. Déni de service

Bloquez les lignes téléphoniques et coupez le courant. C’est la phase au cours de laquelle les cybercriminels ciblent le réseau et l’infrastructure de données. Leur objectif est d’empêcher que les utilisateurs légitimes puissent accéder à ce dont ils ont besoin. L’attaque par déni de service (DoS) perturbe et interrompt les accès. Elle peut entraîner la panne des systèmes et saturer les services.

 8. Exfiltration

Vous devez toujours prévoir une stratégie de sortie. Vous avez obtenu ce que vous étiez venu chercher. Il serait idiot de rester là à attendre d’être découvert et arrêté par la police. Vous devez maintenant sortir votre butin pour pouvoir en tirer profit. Les cybercriminels obtiennent les données. Ils copient, transfèrent ou déplacent les données sensibles vers un emplacement sous leur contrôle. Ils pourront ensuite en faire ce qu’ils veulent : les rendre contre une rançon, les vendre sur internet ou sur le Dark Web par exemple. Sortir toutes les données peut prendre des jours entiers. Mais une fois qu’elles se trouvent à l’extérieur, elles sont sous le contrôle des cybercriminels.

N’oubliez pas que les attaquants disposent d’un temps considérable (potentiellement illimité). Ils disposent également d’une étendue totalement libre au niveau des vecteurs d’attaque. Rien n’est interdit! Ils ne se limiteront pas toujours à une seule méthode et les voies d’attaque couvriront tous les chemins possibles entre vos données et la position de l’attaquant (y compris les serveurs / services et les points finaux n’appartenant pas à votre entreprise). Les attaques peuvent être continues et ne se dérouleront probablement pas durant les heures de travail de votre organisation.

Qu’en est-il des tests de pénétration?

Examinez maintenant les phases d’un test de pénétration. Celles-ci (bien qu’elles puissent sembler quelque peu similaires) sont souvent très différentes :

1. Sélection du prestataire

Les entreprises choisissent un fournisseur sur le marché. Ils se concentrent le plus souvent sur la liste de ses badges de certification et les coûts plutôt que sur la méthode de test utilisée.

2. Définition du périmètre du test

Une réunion de cadrage est organisée au cours de laquelle le client et le fournisseur discutent des exigences. Sur la base de cette réunion, le fournisseur élabore une proposition. Un périmètre spécifique sera sélectionné, qui inclura et exclura des scénarios et des types de tests. Il pourra s’agir de tests de type black box, grey box ou white box, à l’aveugle, internes ou externes, …

3. Planification

Une fois les contrats conclus, le test sera planifié, les prérequis activés et les délais convenus.

4. Réalisation du test

Les tests seront effectués (souvent sur quelques jours) en fonction de la méthode de test du fournisseur. Il peut s’agir d’un balayage automatisé utilisant un produit tel que Nessus . Idéalement, ce sera une combinaison de tests automatisés et manuels couvrant l’ensemble du spectre du service testé. Cependant il s’agit le plus souvent d’un ensemble limité de tests

5. Fourniture d’un rapport

Une fois le test d’intrusion terminé, l’étape finale consiste à collecter les preuves des vulnérabilités exploitées et à les signaler à la direction. C’est elle qui les examine et prendra les mesures qui s’imposent. C’est maintenant à la haute direction de décider de la manière dont ce risque doit être traité. Ils choisiront d’accepter le risque, de le transférer, de le réduire ou de l’ignorer (option la moins probable). Un rapport formel sera fourni au client. Celui-ci se présente le plus souvent sous la forme d’un agencement de style feux de signalisation décrivant les risques critiques, élevés, moyens, faibles ou négligeables. Le rapport inclut souvent également des recommandations de mesures correctives afin de réduire les risques identifiés.

6. Suivi

Après la soumission du rapport de test d’intrusion, le client doit l’examiner avec les parties prenantes concernées. Il doit ensuite ajuster les contrôles de sécurité en conséquence. Cela nécessitera probablement un effort de collaboration entre plusieurs fonctions, services, équipes et moyens. Ce suivi sera normalement réalisé sous la direction du CISO. L’objectif clé ici devrait être de permettre aux équipes de réduire le risque d’un service spécifique. Cependant il ne faut pas en rester là. Il convient également de jouer sur l’amélioration continue du processus de développement du cycle de vie logiciel/service afin d’améliorer la posture de sécurité et la robustesse tout au long du cycle de vie.

Les problèmes en amont des tests de pénétration

Les six phases de test de pénétration que j’ai décrites ci-dessus peuvent sembler relativement simples. Hélas les choses peuvent mal se passer. Et c’est malheureusement souvent ce qui se produit. Les quatre scénarios suivants sont des scénarios que je vois malheureusement maintes et maintes fois. Et, même avant le début des tests, ils contribuent à détruire tout le bénéfice de l’opération. Cette liste n’est pas exhaustive, alors n’hésitez pas à commenter ci-dessous (je suis sûr que vous avez d’autres exemples concrets).

  • Les tests de pénétration ne sont effectués que sur un périmètre très réduit. Par exemple un test de type boîte noire est réalisé à partir d’une adresse IP spécifique par rapport à une cible spécifique, d’une manière limitée.
  • La sélection du prestataire du test d’intrusion est effectuée sur la seule base du coût.
  • La portée des tests ne représente pas un nombre suffisant de vecteurs d’attaque par rapport à ce que les cybercriminels utiliseront dans le monde réel.
  • Les tests sont limités aux environnements de «test» uniquement, car l’entreprise craint que le business ou un service ne soit affecté si un test produisait un résultat «destructeur» sur les systèmes en production.

Les problèmes en aval du test d’intrusion

En plus de ce qui précède:

  • Les résultats des tests de pénétration restent extrêmement secrets. Bien sûr, ils sont sensibles, mais les méchants vous sondent déjà. Et ils connaissent probablement déjà les faiblesses de votre système.
  • Souvent, les résultats ne sont pas utilisés pour aider les équipes concernées (équipe bleue, opérations informatiques, développeurs, centre de services et architectes) à apprendre non seulement à atténuer les attaques spécifiques, mais également à améliorer leurs pratiques pour réduire le nombre de vulnérabilités créées.

Alors, que faut-il faire?

Vous liez ceci et vous pensez que rien de tout cela ne se peut se produire dans votre organisation? Alors j’en suis vraiment très heureux pour vous. Mais hélas, j’ai beaucoup de mal à vous croire. Cependant, je soupçonne que beaucoup d’entre vous, tout comme moi, hocherez la tête et grinceront un peu des dents en vous rappelant la valeur limitée des activités réalisées lors du dernier test d’intrusion.

Lors de la conception et de l’exploitation des services, il est essentiel que les activités de test et d’assurance de la sécurité se déroulent selon un cycle continu qui améliore à la fois la sécurité et la création de valeur. Les rapports sur les étagères, ou des listes des case de conformité à cocher ou encore des tests menés à un moment précis, n’apportent que peu de valeur ajoutée. Cela ne contribue pas efficacement à la réduction des risques pour l’entreprise.

La détection et la correction des vulnérabilités de sécurité sont beaucoup moins stressantes et coûteuses si elles sont traitées dès les premières étapes du cycle de vie. De plus la connaissance des outils et des méthodes à déployer avant de réaliser une revue de sécurité vous évitera de nombreuses nuits blanches si vous commencez très tôt et faites des évaluations en continu.

Conclusion

Les tests de pénétration ont définitivement un rôle à jouer pour sécuriser et garantir les services. Cependant, n’oubliez pas qu’il ne s’agit que d’un composant de la solution et non de la solution complète. Les autres activités importantes à réaliser comprennent notamment :

  • Conception sécurisée,
  • Gestion des actifs,
  • Modélisation des menaces,
  • Évaluation des risques,
  • Revues de code,
  • Audits et examens des services,
  • Évaluation des vulnérabilités,
  • Analyse de code (statique et dynamique),
  • Renforcement de la sécurité,
  • Gestion des correctifs de sécurité,
  • Exploitation sécurisée,
  • Simulation d’attaques,
  • et bien d’autres encore…

Espérons que cet article vous amène à réfléchir à l’objectif des tests de pénétration. Cela devrait être l’amélioration de l’apprentissage et de la posture de la sécurité. Les tests de pénétration  se doivent de jouer un rôle général dans la planification, la conception, la construction et l’exploitation de services sécurisés. Ainsi, non seulement vous réduirez les risques pour l’entreprise mais aussi vous offrirez de la valeur à votre client!

N’hésitez pas à commenter cet article pour échanger vos expériences. C’est sur la base d’une discussion avec et entre nos lecteurs que nous pouvons mieux répondre à vos attentes. Alors, n’attendez pas. Ne soyez pas timide et osez poster un commentaire.

 

Avec COBIT 2019, atteignez vos objectifs de gouvernance

Cela fait maintenant un peu plus de deux mois que l’ISACA a publié les premiers volumes de COBIT 2019. COBIT constitue depuis de nombreuses années le cadre de référence pour la gouvernance de l’information des entreprises. Cette nouvelle version, attendue depuis longtemps (COBIT 5 avait été publié en 2012) est donc un évènement important. Du moins, pour les responsables de la gouvernance des Entreprises, constitue-t-elle un élément majeur. Après seulement deux mois d’utilisation, je peux affirmer sans hésiter que cette dernière version est l’un des meilleurs cadres à ce jour pour la gouvernance et la gestion des TI dans l’entreprise. Dans cet article, je vais vous en montrer quelques éléments clés. Ceux-ci vous aideront sans aucun doute à atteindre les objectifs fixés par la gouvernance de votre organisation.

COBIT 2019 - Atteignez vos objectifs de gouvernance et de management
Crédit © rawpixel.com 2018

Cette version se base sur quatre publications clés, toutes disponibles à ce jour:

  • Framework: Introduction and Methodology, qui décrit la structure du cadre global,
  • Framework: Governance and Management Objectives, qui décrit en détail le modèle de base et ses 40 objectifs de gouvernance et de management,
  • COBIT 2019 Design Guide, qui explique comment utiliser COBIT de manière pratique,
  • COBIT 2019 Implementation Guide, qui est une version actualisée et plus pertinente du Guide de mise en œuvre de COBIT 5.

L’approche COBIT 2019

L’une des choses que j’aime beaucoup dans l’approche de l’ISACA est sa stratégie commerciale. Les deux premières publications sont entièrement GRATUITES, et vous pouvez les télécharger sur le site de l’ISACA. Les deux suivantes sont gratuites pour les membres uniquement.

Vous êtes nombreux à savoir que je suis un grand fan des référentiels de bonnes pratiques. Au fil des années, ils ont été développés et promus pour aider les entreprises à comprendre, concevoir et adopter une gouvernance informatique. COBIT 2019 constitue le cadre de gestion et de gouvernance de l’information et de la technologie (I & T) le plus complet. COBIT continue, au fil des ans, de s’affirmer comme un cadre généralement accepté pour la gouvernance I & T. Mais cette nouvelle version couvre l’ensemble de l’entreprise, c’est-à-dire toute la technologie et le traitement de l’information qu’une entreprise utilise pour atteindre ses objectifs. Il est cependant important de noter que COBIT n’est pas un cadre organisant des processus métier, ni un cadre pour régir et gérer toutes les technologies spécifiques. Il se concentre sur les composants d’I & T nécessaires pour diriger et gérer les informations qu’une entreprise reçoit, traite, stocke et diffuse.

Qu’y a-t-il de vraiment nouveau dans COBIT 2019?

Il y a de nombreuses différences majeures entre COBIT 2019 et son prédécesseur, COBIT 5, parmi lesquelles :

  • Les 5 principes ont été modifiés.
  • De nouvelles zones d’intérêt existent désormais (DevOps, sécurité, …)
  • La création de nouveaux facteurs de conception,
  • La cascade d’objectifs est mise à jour,
  • Les processus ont été améliorés (il y en a maintenant 40 au lieu de 37),
  • La gestion de la performance a été actualisée.
  • L’expression «composants de la gouvernance» remplace les facilitateurs (« enablers ») de COBIT 5.
  • Et ce que je préfère, ce sont les nouveaux objectifs détaillés en matière de gouvernance et de gestion.

Il y a tellement d’améliorations qu’il est difficile de toutes les saisir dans un seul article. Je vais donc me concentrer sur l’interrelation entre les nouveaux composants et les objectifs de gouvernance et de gestion. Mais vous vous demandez peut-être comment les processus s’intègrent à tout cela? Je vais donc y revenir plus en détail.

Focalisons-nous sur les composants de gouvernance

Après notre récent article 10 trucs pour bien démarrer avec COBIT 2019, nous allons nous concentrer sur le coeur du référentiel. Ils s’agit des composants de la gouvernance. Pour atteindre leurs objectifs de gouvernance et de gestion, les entreprises doivent mettre en place un système de gouvernance reposant sur un certain nombre de composants.


«Les composants sont des facteurs qui, individuellement et collectivement, contribuent au bon fonctionnement du système de gouvernance de l’entreprise sur l’I & T.» (COBIT 2019 Framework, Introduction and Methodology – ISACA).


Ces composants comprennent:

  • Les processus
  • Structures organisationnelles
  • Information
  • Aptitudes et compétences
  • Culture et comportement
  • Les politiques et les procédures
  • Services, infrastructure et applications.

Vous les avez peut-être reconnus en tant que facilitateurs (« enablers ») dans COBIT 5. Personnellement, j’aimais énormément ce concept de facilitateurs dans COBIT 5. Cependant, il était très difficile de les mettre en oeuvre dans une entreprise. Ces composants constituent désormais un élément clé du référentiel COBIT 2019 basé sur leur lien avec les objectifs de gouvernance et de management.

Les objectifs de gouvernance et de management

L’un des éléments clés de la valeur ajoutée de l’I & T est de contribuer à la réalisation des objectifs de l’entreprise. Les objectifs IT qui étaient toujours mal compris. Ils sont remplacés par les objectifs d’alignement entre les métiers et les TI, l’objectif final étant la création de valeur.

COBIT 2019 : la nouvelle cascade d'objectifs de gouvernance
Source: De Haes, Steven; W. Van Grembergen; Enterprise Governance of Information Technology: Achieving Alignment and Value,Featuring COBIT 5, 2nd ed., © Springer International Publishing, Switzerland, 2015

Les objectifs de gouvernance et management des TI sont organisés dans les 5 mêmes domaines que ceux que nous avions auparavant dans COBIT 5 :

COBIT 2019 : domaines des objectifs de gouvernance et de management

Chaque domaine contient un ensemble d’objectifs de gouvernance et de management. Un objectif de gouvernance ou de management se rapporte toujours à un processus et aux autres composants nécessaires pour atteindre cet objectif. On retrouve les objectifs de gouvernance associés domaine EDM. Les objectifs de gestion sont pour leur part associés aux domaines APO, BAI, DSS et MEA.

Comme indiqué ci-dessous, il existe 40 objectifs de gouvernance et de gestion.

COBIT 2019 : 40 objectifs de gouvernance et de management
COBIT Core Model, COBIT 2019 Framework, Introduction and Methodology: 2018 © Information Systems Audit and Control Association, Inc. (ISACA)

Connu sous le nom de modèle de référence de processus ou PRM (Process Reference Model) dans COBIT 5, COBIT 2019 l’identifie comme étant le modèle central (Core Model) de COBIT. Dans ce modèle, chacun des 40 objectifs de gouvernance et de management est lié à un processus, qui est l’un de nos composants de gouvernance. Nous allons voir maintenant comment tout cela s’organise.

Utilisation d’objectifs de gouvernance et de management avec les composants

Chacun des 40 objectifs de gouvernance et de gestion est atteint grâce à l’exécution d’un processus du modèle central. Il est donc normal que le modèle central compte désormais 40 processus. Et c’est là que le modèle révèle toute sa puissance. Vous vous souvenez qu’un peu plus tôt dans cet article que j’ai mentionné que les facilitateurs (« enablers ») de COBIT 5 étaient difficiles à associer au modèle COBIT? Eh bien, maintenant, chacun de ces composants (« enablers ») constitue un des ingrédients nécessaires à la réalisation de l’objectif.

COBIT 2019 Framework: Governance and Management Objectives, chacun des objectifs de gouvernance et de management, ou processus, est clairement décrit à l’aide des composants de gouvernance, comme illustré ci-dessous.

COBIT 2019 : architecture des composants du modèle de gouvernance et de management

Maintenant que j’ai expliqué l’architecture générale du modèle, nous allons rentrer dans le détail d’un objectif. Nous prendrons l’exemple de APO13 – Managed security. Ainsi nous comprendrons mieux comment se structure chacun des 40 objectifs de gouvernance et de management.

Informations de haut niveau

Une fiche basée sur une structure standard décrit en détail chaque objectif. Les premières informations décrite en haut de la fiche comprennent la zone d’intérêt, le nom de domaine, le nom de l’objectif de gouvernance ou de management, sa description et la déclaration de l’objet de cet objectif.

COBIT 2019 - Objectif de gouvernance APO13 - Part 1
APO13 – COBIT 2019 Framework, Governance and Management Objectives: 2018 © Information Systems Audit and Control Association, Inc. (ISACA)

La cascade d’objectifs

La cascade d’objectifs relative à cet objectif spécifique est ensuite décrite. Elle inclut les objectifs d’alignement applicables (anciennement objectifs informatiques), les objectifs d’entreprise et des exemples de métriques.

COBIT 2019 - Objectif de management - Part 2
APO13 – COBIT 2019 Framework, Governance and Management Objectives: 2018 © Information Systems Audit and Control Association, Inc. (ISACA)

Les composants associés

Rappelez-vous, ils sont au nombre de sept. Ce sont les « enablers » de COBIT 5.

1. Processus

Le processus est un composant clé. En effet, c’est grâce au processus que chaque objectif de gouvernance ou de de management est atteint. Dans le composant «Processus», peu de choses ont changé. Nous voyons toujours un ensemble de pratiques de management, d’exemples de métriques et d’activités, ainsi que des conseils connexes. L’un des principaux ajouts à COBIT 2019 est que chaque activité correspond désormais à un niveau d’aptitude.

COBIT 2019 - Objectif de management APO13 - Part 3
APO13 – COBIT 2019 Framework, Governance and Management Objectives: 2018 © Information Systems Audit and Control Association, Inc. (ISACA)

Des référentiels de bonnes pratiques connexes apparaissent désormais pour CHACUN des composants de gouvernance. Dans le cas des processus, vous les retrouverez pour chacune des pratiques.

COBIT 2019 - Objectif de management - Part 4
APO13 – COBIT 2019 Framework, Governance and Management Objectives: 2018 © Information Systems Audit and Control Association, Inc. (ISACA)

2. Structures organisationnelles

Les différents niveaux de participation sont divisés en niveaux d’autorité (Accountability) et de responsabilité (Responsibility). Les entreprises doivent examiner les niveaux de responsabilité et de responsabilisation, les consulter et les informer, et mettre à jour les rôles et les structures organisationnelles dans le tableau en fonction du contexte, des priorités et de la terminologie de l’entreprise. COBIT 2019 suggère uniquement des rôles d’autorité et de responsabilité. COBIT 5 incluait des rôles de consulté et d’informé. Or, étant donné que les rôles consultés et informés dépendent essentiellement du contexte et des priorités de l’organisation, ils ne figurent plus dans les nouveaux guides de COBIT.

COBIT 2019 - Objectif de management APO13 - Part 5
APO13 – COBIT 2019 Framework, Governance and Management Objectives: 2018 © Information Systems Audit and Control Association, Inc. (ISACA)

3. Eléments et flux d’information

Ce composante de gouvernance fournit des indications sur les flux d’information et les éléments liés aux pratiques du processus. Chaque pratique comprend des entrées et des sorties, avec l’indication de l’origine et de la destination.

COBIT 2019 - Objectif de management APO13 - Part 6.1

COBIT 2019 - Objectif de management APO13 - Part 6.1
APO13 – COBIT 2019 Framework, Governance and Management Objectives: 2018 © Information Systems Audit and Control Association, Inc. (ISACA)

4. Personnes, aptitudes et compétences

Ce composant identifie les ressources humaines et les compétences requises pour atteindre l’objectif correspondant.

COBIT 2019 - Objectif de management APO12 - Part 7
APO13 – COBIT 2019 Framework, Governance and Management Objectives: 2018 © Information Systems Audit and Control Association, Inc. (ISACA)

5. Politiques et procédures

Ce composant identifie les politiques et les procédures nécessaires à l’atteinte de l’objectif concerné.

COBIT 2019 - Objectif de management APO13 - Part 8
APO13 – COBIT 2019 Framework, Governance and Management Objectives: 2018 © Information Systems Audit and Control Association, Inc. (ISACA)

6. Culture, éthique et comportement

Ce composant, essentiel identifie les comportements et les aspects culturels des personnes impliquée dans l’atteinte de l’objectif.

COBIT 2019 - Objectif de management APO13 - Part 9
APO13 – COBIT 2019 Framework, Governance and Management Objectives: 2018 © Information Systems Audit and Control Association, Inc. (ISACA)

7. Services, infrastructure et applications

Ce composant identifie de façon détaillée les services tiers, les types d’infrastructures et les catégories d’applications pouvant être utilisés pour soutenir la réalisation d’un objectif de gouvernance ou de management. Les instructions sont génériques (pour éviter de nommer des éditeurs, des constructeurs ou des produits spécifiques).

COBIT 2019 - Objectif de management APO13 - Part 10
APO13 – COBIT 2019 Framework, Governance and Management Objectives: 2018 © Information Systems Audit and Control Association, Inc. (ISACA)

Informations connexes

COBIT 2019 identifie les normes, les référentiels et les exigences de conformité applicables pour chaque élément de gouvernance. Il fournit également des références détaillées, le cas échéant, au niveau de chacun des composants. Elles diffèrent cependant de celles de COBIT 5, qui s’appliquaient uniquement au niveau du processus.

Conclusion

C’est grâce à la cascade d’objectifs que vous identifierez les objectifs de gouvernance et de management des TI applicables. Il ne vous reste alors qu’à mettre en oeuvre les composants correspondants aux objectifs sélectionnés. Les objectifs de gouvernance et de management avec leurs composants constituent désormais le noyau de COBIT. Je reviendrai ensuite, dans un prochain article, sur les autres grandes nouveautés de cette version.

N’hésitez pas à commenter cet article pour nous donner votre ressenti sur cette nouvelle version de COBIT. Que pensez-vous des évolutions? Avez-vous un retour d’expérience? C’est grâce à vous que nous pouvons faire vivre ce blog.

 

Catégories

Archives

Calendrier

février 2019
L M M J V S D
« Jan   Mar »
 123
45678910
11121314151617
18192021222324
25262728  
%d blogueurs aiment cette page :