The major rating agencies, such as Moody’s and Standard & Poor’s, are well known to the general public—especially after the 2008 financial crisis. They now shape financial markets, de facto, through their generation of comparison grids, which are used, at global scale, to rate the solvency risks associated with companies.

And today, it’s clear that this approach of third-party organizations producing corporate ratings isn’t just limited to the financial sector: it’s gradually being extended into the sphere of cybersecurity.

Cyber rating agencies are now assigning “cyber scores” to companies which quantify the levels of cyber risk that companies are exposed to. The players doing this are mainly American (BitSight, Security ScoreCard, Panorays, and UpGuard, for example), but European start-up, Cyrating, also generates ratings by collecting and analyzing publicly available information, including:

• The vulnerabilities present on the company’s websites and the robustness of the TLS encryption in use;
• The reputation of the company’s public IP addresses, computed from a range of data, such as the number of complaints about spam, their appearance on blacklists used by internet and email service providers, bounce rates, etc.
• Whether corporate email address protection measures (such as DMARC, DKIM, and SPF) are in place;
• DNS analysis (whois, root and NS servers, verification of Start of Authority, MX records, etc.);
• Whether company data is present on the Dark Web.

Apart from this public-domain data, cyber rating platforms capture and analyze a large amount of exchanged data to determine, for example, , or the versions of browsers being used.

The algorithms used to do such analysis are particular to each cyber rating platform; and the platforms then monetizes the results by offering access to results as a subscription-based service.

Companies, then, get to know their rating by subscribing to a cyber rating platform service!

These scores are widely accessible, given that the rating can also be viewed by other players who subscribe to the platform. Firms can therefore compare themselves with competitors . Cyber insurers are also starting to take such ratings into account when calculating . But, more worryingly, it’s also easy to imagine that ratings might facilitate reconnaissance for cyber attackers, by helping them to target lower-rated companies—whose defensive measures are likely to be weaker.

Given all this, it seems essential that firms integrate the question of cyber ratings into their cybersecurity governance.

Some obvious limitations to the current cyber rating model

To put it bluntly, a large part of the cyber community has serious reservations about cyber ratings; this mistrust can be summarized in the following view:

“How much confidence can be placed in a security level assessment carried out by a third-party algorithm, using only a selection of the relevant parameters, and with no control mechanism for the quality of information collected? “

 There is still considerable work to do to perfect the model, which has a number of inherent flaws; these, if not addressed, risk rendering the rating irrelevant:

• doesn’t reflect a firm’s overall level of security. Many factors are ignored: internal network segmentation, system and data protection measures, detection capability, etc.;
• The rating can be “polluted” by false positives: IP addresses or domain names that do not belong to the company (registration errors), traffic originating from sandboxes considered to be malicious, etc. This therefore requires the to carry out a degree of detailed work (the sorting of IP addresses, excluding certain data) in order to obtain as accurate a result as possible;
• A lack of transparency about rating algorithms makes it difficult to evaluate the elements that have led to a given score, and to identify parameters where corrections are needed.

It’s misleading to reduce a company’s entire level of security to a single score. Moreover, in the future, it wouldn’t be surprising to see players like Qualys propose the taking into account of the results of internal tests conducted on a company’s IS, in order to refine its rating system.

A wide range of use cases

However, these limitations shouldn’t obscure the opportunities offered by subscribing to a cyber rating service.

The main argument advanced by cyber rating players is that a score represents a powerful and easy-to-understand indicator for senior management—a concept already well-established in finance but still lacking in cybersecurity. An improvement in the rating could also be used to justify and quantify the effectiveness of any corrective action plan applied to the company’s IS services.

In addition, cyber rating platforms make it possible to see how all the companies that have been assessed score, which enables a company to:

• Calibrate its performance against competitors on a common basis; and, potentially, to make an asset of cybersecurity for marketing purposes;
• Assess its suppliers’ levels of cybersecurity maturity on a more objective basis than that of questionnaires completed for a Security Assurance Plan.

Cyber rating: an essential issue for companies

Given the challenges firms face, and the opportunities on offer, it seems inevitable that cyber ratings will take off, something noted by ANSSI (the French National Cybersecurity Agency) in its strategic review of cyber defense: ” The major players in the field will therefore become benchmarks whose market position will be difficult to challenge.”

Despite the current limitations, it’s vital that companies—some of whom are already talking about giving countries financial-sector-type cyber ratings—identify how such ratings could be used as an asset increase awareness about cybersecurity among senior management, without, of course, stigmatizing .

Cet article Cyberating: more than just a rating, a vital aspect of governance est apparu en premier sur RiskInsight.

Big data : un intérêt qui ne faiblit pas

Depuis 2012, l’intérêt pour le Big data ne cesse de croître (cf. courbe google trends). Pourtant, faute de disposer d’une définition tangible, la pertinence des usages de cette expression reste, aujourd’hui encore, sujette à interprétation.

Prenons un échantillon de définitions produites par les voix les plus influentes du domaine IT (Gartner, Forrester, IBM etc.). Derrière le Big data, une multitude de sujets : il peut s’agir, selon les analystes,  1) des données  (d’un genre caractéristique), 2) d’un phénomène ou encore 3) d’un ensemble de techniques ou technologies. Il en ressort cependant un champ lexical qui fait assez largement consensus et s’est imposé sur la plupart des slidewares (avec aussi des contradicteurs).

« Petite » analyse lexicale du « Big » data

3 V. Volume, Variété, Vélocité. Vision du Gartner de 2001 : chacune de ces caractéristiques constituent un défi pour les entreprises qui souhaitent les exploiter ; leur combinaison accentue d’autant la difficulté que représente le traitement des données. Le Big data n’est pas que l’explosion des volumes. C’est aussi la richesse des formats et le temps réel. Ce qui pose question et qui est rarement explicité, c’est la mesure de chacune de ces trois dimensions. Le volume se mesure-t-il en téra- ou en pétabytes ? Où se situent les niveaux d’acceptabilité qui permettent de déterminer qu’une situation ou un cas d’usage relève du Big data ? Le Big data d’aujourd’hui sera-t-il celui de demain ? Car avec la croissance des données et les avancées technologiques, le curseur ne cessera sans doute pas de se déplacer…

4V = 3V+Valeur. Certains ont noté un glissement de l’acception Big data de 3 à 4 V : des caractéristiques de nature technique à celle de « valeur ». Que peut-on tirer des données ? C’est en fait la question essentielle : celle de « l’opportunité à saisir » ou du « besoin à combler ». Une autre question apparaît avec les fournisseurs de données : quel est le prix des données ?

Technologie accessible. Il n’y a pas de définition technologique du Big data au sens où aucune technologie n’est liée de manière exclusive et catégorique au concept. Tout comme les web services n’étaient pas la SOA, le Big data n’est pas Hadoop*, même si Hadoop est la valeur sure d’un marché en plein essor et encore peu lisible. Certes, l’envolée du Big data doit beaucoup à l’« accessibilité »  d’Hadoop et du noSQL. Mais le coût et le ROI de ces solutions sont-ils à la hauteur des promesses ?

Acquisition, visualisation etc. Le Big data n’est pas que stockage et analyse de données. Il faut  développer son gisement pour trouver la bonne information. L’information produite doit être comprise, retenue, travaillée et des techniques d’analyse visuelle sont aujourd’hui mises en avant.  Enfin, pour les questions de fiabilité et de sécurité, des évidences en gestion des données, des solutions se positionnent.

Décision. Le Big data bouscule le décisionnel. Les cas d’usage Big data sont quasiment exclusivement analytiques. Les technologies dont nous parlions ne sont d’ailleurs pas construites pour supporter des processus transactionnels qui restent en périphérie de la « révolution » à la source des données.

Un Big data à ma sauce

Le Big data est une véritable problématique, soit littéralement un faisceau de questions. Si l’exercice de définition va se poursuivre, il serait salvateur de l’évacuer rapidement. Mieux vaut se concentrer sur les défis techniques et organisationnels du traitement des données et la recherche de nouveaux leviers de performance.

Forrester propose pour ce faire une approche pragmatique « Calculer son « Big Data score », qui vise à s’auto-évaluer sur sa capacité à stocker, traiter, requêter ses données selon chacune des 3 dimensions. Big data ne veut pas dire la même chose pour Google et pour moi. Il faut revenir à des enjeux réalistes : ai-je exploré les opportunités d’utilisation des données « à ma disposition » ? Suis-je capable de « passer à l’échelle » efficacement (délai, coût) si une opportunité se présente ?
Et, à quelle échelle : *10, *100, *1000 ? Que font mes concurrents ?

Alors : in or out ?

*Hadoop comme nombre de bases de données noSQL est distribué en open source. Le déploiement d’Hadoop n’exige pas d’infrastructure réseau et/ou serveurs haut de gamme.

Cet article Big data : tour d’horizon 2013 ! est apparu en premier sur RiskInsight.

Bien définir le périmètre du dispositif

La définition du périmètre est l’une des actions clés à mener au départ, en regardant le dispositif sous tous les angles possibles.

• Axe organisationnel : se focalisera-t-on sur les projets d’un domaine particulier de l’entreprise, sensible par le nombre de ses projets, les objectifs stratégiques de l’entité, ou par ses ressources ? Étend-on le périmètre à un champ plus large de l’organisation (inter-domaines, l’entreprise, l’entreprise étendue…) ?

• Axe financier : les portefeuilles de projets intégreront-ils tout projet quel que soit son niveau de dépenses, se concentreront-il sur ceux allant au-delà d’un seuil minimum ? Intègrent-ils tous les investissements et leurs évolutions ?

• A quelle phase du cycle de vie des projets s’intéressera-t-on compte tenu des gains escomptables?

La phase d’instruction des projets candidats est probablement celle qui présente le plus fort potentiel : l’effort est alors concentré sur l’amélioration de la sélection des projets, sur l’optimisation des allocations de ressources, la régulation des demandes de projets. Mais suivre les engagements en cours de réalisation permet également de rechercher les optimisations envisageables entre les projets, de revoir les priorisations et les allocations selon leurs avancements, voire de décider des arrêts ou fusions de projets. La phase de retrait est également une source de gain non négligeable…

Il est possible, voire recommandé, de retenir un périmètre initial sur lequel la démarche sera expérimentée, pour progressivement l’étendre vers un périmètre cible.

Donner du sens à la démarche et mobiliser

Mettre en place de la GPP doit répondre à une stratégie, à une vision de la situation constatée et de l’objectif visé. Formaliser cette vision permettra de lancer une dynamique au sein de l’entité.

Elle favorisera la mobilisation indispensable des acteurs impliqués dans cette démarche. Des sponsors sont à identifier pour la promouvoir et suivre son déroulement.

Définir au préalable les résultats visés en fixant des objectifs quantifiables et pouvant être suivis à l’aide de quelques indicateurs pertinents et faciles à mesurer et à comprendre, donnera du sens à la démarche. C’est se donner les moyens de mesurer les progrès et d’identifier les besoins d’ajustement.

Arrêter les modalités de fonctionnement et de méthodes adaptés

Le fonctionnement de la GPP s’appuie sur des règles, des processus, des méthodes d’évaluation / de priorisation objective des projets, des outils de reporting qui doivent préalablement être définis, documentés et déployés.

Par contre, pour éviter tout risque de rejet de la part des chefs de projet, il faudra veiller à ce qu’un nombre limité d’informations soit à remonter de façon à ce qu’elles puissent être rapidement rassemblées par chacun d’eux, sinon le risque existe de ne pas disposer régulièrement de ces données ou de compromettre leur fiabilité. Par ailleurs, l’efficacité du dispositif tient au fait qu’aucun projet n’y échappe : en concevant le processus de GPP, veiller à ce que tout sponsor et chef de projet « gagne » à passer son projet dans la gestion de portefeuille (par exemple : meilleure prise en compte des alertes sur les moyens, simplification des reportings…).

Organiser les fonctions d’intégration et de support qui sont à assurer.

Compte tenu de l’organisation de l’entreprise, des pratiques existantes de GPP, de son mode de management, il sera nécessaire de décider du degré d’harmonisation et du rythme de convergence de ces éléments au sein de ses entités. Selon ces choix, il peut être intéressant de mutualiser certaines activités.

Dans le cas où la création d’une cellule spécifique PMO (Portfolio Management Office) est envisagée, celle-ci doit disposer des moyens et du soutien lui permettant d’assurer sa mission.

L’accompagnement au changement ne doit pas être négligé pour assurer la réussite de la démarche. Au-delà de la mise en œuvre d’un plan de formation des acteurs (chefs de projet, PMO, responsables de portefeuilles, membres des instances décisionnelles…) à ces processus et outils, il est indispensable de prendre en compte et d’accompagner les changements qu’induit la GPP dans la manière de gérer un projet. Ainsi, un projet n’est plus « autonome », la GPP appelle la mise en place d’une gestion partagée des ressources, elle exige peut-être davantage de transparence…

Ainsi, la mise en place une démarche de gestion de portefeuilles de projets, si elle offre aux directions un outil décisionnel indispensable pour optimiser leurs investissements et la mobilisation de leurs ressources, elle constitue néanmoins un projet d’ampleur non négligeable qu’il faut aborder en prenant la mesure de tous les aspects à traiter…dans le bon ordre…avant d’aborder la délicate question du choix de (s) outil(s)….

Mieux les objectifs, le périmètre de la GPP seront clairs, mieux ses processus et les critères de valorisation des projets seront définis, plus le choix pourra être adapté aux réels besoins de l’entreprise.

Cet article La gestion de portefeuilles de projets : se donner toutes les chances de succès dans la mise en œuvre ! est apparu en premier sur RiskInsight.