Home » Posts tagged 'CISO'

Tag Archives: CISO

La cybersécurité a besoin de femmes. Explications.

Il y a quelques jours, le 8 mars dernier, se déroulait la journée internationale du droit des femmes. Et cette année encore, nous constatons toujours une inégalité entre les hommes et les femmes. C’est également vrai dans le domaine de la cybersécurité où seulement 20% des professionnels sont des femmes. Bien que cela représente une hausse de 11% depuis 2013, il reste encore beaucoup à faire dans les carrières de cybersécurité. Dans le même temps, selon Cybersecurity Ventures, il y aura jusqu’à 3,5 millions de postes vacants d’ici 2021. Alors, est-ce une réelle opportunité pour les femmes dans un monde en pleine transformation numérique?

La cybersécurité a besoin de femmes - Explications
Crédit © rawpixel.com 2019

Être une pionnière comporte des défis. Mais selon les professionnels de la cybersécurité que je côtoie régulièrement, les femmes sont tout à fait à la hauteur. Alors essayons de comprendre les raisons de cette situation et comment elle pourrait évoluer très rapidement.

Pourquoi est-ce important de combler le fossé entre les sexes en cybersécurité?

La diversité des perspective est indispensable

Tout d’abord, il est nécessaire de bien comprendre pourquoi c’est si important. L’objectif n’est pas simplement d’engager plus de femmes pour augmenter les pourcentages. L’argument en faveur d’une plus grande égalité des sexes dans la cybersécurité ne se limite pas seulement à juste vs injuste, ou à homme vs femme. C’est simplement, que le fait d’avoir plus de femmes sur le lieu de travail est bon pour le business. En effet, la diversité des points de vue, du leadership et de l’expérience est toujours un facteur positif pour les affaires.

Cette constatation peut d’ailleurs s’appliquer à n’importe quel rôle dans une entreprise. Elle ne se limite pas au domaine de la cybersécurité. Par contre elle est tout particulièrement pertinente pour la cybersécurité. Il est nécessaire d’avoir des personnes d’origines, de sexe, de cultures différentes dans les équipes de cybersécurité. En effet, les cyber-criminels qu’elles poursuivent (acteurs de la menace, pirates informatiques, cyber-criminels) possèdent également une grande variété de formations, de cultures et d’expériences. Plus nous aurons de personnes et d’expériences différentes pour défendre nos réseaux et meilleures seront nos chances de réussite.

Le nombre de postes non pourvus est en expansion

De plus, comme je l’ai mentionné dans l’introduction, la cybersécurité est confrontée actuellement à un problème lié au manque de compétences disponibles sur le marché. Il serait donc totalement préjudiciable, sur un critère tel que le sexe, de limiter le nombre de professionnels de ce secteur. La demande en professionnels de la sécurité ayant les bons niveaux de connaissance et de compétence est très forte. En outre, la menace pour les victimes et les réseaux critiques est de plus en plus vaste. Donc,   les femmes aussi bien que les hommes peuvent tout à fait réussir une carrière percutante et enrichissante dans ce domaine.

Et pourtant aujourd’hui, quand on pense au CISO, on imagine immédiatement un homme. Pourtant une femme peut tout à fait être CISO. Il commence d’ailleurs a y en avoir dans les grandes entreprises internationales, même si les hommes restent largement majoritaires. Par exemple on peut citer Shamia Naidoo qui est l’actuelle Global CISO chez IBM ou Debbie Wheeler, CISO pour la compagnie aérienne Delta ou encore Dr. Jay, CISO chez XEROX et ancienne CIO (DSI) de la Maison Blanche. Malheureusement, en France et dans les pays francophones en général, il y en a encore très – trop – peu, comme Mylène Jarossay, membre fondateur du CESIN et CISO de LVMH.

Les défis auxquels sont confrontées les femmes en cybersécurité

Tout d’abord, les femmes ont trop souvent un problème de perception de la cybersécurité (et de la technologie en général). La technologie ou la sécurité sont souvent considérées comme des professions masculines. Et c’est juste de dire qu’il y a clairement peu de femmes dans ces domaines. Aussi beaucoup de femmes ne considèrent pas encore ces professions peuvent offrir des opportunités de carrière viables.

L’éducation et la culture

Malheureusement, ce point de vue est souvent enraciné dès l’enfance. Dès le plus jeune âge, les femmes sont sensibilisées au fait que les hommes sont bons en sciences et techniques et que les femmes ne le sont pas. Elles seront le plus souvent orientées vers des filières artistiques, littéraires ou commerciales. Malgré l’évolution des mentalités durant ces dernières années, il faut hélas reconnaître que les préjugés demeurent.

Et cette perception est renforcée lorsque les femmes qui poursuivent une carrière dans le secteur de la technologie se révèlent être les seules dans la salle. Dans presque toutes les équipes d’ingénierie dont j’ai fait partie, il n’y avait toujours qu’une ou deux femmes. Le manque de diversité des sexes est clairement évident, en particulier lorsque vous assistez à des événements tels que le Black Hat ou le HackFest de Québec, et que les hommes constituent la grande majorité des participants.

Dès lors, la culture de travail peut rester bloquée dans un cycle de préjugés inconscients qui se perpétue. Tout au long de ma carrière, j’ai remarqué que les femmes devaient redoubler d’efforts pour obtenir des opportunités et être reconnues. Cela tient peut-être en partie au fait que les gens, consciemment ou non, ont tendance à embaucher et à promouvoir des personnes qui leur ressemblent. Et donc naturellement les hommes embauchent… des hommes. Les femmes ne devraient pourtant pas se sentir intimidées. Mais c’est souvent la réalité à laquelle elles font face dans l’industrie.

La facilitation du changement

Ces problèmes sont difficiles à résoudre car ils sont subtils et omniprésents. Ce sont des problèmes profonds, liés à la culture et à l’éducation. Pour changer cela il faut faciliter le changement culturel et cela prend beaucoup de temps. Au bout du compte, la meilleure façon de permettre ce changement dans le secteur de la cybersécurité, c’est de supprimer les obstacles pour les femmes et de permettre à plus de femmes d’entrer.

Et lorsqu’on leur en donne l’opportunité, c’est exactement ce qu’elles font. Dans les formations que j’anime régulièrement dans diverses régions du monde, en sécurité et en gouvernance, je constate une augmentation régulière du nombre de femmes. C’est un signe encourageant certes. Cependant il faut bien reconnaître que tous les pays ne sont pas logés à la même enseigne. Dans le monde francophone, il reste énormément de chemin à parcourir. Les préjugés sont malheureusement encore tenaces et les réticences très fortes.

Les femmes qui font de la cybersécurité aiment leur travail

L’amour du travail est une affaire profondément individuelle. Cependant voici pourquoi la résolution des problèmes évoqués précédemment valait (et vaut) la peine pour ces femmes.

« La cybersécurité consiste essentiellement à protéger les personnes contre les dommages et, lorsqu’une personne est victime, à découvrir qui l’a fait », a récemment déclaré Priscilla Moriuchi, directrice du département Strategic Threat Develoment à Recorded Future. « J’aime protéger les gens du mal, poursuivre les cybercriminels et continuellement apprendre. J’aime mon travail. »

Pavi Ramamurthy, qui travaille dans le secteur de la sécurité depuis 15 ans, aime également le travail quotidien en matière de cybersécurité. « J’aime construire une grande variété de programmes de sécurité, ou simplement être au cœur d’un incident de sécurité et diriger le processus de réponse à l’incident. Chacun vient avec sa propre série d’excitations et de défis. C’est enrichissant de réfléchir avec mon équipe sur les moyens de s’améliorer et également de nous tenir au courant des nouveautés en matière de sécurité, des professionnels et des nouvelles technologies. »

Maggie McDaniel, directrice de Finished Intelligence chez Recorded Future, a opté pour la cybersécurité en milieu de carrière et aime constater l’impact de son travail. « J’aurais pu rester là où j’étais, en faisant la même chose tous les jours, ou je pouvais aller dans un environnement stimulant et provoquer des changements , » dit-elle. « L’environnement, en évolution rapide, me permet de rester sur mes gardes et rend ma carrière intéressante. »

Jessica Ortega de Sitelock, quant à elle, souligne la flexibilité souvent nécessaire pour ces rôles. « De nombreuses entreprises de technologie proposent désormais des formations à votre rythme, des certifications et une possibilité de travailler à distance, faisant de la cybersécurité l’un des meilleurs chemins de carrière pour ceux qui privilégient l’équilibre travail-vie personnelle. »

Quelques trucs pour les femmes envisageant une carrière en cybersécurité

Si vous êtes une femme et que vous souhaitez changer de carrière pour vous orienter vers la cybersécurité, vous le pouvez sans aucun doute. Voici quelques trucs qui peuvent vous aider à mieux vous préparer.

1. Ne soyez pas intimidée et sachez saisir votre chance

Il est absolument nécessaire de saisir votre chance lorsqu’elle se présente et de commander le respect dans un domaine dominé par les hommes pour acquérir les connaissances et l’expérience nécessaires pour réussir. Ce n’est un secret pour personne que la technologie est un domaine à prédominance masculine. C’est aussi un domaine où sévissent encore de nombreux détracteurs. Ils se demandent si les femmes ont vraiment leur place à leurs côtés. Vous devrez sans doute lutter et postuler plusieurs fois pour occuper différents postes avant de devenir analyste de sécurité.

Rappelez-vous que la sécurité ne nécessite pas de dons magiques innés. Vous pouvez apprendre tout aussi bien qu’un homme ce que vous devez savoir pour réussir. N’ayez pas peur de vous battre pour ce que vous voulez.

2. Bâtissez votre réseau et trouvez des mentors dans le secteur

Une fois que vous avez terminé la préparation initiale avec des lectures, des cours en présentiel et en ligne, commencez à tisser des liens. Participez à des réunions et rencontrez des gens de l’industrie dans le domaine de la cybersécurité. Rejoignez un groupe comme Women in CyberSecurity (WyCyS) ou Women in Technology International (WITI) et, bien sûr, assistez à des conférences.

Trouver un mentor est une étape qui peut faire toute la différence. Contactez un acteur du secteur, idéalement un leader d’opinion, et recherchez un mentor. Il y a beaucoup d’hommes et de femmes, qui sont déjà dans le domaine et qui peuvent donner des conseils, répondre aux questions et vous orienter dans la bonne direction.

Un bon mentor peut fournir des conseils précieux sur la manière de trouver votre place dans la cybersécurité et de faciliter les opportunités de mise en réseau. Idéalement, trouvez une femme, professionnelle en cybersécurité, qui saura vous apprendre les ficelles du métier et, surtout, vous apprendre de ses erreurs. Il y a de la force dans les nombres. Cependant, n’ayez pas peur de prendre conseil auprès d’un professionnel de la cybersécurité. Il y a beaucoup d’experts et beaucoup de connaissances à exploiter.

3. Recherchez d’abord des opportunités en interne

Il n’est peut-être pas nécessaire de changer d’entreprise pour changer de carrière. Le meilleur endroit pour commencer est souvent au sein de votre société actuelle. Etablissez des relations avec votre propre équipe de sécurité. Il existe de nombreuses opportunités dans des domaines tels que la sensibilisation et la formation à la sécurité, la gestion de programme de sécurité, la réponse aux incidents et la rédaction technique, pour n’en nommer que quelques-unes.

Si l’équipe de sécurité de votre entreprise doit combler un poste vacant, vous avez un avantage. En effet, vous connaissez déjà l’entreprise, son environnement, sa culture et son activité. Vous pourrez peut-être alors combiner l’auto-apprentissage et la formation continue pour pouvoir démarrer un nouveau rôle.

4. Agissez avec confiance

C’est souvent le conseil le plus difficile à mettre en œuvre pour les femmes, surtout si elles se sentent en sous-effectif ou si elles sont ignorées. « J’avais beaucoup entendu parler des femmes qui ne se sentaient pas entendues lors des réunions, mais la première fois que cela m’est arrivé, ma mâchoire est presque tombée au sol », a déclaré Rose Elliott, senior director of product engineering de Tenable.io. « J’ai pensé: « Oh, c’est ce dont ils parlent. » J’ai même approché l’homme qui dirigeait la réunion par la suite. Mais cela s’est reproduit le lendemain. C’est terrible que ce soit juste une chose à laquelle il faut s’habituer . Mais depuis j’ai appris à exprimer mon opinion et à me sentir à l’aise. « 

L’astuce? Parler et agir de manière décisive, même si vous ne vous sentez pas nécessairement complètement sûre de vous. « De nombreuses femmes ont tendance à parler avec moins de confiance si elles ne sont pas certaines à 100% de ce qu’elles disent, alors que les hommes parlent avec confiance même s’ils sont relativement incertains », a déclaré R. Elliott.  «En fait, j’ai reçu un témoignage essentiel de la part d’un ancien directeur / mentor de sexe masculin: lorsque vous vous sentez vraiment anxieux, appuyez fort, car votre intuition est généralement la bonne.»

5. Mettez l’accent sur l’apprentissage

Comme pour toute carrière, la cybersécurité se base sur un parcours d’apprentissage. Personne de doit être intimidé par ce domaine. Cela semble très technique et très complexe. Et croyez-moi, ça l’est. Donc, bien sûr, ne vous attendez pas non plus à être un expert dès le départ. Nous avons tous quelque chose de nouveau à apprendre, hommes comme femmes, et dans ce domaine il y a de la place pour une expertise technique approfondie, mais aussi pour des généralistes et des gestionnaires. Chaque jour, un nouveau défi se présente et une chance d’apprendre quelque chose de nouveau surgit.

Alors, la cybersécurité est-elle pour vous? Moriuchi a la réponse: « Ce travail est destiné à tous ceux et toutes celles qui sont intellectuellement curieux, disposés à penser de manière non conventionnelle et à s’engager dans une vie d’apprentissage. » Vous vous reconnaissez dans cette description? Alors peut-être que vous devriez envisager de regarder les opportunités qui se présente dans un domaine en pleine expansion avec la transformation digitale des organisations.

Vous vous posez encore des questions?  Votre expérience peut être partagée? Vous avez des remarques sur le contenu de cet article? Les commentaires sont là pour vous permettre de lancer le débat et d’échanger. Profitez-en! Si vous avez aimé cet article vous pouvez aussi nous laisser un « like ». Ou, vous pouvez aussi vous abonner à notre blog pour recevoir une alerte lors de la parution de nos articles.

 

 

10 raisons majeures pour embaucher un CISO

Dans un précédent article, nous avons passé en revue les responsabilités et les compétences indispensables d’un CISO. Dans un monde en pleine transformation numérique, la sécurité de l’information et la cybersécurité sont des préoccupations vitales. Je vous propose donc, aujourd’hui de revenir, au travers de quelques exemples, sur les raisons pour lesquelles toute organisation doit absolument avoir un CISO. Nous évoquerons aussi les contraintes, la position hiérarchique, les salaires et les risques courus par les CISO.

CISO : Pourquoi il est indispensable dans une organisation
Crédit © rawpixel.com 2019

Chaque jour apporte son lot de nouvelles informations alarmantes en matière de cybersécurité. Cela va de l’intégrité des élections, ou d’informations bancaires volées à la dernière cyber-attaque contre l’ICANN. Vous avez sans doute l’impression qu’il vous faut un décodeur pour comprendre tout cela. Surtout quand ce n’est pas votre métier, c’est d’autant plus inquiétant qu’on n’y comprend rien. Pourtant cela semble très grave si on se fie à la mine sinistre des dirigeants qui communiquent sur le sujet. Alors, info ou intox?

Une façon de commencer à déchiffrer le jargon et l’intrigue consiste à essayer de voir ces problèmes sous l’angle du Directeur de la Sécurité de l’Information (CISO). Le CISO est généralement le plus haut responsable de la cybersécurité, membre du comité de direction, au sein d’une entreprise.

Un peu d’histoire

Le rôle de CISO remonte à 1994. Le géant bancaire Citigroup (alors Citi Corp. Inc.) avait été victime d’une série de cyber-attaques d’un pirate informatique russe, Vladimir Levin. La banque a créé le premier bureau exécutif mondial dédié à la cybersécurité. Elle a engagé Steve Katz pour le diriger.

Aujourd’hui, Katz est un nom de premier plan dans l’industrie. Il travaille comme consultant en cybersécurité et a toujours soutenu des initiatives de partage d’informations de grande valeur en finance, et plus récemment dans le domaine de la santé.

Selon Katz, il est important que les gens comprennent les responsabilités de ceux qui supervisent la cybersécurité. De cette façon, ils sont mieux préparés à interpréter les gros titres et à savoir distinguer ce qui compte vraiment.

Les investisseurs doivent également comprendre le fonctionnement de leur entreprise. De plus en plus de sociétés de cybersécurité arrivent sur un marché encombré. Elles cherchent du business, des fonds de capital-risque ou de nouveaux capitaux provenant d’une introduction en bourse.

Les responsabilités du CISO

Les responsabilités du CISO varient. Elles évoluent selon le secteur d’activité, la taille de l’entreprise et la réglementation à laquelle l’organisation est soumise. Des entreprises différentes structurent la cybersécurité de manières différentes. Cependant il existe de nombreux thèmes communs.

Dans les grandes organisations, le CISO supervise souvent une équipe de professionnels de la sécurité travaillant pour l’entreprise. Les petites entreprises peuvent sous-traiter ce travail à une entreprise externe fournissant des services gérés. Beaucoup font une combinaison des deux.

Nous avons compilé cette liste des responsabilités du CISO sur la base de recherches issues de ressources publiques, privées et universitaires ainsi que des offres d’emploi et d’entretiens avec des responsables de la cybersécurité et des dirigeants qui les embauchent.

Opérations de sécurité

Cette fonction implique une analyse en temps réel des menaces. Cela comprend la supervision des outils permettant de surveiller les pare-feu, les points d’entrée, les bases de données et d’autres environnements internes d’une entreprise. Quand quelque chose ne va pas, ces personnes sont censées découvrir et classifier les problèmes.

Cyber-risques et cyber-intelligence

Les conseils d’administration demandent souvent au CISO de prendre les devants face aux nouveaux types d’attaques qui pourraient être nuisibles, aux transactions commerciales qui pourraient présenter un risque de violation ou à de nouveaux produits susceptibles d’affaiblir la sécurité.

En 2017, Verizon a fait baisser de 350 millions de dollars le prix d’achat de Yahoo. Cela faisait suite à la révélation qu’une violation de données avait touché plus de personnes que Yahoo n’avait déclaré. C’est un exemple d’évaluation  du coût d’un risque de cybersécurité par Verizon.  Apparemment, la société aurait d’ailleurs souhaité un rabais plus important, pouvant atteindre 925 millions de dollars.

Lorsqu’un haut responsable du bureau du directeur du renseignement national a déclaré à un panel à Aspen que des agents iraniens possédaient des cyber-armes ciblant les infrastructures américaines, il s’appuyait sur une collection complexe d’informations de cyber-intelligence.

Violations de données et prévention de la fraude

Les personnes qui envoient des informations sensibles par courrier électronique, ou les initiés qui volent la propriété intellectuelle en quittant leur entreprise, sont deux exemples de ce que les CISO gèrent au quotidien. Ils utilisent des outils qui surveillent le flux d’informations dans une organisation pour détecter les grandes quantités de données quittant l’entreprise.

Quand Elon Musk a déclaré qu’un ingénieur chez Tesla avait été signalé pour l’envoi de code source à l’extérieur de l’entreprise, c’est l’équipe cybersécurité, sous la responsabilité du CISO qui l’avait découvert.

Architecture de la sécurité

Le CISO a un rôle d’architecte de sécurité. Il construit l’épine dorsale de la sécurité d’une entreprise. Parfois, il partie du début, parfois il part d’un existant. Il décide où, comment et pourquoi les pare-feu seront utilisés. C’est également lui qui prend des décisions sur la séparation ou la segmentation de certains réseaux. Il peut aussi faire appel à des testeurs d’intrusion ou à des pirates éthiques pour tester les défenses qu’ils a créées pour l’entreprise.

Si vous vous demandiez comment les logiciels de de ransomware WannaCry ou NotPetya se déplaçaient si rapidement entre différentes parties de certaines entreprises touchées, cela tient au fait que de nombreuses entreprises disposaient de réseaux «plats» sans aucun moyen de mettre en quarantaine l’attaque entre les business units. Un architecte de sécurité aurait pu les aider à construire, pro-activement, un réseau plus résilient.

Gestion des identités et des accès

Les CISOs ont la responsabilité des informations d’identification. C’est généralement un membre d’une équipe de cybersécurité qui vous attribue votre nom d’utilisateur et votre mot de passe auprès d’une nouvelle société. Ces professionnels déterminent qui a accès à quels outils, qui reçoit quelles adresses e-mail et la rapidité avec laquelle ces informations sont supprimées dès lors que quelqu’un est licencié ou quitte la société.

Ce dernier point est essentiel. Et, s’il est mal géré, il peut entraîner d’importantes pertes de données. Dans une affaire célèbre impliquant une société d’ingénierie du Tennessee, un ancien employé a pu accéder à des informations précieuses pendant plusieurs années après son départ chez un concurrent, car ses informations d’identification n’avaient jamais été supprimées.

Gestion de programme

Une fois qu’une entreprise a mesuré ses risques, rassemblé des informations et cartographié l’emplacement de ses données, elle peut identifier des vulnérabilités. Pour combler ces lacunes, les entreprises lancent des projets et des programmes. Les responsables de programmes de cybersécurité n’ont pas toujours une formation technique approfondie. Par contre, ils savent comment créer et gérer de nouvelles initiatives destinées à renforcer la sécurité de l’entreprise.

Un exemple de programme commun serait la mise à jour des systèmes avec des correctifs de sécurité sur une base régulière. Lorsque la gestion du programme est mal gérée, vous pouvez oublier des correctifs, comme celui qui a conduit à la violation massive des données chez Equifax et qui a coûté son poste à Richard Smith, son CEO.

Investigations et enquêtes légales

En outres, les CISO sont les «flics» du département cybersécurité, et bon nombre d’entre eux sont issus de la police. Lorsqu’un incident se produit, ils peuvent travailler avec des agences légales extérieures, des sociétés de conseil, des agences gouvernementales ou parfois seuls pour mener des enquêtes judiciaires. Si un employé se fait prendre à envoyer du code source par courrier électronique, ce sont les employés de l’équipe cybersécurité qui prouveront ensemble ce qui s’est produit et qui peuvent ensuite l’auditionner à ce sujet.

Lorsque le Comité national démocrate a mobilisé Crowdstrike et travaillé avec le FBI sur des attaques par courrier électronique présumées au cours de la campagne de 2016, il s’agissait de deux équipes de professionnels des enquêtes qui ont en partie tenté de déterminer qui avait perpétré l’attaque. Les résultats de l’investigation légale sont ceux que vous pouvez lire dans l’acte d’accusation de 12 ressortissants russes publié en juillet dernier par Rod Rosenstein.

Gouvernance

Tout cela peut coûter très cher. Ces employés peuvent aider à gérer le budget et à fournir d’autres types de supervision. Les programmes de sécurité doivent continuer à fonctionner sans quoi ils risquent de ne jamais être finis. Les réglementations changent fréquemment, et des employés doivent être embauchés pour ces postes. Une bonne gouvernance peut impliquer la mise en place d’un cadre basé sur des facteurs importants pour l’entreprise et le bon fonctionnement de l’ensemble de l’organisation de cybersécurité. Un manque de gouvernance peut entraîner de gros problèmes. Par exemple les dirigeants ne sont jamais clairement informés des problèmes informatiques majeurs de leur organisation. Ou encore les hauts responsables ne reçoivent jamais une formation adéquate sur la détection des tentatives de phishing.

En fin de compte, la sécurité concerne les personnes

La profession de sécurité a maintenant bien défini l’ensemble de ces rôles, mais en 1994, Katz était parti de zéro.

Le monde des télécommunications et Internet commençaient tout juste à se développer. Le pirate informatique, Levin, avait tenté de voler 10 millions de dollars. Il avait joué avec le système de transfert de fonds international, qui était exploité sur des lignes téléphoniques.

Des employés de Citi découvrirent la fraude en examinant les transactions par fil. Ils virent les anomalies et remontèrent une alerte rouge à la haute direction.

«Cela montre l’importance des personnes dans le processus global de sécurité de l’information. Votre plus grand risque et votre plus grand atout », a-t-il déclaré.

La police arrêta ensuite Levin à l’aéroport JFK de New York. Un tribunal de district le condamna ensuite à trois ans de prison pour ses crimes.

Sur ces fonds volés, tout a été récupéré, sauf 400 000 dollars, a expliqué Katz. Ce montant est largement inférieur à celui de nombreuses cyber-attaques courantes en 2019.

Les 5 qualités essentielles d’un CISO

L’année dernière, un rapport du Ponemon Institute intitulé «L’évolution du rôle des CISO et leur importance pour l’entreprise» – montrait que le rôle du CISO devenait de plus en plus crucial dans le monde actuel de menaces omniprésentes de cybersécurité, en particulier en matière de gestion des risques de l’entreprise, en déployant des analyses de sécurité et en protégeant les dispositifs Internet of Things (IoT).

Cependant, un autre élément clé du rapport est que le rôle du responsable de la sécurité de l’information s’élargit depuis quelques années. Il est ainsi passé de responsable des services de sécurité (RSSI) à responsable de l’ensemble de l’organisation en matière de sécurité (CISO). Aujourd’hui, ce rôle incarne une position de leader. Celai nécessite une présence au sein la direction, d’excellentes compétences en communication et une pensée vive et organisée. En tant que tel, le CISO doit non posséder une expertise technique et des compétences en leadership. Mais il doit également comprendre les activités de son entreprise et pouvoir exprimer les priorités de sécurité d’un point de vue commercial.

Mais qu’est-ce que cela signifie vraiment pour les responsables de la sécurité de l’information en poste aujourd’hui? Quelles sont les qualités les plus importantes que doivent posséder les CISO pour intégrer la sécurité dans tous les processus métier et assumer le rôle de leader dans une stratégie de sécurité informatique à l’échelle de l’entreprise? Considérons cinq des plus importantes.

1. Il doit comprendre la mission de l’entreprise et aligner la sécurité sur les objectifs de l’entreprise.

Le CISO se confronte au défi de la nécessité de trouver un équilibre la sécurité et les besoins du business. Les entreprises d’aujourd’hui ont besoin d’informations pour pouvoir fonctionner. Certes, un CISO peut créer une forteresse totalement inviolable et indestructible pour protéger l’entreprise. Les informations seront protégées mais elles ne pourront tout simplement pas s’en échapper. Mais une telle forteresse empêchera probablement le business de travailler et l’entreprise de gagner de l’argent.

Un excellent CISO examine la situation dans son ensemble. Il doit aligner ses objectifs sur les objectifs généraux de l’entreprise et sur sa mission actuelle. Son rôle n’est pas de contrôler l’entreprise. Par contre, son rôle est de lui permettre de réaliser ce qu’elle doit accomplir de manière relativement sûre. Cela nécessite de la planification et une bonne communication avec les autres parties prenantes de l’organisation afin de garantir l’efficacité du programme de sécurité et de l’aligner correctement sur les objectifs généraux de l’entreprise. Dans la mesure où la sécurité de l’information est en concurrence avec les autres objectifs de l’entreprise, un bon CISO s’assurera que la stratégie sera validée, approuvée et formalisée par un conseil ou un comité de gouvernance interne composé des parties prenantes de l’informatique et du management.

2. Il doit avoir une présence exécutive et la capacité d’influencer le conseil d’administration

Une grande partie du travail d’un CISO consiste à communiquer directement avec le conseil d’administration. Selon l’étude du Ponemon Institute, 65% des CISO dépendent directement du conseil d’administration. D’après cette étude, 60% sont responsables d’informer l’organisation sur les nouvelles menaces, technologies, pratiques et exigences de conformité. Enfin,  60% sont directement rattachés à la Direction Générale.

Cependant, la majorité des membres du conseil ne comprennent généralement pas le langage de la sécurité de l’information. Cela signifie que le CISO doit avoir la capacité de traduire leurs exigences, leurs objectifs et leurs rapports en des termes qu’un conseil d’administration peut parfaitement comprendre et, au final, développer sa crédibilité et leur confiance.

Cela nécessite une présence de la direction. C’est ce que Harvard Business Review définit comme «la capacité de projeter une confiance en soi mature, un sentiment que vous pouvez prendre le contrôle de situations difficiles et imprévisibles; prenez des décisions difficiles en temps utile et tenez bon avec les autres membres talentueux et volontaires de l’équipe de direction». Un CISO efficace aura donc une présence forte au sein de l’équipe de direction. Il l’utilisera non seulement pour représenter la position de la société en matière de sécurité, mais aussi pour influencer les autres dirigeants de manière cohérente avec les buts et objectifs de sécurité, et pour établir et entretenir des relations de travail efficaces avec tous les membres du conseil d’administration.

3. Il doit posséder des compétences de leadership exceptionnelles

Une bonne sécurité est le résultat d’un effort d’équipe. Il s’agit d’un processus métier continu qui nécessite l’adhésion des employés et des dirigeants de l’ensemble de l’organisation. Le poste de CISO comporte des aspects basés sur la technologie. Cependant, à de nombreux égards, le succès dépend de sa capacité de communiquer, à créer des relations, à déléguer et à diriger par l’influence, par opposition à une poigne de fer.

Il est essentiel que les CISO établissent des relations de confiance plutôt que d’imposer leur autorité sur les employés. La plupart des employés ne se considèrent pas comme une menace à la sécurité de l’entreprise. Mais les actions qu’ils entreprennent, leur prise de conscience des risques et la manière dont ils utilisent leurs propres dispositifs informatiques ainsi que ceux de l’organisation lorsqu’ils sont connectés au réseau sont susceptibles d’ouvrir la voie à des cyberattaques. En tant que tels, les CISO ont une responsabilité en matière d’application. Les bons CISOs, cependant, ne gouverneront pas par décret. A l’inverse, ils donneront aux membres de l’équipe de l’ensemble de l’organisation l’opportunité de prendre une part active à la gestion des risques liés à l’information.

En outre, le CISO doivt clairement définir qui participe à la prise de décision en matière de sécurité. Et son rôle est de veiller à ce que ces personnes disposent également des capacités et des compétences nécessaires pour prendre des décisions en matière de gestion des risques de l’entreprise. La documentation joue ici un rôle clé dans la réduction de la complexité de la synchronisation des rôles et des responsabilités entre les individus et les unités métiers. Le CISO s’assurera qu’il n’y a pas de faille de couverture, que la sécurité est bien gérée à tous les niveaux des départements et que les actifs de la société sont protégés.

4. Il doit se concentrer sur sa propre éducation et sur son développement personnel

Le champ de la cybersécurité évolue constamment et de nouvelles menaces apparaissent en permanence. Les CISO doivent consacrer une part importante de leur activité à la formation continue et à rechercher des sources d’information qui les tiennent au courant de tous les développements en matière de cyber-menaces et de sécurité informatique.

Bien entendu, les enjeux sont extrêmement élevés. Les cybercriminels sont constamment à la recherche de faiblesses dans les organisations qu’ils peuvent cibler. Le CISO doit maintenir un fossé aussi large que possible entre les cybercriminels et les programmes de sécurité de l’organisation. Et cela n’est possible qu’avec un apprentissage continu.

Pour cette raison, chaque CISO doit s’engager dans un développement personnel continu. Cela se traduit dans des programmes de formation et d’éducation pour se familiariser avec les technologies émergentes, les nouvelles exigences de conformité et le besoin perpétuel d’amélioration de la sécurité.

5. Il doit maintenir l’éthique en matière de cybersécurité au premier plan

L’éthique joue un rôle crucial dans toute stratégie de défense rationnelle en matière de cybersécurité. En l’absence de normes et de règles claires, il est pratiquement impossible de distinguer les responsables de la sécurité des criminels contre lesquels ils sont censés protéger les données et les systèmes de l’organisation.

À mesure que le volume de données qu’une organisation collecte sur ses clients, ses prospects, ses employés et d’autres personnes augmente, sa responsabilité de gestion et de protection de ces données augmente également. La confidentialité des données est étroitement liée à la sécurité, et CISO doit mener activement des discussions sur la quantité d’informations personnelles identifiables conservées et sur la quantité de données anonymisées. En outre, le CISO doit mettre en œuvre et appliquer une politique de pratiques éthiques à suivre par le personnel informatique et de sécurité, et réviser cette politique régulièrement conformément aux dernières réglementations et directives.

Le CISO doit également disposer d’un plan de réponse complet en cas d’incident à activer immédiatement en cas d’infraction. Il est important de noter que ce plan doit contenir évidemment des détails techniques sur la manière de réagir. Mail il doit aussi  comporter des instructions pratiques à l’intention des équipes juridiques, qui tiennent également compte de considérations éthiques essentielles. Le temps est bien sûr un facteur important pour réagir à une cyber-attaque. Informer les clients de tout impact, tel que le vol de données et d’informations d’identification, devrait donc faire partie intégrante du plan d’intervention.

Après une cyber-attaque les clients se sentent vulnérables. Aussi, le manque de transparence soulève-t-il logiquement de sérieuses questions sur les normes éthiques de l’entreprise. Une entreprises victime d’une violation de données est souvent sujette à  des poursuites. De plus, elle subira presque toujours des dommages à la réputation. En outre, tout retard sur l’annonce publique peut aggraver ces conséquences.

Conclusion

En résumé, un bon CISO possède un excellent esprit de leadership. Il est capable d’exercer une présence affirmée dans la salle de conseil d’administration. Sa capacité de communiquer efficacement sur la mission de sécurité est primordiale. Il doit également établir des relations solides au sein de l’entreprise. Enfin il est responsable de l’alignement des programmes de sécurité des informations sur les objectifs de l’entreprise. En outre, il doit s’engager pour sa formation continue et son développement personnel. Il doit également placer l’éthique en matière de cybersécurité et la réputation de l’entreprise au centre de toutes ses activités. Les entreprises du monde entier font aujourd’hui face à des menaces de plus en plus sophistiquées. Celles-ci proviennent d’une multitude de sources différentes. Dès lors, un bon CISO doté des compétences et des qualités requises est plus crucial et plus précieux que jamais.

 

En France et dans de nombreux pays francophones, on a l’habitude de nommer un RSSI au lieu d’un CISO. Pourtant le positionnement hiérarchique et les responsabilités sont différents. Qu’en pensez-vous? Merci d’apporter vos réactions et vos expériences en commentaire.

Violations de données : un gouffre financier évitable?

Comme chaque année depuis 13 ans, IBM vient de publier son rapport sur les coût des violations de données. Cette année, le coût moyen des violations de données dans le monde est en hausse de 6,4% par rapport à l’année précédente. Il atteint désormais 3,86 millions de dollars (environ 3,4 millions d’euros). Le coût moyen de chaque enregistrement perdu ou volé contenant des informations sensibles et confidentielles a également augmenté de 4,8% par rapport à l’année dernière pour atteindre 148 $ (soit environ 130 euros). Ce sont des sommes considérables. Imaginez le coût de la violation de données qui a affecté les hôtels Marriott fin 2018. 500 millions d’enregistrements de données personnelles de clients ont été affectées!! 

Violations de données : un gouffre financier pour les entreprises
Crédit © rawpixel.com 2019

Dans cet article, je vous explique comment on évalue ces coûts et comment essayer de les réduire. Cela vous permettra également d’identifier les impacts auxquels vous devez vous attendre lorsque cela vous arrivera. Vous remarquez que je n’ai pas dit « si cela vous arrive ». En effet, cela vous arrivera à coup sûr. Voyons donc les enjeux de sécurité de l’information auxquels vous devez faire face…

Le temps c’est de l’argent

Beaucoup connaissent l’adage selon lequel «le temps, c’est de l’argent». C’est un conseil judicieux pour quiconque soumis à un stress persistant dans sa vie professionnelle (et personnelle). Cela s’applique également aux violations de données. L’étude 2018 sur le coût des violations de données, réalisée par IBM / Ponemon Institute, est un guide indispensable à l’intention des CISO (Responsables de la Sécurité de l’Information), des CPO (responsables de la protection de la vie privée), des DPO (responsables de la protection des données), des gestionnaires de risques et des consultants. Elle leur permet de mieux gérer leurs cyber-risques et les coûts concomitants en cas d’infraction aux réglementations (RGPD par exemple).

Le rapport souligne le coût élevé des violations de données. Dans le même temps, souvent, les responsables de la cybersécurité ignorent si ou quand de telles violations ont lieu dans leurs réseaux. Certains gardent la tête dans le sable et ne privilégient pas suffisamment la détection comme moyen de connaissance. Les réglementations récentes en matière de confidentialité exigent le signalement en temps voulu d’une violation de données lorsque le Responsable du Traitement en a connaissance. Cela peut peut-être amener certains à penser qu’éviter de connaître une violation est une bonne stratégie. Cela permettrait de réduire les coûts associés aux rapports.

Une mauvaise stratégie des entreprises

Hélas, cette «stratégie de l’autruche» n’est pas seulement imprudente et contraire à l’éthique. Elle est bien plus coûteuse pour les organisations. Elle peut même s’avérer catastrophique. Une détection plus rapide des violations de données peut réduire considérablement les pertes. N’oubliez jamais que les pirates de frappent pas d’un seul coup. Ils ont tout leur temps. Et plus vous tardez à réagir, plus ils auront de temps pour commettre des dégâts.

Si nous reprenons le cas de la violation de données qui a touché les hôtels Marriott. C’est le 19 Novembre 2018 que l’investigation a permis de déterminer qu’une violation avait eu lieu. Apparemment un outil avait déjà alerté sur un accès non autorisé dès le 8 septembre. Cela représente plus de 60 jours de délai. Mais cette attaque avait probablement démarré bien avant septembre 2018.

La chaîne cyber-criminelle peut prendre un temps extrêmement long. Je vous invite à bien la comprendre. Elle est décrite de façon détaillée dans un de mes articles récents sur les tests de pénétration.

Le coût stupéfiant des violations de données

En 2018, dans le monde, le coût moyen d’une violation de données hausse de 6,4% par rapport à l’année précédente. Il s’élève désormais à 3,86 millions de dollars (3,4 millions d’euros). Ces statistiques devraient être très préoccupantes. Et elles ne représentent que les coûts tangibles d’une violation. Ce montant ne prend notamment pas en compte les coûts des amendes réglementaires. Par conséquent, les chiffres figurant dans ce rapport doivent être considérés comme une limite basse. Les autres coûts potentiels comprennent les frais liés aux litiges, les amendes pour non-conformité réglementaire et les pertes de revenus dues aux clients qui quittent l’entreprise à la suite d’une violation. Les entreprises investissent massivement dans les produits de cybersécurité et les services professionnels. Alors, pourquoi le coût des violations de données ne diminue-t-il pas? La question mérite d’être posée.

Des moyens insuffisants mis en oeuvre

Chaque nouvelle réglementation relative à la protection des données personnelles appelle à prendre des «mesures de sécurité appropriées». C’est le cas notamment du règlement général européen sur la protection des données (RGPD) ou de la loi américaine sur la protection des renseignements personnels des consommateurs (CCPA). Les entreprises ne prennent en général ces mesures de sécurité de l’information que pour éviter des amendes dissuasives. Et par souci de facilité et d’économie, elles se limitent à s’appuyer sur des outils informatiques facilement accessibles.  C’est hélas très insuffisant. Elles ne mettent pas en oeuvre les actions nécessaires pour prévenir la violations résultant d’erreurs humaines. J’ai rarement vu des actions de formation de masse portant sur l’ensemble du personnel. C’est généralement considéré comme trop coûteux et trop lourd.

Des réglementations qui ne vont pas assez loin

L’aspect le plus frustrant de ces nouvelles réglementations est que la responsabilité des données incombe au responsable du traitement. Cela signifie qu’une organisation est responsable de la protection de ses données, peu importe avec qui les données sont partagées et comment les données sont traitées. Cela vaut également une fois qu’elles ne sont plus sous son contrôle. Les obligations contractuelles d’un fournisseur tiers de sécuriser les données une fois qu’il y a accès résultent du contrat entre le responsable du traitement et son sous-traitant.

Le RGPD, impose que de tels accords soient signés. Cependant, il place l’entière responsabilité sur l’organisation d’origine en tant que responsable des pertes de données. Les amendes encourues peuvent atteindre jusqu’à de 4% du chiffre d’affaires mondial annuel, ou 20 millions d’euros par violation. Alors, peut-être que les meilleures pratiques «raisonnables» ne suffisent pas. Peut-être que la technologie liée à la cybersécurité n’est pas utilisée pour s’attaquer au bon problème.

Meilleure détection et meilleure réponse

Le délai moyen moyen d’identification d’une violation est maintenant de 197 jours. Cela représente une légère amélioration par rapport à l’année précédente. Cependant ce délai reste beaucoup trop long. Imaginez-vous vivre avec un voleur chez vous qui dérobe tout ce qui a de la valeur pendant 197 jours? 197 jours pendant lesquels vous ne vous apercevez de rien?

Considérez le comportement typique des attaquants. Je l’ai décrit en détail dans mon précédent article « Tests de pénétration : nécessaires mais pas suffisants« . C’est ce qu’on appelle la chaîne cyber-criminelle.  Ils suivent une méthodologie éprouvée. Cela commence par la reconnaissance pour localiser leur cible et identifier les points d’entrée. Vient ensuite la première entrée (généralement par les utilisateurs du harponnage au sein de la cible choisie). Une fois qu’ils ont réussi à voler les informations d’identité d’un utilisateur légitime, ils s’installent pour établir le contrôle pendant de longues périodes. Ils se déplacent latéralement, recherchant d’autres informations d’identification, serveurs, journaux, fichiers et documents qu’ils souhaitent. Les documents et les données sont regroupés et exfiltrés à l’aide de protocoles courants. Ils utilisent aussi des sites tiers qui servent de serveurs de transfert à partir desquels ils peuvent télécharger leurs biens volés. Le fait d’avoir pris pied permet l’exfiltration de données à long terme à un rythme adapté à leurs besoins.

Et ce qui est le plus frappant, c’est que tout cela se déroule à l’insu de l’organisation cible.

L’utilisation de leurres est-elle efficace?

La plupart des approches de détection de fraude passent à côté de la cible en matière de détection précoce. Une variété de sociétés de technologie de détection de fraude vantent les réseaux de miel (honeynets en anglais) permettant une détection précoce. En gros, il s’agit de leurres qui vont agir comme des pièges à pirates. Je vous invite à consulter cet article sur le blog du hacker pour mieux comprendre leur fonctionnement. On installe les honeynets à côté de serveurs opérationnels. Et les attaquants ne seraient attirés par ces honeynets que s’ils y étaient conduits. On prend soin d’empêcher les utilisateurs ordinaires de se connecter à des réseaux de miel. Sinon, les fausses alarmes auraient un impact négatif sur les affaires. Et, au moment où un attaquant est tombé dans un leurre (en anglais honeypot), il aura déjà avoir effectué une recherche sur le réseau opérationnel et probablement déjà volé son butin. Malheureusement, cette approche est inefficace pour détecter et réagir aux violations de données.

Il existe également des technologies émergentes de capteurs qui offrent une meilleure solution. On les déploie directement dans l’environnement opérationnel. Par exemple, des capteurs de perte de données peuvent être générés automatiquement, des documents leurres hautement crédibles avec des balises incorporées placées de manière stratégique dans des dossiers, des répertoires ou des partages tiers afin d’inciter les pirates à les ouvrir et d’alerter les équipes de sécurité sur les violations à un stade précoce.

Des pistes pour améliorer la détection

L’absence de données de recherche réelles et à grande échelle sur le monde réel a empêché la mise au point de systèmes de détection d’intrusion (IDS) efficaces pouvant arrêter une attaque dès le début de son cycle de vie. La plupart des organisations confrontées à ce type d’attaques préfèrent ne pas les annoncer publiquement pour des raisons de responsabilité et de confidentialité.

Soixante-douze pour cent des incidents résultant des menaces internes (insiders en anglais) survenus dans les établissements sondés ont été traités en interne. Aucune action judiciaire ni intervention de la police n’est intervenue. Seulement 13% des incidents issus de menaces internes ont été traités en interne mais ont donné lieu à des poursuites judiciaires. L’annonce de telles attaques peut également avoir des conséquences sur les parts de marché d’une entreprise. Pour ces mêmes raisons, les victimes d’infractions sont encore moins susceptibles de partager des données réelles qui pourraient être utilisées pour étudier de telles attaques avec le monde de la recherche.

Les attaques de mascarade

Une attaque courante est la mascarade ou usurpation d’identité (en anglais, masquerade). Elle consiste à tromper les mécanismes d’authentification pour se faire passer pour un utilisateur autorisé, de façon à obtenir des droits d’accès illégitimes et ainsi compromettre la confidentialité, l’intégrité ou la disponibilité. Un cas particulier de d’usurpation d’identité consiste pour un attaquant à « forger » de fausses adresses d’origine pour les messages qu’il émet. Dans ce cas, nous parlons alors plus particulièrement de spoofing (littéralement, parodie) d’adresse. Ce déguisement est, par exemple, très facile à réaliser sur le réseau Internet, puisqu’il n’y a pas d’authentification sur les adresses IP.

L’étude des attaques par mascarade souffre également de la rareté des données réelles, malgré leur importance. Trente-cinq pour cent des dirigeants et des membres des autorités publiques ont vu leurs informations, systèmes et réseaux utilisés sans autorisation. Les attaques de mascarade se classent au deuxième rang des cinq principaux cyber-crimes perpétrés par des personnes extérieures, juste après les virus, les vers et autres vecteurs d’attaque malveillants.

L’expérience de la DARPA

L’essentiel de cette expérience est le suivant. Les imposteurs, tout comme les voleurs qui s’introduisent dans une maison, doivent collecter des informations sur l’environnement dans lequel ils viennent d’entrer. Ils doivent en savoir plus sur leur domicile, rechercher des objets de valeur à voler et empaqueter des données pour les exfiltrer. Cette activité précoce est essentielle pour détecter leur activité néfaste. Par conséquent, le fait de placer les capteurs qui agissent comme des fils de déclenchement dans les dossiers et les répertoires les plus susceptibles d’être recherchés dans le cadre d’une attaque sert de mécanisme de détection.

L’efficacité de l’utilisation de capteurs intégrés dans des documents comme moyen de détecter la perte de données a été prouvée par une étude scientifique parrainée par la DARPA. L’étude a mesuré les vrais et faux positifs et les vrais négatifs. Dans le cadre de l’étude, 39 imposteurs individuels, tous sélectionnés pour leur connaissance approfondie et sophistiquée de l’informatique et des systèmes en général, ont été autorisés à accéder à un système comme s’ils avaient déjà réussi à voler les références nécessaires. Les imposteurs ont ensuite été informés que leur travail consistait à voler des informations sensibles dans le système en exploitant les informations d’identification qui leur étaient fournies. L’étude a suivi une méthodologie prescrite et statistiquement valide selon laquelle les imposteurs étaient informés du type d’informations à voler, mais non de la manière de les voler. Ils ont été laissés à eux-mêmes pour trouver et exfiltrer leur butin.

Dans cette étude, l’utilisation stratégique de capteurs pour détecter le moment où les documents ont été consultés a permis:

  • de détecter 98% des imposteurs
  • la génération d’un seul faux positif par semaine d’opération
  • de réussir la détection dans les 10 minutes.

Conclusion

La détection précoce d’un accès non autorisé à des données sensibles, telle que celle décrite dans cette étude de la DARPA, peut permettre aux organisations de ne pas souffrir du coût d’une violation. Il y a 28% de chances qu’une entreprise subisse une violation dans les deux prochaines années. Cela peut entraîner une perte de 3,6 millions USD basée sur le coût moyen d’une violation de données. En utilisant ces chiffres comme point de repère, la détection d’une violation dans les 30 jours ou moins (au lieu de la moyenne de 197 jours) permet à l’entreprise d’économiser un million de dollars en coûts. La plupart des entreprises s’appuient déjà sur des capteurs de réseau et de points d’accès pour collecter des données de sécurité critiques. Pourquoi ne pas utiliser des capteurs à la source des données?

Si le temps de détection est essentiel pour permettre aux entreprises de réaliser des économies substantielles, le secteur de la sécurité doit examiner de nouvelles technologies et approches pour améliorer cette mesure. L’utilisation de capteurs de perte de données est une méthode éprouvée pour attraper rapidement les imposteurs dès le début d’une attaque.

Les violations de données représentent un gouffre financier pour les entreprises. Cependant, ce n’est pas inévitable. Des solutions existent pour réduire les impacts. Encore faut-il que les dirigeants comprennent l’ampleur du phénomène et évaluent correctement les risques.

Vous êtes tous et toutes concerné(e)s puisqu’un quart d’entre vous serez potentiellement affectés dans les deux ans qui viennent. Alors, n’hésitez pas à réagir et à donner votre avis au travers de vos commentaires.

 

Tests de pénétration : nécessaires mais pas suffisants

Trop souvent, lors de mes missions dans différentes parties du monde, je fais face à des idées fondamentalement erronées sur l’objectif d’un test de pénétration. Et malheureusement, ces incompréhensions peuvent mener à des catastrophes en termes de  création de valeur. Dans cet article, j’explore certains des comportements courants que j’ai pu constater vis à vis des pentests. Ils conduisent le plus souvent à une absence de retour sur investissement, faute d’être correctement utilisés. Et, hélas, ils aboutissent systématiquement à une augmentation des risques business due à un faux sentiment de sécurité.

Cybersécurité - Les tests de pénétration sont indispensables mais insuffisants
Crédit : © rawpixel.com 2018

Si vous êtes un lecteur régulier de ce blog, vous savez que j’aborde régulièrement des sujets relatifs à la cybersécurité. Mes articles s’appuient souvent sur des référentiels, des normes ou des réglementations. Aujourd’hui, je vous propose un sujet un peu différent. On entend de plus en plus parler de tests de pénétration (ou pentests) des systèmes d’information. On parle également souvent de tests d’intrusion. Mais à quoi cela sert-il vraiment? Est-ce vraiment utile? Et si vous réalisez ce type de test, cela vous garantit-il que votre système informatique est vraiment sécurisé? Je vais essayer de répondre à toutes ces questions et vous démontrer l’utilité de ces tests de sécurité. Je vais aussi vous démontrer qu’ils ne constituent qu’un des éléments de la chaîne, parmi beaucoup d’autres. En d’autres termes, je vais vous expliquer pourquoi les tests de pénétration sont indispensables mais totalement insuffisants.

En quoi consiste la chaîne cyber-criminelle (« Cyber Kill Chain »)?

Il est important de connaître les étapes qu’un cybercriminel va suivre pour attaquer votre entreprise / service. Le terme «chaîne cyber-criminelle» a été adopté pour exprimer l’ensemble de ces étapes.

Pour mieux comprendre l’intérêt des tests de pénétration, il faut d’abord comprendre ce qu’on appelle la chaîne cyber-criminelle (« Cyber Kill « Chain’). En fait il s’agit de comprendre comment se déroule une cyber-attaque de façon générale.

A l’origine, c’est l’armée qui utilisait le terme de « chaîne de destruction ». Cette « chaîne » définit les étapes que l’ennemi utilise pour attaquer une cible. En 2011, Lockheed Martin a publié un document définissant une «chaîne cyber-criminelle». Ce document, similaire à celui de l’armée, définit les étapes suivies par les hackers dans les cyber-attaques d’aujourd’hui. Et c’est en comprenant chacune de ces étapes que les défenseurs peuvent mieux identifier et bloquer les attaques.

Chaîne cyber-criminelle selon Lockheed Martin
© Lockheed Martin 2011

La chaîne cyber-criminelle, telle que décrite dans le document de Lockheed Martin se compose de 7 étapes.

Une variante, définie par Varonis, rajoute une étape supplémentaire : l’exfiltration. C’est une étape qui apparaît nécessaire. En effet, un pirate ne commet jamais une attaque sans avoir une stratégie de sortie.

Chaîne cyber-criminelle ver. 2 ou les étapes suivies par les cybercriminels
© Varonis 2016

Voici la description détaillée de chacune des étapes d’une chaîne cyber-criminelle (le chemin suivi pour attaquer une cible) :

1. Reconnaissance

Tout « casse » réussi commence toujours par une mission de repérage des lieux. Le même principe s’applique dans le cas d’une cyber-attaque. La phase de reconnaissance constitue la phase préliminaire de toute attaque. Il s’agit de la mission de recueil d’informations. Le cybercriminel recherche alors les indications susceptibles de révéler les vulnérabilités et les points faibles de votre système. Les pare-feu, les dispositifs de prévention des intrusions, les périmètres de sécurité (et même les comptes de médias sociaux) font l’objet de reconnaissance et d’examen minutieux. Les outils de repérage analysent les réseaux des entreprises pour y trouver des points d’entrée et des vulnérabilités à exploiter.

2. Intrusion

Après avoir obtenu ces renseignements, il est temps de s’infiltrer dans le système. Le cybercriminels est maintenant juste derrière la porte. Il est prêt à agir. Il doit encore, cependant, piéger les lieux pour faciliter son attaque. L’intrusion constitue le moment où l’attaque devient active. Les logiciels malveillants (y compris les ransomware, spyware et adware) peuvent être envoyés vers le système pour en forcer l’entrée. C’est la phase de livraison. Elle peut s’effectuer par e-mail de phishing ou prendre la forme d’un site Web compromis. Elle peut aussi venir du sympathique café au coin de la rue avec sa liaison WiFi non sécurisée, facile à utiliser par les pirates. L’intrusion constitue le point d’entrée d’une attaque. C’est le moment où les agresseurs pénètrent dans la place.

3. Exploitation

Le hacker se trouve de l’autre côté de la porte et le périmètre est désormais violé. La phase d’exploitation d’une attaque exploite les failles du système. Les cybercriminels peuvent désormais entrer dans le système, installer des outils supplémentaires, modifier les certificats de sécurité et créer de nouveaux scripts à des fins nuisibles.

4. Escalade de privilèges

Quel intérêt y aurait-t-il à entrer dans un bâtiment si vous restez coincé à la réception? Vous devez absolument pénétrer le coeur du bâtiment pour y trouver les secrets les plus intéressants. C’est ce que font les cybercriminels en utilisant l’escalade de privilèges. Ils vont ainsi pouvoir obtenir des autorisations élevées d’accès aux ressources. Ils modifient les paramètres de sécurité des GPO, les fichiers de configuration, les permissions et essaient ensuite d’extraire des informations d’identification.

5. Mouvement latéral

Vous avez maintenant carte blanche. Il vous reste cependant à trouver la chambre forte où sont protégées les informations les plus précieuses. Les cybercriminels se déplacent de système en système, de manière latérale, afin d’obtenir d’autres accès et de trouver toujours plus de ressources. C’est également une mission avancée d’exploration des données. Au cours de cette mission, les cybercriminels recherchent des données critiques et des informations sensibles, des accès administrateur et des serveurs de messagerie. Ils utilisent souvent les mêmes ressources que le service informatique de l’entreprise. Ils tirent également parti d’outils intégrés tels que PowerShell et se positionnent de manière à causer le plus de dégâts possible.

6. Camouflage

C’est bon, vous êtes arrivés au bon endroit. Encore faut-il vous assurer que vous n’allez pas vous faire repérer. Mettez les caméras de sécurité en boucle et montrez un ascenseur vide. Ainsi, personne ne verra ce qui se déroule en coulisses. Les hackers font exactement la même chose. Ils masquent leur présence et leur activité pour éviter toute détection et déjouer les investigations. Cela peut prendre la forme de fichiers et de métadonnées effacés, de données écrasées au moyen de fausses valeurs d’horodatage (timestamps) et d’informations trompeuses. Ou encore cela peut se faire sous forme d’informations critiques modifiées pour que les données semblent ne pas avoir été touchées.

7. Déni de service

Bloquez les lignes téléphoniques et coupez le courant. C’est la phase au cours de laquelle les cybercriminels ciblent le réseau et l’infrastructure de données. Leur objectif est d’empêcher que les utilisateurs légitimes puissent accéder à ce dont ils ont besoin. L’attaque par déni de service (DoS) perturbe et interrompt les accès. Elle peut entraîner la panne des systèmes et saturer les services.

 8. Exfiltration

Vous devez toujours prévoir une stratégie de sortie. Vous avez obtenu ce que vous étiez venu chercher. Il serait idiot de rester là à attendre d’être découvert et arrêté par la police. Vous devez maintenant sortir votre butin pour pouvoir en tirer profit. Les cybercriminels obtiennent les données. Ils copient, transfèrent ou déplacent les données sensibles vers un emplacement sous leur contrôle. Ils pourront ensuite en faire ce qu’ils veulent : les rendre contre une rançon, les vendre sur internet ou sur le Dark Web par exemple. Sortir toutes les données peut prendre des jours entiers. Mais une fois qu’elles se trouvent à l’extérieur, elles sont sous le contrôle des cybercriminels.

N’oubliez pas que les attaquants disposent d’un temps considérable (potentiellement illimité). Ils disposent également d’une étendue totalement libre au niveau des vecteurs d’attaque. Rien n’est interdit! Ils ne se limiteront pas toujours à une seule méthode et les voies d’attaque couvriront tous les chemins possibles entre vos données et la position de l’attaquant (y compris les serveurs / services et les points finaux n’appartenant pas à votre entreprise). Les attaques peuvent être continues et ne se dérouleront probablement pas durant les heures de travail de votre organisation.

Qu’en est-il des tests de pénétration?

Examinez maintenant les phases d’un test de pénétration. Celles-ci (bien qu’elles puissent sembler quelque peu similaires) sont souvent très différentes :

1. Sélection du prestataire

Les entreprises choisissent un fournisseur sur le marché. Ils se concentrent le plus souvent sur la liste de ses badges de certification et les coûts plutôt que sur la méthode de test utilisée.

2. Définition du périmètre du test

Une réunion de cadrage est organisée au cours de laquelle le client et le fournisseur discutent des exigences. Sur la base de cette réunion, le fournisseur élabore une proposition. Un périmètre spécifique sera sélectionné, qui inclura et exclura des scénarios et des types de tests. Il pourra s’agir de tests de type black box, grey box ou white box, à l’aveugle, internes ou externes, …

3. Planification

Une fois les contrats conclus, le test sera planifié, les prérequis activés et les délais convenus.

4. Réalisation du test

Les tests seront effectués (souvent sur quelques jours) en fonction de la méthode de test du fournisseur. Il peut s’agir d’un balayage automatisé utilisant un produit tel que Nessus . Idéalement, ce sera une combinaison de tests automatisés et manuels couvrant l’ensemble du spectre du service testé. Cependant il s’agit le plus souvent d’un ensemble limité de tests

5. Fourniture d’un rapport

Une fois le test d’intrusion terminé, l’étape finale consiste à collecter les preuves des vulnérabilités exploitées et à les signaler à la direction. C’est elle qui les examine et prendra les mesures qui s’imposent. C’est maintenant à la haute direction de décider de la manière dont ce risque doit être traité. Ils choisiront d’accepter le risque, de le transférer, de le réduire ou de l’ignorer (option la moins probable). Un rapport formel sera fourni au client. Celui-ci se présente le plus souvent sous la forme d’un agencement de style feux de signalisation décrivant les risques critiques, élevés, moyens, faibles ou négligeables. Le rapport inclut souvent également des recommandations de mesures correctives afin de réduire les risques identifiés.

6. Suivi

Après la soumission du rapport de test d’intrusion, le client doit l’examiner avec les parties prenantes concernées. Il doit ensuite ajuster les contrôles de sécurité en conséquence. Cela nécessitera probablement un effort de collaboration entre plusieurs fonctions, services, équipes et moyens. Ce suivi sera normalement réalisé sous la direction du CISO. L’objectif clé ici devrait être de permettre aux équipes de réduire le risque d’un service spécifique. Cependant il ne faut pas en rester là. Il convient également de jouer sur l’amélioration continue du processus de développement du cycle de vie logiciel/service afin d’améliorer la posture de sécurité et la robustesse tout au long du cycle de vie.

Les problèmes en amont des tests de pénétration

Les six phases de test de pénétration que j’ai décrites ci-dessus peuvent sembler relativement simples. Hélas les choses peuvent mal se passer. Et c’est malheureusement souvent ce qui se produit. Les quatre scénarios suivants sont des scénarios que je vois malheureusement maintes et maintes fois. Et, même avant le début des tests, ils contribuent à détruire tout le bénéfice de l’opération. Cette liste n’est pas exhaustive, alors n’hésitez pas à commenter ci-dessous (je suis sûr que vous avez d’autres exemples concrets).

  • Les tests de pénétration ne sont effectués que sur un périmètre très réduit. Par exemple un test de type boîte noire est réalisé à partir d’une adresse IP spécifique par rapport à une cible spécifique, d’une manière limitée.
  • La sélection du prestataire du test d’intrusion est effectuée sur la seule base du coût.
  • La portée des tests ne représente pas un nombre suffisant de vecteurs d’attaque par rapport à ce que les cybercriminels utiliseront dans le monde réel.
  • Les tests sont limités aux environnements de «test» uniquement, car l’entreprise craint que le business ou un service ne soit affecté si un test produisait un résultat «destructeur» sur les systèmes en production.

Les problèmes en aval du test d’intrusion

En plus de ce qui précède:

  • Les résultats des tests de pénétration restent extrêmement secrets. Bien sûr, ils sont sensibles, mais les méchants vous sondent déjà. Et ils connaissent probablement déjà les faiblesses de votre système.
  • Souvent, les résultats ne sont pas utilisés pour aider les équipes concernées (équipe bleue, opérations informatiques, développeurs, centre de services et architectes) à apprendre non seulement à atténuer les attaques spécifiques, mais également à améliorer leurs pratiques pour réduire le nombre de vulnérabilités créées.

Alors, que faut-il faire?

Vous liez ceci et vous pensez que rien de tout cela ne se peut se produire dans votre organisation? Alors j’en suis vraiment très heureux pour vous. Mais hélas, j’ai beaucoup de mal à vous croire. Cependant, je soupçonne que beaucoup d’entre vous, tout comme moi, hocherez la tête et grinceront un peu des dents en vous rappelant la valeur limitée des activités réalisées lors du dernier test d’intrusion.

Lors de la conception et de l’exploitation des services, il est essentiel que les activités de test et d’assurance de la sécurité se déroulent selon un cycle continu qui améliore à la fois la sécurité et la création de valeur. Les rapports sur les étagères, ou des listes des case de conformité à cocher ou encore des tests menés à un moment précis, n’apportent que peu de valeur ajoutée. Cela ne contribue pas efficacement à la réduction des risques pour l’entreprise.

La détection et la correction des vulnérabilités de sécurité sont beaucoup moins stressantes et coûteuses si elles sont traitées dès les premières étapes du cycle de vie. De plus la connaissance des outils et des méthodes à déployer avant de réaliser une revue de sécurité vous évitera de nombreuses nuits blanches si vous commencez très tôt et faites des évaluations en continu.

Conclusion

Les tests de pénétration ont définitivement un rôle à jouer pour sécuriser et garantir les services. Cependant, n’oubliez pas qu’il ne s’agit que d’un composant de la solution et non de la solution complète. Les autres activités importantes à réaliser comprennent notamment :

  • Conception sécurisée,
  • Gestion des actifs,
  • Modélisation des menaces,
  • Évaluation des risques,
  • Revues de code,
  • Audits et examens des services,
  • Évaluation des vulnérabilités,
  • Analyse de code (statique et dynamique),
  • Renforcement de la sécurité,
  • Gestion des correctifs de sécurité,
  • Exploitation sécurisée,
  • Simulation d’attaques,
  • et bien d’autres encore…

Espérons que cet article vous amène à réfléchir à l’objectif des tests de pénétration. Cela devrait être l’amélioration de l’apprentissage et de la posture de la sécurité. Les tests de pénétration  se doivent de jouer un rôle général dans la planification, la conception, la construction et l’exploitation de services sécurisés. Ainsi, non seulement vous réduirez les risques pour l’entreprise mais aussi vous offrirez de la valeur à votre client!

N’hésitez pas à commenter cet article pour échanger vos expériences. C’est sur la base d’une discussion avec et entre nos lecteurs que nous pouvons mieux répondre à vos attentes. Alors, n’attendez pas. Ne soyez pas timide et osez poster un commentaire.

 

CISO : Responsabilités et compétences indispensables

Depuis sa création durant les années 90, le rôle du CISO a largement évolué. A l’origine, il était principalement consacré à la correction des vulnérabilités sur le système informatique. Aujourd’hui, le paysage de la sécurité a évolué, avec l’élargissement de la périphérie de l’entreprise, l’explosion du cloud et de la mobilité, avec les mutations des menaces et des risques, et jusqu’aux environnements règlementaires. Le CISO est donc devenu un acteur majeur du management de l’entreprise. Pour assurer ses responsabilités, il doit nécessairement posséder des compétences et des aptitudes très spécifiques.

CISO : Responsabilités et compétences
Crédits © rawpixel.com 2018

Dans cet article je vais essayer de vous expliquer les responsabilités d’un CISO ainsi que les compétences requises. Attention, il ne faut pas confondre CISO et RSSI. En France il y a beaucoup plus de RSSI que de CISO. Malheureusement les entreprises françaises ne comprennent toujours pas que ce rôle est absolument indispensable. Hélas, comme d’habitude au pays des Gaulois réfractaires, c’est le coût qui domine les décisions. Or les bons CISO sont rares sur le marché et donc, ils sont chers. La conséquence est une plus grande vulnérabilité des entreprises Françaises face aux nombreux risques de sécurité.

Qu’est-ce qu’un CISO?

Le Directeur de la Sécurité de l’Information (Chief Information Security Officer : CISO) répond de la sécurité des informations et des données d’une organisation. Par le passé, le rôle était défini assez étroitement dans ce sens. De nos jours, le titre est souvent utilisé de manière interchangeable avec CSO (Directeur de la Sécurité) et VP de la sécurité. Ceci indique un rôle plus étendu dans l’organisation.

Vous êtes un professionnel de la sécurité ambitieux? Vous cherchez à grimper les échelons de votre entreprise? Alors vous pouvez avoir un poste de Directeur de la sécurité informatique dans votre ligne de mire. Examinons ce que vous pouvez faire pour améliorer vos chances de décrocher un rôle de CISO et ce que seront vos responsabilités si vous décrochiez ce poste essentiel. Et si vous cherchez à ajouter un CISO à  votre organisation, vous serez sûrement intéressé par cet article.

Quelles sont les responsabilités d’un CISO?

La meilleure façon de comprendre le travail de CISO est sans doute de se baser ses responsabilités quotidiennes. Elles nous révèlent les compétences nécessaires. Bien qu’il n’existe pas deux cas identiques, Stephen Katz, qui a joué le rôle de CISO chez Citigroup dans les années 90, a décrit les domaines de responsabilité des CISO dans une interview avec MSNBC.

Les 7 domaines de responsabilité du CISO

Il répartit ces responsabilités dans les catégories suivantes:

  • Sécurité opérationnelle : Il analyse en temps réel des menaces immédiates et priorisation en cas de problème
  • Cyber-risque et cyber intelligence : Il se tient au courant des menaces pour la sécurité. Il aide le conseil d’administration à comprendre les problèmes de sécurité potentiels pouvant résulter de fusions, d’acquisitions ou de cessions.
  • Prévention des violations de données et de la fraude : Il s’assure que le personnel interne ne fait aucune mauvaise utilisation ni ne vole des données de l’entreprise
  • Architecture de sécurité : Il planifie, achète et déploie du matériel et des logiciels de sécurité. Il s’assure également que l’infrastructure informatique et réseau est conçue sur la base des meilleures pratiques de sécurité
  • Gestion des identités et des accès : Il s’assure que seules les personnes autorisées ont accès aux données et aux systèmes protégés
  • Gestion de programme : Il doit garder une longueur d’avance sur les besoins de sécurité en mettant en œuvre des programmes ou des projets réduisant les risques. Par exemple, il doit s’assurer du déploiement de correctifs réguliers des systèmes.
  • Enquêtes et expertises légales : Il détermine ce s’est mal passé, collabore avec les responsables, s’ils sont internes, et prévoiT afin d’éviter la répétition d’une crise identique
  • Gouvernance : Il s’assure que toutes les initiatives ci-dessus se déroulent sans heurts et qu’elles reçoivent le financement et les ressources dont elles ont besoin. Il s’assure également que les dirigeants de l’entreprise comprennent bien leur rôle et leur importance dans la sécurité.

Si vous voulez en savoir plus

Pour des informations plus poussées, nous vous conseillons de lire le livre blanc de SANS Institute : « Mixing Technology and Business: The Roles and Responsibilities of the Chief Information Security Officer« .

Quelles sont les exigences pour être CISO?

Que faut-il pour pouvoir postuler à ce poste? D’une manière générale, un CISO doit posséder une base technique solide. Généralement, un candidat doit être titulaire d’une licence en informatique ou dans un domaine connexe. De plus, il doit compter entre 7 et 12 années d’expérience professionnelle (dont au moins cinq ans dans un rôle de direction). Les diplômes de master en sécurité de l’information sont également de plus en plus en vogue.

Des compétences techniques sont nécessaires…

Il existe également une liste exhaustive des compétences techniques attendues. Au-delà des bases de la programmation et de l’administration système que tout dirigeant technique de haut niveau devrait posséder, vous devez également comprendre certaines technologies centrées sur la sécurité, telles que le DNS, le routage, l’authentification, les VPN, etc. services proxy et technologies d’atténuation DDOS; pratiques de codage, piratage éthique et modélisation des menaces; et les protocoles de pare-feu et de détection / prévention des intrusions. Les CISO sont censés contribuer à la conformité réglementaire. Par conséquent, vous devez également connaître en quoi consistent les évaluations de la conformité PCI, HIPAA, NIST, GLBA, GDPR, ISO 27001 et SOX.

… mais elles ne sont qu’une base

Cependant les connaissances techniques ne constituent pas le seul pré-requis requise, ni même le plus important pour décrocher le poste. Une grande partie du travail d’un CISO implique la gestion et la défense de la sécurité au sein de la haute direction de l’entreprise. Larry Ponemon, chercheur en informatique, a déclaré à SecureWorld que « les principaux RSSI ont de bonnes bases techniques mais possèdent souvent une expérience professionnelle, un MBA et les compétences nécessaires pour communiquer avec les autres cadres dirigeants et le conseil d’administration ».

Des compétences de management sont vitales

La combinaison de compétences techniques et non techniques permettant de juger un candidat au poste de RSSI peut varier en fonction de la société qui embauche. De manière générale, les entreprises ayant une portée mondiale ou internationale recherchent des candidats possédant une formation en matière de sécurité globale et fonctionnelle et évaluent les compétences en leadership tout en prenant en compte la progression de carrière et les réalisations passées. D’un autre côté, les entreprises qui ont une activité plus centrée sur le Web et les produits cherchent plutôt des compétences spécifiques orientées vers la sécurité des applications et du Web.

Quelles certifications doit posséder un CISO?

Au fur et à mesure que vous gravissez les échelons, vous pouvez améliorer votre CV avec des certifications. Ces qualifications rafraîchissent la mémoire, invitent à une nouvelle réflexion, augmentent la crédibilité. Et, plus important, elles constituent un élément obligatoire de tout programme de formation interne solide. Il existe beaucoup de certifications en sécurité de l’information. Alors lesquelles choisir? Le top 3 est constitué de :

  • CISM (Certified Information Security Manager) est spécialement indiqué pour ceux qui cherchent à gravir les échelons dans le domaine de la sécurité de l’information et à faire la transition vers le leadership ou la gestion de programme.
  • CISSP (Certified Information Systems Security Professional) est destiné aux professionnels de l’informatique qui souhaitent faire de la sécurité de l’information un objectif de carrière.
  • CEH (Certified Ethical Hacker) est destiné aux professionnels de la sécurité qui souhaitent acquérir une connaissance approfondie des problèmes susceptibles de menacer la sécurité de l’entreprise.

Nous avons, dans un précédent article, comparé les certifications CISM et CISSP. Vous pouvez vous y référer pour plus d’informations.

CISO vs CIO

La sécurité est un rôle au sein d’une entreprise qui s’oppose inévitablement avec les autres dirigeants de l’Entreprise. En effet, l’instinct des professionnels de la sécurité consiste à verrouiller les systèmes et à les rendre plus difficiles à accéder. Ceci peut entrer rapidement en conflit avec la direction informatique. La DSI a, pour sa part, l’objectif de rendre les informations et les applications disponibles sans difficulté. La manière dont tout se joue en haut de l’organigramme est souvent vue comme une bataille CISO contre CIO. On identifie souvent les contours de ce bras de fer grâce aux lignes de reporting au sein de l’organisation.

CISO vs RSSI

C’est la raison pour laquelle une entreprise ne peut pas se contenter d’un RSSI. En effet, il est relativement courant que les RSSI soient rattachés aux DSI. Cela limite la capacité du RSSI à s’aligner stratégiquement sur la stratégie de l’Entreprise. En effet, dans ce cas sa vision finit par être subordonnée à la stratégie informatique du DSI. Les RSSI n’acquièrent définitivement de l’influence que lorsqu’ils relèvent directement de la Direction Générale. C’est une pratique de plus en plus courante. Cela impliquera généralement un changement de titre en CISO. Ainsi la CISO se retrouvera sur un « pied d’égalité » avec le CIO (DSI). Cela lui permettra d’avoir des responsabilités en matière de sécurité non liées à la technologie.

Le CISO doit être sur un pied d’égalité avec le CIO

Placer le CIO et le CISO sur un pied d’égalité peut aider à résoudre les conflits. Cela indique notamment à toute l’organisation que la sécurité est importante et n’est pas limitée au domaine informatique. Mais cela signifie également que le CISO ne peut pas simplement être un gardien de l’accès aux initiatives techniques. Piergiorgio Grossi, DSI de Ducati, a déclaré au magazine i-CIO: « Il incombe au CISO d’aider l’équipe informatique à fournir des produits et des services plus robustes au lieu de simplement dire » non « . Cette responsabilité partagée des initiatives stratégiques modifie la dynamique de la relation. Et cela peut faire la différence entre succès et échec pour un nouveau CISO.

La description de poste d’un CISO

Si vous recherchez un CISO prometteur pour votre organisation, cela implique en partie de rédiger une description de poste. Une grande partie de ce que nous avons discuté jusqu’à présent peut vous aider à aborder cette question. Vous devez d’abord décider si vous voulez engager un RSSI ou un CISO. Ensuite vous devrez obtenir les approbations pour le niveau, la structure hiérarchique et le titre officiel du poste. Dans les petites entreprises, le CISO peut être vice-président ou directeur de la sécurité. Vous devez également définir les exigences minimales et les qualifications du rôle. Ensuite vous pouvez décider de recruter en externe ou en interne.

Votre description doit clairement énoncer l’engagement de votre organisation en matière de sécurité. En effet, c’est ainsi que vous allez attirer un candidat de grande qualité. Vous devez indiquer où le nouveau CISO se retrouvera dans l’organigramme et son niveau d’interaction avec le conseil d’administration. Cela clarifiera vraiment sa position et son rôle. Un autre point important est de maintenir à jour la description de poste. Il faut le faire même si vous avez quelqu’un qui occupe actuellement ce poste. Vous ne savez jamais quand cette personne passera à une autre opportunité. C’est un rôle absolument critique et vous ne pouvez pas prendre le risque de vous retrouver sans CISO.

Quel salaire pour un CISO?

CISO est un poste de haut niveau et les CISO ont donc une rémunération en conséquence. La prévision des salaires est bien plus un art qu’une science. Mais on admet généralement qu’aux USA des salaires supérieurs à 100 000 dollars sont la règle. A ce jour voici les moyennes de salaire constatées aux USA

  • ZipRecruiter annonce une moyenne nationale de 153 117 $
  • Salary.com positionne la fourchette standard encore plus haut, entre 192 000 et 254 000 dollars.

Si vous consultez Glassdoor, vous pouvez consulter les fourchettes de salaire des offres d’emploi actuelles de CISO. Ceci peut vous aider à déterminer les secteurs qui paient le plus ou le moins. Par exemple, au moment de la rédaction de cet article, le poste de chef de la sécurité publique au sein du gouvernement fédéral américain rapporte entre 164 000 et 178 000 dollars, et le poste de CISO à l’Université d’Utah, entre 230 000 et 251 000 dollars.

Toujours sur Glassdoor, vous pouvez consulter le salaire des offres d’emploi en France pour un RSSI. Il se situe en moyenne entre 50 K€ et 80 K€. On voit tout de suite la différence! Malheureusement cela traduit bien le niveau de maturité des entreprises Françaises en 2019. C’est un mauvais présage de l’aptitude des entreprises Françaises à faire face aux challenges de la transition numérique.

Vous êtes un CISO en poste et vous souhaitez nous faire part de votre expérience? Vous voulez évoluer vers un rôle de CISO? N’hésitez pas à échanger grâce à vos commentaires.

 

Cybersécurité : la résilience, chaînon manquant de votre stratégie

A l’heure de la transformation numérique des organisations, la stratégie de cybersécurité est un sujet sur toutes les lèvres. Dans le même temps, on n’entend quasiment jamais prononcer le mot résilience. Pourtant, la résilience devrait être le pilier majeur de toute stratégie de réduction des risques. Essayons donc de décrypter les raisons de cette anomalie et d’en identifier les risques.

Résilience, le chaînon manquant de votre stratégie de cybersécurité
Crédit © rawpixel.com 2018

Et tout d’abord, il convient de situer la cyber-résilience par rapport à la cybersécurité. Dans les deux cas, il s’agit de répondre aux cyber-risques. Un risque se caractérise par une probabilité de survenance et par un impact (sous forme de conséquences) lors de la réalisation du risque. Dans tous les cas, la stratégie des risques a pour objet d’aligner le niveau des risques au seuil de tolérance de l’Organisation. Cela se fait en mixant la réduction de la probabilité et de l’impact. Bien sûr, la stratégie des risques couvre tous les risques de l’Entreprise et parmi ceux-ci, on aura les cyber-risques.

La réduction de la probabilité de survenance des évènements de sécurité sera essentiellement réalisée grâce à des mesures se situant en amont. On parlera de mesures préventives. On est là dans le domaine de la sécurité. Les mesures de sécurité sont essentiellement de 3 types :

  • préventives
  • de détection (pour détecter l’incident lorsqu’il se produit),
  • correctives pour corriger le système et revenir à une situation acceptable (incluant l’activation d’un plan de continuité ou PCA).

A côté de ces aspects, se pose le problème de la réduction de l’impact et de l’après-crise. Il s’agit donc de répondre à la question « comment pouvons-nous survivre si un tel incident se produit? ». En d’autres termes il s’agit de planifier ce qu’il convient de faire pour réduire les impacts lorsqu’un incident se sera produit. On est là dans le domaine de la résilience.

L’expérience de l’année écoulée

Il y a tout juste un an, l’été 2017 a montré très concrètement à quoi pouvait ressembler des cyber-attaques mondiales. Ce fut le cas notamment avec NotPetya. Un an plus tard, les conséquences du « ransomworm » ne sont toujours pas complètement terminées. Le groupe Merck a annoncé fin novembre 2017 que cette cybe-rattaque lui coûterait environ 600 millions de dollars sur l’exercice 2017 ! Mais, en additionnant les dernières annonces, le seuil des 2 milliards de perte est clairement plus réaliste. C’est la première fois qu’un tel impact est recensé pour un incident cyber. Ce changement de dimension mobilise aujourd’hui enfin les directions générales et les conseils d’administration. Et ce n’est pas trop tôt! Ils sont maintenant demandeurs de moyens pour limiter les impacts de telles attaques. Mais ils sont aussi en attente sur la posture à adopter lorsqu’un cas réel se présentera.

Les mesures préventives de cybersécurité ne suffisent clairement plus à empêcher les cyber-risques de se réaliser. Il est désormais évident que la technologie n’est pas le rempart infranchissable que tout le monde imaginait. La cyber-criminalité est devenue une véritable industrie qui progresse plus rapidement que les moyens de protection ne se développent.

Cyber-résilience : les actions clés

Une cyber-attaque majeure peut être destructive ou entraîner une perte de confiance dans les systèmes clés. Le premier réflexe pour une majorité d’entreprises est alors d’activer le plan de continuité d’activité (PCA). Celui-ci constitue un élément majeur de la stratégie de résilience des organisations. L’objectif est d’assurer la survie de l’organisation lorsque surviennent des sinistres d’ampleur entraînant l’indisponibilité de ses actifs clés. Il peut s’agir de moyens informatiques, d’infrastructures de communication ou d’immeubles voire de collaborateurs.

Or les cyber-attaques majeures, destructives comme Wannacry ou NotPetya, ou provoquant une perte de confiance dans les infrastructures (réseau, gestion des accès, gestion du parc…) telles que les attaques ciblées en profondeur, ne sont pas prises en compte lors de l’élaboration de la majorité des PCA. Ces derniers sont focalisés sur un enjeu de disponibilité. Ils n’appréhendent pas les problématiques de destruction simultanée et de perte de confiance dans le SI induites par les cyber-attaques.

En effet, les dispositifs de continuité du SI sont plus souvent liés aux ressources qu’ils protègent. Ils sont donc également affectés par ces attaques. Depuis plus de dix ans, les dispositifs de continuité (utilisateurs ou informatiques) ont adopté les principes de mutualisation des infrastructures et de secours « à chaud ». Le double objectif de cette approche est à la fois de répondre aux exigences de reprise rapide et d’une meilleure exploitabilité. Mais, de fait, le lien entre le SI nominal et son secours rend les dispositifs de continuité vulnérables aux cyber-attaques.

Des dispositifs de continuité vulnérables

À titre d’exemple, suite à l’attaque NotPetya, l’idée d’utiliser les postes de secours présents sur le site de repli a très rapidement été évoquée dans le cadre d’une gestion de crise. Malheureusement ceux-ci partageaient les mêmes systèmes de gestion de parcs et les mêmes vulnérabilités. Ils donc avaient été logiquement détruits de la même manière que les sites nominaux. Les investissements et les efforts investis dans les dispositifs de continuité ont semblé, à ce moment, très vains.

Enfin il reste les sauvegardes comme dernier rempart. Etablies sur une base souvent quotidienne ou hebdomadaire, elles constituent, pour la plupart des organisations, le dispositif de dernier recours pour reconstruire le SI.

Dorénavant, il n’est pas rare de faire face à une intrusion qui date de plusieurs mois. Bien que la  détection soit récente, dans ce cas, les sauvegardes embarquent de fait les éléments malveillants. Il peut s’agir de malwares par exemple, mais aussi de modifications déjà opérées par les attaquants.

De plus, la continuité en tant que telle des systèmes de sauvegarde est bien souvent négligée. Lors de plusieurs cas de gestion de crise sur NotPetya, les serveurs gérant les sauvegardes avaient eux-mêmes été détruits. Les restaurer a souvent nécessité plusieurs jours vu leur complexité et leur imbrication dans le SI.

S’agissant des SI industriels, les constats sont tout aussi alarmants. Les systèmes numériques industriels sont résilients à des pannes techniques ou des incidents mécaniques anticipés. En revanche, ils n’ont que rarement intégré, dès leur conception, les potentialités d’une malveillance humaine et ils ne disposent souvent pas de mécanismes de sécurité avancés. La longueur de leur cycle de vie (souvent plusieurs dizaines d’années) les expose à l’exploitation de vulnérabilités anciennes. Enfin l’indépendance des chaînes de contrôle  vis-à- vis des systèmes numériques qu’elles supervisent n’est pas toujours respectée.

Des leçons tirées de l’expérience

Il s’avère que lors du déroulement d’une crise, le cycle est souvent identique. Les écueils rencontrés sont quasiment toujours les mêmes. Il convient donc de tirer les leçons de cette expérience.

Gestion de crise en cas de cyber-attaques : les écueils rencontrés
Crédit © Wavestone 2017

Des scénarios d’attaques récurrents

Destruction massive ou indisponibilité d’une grande partie du SI

Ce type de cyber-attaques, concrétisé au travers des cas Wannacry et NotPetya, entraîne généralement une indisponibilité massive du fait du chiffrement des fichiers de données et/ou du système d’exploitation. Les sociétés touchées par des attaques de ce type (parmi lesquelles Merck, Maersk, Saint Gobain, Fedex… mais aussi Sony Pictures ou Saudi Aramco) ont perdu jusqu’à plus de 95% de leurs systèmes d’information (des dizaines de milliers d’ordinateurs et de serveurs) en un délai souvent inférieur à 1h.

La situation au démarrage de la crise est alors très difficile. En effet, il n’y a plus aucun moyen de communication et d’échange au sein de l’entreprise, y compris au sein de la DSI. Les victimes ont communiqué sur des pertes atteignant plusieurs centaines de millions d’euros suite à ces attaques.

Compromission et perte de confiance dans le SI

Il s’agit d’attaques ciblées ne remettant pas en cause le bon fonctionnement du système. Elles visent par contre à donner aux attaquants l’accès à l’ensemble des systèmes de l’entreprise (messagerie, fichiers, applications métiers…). Elles leur permettent d’usurper l’identité de n’importe quel employé et de réaliser des actions en leur nom. Les attaquants peuvent ainsi atteindre tout type de données ou réaliser des actions métiers nécessitant plusieurs validations successives.

Ces cyber-attaques ont touché de très nombreuses entreprises dans tous les secteurs. Les conséquences sont souvent des fraudes massives, comme celles ayant touché la banque du Bangladesh. Il peut aussi s’agir de vols de données financières et de paiements. Ce fut le cas de celles ayant touché plusieurs groupes de distribution aux Etats-Unis dont Target ou encore Home Depot.

La situation au démarrage de ce type de cyber-crise est extrêmement complexe. La raison réside dans la conjugaison de plusieurs éléments aggravants : perte de confiance dans le système d’information et flou grandissant sur les actions et objectifs. Il faut alors investiguer discrètement jusqu’à pouvoir déloger l’attaquant et reconstruire un système sain. Les victimes de ces attaques ont également fait état d’impacts financiers atteignant plusieurs centaines de millions d’euros.

La résilience passe par une bonne gestion de crise

Les crises cyber sont des crises très particulières. Elles sont souvent longues (plusieurs semaines). Elles sont parfois difficiles à cerner (qu’a pu faire l’attaquant ? depuis combien de temps ? quels sont les impacts ?). Elles impliquent des parties prenantes externes, elles-mêmes souvent peu préparées sur ce sujet (avocats, huissiers, autorités, fournisseurs, voire les clients…). Il est donc indispensable d’ajuster les dispositifs existants qui n’ont pas été conçus pour intégrer cette dimension particulière.

Acteur opérationnel de la gestion de la crise cyber, la DSI ne doit pas être sur-mobilisée sur l’investigation et la défense. Cela se ferait au détriment de la production et du secours. Cet aspect constitue un point d’anticipation important à ne pas négliger. Il s’agit donc d’identifier clairement les équipes à mobiliser sur la crise et d’organiser les interventions parallèles d’investigation et de construction du plan de défense.

Au-delà de l’aspect organisationnel, il faut s’assurer de disposer également de l’outillage d’investigation (cartographie, recherche de signature de l’attaque, SI de gestion de crise indépendant, capacité d’analyse de malware inconnu…), d’assainissement (capacité de déploiement rapide de correctifs, isolation en urgence de portions non touchées du SI, isolation réseau…) et de reconstruction (accès rapide aux sauvegardes, accès aux documentations minimum de reconstruction, support des fournisseurs clés, capacité à réinstaller massivement des postes de travail…) requis pour comprendre la position de l’attaquant, stopper sa propagation et faire repartir au plus vite l’activité.

La rédaction d’un guide de gestion de crise, définissant les étapes structurantes, les responsabilités macroscopiques et les points de clés de décision sera un plus. Et parce qu’il est primordial de s’exercer en amont afin d’être prêt le jour où il faudra faire face à la crise, la réalisation d’exercices de crise sera un bon révélateur de la situation réelle.

Les dispositifs de continuité doivent être repensés

Des solutions les plus simples…

Les dispositifs de continuité doivent également évoluer pour s’adapter aux cyber-menaces. Les solutions possibles sont nombreuses. Elles peuvent toucher tous les types de dispositifs de continuité. Le plan de reprise utilisateur peut intégrer par exemple la mise à disposition de clés USB avec un système alternatif. Les collaborateurs pourraient l’utiliser en cas de destruction logique de leur poste de travail.

Certaines organisations ont fait le choix de provisionner des volumes de postes de travail de remplacement directement avec leurs fournisseurs de matériel afin de les installer rapidement en cas de destruction physique.

A des solutions très complexes et coûteuses…

Le plan de continuité informatique peut inclure de nouvelles solutions pour être efficace en cas de cyber-attaques. La plus emblématique vise à construire des chaînes applicatives alternatives. Il s’agit de « dupliquer » une application sans utiliser les mêmes logiciels, systèmes d’exploitation et équipes de production. C’est une solution extrême, très coûteuse et difficile à maintenir. Elle est envisagée pour certaines applications critiques dans le monde de la finance notamment.

A des solutions intermédiaires mais suffisantes

D’autres solutions moins complexes sont envisagées. Il s’agit par exemple de l’ajout de contrôle fonctionnel d’intégrité dans le processus métier. Son concept repose sur la réalisation de contrôles réguliers, à différents niveaux et à différents endroits dans la chaîne applicative. Ceci permet de détecter rapidement des attaques qui toucheraient par exemple les couches techniques (modification d’une valeur directement dans une base de données) sans avoir été réalisées par les actions métier classiques (via les interfaces graphiques). Ces mécanismes peuvent aussi s’appliquer aux systèmes d’infrastructures, par exemple en réconciliant les tickets de demande de création de compte d’administration avec le nombre de comptes réellement dans le système.

D’un niveau de complexité intermédiaire, il est possible d’envisager la définition de zone d’isolation système et réseau que l’on peut activer en cas d’attaques et qui vont isoler les systèmes les plus sensibles du reste du SI. Le SI industriel pourra, à ce titre, constituer à lui seul, une de ces zones d’isolation vis-à-vis du reste du SI.

Cyber-résilience et cybersécurité doivent être imbriqués

Implémenter ces nouvelles mesures de cyber-résilience nécessite des efforts importants. Des efforts qui seront vains si ces solutions de secours et les systèmes nominaux ne sont pas eux-mêmes déjà sécurisés correctement et surveillés avec attention. Le RSSI est l’acteur clé pour faire aboutir ces démarches souvent entamées mais rarement finalisées. L’aide du Risk Manager  — ou, s’il est désigné, son Responsable du Plan de Continuité d’Activité (RPCA) — sera alors un plus. Il est aujourd’hui communément acquis qu’il est impossible de sécuriser des systèmes à 100%. Il faut donc accepter la probabilité d’occurrence de cyber-attaques. C’est à ce moment-là que le Risk Manager ou le Responsable du PCA prendra tout son rôle.

Il est très clair que la résilience est un pilier majeur de votre stratégie de cybersécurité. A ce titre il convient de l’y intégrer dès la conception. Mais il vous appartient également de convaincre votre conseil d’administration de la réalité des cyber-risques et de la nécessité de la mise en oeuvre de mesures de résilience.

Comment s’y prendre concrètement?

Nous ne le répétons, jamais assez, mais deux bonnes pratiques de base sont absolument nécessaires.

Inutile de réinventer la roue : appuyez-vous sur ce qui existe

Il serait vain de partir d’une feuille blanche. Inspirez-vous des bonnes pratiques du marché. A cet effet, AXELOS a publié une référentiel de bonnes pratiques en matière de résilience des SI : RESILIA. Complémentaires d’ITIL, ces bonnes pratiques vous aideront à compléter vos processus existants afin d’y incorporer la planification de la résilience de votre SI

Faite monter vos collaborateurs en compétence, formez-les

La réponse aux cyber-attaques nécessite une préparation minutieuse et du personnel formé et efficace. A cet effet, 2AB & Associates vous propose des formations sur RESILIA (RESILIA Foundation et RESILIA Practitioner) ainsi que des formations sur la continuité des activités (Business Continuity Foundation et ISO 22301 Lead Implementer). Nous vous proposons également une formation indispensable pour mieux évaluer et planifier la réponse aux cyber-risques : ISO 27005 Risk Manager.

Et bien sûr, nos experts sont à votre disposition pour répondre à vos commentaires.

Cybersécurité : comment convaincre le Conseil d’Administration

A l’heure où les Entreprises entreprennent leur transformation digitale, le risque en matière de Cybersécurité s’accroit de jour en jour et une question se pose : comment sensibiliser et convaincre le Conseil d’Administration d’adopter une stratégie en matière de cybersécurité?

Stratégie de cybersécurité : comment convaincre le Conseil d'Administration?
Crédit © Image by rawpixel.com

Lorsqu’il s’agit de mettre en œuvre une stratégie de cybersécurité à l’échelle de l’entreprise, les responsables de la sécurité, tels que les RSSI, les directeurs informatiques ou les gestionnaires des risques, ont souvent les mains liées. Ressources et budgets insuffisants, incompréhension du risque au plus haut niveau sont leur lot quotidien. Il leur faut donc tout d’abord convaincre le Conseil d’Administration de la criticité du sujet. C’est en effet le Conseil d’Administration qui exerce la responsabilité de gouvernance de l’Entreprise. C’est donc lui qui priorise les risques et définit les ressources qu’il autorise pour atteindre les bénéfices attendus par les parties prenantes de l’Organisation.

Heureusement, la cybersécurité est désormais passée de la sphère technique à la salle du conseil au cours de ces dernières années. Aussi, de plus en plus de membres du conseil d’administration comprennent l’importance d’une bonne cybersécurité dans l’environnement numérique actuel. Il faut dire aussi que beaucoup d’Entreprises ont renouvelé leurs conseils d’administration avec des administrateurs plus jeunes et plus au fait des problématiques de sécurité de l’information.


La stratégie de cybersécurité doit être décidée par le Conseil d’Administration, exécutée par le Comité de Direction et devenir la propriété des premières lignes de l’Organisation. (Help Net Security)


Néanmoins, environ 87% des membres du Conseil d’Administration et des cadres supérieurs n’ont pas confiance dans le niveau de cybersécurité de leur organisation.

Vous êtes RSSI ou responsable de la mise en œuvre des stratégies de sécurité pour votre organisation? Alors il est très probable que vous serez amené à présenter vos propositions au Conseil d’Administration. Et vous devrez le faire d’une manière claire, pertinente et convaincante. Nous allons donc vous donner quelques pistes pour mieux sensibiliser les administrateurs à l’urgence d’agir en la matière.

Cybersécurité : comment convaincre votre Conseil d’Administration?

Nous vous proposons 10 bonnes pratiques à suivre pour expliquer la cybersécurité à votre conseil d’administration afin d’obtenir l’adhésion nécessaire pour sécuriser votre entreprise. Il ne s’agit pas là d’une liste exhaustive et vous devrez, sans aucun doute l’adapter en fonction des priorités de votre Organisation. Il s’agit seulement de 10 pratiques éprouvées par nos experts dans le cadre de leurs missions auprès des Entreprises :

  1. Apprenez à bien connaître les membres du CA
  2. Banissez les termes techniques
  3. Appuyez-vous sur des exemples réels
  4. Alignez-vous sur la stratégie business globale
  5. Concentrez-vous uniquement sur les points importants
  6. Adoptez une approche basée sur la gestion des risques
  7. Expliquez clairement ce que vous essayez de réaliser
  8. Argumentez en vous appuyant sur des chiffres significatifs et justes
  9. Proposez des solutions concrètes
  10. Démontrez le retour sur investissement

Apprenez à bien connaître les membres de votre Conseil d’Administration

Quel que soit votre secteur d’activité, la taille de votre entreprise ou son niveau de maturité en matière de cybersécurité, une présentation réussie dépendra de votre connaissance du public. Assurez-vous donc de vous familiariser vous-même avec chacun des membres du conseil avant d’entrer dans la salle. Apprenez à connaître leurs antécédents, leur position respective et leur influence dans l’organisation. Comprenez aussi leurs points sensibles et leur approche globale vis à vis de la sécurité et des risques. Plus vous en saurez sur les membres du conseil, plus il sera facile de les comprendre. Et cela vous permettra de les convaincre plus facilement avec des arguments qui leur parleront.

Au minimum, essayez d’en savoir un peu plus sur le président du Conseil d’Administration, ainsi que sur les présidents des comités suivants:

  • Comité de sécurité,
  • Comité des Risques et de la Conformité.

Banissez les termes techniques

Plus vous utiliserez des termes simples et mieux les membres du Conseil d’Administration comprendront votre présentation.

Il y a fort à parier que,votre CA ne soit pas très familier avec les termes, les outils et les technologies de sécurité. Pour vous assurer que vous pouvez être compris et faire passer votre message, banissez les termes techniques. Concentrez plutôt votre discours sur des principes et des scénarios faciles à comprendre. Remplacez les termes tels que les attaques  de type SIEM, DDoS et MITM par des concepts universels tels que la gestion des risques, les cyberattaques et les principes de sécurité.

Abordez les sujets qui intéressent les administrateurs tels que :

Appuyez-vous sur des exemples réels

Tout point que vous voudrez aborder doit être appuyé par un exemple concret. Cela aidera les membres du conseil à comprendre l’essence de ce que vous dites.

Par exemple, le niveau de maturité en matière de l’entreprise en matière de cybersécurité pourrait être présenté avec une échelle de feux tricolores simple allant du vert au rouge en passant par l’orange. L’impact de certaines cyber-menaces peut être souligné par des articles récents montrant les conséquences. Ainsi, par exemple, il peut s’agir des coûts résultant de l’absence de mise en oeuvre des mesures de cybersécurité appropriées.

Si ce n’est pas suffisant, appuyez vous sur des études de cas réels. Choisissez  des organisations similaires à la vôtre. Vous pourrez ainsi montrer comment les stratégies de cybersécurité ont aidé à sécuriser d’autres organisations contre les violations et les intrusions.

Alignez-vous sur la stratégie business globale de votre Organisation

Quelle que soit la conviction de votre proposition, elle sera inutile si elle ne correspond pas à la stratégie globale de l’organisation. Vous n’êtes pas là pour discuter des difficultés inhérentes à la gestion de vos opérations de sécurité. Votre CA ne s’intéresse qu’à la stratégie de haut niveau de l’entreprise. Aussi chaque décision sera probablement basée sur la manière dont elle aidera l’organisation à atteindre ses objectifs business.

Avant de parler aux administrateurs, assurez-vous de vous familiariser avec la stratégie et les objectifs globaux de l’entreprise. Faites ainsi valoir vos arguments en faveur de l’atteinte ces objectifs.

Concentrez-vous uniquement sur les points importants

Rappelez-vous que votre CA ne se réunit que de façon périodique et que son temps est précieux. C’est pourquoi votre présentation doit se concentrer uniquement sur les éléments critiques. N’incluez jamais des informations « intéressantes à avoir » mais non essentielles. Si vous éliminez le superflu votre CA appréciera votre respect pour son temps. Il se rappellera ainsi d’autant mieux les points essentiels que vous souhaitez faire passer.

Adoptez une approche basée sur la gestion des risques

Les entreprises ont des ressources limitées pour gérer leurs risques et le CA est le garant de leur optimisation. L’une des priorités majeures du Conseil d’Administration est de s’assurer que les risques pour l’Organisations sont correctement gérés. Lors de votre présentation, vous devez vous assurer que votre stratégie de cybersécurité aura un impact durable sur l’Entreprise. Concentrez-vous donc sur les principales stratégies qui peuvent vous aider à améliorer votre situation en matière de cybersécurité et à renforcer vos défenses contre les menaces et les intrusions.

En adoptant une approche de gestion des risques, vous serez mieux compris des administrateurs. C’est un des sujets auxquels ils sont très sensibles et qu’ils maîtrisent parfaitement.

Expliquez clairement ce que vous essayez de réaliser

En introduction essayez de bien faire comprendre aux administrateurs la raison de votre présence devant eux. Avant de commencer votre présentation, assurez-vous donc d’expliquer clairement quel est votre objectif :

  • S’agit-il d’une nouvelle orientation stratégique en matière de cybersécurité?
  • Avez-vous besoin de plus de budget pour certaines acquisitions?
  • Devrez-vous embaucher des ressources supplémentaires et obtenir leur approbation?
  • Avez-vous besoin que le CA examine et approuve une nouvelle politique relative à la sécurité?

Les membres du conseil d’administration doivent avoir une compréhension claire de ce que vous essayez d’obtenir de leur part.

Argumentez en vous appuyant sur de chiffres significatifs et justes

Collectez des faits et des chiffres. Et surtout préparez-vous à répondre de façon précise aux questions.

Il est probable que les membres du Conseil d’administration poseront des questions spécifiques sur la situation actuelle de l’organisation en matière de cybersécurité, son évolution au fil des dernières années et la manière dont ils peuvent mesurer le niveau d’exposition au risque.

Assurez-vous de trouver des chiffres et des statistiques pertinents pour faire valoir votre point de vue. Par exemple, la stratégie de cybersécurité proposée peut nécessiter un budget supplémentaire de 8%, mais vous obtenez un retour sur investissement mesurable car votre exposition au risque sera réduite de 25%. La connaissance des chiffres significatifs et vérifiables constituera un argument clé pour convaincre le conseil.

Proposez des solutions concrètes

Soulever un problème est une chose, proposer une solution en est une autre.


Souvent les managers des départements ou des équipes viennent me voir en me disant « J’ai un problème ». Et j’ai l’habitude de leur répondre « Alors va le résoudre, et reviens me voir lorsque tu auras des solutions à me proposer ». Le CA n’est pas là pour vous aider à résoudre vos défis. Il a seulement pour rôle d’entériner une des solutions que vous lui proposez.


Assurez-vous de ne pas simplement parler de vos défis mais plutôt de mettre en place des solutions concrètes de cybersécurité qui vous faciliteront la vie tout en bénéficiant à l’Organisation. Par exemple, votre présentation pourrait se terminer par une liste de 5 stratégies concrètes que vous prévoyez d’entreprendre. Présentez leur impact budgétaire, leur date de début et de fin, leur impact sur l’activité et le retour sur investissement prévu. Une conversation de haut niveau est un bon point de départ. Cependant seules des solutions concrètes permettront d’apporter un changement durable.

Démontrez le retour sur investissement

Si vous voulez obtenir l’adhésion du CA à votre proposition de stratégie de cybersécurité, assurez-vous d’expliquer clairement comment vous allez rendre compte de vos projets. Et surtout, expliquez comment vous pouvez démontrer le retour sur investissement de votre proposition. Par exemple, vous pouvez décider de mener une évaluation de la situation de la cybersécurité de votre entreprise pour savoir où vous en êtes aujourd’hui et où vous devriez vous situer à la fin de la mise en œuvre.

Une progression mesurable du niveau de maturité de l’Entreprise en matière de cybersécurité peut aider à gagner l’adhésion des membres du conseil d’administration. Ils pourront ainsi être assurés que leur engagement a été payant.

En conclusion…

Pour qu’une stratégie de cybersécurité soit efficace et permette d’opérer un changement durable, le RSSI devra faire preuve d’intelligence pour obtenir l’adhésion de son Conseil d’Administration. Gardez à l’esprit que le temps que vous allez passer devant le CA est limité (généralement moins de 30 minutes). Alors concentrez-vous sur les éléments les plus importants qui éveilleront leur intérêt  et qui sont alignés avec leurs priorités et objectifs permettant d’assurer le succès de l’Entreprise sur le long terme

Si vos arguments sont clairs, pertinents et facilement compréhensibles, liés aux opérations et à la stratégie de l’entreprise, et que vous pouvez démontrer le retour sur investissement de votre proposition de stratégie de cybersécurité, alors vous aurez de meilleures chances d’obtenir le soutien nécessaire pour ce que vous essayez de réaliser.

Vous avez besoin d’aide pour préparer votre intervention ou même pour vous assister lors de votre présentation au CA? Vous pouvez contacter l’un de nos experts en Gouvernance et en Stratégie de cybersécurité qui vous proposera une présentation exécutive efficace à destination des membres de votre Conseil d’Administration.

CISM vs CISSP : quelle certification choisir?

La technologie constitue une réponse courante aux risques de cybersécurité. Cependant,aujourd’hui, envisager de se protéger des risques de sécurité uniquement grâce à la technologie est un leurre. Selon une enquête publiée par IBM, 95% des cyber-attaques réussies ont ciblé un domaine non informatique. Il est donc vital de renforcer les compétences en sécurité dans les entreprises. Or la pénurie de professionnels qualifiés en sécurité informatique représente aujourd’hui un défi majeur pour les organisations de toutes tailles. Selon (ISC)2, le déficit passera à 1,5 million d’ici 2020. L’écart de compétences est un obstacle majeur pour de nombreuses organisations. Mais c’est aussi une opportunité pour les informaticiens. Les enquêtes auprès des responsables informatiques montrent que les certifications en sécurité sont de plus en plus importantes. Les deux certifications en sécurité les plus recherchées sont CISM et CISSP. A l’heure du choix : CISM vs CISSP quelle certification vous convient le mieux?

CISM vs CISSP
Crédits : © Blacksalmon

CISM vs CISSP : l’heure du choix

Les professionnels des Systèmes d’Information possédant certains types de certifications particulièrement recherchés. Ils peuvent donc espérer une meilleure rémunération. CISM et CISSP sont  certifications professionnelles les plus  reconnues dans le domaine de la sécurité de l’information ainsi que le montre le classement 2017 des certifications qui paient le mieux. CISM (Certified Information Security Manager) est une certification de l’ISACA. CISSP (Certified Information Systems Security Professional) est une certification de la fondation (ISC)2. Les deux nécessitent un investissement important en temps et en coût. Alors, laquelle  correspond le mieux à votre profil et à vos compétences?

La différence majeure entre ces deux certifications réside dans leur contenu et le public qu’elles ciblent. CISM se concentre sur le management et la stratégie, et couvre superficiellement les sujets techniques. Elle est, par conséquent, extrêmement prisée pour des Managers (RSSI, CISO,…). A l’inverse, CISSP se focalise principalement sur les aspects tactiques des opérations de sécurité. CISSP concerne donc d’avantage les ingénieurs et techniciens impliqués dans les opérations.

CISM : la certification des managers

CISM (Certified Information Security Manager) est une certification professionnelle délivrée par l’ISACA et détenue par plus de 32.000 professionnels dans le monde parmi lesquels plus de 7.500 ont des responsabilités de CISO ou de RSSI, tandis que plus de 3.500 occupent un rôle de DSI ou de Directeur Informatique. Elle cible spécifiquement les managers en sécurité de l’information. Elle fait partie en 2017, comme en 2016 des trois certifications les mieux rémunérées.

CISM couvre 4 domaines d’expérience dans les quels vous devrez réussir un examen et, ensuite, faire la preuve de votre expérience :

CISM
Crédits : © ISACA

  1. Gouvernance de la sécurité de l’information (24%)
  2. Gestion des risques informationnels (30%)
  3. Développement et gestion d’un programme de sécurité de l’information (27%)
  4. Gestion des incidents de sécurité de l’information (19%)

L’examen, désormais électronique, se compose de 150 questions multi-choix et dure 4 heures. Le score minimum pour réussir l’examen est de 450 points. Cela semble correspondre plus ou moins à 60-70% des réponses correctes. Il est en effet à noter que toutes les questions n’ont pas le même poids. De plus, environ 25 questions ne sont pas notées et figurent dans l’examen uniquement à des fins d’évaluation.

Le syllabus du CISM s’appuie très largement sur COBIT® 5. Aussi une formation COBIT sera une bonne base pour bien comprendre les aspects de gouvernance et de gestion des risques couvrant la première moitié du contenu.

2AB & Associates vous propose de façon régulière des séminaires de formation accrédités par ISACA pour préparer le passage de la certification CISM à Paris, Québec et Abidjan.

CISM : une certification professionnelle

CISM, à l’instar de CISSP ou PMP, est une certification professionnelle. Cela signifie que la réussite à l’examen n’est que la première étape. Vous devrez ensuite postuler, auprès de l’ISACA, à l’obtention de la certification CISM. Pour cela vous devrez prouver, de façon très documentée votre expérience en management de la sécurité de l’information sur 5 années. Vous devrez également donner des références pouvant confirmer cette expérience de façon détaillée. Les références seront ensuite interrogées par des membres de l’ISACA aux fins de vérification. Après un délai de l’orde de 4 à 8 semaines, vous recevrez alors votre certificat ou un mail vous indiquant les raisons du rejet de votre demande.


La certification CISM m’a aidée à progresser du niveau de support IT au service desk à celui de vice-président. La connaissance que j’ai acquise est applicable dans le monde entier, dans tous les pays. (L.D. CISM, IT Security Manager, 3M Company) (Source : site web ISACA)


CISM : une revalidation continue exigée

CISM (Certified Information Systems Security Professional) vise à garantir, non seulement des connaissances, mais aussi votre expérience. C’est ce qui explique le succès de cette certification auprès des Entreprises. Elles sont ainsi assurées de la compétence des titulaires. De plus, vous devrez, chaque année, fournir à l’ISACA des preuves de votre engagement dans un processus d’amélioration continue. A défaut votre certification vous sera purement et simplement retirée de façon définitive.

CISSP : une certification plus technique

CISSP (Certified Information Security Professional) est une certification professionnelle délivrée par la fondation (ISC)2. Elle est détenue par plus de 100.000 professionnels de la sécurité de l’information dans le monde, dont 75% aux seuls Etats-Unis. Le deuxième pays comptant le plus de CISSP est le Royaume Uni.

En Afrique de l’Ouest, on compte 1 certifié au Burkina Faso, 1 au Sénégal, 4 en Côte d’Ivoire, contre 29 au Ghana et 153 au Nigéria. Avec 922 certifiés, la France se classe au 13ème rang mondial. Les certifiés CISSP occupent pour la plupart des responsabilités tactiques et opérationnelles en sécurité du SI (RSSI, responsable réseau, Information Security Manager, architectes IT). Le CISSP se positionne à la 4ème place des certifications les mieux rémunérées.

CISSP couvre huit domaines de compétence dans lesquels vous devrez apporter la preuve de votre expérience avant de pouvoir vous présenter à l’examen :

CISSP
Crédits : © (ISC)2

  1. Gestion des risques et de la sécurité (16%)
  2. Sécurité des actifs (10%)
  3. Ingénierie de la sécurité (12%)
  4. Sécurité des communication et du réseau (12%)
  5. Gestion de l’identité et des accès (13%)
  6. Evaluation et tests de sécurité (11%)
  7. Opération de la sécurité (16%)
  8. Sécurité des développements logiciels (10%)

L’examen, au format électronique, se passe uniquement dans des centres d’examen Pearson VUE. Il comporte 250 questions et dure jusqu’à 6 heures. Le score minimum pour réussir l’examen est de 700 points (sur un total de 1000).

CISSP est une certification recherchée mais difficile à réussir. Pour la préparer et la réussir dès le premier essai, nous vous conseillons de bien vous préparer. Pour ce faire, nous vous conseillons de suivre la formation Réussir la certification CISSP® sur 5 jours. 2AB & Associates propose cette session dans différentes villes dont Paris et Abidjan.

CISSP : une certification professionnelle également

CISSP est également une certification professionnelle mais, à l’inverse du CISM, la preuve de l’expérience préalable dans le domaine doit être fournie en amont de l’examen. Ce n’est que lorsque (ISC)2 aura validé cette expérience d’au moins cinq années à temps complet dans un minimum de deux des 8 domaines de compétence couverts que vous pourrez vous présenter à l’examen. Aucune équivalence n’est admise. Là encore, l’objectif est de s’assurer de la compétence des candidats sur la base de l’expérience.

CISM : comment conserver votre certification

CISSP est une certification qui vise à garantir le maintien de votre compétence dans le temps. Vous devrez donc chaque année fournir à (ISC)2 la preuve que vous avez accumulé des CPEs grâce à des formations ou la participation à certaines conférences. Vous devrez en outre payer un montant annuel de 85$ à (ISC)2 et accumuler un total de 120 CPEs par cycle de 3 ans. A défaut d’apporter la preuve de vos CPEs, votre certification sera annulée. Vous pourrez cependant la récupérer ultérieurement en payant les redevances pour l’intégralité des années de retard et en repassant et  réussissant de nouveau l’examen.

L’intérêt d’une certification

Selon la dernière enquête annuelle réalisée par Certification Magazine les professionnels confirment l’intérêt d’une certification CISM ou CISSP.

Pour beaucoup de professionnels, la valeur de ces certifications réside d’abord dans une meilleure compréhension des concepts clés de leur domaine. Cela semble plus important que l’augmentation espérée de salaire liée à la certification.

Pour les employeurs, elles permettent d’identifier les candidats à fort potentiel dans le domaine de la sécurité du SI. Ces deux certifications démontrent l’expertise approfondie d’un candidat et augmentent la crédibilité et le calibre de son potentiel. C’est une façon de mesurer la qualité d’un candidat. Attention cependant à ne pas trop compter sur les certifications seules au lieu d’évaluer l’adéquation d’une personne à la culture et à la mission de l’entreprise. En soi, une certification ne constitue pas une garantie qu’un praticien réussira dans une organisation particulière.

Alors, CISM vs CISSP? Qu’en pensez-vous?

Si vous hésitez toujours, merci de nous laisser vos remarques et vos questions en commentaire. Nos experts se tiennent à votre disposition pour vous apporter une réponse. Si vous détenez déjà l’une de ces deux certifications, votre commentaire est aussi le bienvenu.

Pour en savoir plus, vous pouvez aussi nous suivre sur les réseaux sociaux et vous abonner sans engagement à notre blog.

CISA 12 trucs utiles pour l’examen

Les 12 astuces pour réussir votre CISA

Ca y est vous vous êtes décidé à passer l’examen pour obtenir la certification CISA? Vous savez pourtant que le taux de réussite à l’examen n’est pas très haut alors que le tarif, lui, est plutôt élevé. Malgré cela, l’attrait de cette certification qui figure parmi les plus recherchées par les Entreprises et parmi les 6 certifications les plus rémunératrices vous a convaincu. Bienvenue au club!!! Maintenant vous voilà pris au piège. De plus vous êtes condamné à réussir l’examen pour ne pas perdre vos frais d’inscription. Nous allons essayer de vous aider avec quelques conseils pratiques.

CISA - 12 trucs utiles pour réussir la certification
Crédit © Studio Grand Ouest

Pourquoi tenter le CISA?

Le monde de l’audit des systèmes d’information s’est développé à une vitesse vertigineuse ces dernières années. Par conséquent la demande pour les auditeurs des SI et des professionnels de la sécurité a explosé. Récemment, le champ d’application pour les professionnels certifiés CISA s’est élargi, encourageant un plus grand nombre de professionnels de la sécurité à passer l’examen CISA. Il en résulte donc une demande en forte hausse pour les détenteurs de certification CISA.

La plupart des Banques Centrales et des instituts financiers à travers le monde ont commencé à embaucher des professionnels certifiés CISA pour réaliser des audits de sécurité efficaces. Cela s’accompagne d’une hausse des salaires correspondant. Les salaires des titulaires du CISA se situent parmi les plus élevés dans le domaine de la sécurité. C’est également vrai sur l’ensemble du secteur de l’informatique en général.

Aujourd’hui, plus de 125.000 professionnels dans le monde ont réussi cette certification. Parmi eux, près de 3.000 sont membres d’un comité de direction (DG, DAF ou équivalent). Le CISA est exigé comme pré-requis pour être embauché par les plus grands cabinets d’audit internationaux. Peut-être sont-ce ces raisons qui ont influencé votre décision? Par contre, inutile de vous leurrer, votre probabilité de réussite à l’examen, sans préparation préalable, reste extrêmement faible.

CISA, une certification difficile à obtenir

L’examen CISA est connu pour être difficile. De ce fait, il présente un taux de réussite assez faible. L’ISACA, organisme qui administre l’examen, a cessé de publier des informations sur les taux de réussite au cours des dernières années. Toutefois, les retours des candidats, après réception de leurs résultats, laissent apparaître un taux global de réussite d’environ 40 à 50%. Ce taux dépend également des régions du monde.

Qu’est-ce qui rend l’examen et la certification si difficiles?

La question revient souvent : pourquoi l’examen du CISA est-il aussi coriace? Voici quelques éléments de réponse:

  1. Le CISA est désormais un examen au format électronique. Il comporte 150 questions, souvent basées sur un mini-scénario. Contrairement à la plupart des examens de certification spécifiques d’autres fournisseurs (ITIL, PRINCE2, DEVOPS, ISO 27001, etc.) la nature même du CISA fait que les candidats avec peu ou pas d’expérience sont rapidement mis en difficulté.
  2. Aucun pré-requis explicite n’est exigé par l’ISACA pour passer l’examen. Cela signifie que de nombreux candidats « occasionnels » issus d’une grande variété de milieux (informaticiens, comptables, auditeurs, professionnels de la sécurité et bien d’autres encore) s’inscrivent à l’examen, créant de ce fait une concurrence artificielle.
  3. La formulation des questions est souvent ambiguë et subjective. De nombreux candidats se plaignent des exemples de questions proposés par ISACA. Ils les trouvent trop vagues et pas toujours pertinents comparativement à l’examen écrit réel. C’est là une caractéristique de l’ISACA. Il faut se mettre dans le mode de raisonnement des auteurs de l’examen.
  4. L’accent est souvent mis sur l’apprentissage par cœur et la mémorisation. Une remarque récurrente des candidats porte sur ce point. Les questions d’examen CISA requièrent la connaissance parfaite du vocabulaire spécifique en matière de sécurité du SI.

Pourquoi un taux d’échec aussi important?

L’examen est bien moins difficile que cela n’est habituellement perçu. Pourtant des milliers de candidats échouent à leur première tentative. Les experts identifient tout un ensemble de raisons.

  • Les candidats ayant une formation technique ou technologique se heurtent souvent aux concepts de gouvernance et d’audit. Bien que le savoir-faire technique soit important, la capacité à auditer et gérer les processus de sécurité est absolument fondamentale pour le CISA.
  • A l’opposé, les candidats issus du monde de l’audit et de la comptabilité ont du mal avec les aspects techniques de l’examen. Les étudiants issus de ces domaines devraient mieux comprendre les concepts et les objectifs de base du programme d’étude.
  • Beaucoup de candidats expérimentés s’obstinent à utiliser leur propre approche pour aborder les questions et les scénarios difficiles de l’examen, refusant l’approche standard prescrite par l’ISACA.

Alors, comment se prépare-t-on à l’examen CISA?

Passons maintenant aux conseils pratiques. Voici les points les plus importants à garder à l’esprit avant de commencer votre préparation à l’examen CISA.

1. Etudier religieusement le CISA Review Manual

Manuel de préparation au CISAISACA propose le CISA Review Manual (CRM) qui sert de guide unique et complet pour l’examen. C’est l’ouvrage de référence conçu pour guider les candidats au CISA, Il fournit tous les détails relatifs à l’examen ainsi que la définition des rôles et des responsabilités d’un auditeur des systèmes d’information. Globalement, ce manuel est le meilleur guide d’auto-apprentissage pour les aspirants CISA. Il est recommandé de le lire de façon exhaustive au moins deux fois avant de se présenter à l’examen. A noter toutefois sa taille (plus de 500 pages) et sa présentation pour le moins austère. Si vous êtes un amateur de bandes dessinées, vous vous êtes clairement trompé de rayon! Ce manuel existe dans plusieurs langues dont l’Anglais et le Français.

2. Pratiquer intensivement les question de la base de données de préparation

Pratiquer les questions de révision est absolument obligatoire si vous voulez réussir l’examen. La base de données des questions d’examen proposée par ISACA est une ressource en ligne interactive et complète de 1000 questions pratiques avec les réponses et les explications. L’accès pendant 12 mois à la base de données est disponible au prix de 185 $ (pour les membres) et 225 $ (pour les non-membres). Attention cependant, il n’existe pas de version en Français.

Les futurs candidats peuvent utiliser les questions et les réponses de l’échantillon pour mieux comprendre les concepts et les sujets difficiles afin d’améliorer le niveau de leur préparation. Ces questions et réponses d’examen sont conçus pour offrir une vue d’ensemble de l’examen CISA. La base de données  de questions et réponses est mise à jour en alignement avec l’évolution du monde de l’audit de sécurité.

 3. Pensez comme le ferait un auditeur ou un comptable

La nature même de l’examen exige que vous pensiez comme un auditeur informatique ou même un comptable. Ne réfléchissez pas comme un candidat à un examen. La raison? Parce que l’accent est mis sur les applications du monde réel, vous devez mettre en avant vos aptitudes à prendre les bonnes décisions sur la base de scénarios. Face à des problèmes hypothétiques, vous devez apprendre à gérer, évaluer et prioriser des tâches multiples en vue de créer un bénéfice.

4. Utilisez au mieux les ressources gratuites de l’ISACA

Le site Web de l’ISACA offre une diversité de ressources libres de droit, utiles pour préparer le passage de l’examen. En voici quelques unes avec les liens pour y accéder.

5. Mettez les blogs et articles relatifs au CISA sur votre liste de lectures

Les candidats peuvent également tirer profit d’autres blogs et d’un grand nombre d’articles disponibles en ligne. Ils peuvent aider les candidats à mieux aborder les questions des domaines de connaissances récemment mises à jour. Certains blogs tenus par des contributeurs réguliers constituent également un ensemble de ressources à ne pas négliger. Parmi ceux-ci citons les blogs de l’ISACA et celui de Risk3sixty.

Si vous trouvez un site particulièrement intéressant pour les candidats, vous pouvez le partager en nous adressant un commentaire que nous publierons avec grand plaisir.

6. Une expérience pratique de l’audit est importante

Pour réussir votre certification CISA, une expérience pratique dans le domaine de la Sécurité IT est un plus extrêmement utile. Bien que similaires à des audits financiers ou des actifs, les audits IT ont une portée très différente. Ils traitent principalement des informations. Un candidat au CISA doit avoir une idée précise des processus business. Il doit, de plus, être familier avec la définition du périmètre, la planification de la vérification et les rapports d’audit.

Une simple expérience des processus de Sécurité de l’Information sera une aide importante. Dans la mesure du possible, rapprochez-vous des professionnels de l’audit informatique ou du département sécurité de l’information dans votre organisation actuelle. Profitez-en pour vous familiariser avec les rôles, les responsabilités et les activités quotidiennes concernées par le CISA. N’oubliez pas également de vous informer sur les autres activités en matière de sécurité.

7. Planifiez sérieusement votre préparation

La gestion de votre temps d’apprentissage et une bonne répartition du temps par domaine sont essentielles pour réussir l’examen. Vous êtes un professionnel du domaine? Alors prévoyez de démarrer votre préparation 3 à 5 mois avant l’examen. Prévoyez de consacrer au moins 1 à 2 heures d’étude sur une base régulière (quotidiennement ou 3 fois par semaine).

En outre, nous vous recommandons d’adapter votre préparation en fonction de votre parcours professionnel et de votre niveau d’expérience:

  •  Auditeur IT avec beaucoup d’expérience : 30 à 45 jours de préparation en vous appuyant sur le manuel de préparation au CISA et les questions d’examen avec réponses et explications. Prévoyez de revoir la totalité des domaines.
  • Professionnel de l’audit avec un peu d’expérience : prévoyez au moins 90 jours de préparation en vous appuyant sur le manuel de préparation au CISA et les questions d’examen avec réponses et explications. Mettez l’accent sur les domaines relatifs à la technologie.
  • Candidat sans réelle expérience des domaines couverts par le CISA : prévoyez au minimum 180 jours de préparation en vous appuyant sur l’ensemble des ressources disponibles. Ne négligez aucun des domaines.

Nos formateurs expérimentés sur le CISA vous conseillent de décomposer votre temps de préparation de la façon suivante :

  • 35 à 45% sur le manuel,
  • 15 à 20% sur le coaching,
  • et enfin 35 à 40% sur les examens de simulation et des tests pratiques.

8. Soyez adaptable, gardez l’esprit ouvert

Dans le cadre du CISA, si je devais vous donner un seul conseil, ce serait de désapprendre ce que vous avez appris. C’est presque aussi important que l’apprentissage du contenu même des concepts à retenir pour l’examen. L’industrie informatique est dynamique et en constante évolution. Par conséquent, il en va de même des principes et des techniques d’audit des systèmes d’information.

Lors de la préparation et lors du passage de l’examen, il est vital de garder un esprit ouvert, réceptif aux idées nouvelles et novatrices, et une position neutre sur des développements qui semblent aller à l’encontre de la norme établie. Le manuel CISA est maintenu à jour avec tous ces changements. Par conséquent, l’étude approfondie du manuel constitue une première étape incontournable de votre préparation.

9. Apprenez à gérer votre temps à l’examen

Comme dans le cas des autres examens, la réussite au CISA est également dépendante de la façon et de l’efficacité à gérer votre temps. Un commentaire courant  des candidats ayant échoué à l’examen porte un manque de temps pour terminer l’ensemble des questions. Cela traduit une mauvaise gestion du temps pour répondre à toutes les questions.. En examinant les documents de questions des années précédentes et les examens blancs, vous devez concevoir une stratégie de passage avec des estimations sur la quantité de temps à passer par question et par domaine, de façon à pouvoir répondre à la totalité des questions.

Après tout, ce qu’on attend d’un certifié CISA c’est bien d’être capable de prendre des décisions rapides, pragmatiques et efficaces. La gestion de votre temps à l’examen pour maximiser votre score constitue la première pierre de l’édifice.

CISA - Astuce pro

 10. Participez à des groupes de discussion et des forums

Les candidats peuvent se joindre à des groupes de discussion et des forums pour interagir avec d’autres candidats et certifiés. Il existe plusieurs forums de discussion sur la certification CISA sur le web. Ces plates-formes peuvent vous apporter des connaissances à la fois théoriques et pratiques sur l’audit du SI. Elles contribuent à améliorer la compréhension des concepts et leur application dans le monde réel.

11. Suivez un atelier de préparation à l’examen CISA

Un certain nombre d’organismes de formation accrédités proposent des ateliers de préparation au CISA sous forme de sessions en présentiel ou de cours en ligne. L’inscription et la participation à un cours de formation bien structuré et complet est fortement recommandée. Une session de formation se compose de présentations par des experts et de discussions en classe. L’interaction avec des professionnels de la sécurité expérimentés, venant de diverses parties du monde, constitue un atout exceptionnel pour vous mener à la réussite.

Leader de la formation professionnelle certifiante dans les domaines de la Gouvernance, du Management et de la  Sécurité en Afrique, 2AB & Associates vous propose des sessions de préparation au CISA en présentiel, alignées avec les exigences de l’examen. Elles sont toujours animées par des professionnels internationalement reconnus. Pour en savoir plus, visitez la page CISA – Atelier de préparation sur notre site.

L’ISACA propose également des cours de révision pour les candidats qui se sont inscrits à l’examen. Si vous trouvez l’apprentissage individuel difficile compte tenu de vos contraintes professionnelles et personnelles, vous pouvez participer à une session de révision proposée par un des chapitres de l’ISACA. Pour plus d’informations, visitez le site web de l’ISACA.

 12. Adaptez votre raisonnement au mode de pensée de l’ISACA

En particulier pour les candidats qui passent l’examen CISA dans une langue autre que leur langue maternelle, certaines questions peuvent être déroutantes. Les QCM à composition non limitée et l’étude de cas présentent généralement des choix subjectifs. Ils font souvent appel à un raisonnement verbal pour en déduire les attentes et arriver aux bonnes réponses. Vous sentez que vos compétences en raisonnement verbal ne sont pas tout à fait à la hauteur? Alors vous gagnerez sans aucun doute à suivre un atelier de préparation à l’examen.

CISA - Astuce Pro

En conclusion

Il s’agit clairement d’un examen difficile. Mais, grâce à une bonne planification, un travail acharné et de bons conseils, la réussite à la première tentative est tout à fait possible. Si vous suivez les conseils présentés dans cet article et concevez un plan de préparation adapté à vos propres besoins spécifiques, l’examen est à votre portée.

Et vous, comment avez-vous préparé votre examen? Avez-vous éprouvé des difficultés? Quels conseils donneriez-vous aux nouveaux candidats? Comment jugez-vous cette certification? Merci de nous donner votre avis en commentaire. Cela aidera sûrement beaucoup de candidats à mieux se préparer.

Vous avez réussi votre CISA? N’hésitez pas à partager la bonne nouvelle sur ce blog. Vous serez peut-être alors sollicité(e) pour partager votre expérience avec les autres candidats…

Cyber-risques – Que fait le Conseil d’Administration?

Le Conseil d’Administration est en charge de s’assurer de la création de valeur pour les parties prenantes de l’Entreprise tout en optimisant les risques et les ressources. Le Conseil d’Administration, organe de Gouvernance de l’entreprise est donc directement concerné par les cyber-risques.

Le conseil d'administration

« La SEC (organisme fédéral américain en charge de réguler et de contrôler les marchés financiers), la FTC (agence américaine chargée de contrôler les pratiques commerciales) ainsi que d’autres organismes de réglementation (fédéraux, d’état, mondiaux) ont renforcé leurs évaluations des Entreprises en matière d’efforts réalisés pour sécuriser les données, ainsi que concernant les informations et la communication sur les risques en matière de cybersécurité et de violations des données. » comme l’indique KPMG dans son rapport On the 2015 Board Agenda.

Réagissant au grand nombre et à l’ampleur des vols de données qui n’ont fait qu’augmenter durant la dernière décennie, les agences gouvernementales commencent tout juste à durcir le ton et à envoyer des signaux clairs que la sécurité constitue désormais un sujet prioritaire pour les Entreprises.

Le commissaire Luis A. Aguilar de la SEC (Securities and Exchange Commission), parlant au New York Stock Exchange (NYSE) le 10 Juin 2014, a clairement indiqué la position de la commission. « La surveillance des cyber-risques par le Conseil d’Administration est essentielle pour assurer que les entreprises prennent des mesures adéquates pour prévenir les cyber-attaques et se préparer à faire face aux préjudices qui peuvent en résulter », a-t-il dit. Il a également émis un avertissement clair sur le fait que « les Conseils d’Administration qui choisissent d’ignorer ou de minimiser l’importance de leur responsabilité de surveillance de la cyber-sécurité, le font à leurs risques et périls ».

Depuis lors, le commissaire Aguilar est de nouveau monté au créneau pour lancer un nouvel avertissement sur les cyber-risques. « Cela ne devrait être une surprise pour personne que la cybersécurité soit devenue un point focal des efforts d’application de la SEC durant ces dernières années. Il est d’ailleurs de notoriété publique que la Division d’Application de la SEC investigue actuellement plusieurs cas de violation de données, » a-t-il dit lors du Sommet SINET innovation le 25 juin 2015. « En outre, la SEC a examiné de façon proactive comment elle peut, en utilisant son pouvoir actuel, obliger à l’application de mesures supplémentaires en matière de cybersécurité, et comment cette autorité pourrait devoir être étendue pour répondre aux menaces émergentes de cybersécurité ».

Cette nouvelle orientation des agences gouvernementales n’est cependant pas limitée aux États-Unis. L’Autorité Technique Nationale du gouvernement britannique pour la sûreté de l’information a ainsi déclaré que « la gestion proactive du cyber-risque au niveau du Conseil d’Administration est essentielle. » A cette fin, le gouvernement britannique a publié un document qui décrit les responsabilités et questions clés de cyber sécurité pour le Conseil d’Administration et le Management. Des ressources supplémentaires pour les conseils d’Administration incluent notamment un «Manuel de surveillance des Cyber-Risques», publié aux USA par l’Association Nationale des Administrateurs de Sociétés (NCAD).

Une réalité nouvelle pour le Conseil d’Administration

La nouvelle réalité à laquelle fait face chaque Conseil d’Administration est bien résumée dans Cybersecurity Docket : «Chaque Conseil d’Administration doit maintenant savoir avec certitude que sa société sera victime d’une cybe-rattaque, et pire encore, que c’est le Conseil qui aura la charge de nettoyer le gâchis et de surveiller les retombées » .

Comme dans tous les autres autres domaines de la conformité, les Administrateurs peuvent être tenus pour responsables pour ne pas avoir fait leur devoir afin de prévenir les dommages à la société. Dans l’exercice de leur rôle de surveillance, les Administrateurs doivent rester informés en permanence sur les mesures de cybersécurité de leur société. Ils doivent évaluer les risques et déterminer ce qui doit être fait pour les atténuer.

L’absence de surveillance adéquate des cyber-risques constitue une menace. «Les Administrateurs qui ne parviennent pas à prendre des mesures appropriées – à la fois avant et après un incident de sécurité de l’information – courent le risque que leur Entreprise soit soumise à l’application de mesures gouvernementales (lois ou réglementations), et qu’eux-mêmes soient personnellement sujets à des poursuites de la part des actionnaires », a expliqué le cabinet d’avocats Fredrikson & Byron.

KPMG, dans sa publication de Février 2015 sur les défis et priorités en matière de Gouvernance pour 2015 désigne la cybersécurité comme « LE problème du 21e siècle. » Au-delà du risque de conformité, le rapport souligne l’importance « des poursuites, des dommages à la réputation et de la perte de clients» comme conséquences potentielles.

Pourquoi les Conseils d’Administration peinent-ils à prendre en compte ce type de risques?

Selon le rapport d’Ernst & Young publié fin 2014 et intitulé « Cyber program management« , il y a plusieurs raisons pour lesquelles ils sont si réticents à s’engager sur la cybersécurité. Parmi ces raisons figurent :

  • le fait que l’internet et la connexion de l’Entreprise constituent juste l’un des nombreux sujets à l’ordre du jour d’un Conseil d’Administration,
  • la culture de silo au niveau de l’informatique qui a relégué la responsabilité de protection des données et des systèmes uniquement au niveau du département IT,
  • la difficulté pour le Conseil d’Administration d’évaluer correctement les risques de cyberattaques et le programme de gestion des risques associé mis en place par la direction,
  • et enfin l’approche de consolidation des défenses (contrôles préventifs de sécurité) tout en ignorant les capacités de détection et de réponse aux incidents.

Cependant, comme le commissaire Aguilar l’a déclaré à la Bourse de New York, les temps ont changé, et «s’assurer de l’adéquation des mesures de cybersécurité de l’entreprise aux risques doit être une préoccupation essentielle d’un Conseil d’Administration dans le cadre de ses responsabilités de surveillance en matière de risques. » Cela devrait figurer comme un slogan en lettres capitales sur le mur de la salle du conseil : les administrateurs ne peuvent plus balayer  d’un revers de main les Cyber-Risques. C’est leur responsabilité de surveiller la gestion de ces risques qui était autrefois déléguée au domaine informatique.

Comment doivent-ils s’y prendre pour assurer cette responsabilité?

Le Conseil d’Administration de chaque Enterprise doit désormais prendre le temps nécessaire sur son agenda pour surveiller les cyber-risques . Selon les termes du document « Cyber program management » d’E&Y, les Conseils d’Administration sont maintenant invités à discuter de la cybersécurité sur une base trimestrielle, voire même plus fréquemment.

Comment les administrateurs doivent-ils d’y prendre pour surveiller les cyber-risques? Le Commissaire Aguilar, de la SEC, a fourni des conseils dans son discours au NYSE. « Les Conseils d’Administration sont chargés de s’assurer que la Société a mis en place des programmes de gestion des risques appropriés et de surveiller la façon dont le management met en œuvre ces programmes, » a-t-il déclaré. C’est clairement la responsabilité du Conseil d’Administration de veiller à ce que la direction ait mis en place des protocoles de gestion des risques efficaces.

Quels conseils pouvons-nous donner aux administrateurs?

Un Conseil d’Administration doit veiller à la gestion des cyber-risques dans le cadre de son programme de gestion des risques à l’échelle de l’entreprise. Il doit également chercher à mieux comprendre les risques informatiques et ceux liés à l’utilisation d’internet, évaluer les pratiques actuelles en matière de cybersécurité et planifier ainsi que préparer les personnels de l’Entreprise, grâce à des tests réguliers, pour une cyber-attaque. En résumé, la responsabilité deux Conseil d’Administration va au delà de la cyber-sécurité. Il doit répondre de la cyber-résilience de la Société devant les parties prenantes.

Les administrateurs devraient se poser trois questions importantes :

  1. Comprenons-nous bien la nature des cyber-menace s’appliquant à notre Société?
  2. Est-ce que les processus et la structure du Conseil d’Administration permettent un dialogue de qualité sur les questions de cyber-résilience?
  3. Que faisons-nous pour nous maintenir au courant des évolutions constantes des cyber-menaces?

Nous vous proposons quelques pratiques clés pour susciter intérêt et l’attention du Conseil d’Administration sur les cyber-risques :

  • Demander désormais régulièrement des informations sur les cyber-risques, et pas seulement à la Direction Générale ou au DSI,
  • Cherchent à mieux comprendre la nature des cyber-risques et leur impact sur l’organisation,
  • Remettre en permanence en question la gestion de la cyber-sécurité et la cyber-résilience de l’organisation.

Par quoi commencer?

Il existe désormais des référentiels de bonnes pratiques et des normes dans les domaines de la sécurité de l’information (ISO 27001, ISO 27002) et de la cyber-résilience (RESILIA). Il en va de même pour la Gouvernance du Système d’Information qui est clairement, comme nous l’avons vu précédemment, à la charge du Conseil d’Administration, avec COBIT® et ISO 38500.

Une première étape, afin de sensibiliser les Administrateurs sur ces responsabilités nouvelles pour eux, consisterait à organiser une séance de sensibilisation sur les responsabilités du CA dans l’Entreprise du 21ème siècle au travers de programmes tels que :

COBIT® 5 pour les Conseil d’Administration et les Exécutifs (2 formats : session de 4 heures ou d’une journée). Cette formation couvre à la fois les responsabilités des Administrateurs et des membres du Comité de Direction.

RESILIA : Sensibilisation (2 formats : session de 4 heures ou d’une journée). Cette formation, plus orientée sur la stratégie de cyber-résilience et sa mise en oeuvre, s’adresse aux Administrateurs mais aussi, et surtout, aux membres du Comité de Direction.

La seconde étape consiste bien évidemment à élaborer une stratégie de cyber-résilience en lançant un programme adéquat et à rédiger des politiques de sécurité, de gestion des risques, des gestion des ressources humaines, etc. adaptées à cette stratégie. AB Consulting, seul organisme accrédité en Afrique sur l’ensemble des domaines concernés par ISACA, AXELOS, APMG, EXIN, PECB, vous propose toute une game de services d’évaluation / audit d’aptitude des processus de l’entreprise mais aussi d’évaluation de la maturité de votre Organisation, ainsi que d’accompagnement à la mise en oeuvre et de l’amélioration de la gouvernance du SI et la réalisation du programme de cyber-résilience, grâce à ses experts du domaine.

Nous vous proposons également nos formations accréditées et certifiantes telles que :

ISO 27001 Practitioner Bootcamp (Foundation et Practitioner sur 5 jours – Certification APMG) destiné aux personnels en charge de l’implémentation d’un Système de Management de la Sécurité de l’Information dans votre Organisation

ISO 27001 Lead Implementer (5 jours – Certification PECB) destiné aux responsables du projet d’implémentation du SMSI

RESILIA Practitioner Bootcamp (Foundation + Practitioner sur 5 jours – Certification AXELOS®) destiné aux personnels en charge d’implémenter la cyber-résilience du système d’information

COBIT Implementation Bootcamp (Foundation + Implementation sur 5 jours – Certification APMG/ISACA) pour les personnes participant à l’amélioration ou l’implémentation de la Gouvernance du SI.

ISO 38500 Corporate IT Governance Manager (3 jours – Certification PECB)

Nous proposons également de nombreuses autres formations sur ce domaine, notamment destinées aux personnels des entités métiers des entreprise ainsi qu’aux auditeurs et contrôleurs.

Pour tout complément d’information ou pour vous inscrire à notre newsletter, merci de bien vouloir remplir le formulaire de contact :

Catégories

Archives

Calendrier

mars 2019
L M M J V S D
« Fév    
 123
45678910
11121314151617
18192021222324
25262728293031
%d blogueurs aiment cette page :