{"id":899,"date":"2015-10-14T22:33:10","date_gmt":"2015-10-14T21:33:10","guid":{"rendered":"http:\/\/www.ab-consulting.fr\/blog\/?p=899"},"modified":"2015-10-14T22:41:32","modified_gmt":"2015-10-14T21:41:32","slug":"resilia-cyber-resilience","status":"publish","type":"post","link":"http:\/\/www.ab-consulting.fr\/blog\/cyber-resilience\/resilia\/resilia-cyber-resilience","title":{"rendered":"RESILIA, objectif cyber-r\u00e9silience"},"content":{"rendered":"

RESILIA, le cadre de r\u00e9f\u00e9rence de cyber-r\u00e9silience, publi\u00e9 r\u00e9cemment par AXELOS, fait une entr\u00e9e remarqu\u00e9e dans le paysage des r\u00e9f\u00e9rentiels de bonnes pratiques au moment-m\u00eame o\u00f9 se d\u00e9roule le mois de la cyber-s\u00e9curit\u00e9<\/a>, auquel AB Consulting s’associe au travers de la publication d’articles et de sa participation \u00e0 une s\u00e9rie d’\u00e9v\u00e8nements destin\u00e9s \u00e0 sensibiliser les Entreprises sur les risques en mati\u00e8re de cyber-s\u00e9curit\u00e9.<\/em><\/p>\n

\"RESILIA<\/a><\/p>\n

Quel est le probl\u00e8me?<\/strong><\/h2>\n

Le probl\u00e8me avec la s\u00e9curit\u00e9 informatique, c’est que, traditionnellement, elle est largement\u00a0ax\u00e9e sur la technologie, se pr\u00e9occupant surtout de contr\u00f4les et de m\u00e9canismes en\u00a0en oubliant\u00a0souvent la raison : il s’agit de prot\u00e9ger les actifs de l’organisation<\/strong><\/em>. Cela r\u00e9sulte le plus souvent en\u00a0des mesures de protection totalement inadapt\u00e9es\u00a0: soit on\u00a0sauvegarde tous les actifs et cela conduira \u00e0\u00a0un co\u00fbt disproportionn\u00e9, ou, \u00e0 l’inverse on met en place une protection insuffisante pour pr\u00e9server\u00a0des actifs pr\u00e9cieux dont on ne r\u00e9alise la\u00a0valeur qu’une fois qu’un incident de s\u00e9curit\u00e9 est survenu.<\/p>\n

Le r\u00e9sultat\u00a0de cet \u00e9tat de fait, c’est qu’on\u00a0bl\u00e2mera des\u00a0d\u00e9partements qui, \u00e0 leur niveau, faisaient de leur mieux pour fournir une solution qui se r\u00e9v\u00e8le inad\u00e9quate pour\u00a0un probl\u00e8me qui se situe \u00e0 l’\u00e9chelle de l’organisation, et pas seulement \u00e0 celle du d\u00e9partement..<\/p>\n

Un changement de paradigme s’est produit il y a quelques ann\u00e9es avec l’\u00e9mergence de la\u00a0\u00abs\u00e9curit\u00e9 de l’information\u00bb, induisant\u00a0un changement de culture au travers de\u00a0la focalisation\u00a0sur\u00a0ce qui devait \u00a0\u00eatre prot\u00e9g\u00e9<\/strong>\u00a0au d\u00e9triment de qui devait s’en charger,\u00a0<\/strong>s’appuyant sur\u00a0l’introduction du concept que la s\u00e9curit\u00e9 est une\u00a0responsabilit\u00e9 collective\u00a0et pas seulement celle du\u00a0domaine informatique.<\/p>\n

Les m\u00e9tiers de l’Entreprise ont finalement\u00a0compris qu’ils avaient un r\u00f4le crucial\u00a0\u00e0 jouer dans la cat\u00e9gorisation des actifs en fonction de\u00a0la valeur qu’ils repr\u00e9sentent pour\u00a0l’Organisation, c’est \u00e0 dire de l’impact qu’aurait la\u00a0perte de ces actifs sur l’Entreprise, et pas seulement\u00a0le prix des actifs tangibles. A titre d’exemple, un ordinateur portable perdu pourrait co\u00fbter\u00a0\u00a01000 \u20ac\u00a0au titre de son remplacement, mais entra\u00eener la perte d’une opportunit\u00e9\u00a0d’affaire faisant perdre\u00a010.000 \u20ac \u00e0\u00a0l’entreprise. Si l’ordinateur portable a \u00e9t\u00e9 vol\u00e9 et que\u00a0des donn\u00e9es confidentielles qu’il contenait ont \u00e9t\u00e9 divulgu\u00e9es, alors, \u00e0 ces montants peuvent s’ajouter des amendes pouvant atteindre 100 000 \u20ac par exemple. Et n’oublions pas que cette fuite d’information\u00a0pourrait menacer\u00a0l’avenir de l’entreprise \u00e0 cause de la perte de r\u00e9putation et d’image\u00a0de la marque qui en\u00a0r\u00e9sulteraient ainsi que\u00a0de la r\u00e9duction de la confiance de la client\u00e8le … A partir de l\u00e0 on entre tr\u00e8s rapidement dans une spirale infernale qui conduit beaucoup d’Entreprises ayant subi une cyber-attaque \u00e0 une disparition pure et simple dans les deux ann\u00e9es suivantes….<\/p>\n

RESILIA, de quoi s’agit-il?<\/strong><\/h2>\n

\"LogoIl est clair que la pr\u00e9vention ne suffit pas. La loi de\u00a0d\u00e9croissance des rendements montre qu’\u00e0 partir d’un certain\u00a0point, \u00a0un exc\u00e8s de\u00a0pr\u00e9vention devient totalement inefficace en termes de co\u00fbts. Malheureusement, de nombreuses organisations trop\u00a0immatures ont\u00a0fix\u00e9 ce seuil \u00e0 un niveau incroyablement bas. C’est l\u00e0 que\u00a0\u00a0RESILIA \u00a0intervient en proposant des bonnes pratiques nous aidant\u00a0\u00e0\u00a0planifier et \u00e0 r\u00e9sister aux effets ind\u00e9sirables d’un incident de s\u00e9curit\u00e9.<\/p>\n

Alors, comment \u00e7a marche?<\/strong><\/h2>\n

Ces effets peuvent-ils \u00eatre contenus?\u00a0La r\u00e9ponse est positive. La s\u00e9curit\u00e9 de l’information n’est pas un but en soit. \u00a0C’est un parcours balis\u00e9 suivant un processus simple:<\/p>\n

    \n
  1. Identifier les principaux actifs<\/strong>. Classez-les selon leur valeur pour l’organisation, pas seulement leur valeur\u00a0valeur mon\u00e9taire. Il faut comprendre l’impact pour l’Entreprise s’ils\u00a0sont perdus ou vol\u00e9s. La perte de donn\u00e9es est un probl\u00e8me et le vol de donn\u00e9es a un co\u00fbt tr\u00e8s \u00e9lev\u00e9: nous ne parlons pas seulement d’amendes inflig\u00e9es par les organismes\u00a0de r\u00e9glementation, mais aussi et surtout de la\u00a0r\u00e9putation de la marque et de l’h\u00e9morragie de\u00a0clients qui va r\u00e9sulter de la perte de confiance induite.<\/li>\n
  2. D\u00e9terminer l’app\u00e9tit du risque de l’organisation.<\/strong> Quelles sont les menaces qui p\u00e8sent sur ces actifs? O\u00f9 sont leurs vuln\u00e9rabilit\u00e9s? Certains risques sont totalement in\u00e9vitables, ou ont un co\u00fbt disproportionn\u00e9 de r\u00e9duction\u00a0qui peut \u00eatre difficilement acceptable. Alors, un plan de r\u00e9ponse devrait \u00eatre disponible au cas o\u00f9\u00a0le risque se transformer se concr\u00e9tise. Il est toujours plus s\u00fbr d’avoir un plan en esp\u00e9rant ne jamais avoir \u00e0 l’utiliser\u00a0que de ne pas en avoir du tout.<\/li>\n
  3. Communiquer la strat\u00e9gie: planifier et annoncer.<\/strong> Qui sont vos partenaires? Quels seront leurs responsabilit\u00e9s? Comprennent-ils les cons\u00e9quences de responsabilit\u00e9s non assum\u00e9es? Y at-il des conditions pr\u00e9alables – comme une formation compl\u00e9mentaire ou des mesures l\u00e9gislatives qui n\u00e9cessitent d’\u00eatre satisfaites?<\/li>\n
  4. Ex\u00e9cuter le plan: impliquer les personnes et les processus, et pas seulement la technologie.<\/strong>\u00a0Int\u00e9grez les changements au niveau\u00a0culturel en faisant de la s\u00e9curit\u00e9 un \u00e9l\u00e9ment naturel op\u00e9rations quotidiennes\u00a0– les gens ont besoin de se sentir\u00a0s\u00e9curis\u00e9s de fa\u00e7on habituelle gr\u00e2ce \u00e0\u00a0la sensibilisation sur les\u00a0avantages et des ramifications plut\u00f4t que de de ressentir qu’il ne s’agit que d’un exercice qui se traduira par une\u00a0case suppl\u00e9mentaire \u00e0 cocher.<\/li>\n
  5. Examen et v\u00e9rification:<\/strong> appliquer la gouvernance \u00e0 tous les niveaux, effectuer des audits r\u00e9guliers\u00a0pour \u00e9valuer les niveaux de maturit\u00e9 et examiner les opportunit\u00e9s\u00a0d’am\u00e9lioration, mesurer et pr\u00e9senter des rapports qui serviront de preuve de la conformit\u00e9 et identifier les failles. Vous pouvez \u00e9galement simplement laisser aux hackers le soin\u00a0de trouver les failles par eux-m\u00eames\u00a0d’abord !…<\/li>\n<\/ol>\n

    Mais tout cela ne va pas sans difficult\u00e9. La S\u00e9curit\u00e9 exige un engagement fort au niveau du Conseil d’Administration, des\u00a0efforts soutenus et des investissements importants pour \u00eatre couronn\u00e9e de succ\u00e8s: ce sont les personnes responsables de l’approbation des contre-mesures d\u00e9fensives qui ont le plus \u00e0 perdre si les mesures ne sont pas prises\u00a0– celles\u00a0qui verront le\u00a0plus rouge visages quand vous expliquerez\u00a0pourquoi on n’a pas fait plus t\u00f4t ce qu’il fallait. Donc, c’est l\u00e0 que se situe votre\u00a0retour sur investissement: si vous voulez avoir une id\u00e9e de\u00a0votre budget, pensez \u00e0 combien il en co\u00fbtera \u00e0 votre organisation si vous ne faites pas ce qu’il faut\u00a0et que vous devez supporter des cons\u00e9quences telles que des\u00a0p\u00e9nalit\u00e9s par exemple..<\/p>\n

    Si\u00a0la s\u00e9curit\u00e9 n’est pas pour vous, alors peut-\u00eatre qu’elle\u00a0est pour vos concurrents.<\/p>\n

    Pour tout compl\u00e9ment d’information ou pour vous abonner \u00e0 notre newsletter, merci de compl\u00e9ter le formulaire de contact :<\/strong><\/em><\/p>\n

    \n
    \n