Découvrez les équipes qui mettent en œuvre la cybersécurité
L’équipe de cybersécurité ne peut pas fonctionner seule. Elle a besoin de la collaboration d’équipes capables d’implémenter opérationnellement des mesures de sécurité : équipe informatique, équipe de développement, etc.
Comment ces équipes mettent-elles en œuvre la sécurité au quotidien ?
L’équipe informatique ou équipe IT, que nous vous avons déjà présentée lors de la crise de l’hôpital Santé Céleste, réalise de nombreuses tâches permettant de prévenir les cyberattaques, telles que :
gérer les contrôles d’accès au système d'information de l’organisation (applications, équipements, infrastructure, etc.) ;
inventorier les composants du système d'information, et assurer une bonne gestion du cycle de vie de ces actifs ;
gérer les équipements (postes de travail) des collaborateurs de l’organisation (mise à disposition, protection, mise au rebut) ;
assurer la disponibilité de l’infrastructure (serveurs, réseau, applications, etc.).
Pour réaliser ces tâches, une coordination forte avec l’équipe de cybersécurité est nécessaire dans le choix des outils, leur implémentation et la mise en œuvre de contrôles.
L’équipe de développement est également essentielle dans l’implémentation de mesures de sécurité via l’écriture du code informatique. En effet, du code mal pensé et mal écrit peut permettre d’introduire des vulnérabilités ou failles de sécurité pouvant entraîner des vols de données, une indisponibilité du site internet, etc.
Pour en savoir plus sur le rôle des équipes informatiques, regardez l'interview de Laura Baptista, experte Windows :
Mais qui aide ces équipes à y voir plus clair sur les sujets de cybersécurité qui ne sont pas leur cœur de métier ?
Apprenez à connaître les personnes qui accompagnent la sécurité applicative / des développements
Tout l’enjeu est d’introduire de la sécurité le plus en amont possible des projets menés par ces équipes ; on appelle ce concept la sécurité “by design” et “by default” (dès la conception et par défaut). Dans un monde idéal, nul besoin d’un expert en cybersécurité pour accompagner les équipes de développement, car elles intégreraient la sécurité dans leurs pratiques au quotidien. Cet objectif n’étant pas encore atteint, la sécurité par défaut et dès la conception nécessite une collaboration importante entre équipe de développement et équipe de cybersécurité.
Pour aider cette mise en place, il existe un rôle d’ingénieur /responsable de sécurité applicative et de potentiels relais (parfois appelés “security champions” ou champions de la sécurité) au sein de l’équipe de développement. On parle aussi de DevSecOps pour nommer l’intégration de la sécurité à la chaîne de développement.
La personne ou l’équipe chargée de la sécurité applicative s’assure de la prise en compte des exigences de sécurité par les équipes de développement. Ses tâches principales sont :
définir les exigences de sécurité applicative et accompagner les développeurs dans leur mise en application ;
participer aux revues de sécurité du code pour vérifier l’implémentation des exigences de sécurité ;
suivre la correction des vulnérabilités détectées.
Pour en savoir plus sur le métier d'ingénieur de sécurité applicative, regardez l'interview de Melvin Mohadeb :
Penser la sécurité comme n’importe quelle autre caractéristique d’un projet ou d’une solution est clé pour le futur de ces métiers ! Et d’ailleurs cela ne concerne pas que les équipes de développement, mais toutes les équipes impliquées dans un projet.
OK, mais qui définit ce qui doit être fait pour avoir des projets sécurisés à tous les niveaux ?
Découvrez qui conçoit de façon sécurisée les systèmes et réseaux / infrastructures
Effectivement, si on doit définir les exigences de sécurité le plus en amont possible, cela veut dire que chaque projet supporté par un composant du système d'information doit être guidé.
Pour cela, il existe le rôle d’architecte sécurité. Il est responsable des choix techniques des projets, et s’assure qu’ils respectent les exigences de sécurité. Ses principales tâches sont :
concevoir des solutions (infrastructure, système, logiciel, service, équipement, etc.) sécurisées dès leur conception ;
créer et améliorer des modèles d’architecture et des spécifications d’architecture sécurisée ;
suivre la mise en application de l’architecture définie en lien avec les équipes Projet (métier, développement, etc.) ;
proposer des pistes d’amélioration de l’architecture sur la base de nouvelles menaces et des risques identifiés.
Et maintenant, comment on s’assure que les mesures mises en place fonctionnent bien ?
C'est exactement ce que nous allons voir dans les paragraphes suivants.
Rencontrez ceux qui contrôlent la sécurité du système d’information
Il existe plusieurs rôles permettant de contrôler le niveau de sécurité. Ces rôles peuvent être internes ou externes, selon la taille de l’organisation et les besoins (indépendance, objectivité) :
l’auditeur ou l’auditrice de cybersécurité assure la conduite d’évaluations indépendantes de cybersécurité sur des sujets spécifiques de conformité : conformité à la norme ISO 27001, conformité au RGPD, conformité à un référentiel précis, etc. Il vérifie que les processus sont bien documentés et que les règles sont respectées ;
l’auditeur ou l'auditrice de sécurité technique, aussi appelé “pentester” en anglais, évalue l’efficacité des mesures techniques de sécurité mises en place pour protéger des solutions. Il teste la sécurité en simulant des attaques, et propose des plans de correction aux vulnérabilités trouvées.
Au-delà de l’évaluation ponctuelle du niveau de sécurité d’une organisation ou d’un périmètre plus restreint, le but de ces audits est de permettre une amélioration continue de la sécurité.
En résumé
Dans ce chapitre, vous êtes parti à la rencontre des équipes qui déploient la cybersécurité sur le terrain :
vous avez d’abord rencontré les équipes informatique et de développement, dont les activités sont essentielles pour prévenir les cyberattaques ;
vous avez découvert le concept de security by design et les équipes de sécurité applicative ou les security champions qui y participent activement ;
vous avez fait la connaissance du rôle d’architecte sécurité, qui conçoit les systèmes selon les bonnes pratiques de cybersécurité ;
enfin, vous avez compris que des activités de contrôle menées par des auditeurs étaient nécessaires pour vérifier le niveau de sécurité.
Ce déploiement opérationnel n’est possible que parce qu’il y a des équipes qui gèrent les priorités sur la base des risques et de la conformité. Suivez-moi pour faire leur connaissance !
