Security Leadership Master Class 3 : Building a security program

Construire un Programme de Sécurité Efficace

La création ou la refonte d’un programme de sécurité nécessite un équilibre entre la résolution immédiate des risques (“mettre le feu”) et la mise en place d’une structure durable et alignée sur les objectifs commerciaux (“se positionner pour l’avenir”).

Points Clés et Recommandations :

• Engagement de la Direction : Désigner un responsable exécutif (CFO, COO, CEO, etc.) doté de l’autorité nécessaire pour prendre des décisions critiques concernant les risques et les priorités. Une implication régulière de la direction, même limitée, peut suffire à initier des changements significatifs.
• Gouvernance et Supervision : Mettre en place un processus continu d’examen des priorités, de décision d’investissement face aux risques et de responsabilisation. L’intégration de ces discussions dans les réunions de direction existantes peut renforcer l’importance accordée à la sécurité.
• Évaluation de Sécurité Immédiate : Mandater une tierce partie indépendante pour réaliser une évaluation critique des risques et tester la résistance aux attaques courantes. Il est crucial de confirmer l’efficacité des sauvegardes et de détecter d’éventuelles brèches latentes.
• Action Rapide sur les Risques Élevés : Résoudre sans délai les incidents latents et les problèmes critiques découverts. Des mesures temporaires ou récurrentes sont préférables à l’attente de programmes stratégiques plus longs, car une brèche peut compromettre ces plans.
• Mise en Œuvre des Contrôles Fondamentaux : S’appuyer sur des cadres reconnus tels que les CIS Critical Controls ou le NIST CSF pour établir un niveau minimum de contrôle et de sécurité. Utiliser ces cadres comme objectifs et comme outils de benchmarking.
• Équipe Fondamentale Équilibrée : Constituer une équipe de sécurité avec un équilibre entre les spécialistes techniques, les conseillers en risque (qui traduisent les risques techniques en langage métier) et les experts opérationnels.
• Financement des Transformations Stratégiques : Équilibrer l’amélioration incrémentale avec des “grands paris” ponctuels qui apportent des améliorations transformationnelles, comme l’implémentation d’une authentification à deux facteurs robuste.
• Surveillance Continue des Contrôles : Établir des systèmes pour connaître en temps réel l’état des contrôles de sécurité, permettant l’apprentissage et l’adaptation en cas d’échec.
• Alignement avec les Objectifs Commerciaux : Adopter une approche entrepreneuriale, en cherchant comment la sécurité peut améliorer l’expérience client, réduire les frictions numériques et accélérer l’acquisition de clients.
• Intégration des Contrôles (“Shift Down”) : Intégrer les capacités de sécurité directement dans les outils et plateformes standard pour simplifier le travail des développeurs et des ingénieurs, rendant le chemin sécurisé le plus facile et par défaut.
• Contre-action à l’Érosion des Ressources : Surveiller la santé organisationnelle pour s’assurer que les ressources allouées (budget et personnel) restent conformes aux besoins, afin de contrer l’érosion progressive de l’efficacité des contrôles.

Vulnérabilités (non spécifiées avec CVE dans l’article) :

L’article aborde la détection et la résolution de vulnérabilités critiques, mais ne liste pas de CVE spécifiques. Les menaces mentionnées incluent :

• Brèches latentes
• Attaques courantes
• Exploitation de vulnérabilités critiques
• Événements de ransomware

Points d’Attention Spécifiques :

• La détection de brèches latentes lors d’évaluations indépendantes.
• L’importance de régler les problèmes critiques avant de lancer des programmes stratégiques.
• Le risque que des contrôles censés être opérationnels ne le soient pas.
• L’érosion potentielle du financement et du personnel dédiés à la sécurité.

Source