Un monde sans cyberrisques est malheureusement une illusion. Heureusement, les organisations peuvent elles-mêmes prévenir bien des désagréments et, lorsqu'une attaque survient malgré tout, la résoudre de manière adéquate. Les organisations sont bien conscientes du danger des cyberattaques, selon l'étude benchmark sur la cybersécurité menée par Conscia en collaboration avec le cabinet d'études de marché commercial BenchLab.
La prévention et la nécessité de la détection et de la réponse
Un monde sans cyberrisques est malheureusement une illusion. Heureusement, les organisations peuvent elles-mêmes prévenir bien des désagréments et, lorsqu'une attaque survient malgré tout, la résoudre de manière adéquate. Les organisations sont bien conscientes du danger des cyberattaques, selon l'étude benchmark sur la cybersécurité menée par Conscia en collaboration avec le cabinet d'études de marché commercial BenchLab.
Ainsi, 43 % des répondants ont indiqué que la majeure partie du temps consacré à la sécurité informatique est dédiée à la prévention. Avec 85 %, la « sensibilisation et formation » est une mesure importante prise pour prévenir les incidents de cybersécurité. Cependant, lorsqu'un incident se produit, les études montrent qu'il faut généralement plus de 200 jours avant que l'incident ne soit remarqué. Maarten Werff, Solution Consultant Cybersecurity chez Conscia : « C'est pourquoi il reste impératif de disposer, en plus de la prévention, de mesures de détection et de réponse, afin d'avoir également une visibilité sur les attaques qui ne sont pas arrêtées par les mesures préventives. Cela peut sembler un petit pourcentage, mais cela peut tout de même causer beaucoup de dégâts. »
SOC : construire en interne ou externaliser ?
Un Security Operations Centre (SOC) peut apporter la solution. L'opinion générale veut souvent qu'un SOC implique des coûts élevés, exige beaucoup de temps, de connaissances et d'énergie de la part des collaborateurs et soit donc réservé aux grandes organisations. Mais est-ce vrai ?
Un calcul simple : une étude de Forrester montre qu'en moyenne, les organisations ont besoin de 14 ETP d'analystes en sécurité pour construire et maintenir leur propre fonction SOC (11 ETP pour les organisations de moins de 5 000 salariés et 20 ETP pour les organisations de plus de 5 000 salariés). Cela tient compte du fait que les personnes travaillent jour et nuit et partent aussi en vacances de temps en temps.
Si l'on regarde le coût d'un service externe de Managed Detection & Response (MDR) avec une surveillance 24/7 pour 1 000 salariés, on arrive à environ 6 000 EUR par mois. C'est donc même moins d'un ETP. Lorsque les organisations mettent en place leur propre SOC, elles ont besoin, outre les bonnes personnes, d'une plateforme technologique appropriée. Cela fait grimper le coût total de possession d'un SOC interne à trois fois le coût d'un SOC externalisé (avec un CAPEX élevé).
Attirer et fidéliser les analystes en sécurité
Cela dit, construire sa propre fonction SOC présente aussi des avantages certains. Les risques spécifiques à l'organisation sont compris plus vite et mieux par des collaborateurs internes. En revanche, il est difficile de trouver et de fidéliser de bons profils. Et leur tâche n'est pas des moindres. Forrester indique que 96 % des analystes en sécurité subissent un impact personnel après un incident. Pensez aux longues journées de travail, au stress ramené à la maison, au mauvais sommeil. Tout cela résulte de ce que l'on appelle l'« Alert Fatigue ».
Les organisations n'ont pas ce problème lorsqu'elles externalisent la fonction SOC, tout comme les possibilités de montée en charge. L'étude benchmark montre que 15 % des répondants ont déjà externalisé la fonction SOC. Dans 55 % des cas, la surveillance et l'analyse des alertes de sécurité sont effectuées par l'équipe informatique interne. Par ailleurs, 6 % des organisations déclarent disposer de leur propre SOC qui surveille et analyse pendant les heures de bureau (3 %) ou 24/7 (3 %). Près d'un quart des répondants n'ont pas, ou pas autrement, sécurisé la détection des alertes de sécurité.
Le paysage des menaces exige une approche différente
Selon Maarten Werff, il existe une autre bonne raison de passer au MDR : « Au cours de la dernière décennie, nous nous sommes surtout concentrés sur le réseau, mais avec l'évolution du paysage des menaces due à l'essor du télétravail, du cloud et du chiffrement, la visibilité offerte par les mesures de sécurité réseau traditionnelles est bien moindre. La sécurité exige aujourd'hui une approche différente. Nous devons prendre des mesures de sécurité pour ce que nous voulons protéger : nos informations, nos utilisateurs et nos endpoints. »
Actuellement, 41 % des répondants déclarent avoir pris des mesures de protection des endpoints. Ce n'est pas une nouveauté de dire que les collaborateurs, avec tout le respect qui leur est dû, sont souvent le plus grand problème. En cas d'accès anormal aux fichiers et de fichiers chiffrés, 46 % des répondants déclarent recevoir une alerte. Par ailleurs, 21 % peuvent voir quels fichiers ont été touchés lors d'un cyberincident et les restaurer.
Selon Maarten Werff, les évolutions technologiques telles que l'EDR, le SOAR et le XDR permettent de changer de stratégie de détection. Si l'on considère ces solutions, 15 % des répondants disposent d'un EDR et 3 % d'un SOAR. « Placer l'identité et l'endpoint au centre de la stratégie de détection et de réponse crée matériellement plus de visibilité sur les alertes et permet d'intervenir plus rapidement. Cette approche ne consiste pas à chercher « l'aiguille dans la botte de foin » et est donc aussi moins coûteuse. »
