Ces dernières années, il a très fréquemment été ciblé par les attaquants, puisqu’il a par exemple été compromis dans 100% des cyberattaques gérées par le CERT-Wavestone (cf. Cyberattaques en France : les ransomware toujours n^o1 – Par le CERT-Wavestone), dans l’optique d’utiliser les accès ainsi obtenus pour diffuser un logiciel malveillant (e.g. un rançongiciel) sur l’ensemble du SI ou encore d’accéder à de nombreuses informations sensibles de l’organisation et de les faire fuiter.

Pourtant son niveau de sécurité est encore largement insuffisant : 96% des tests d’intrusion réalisés par Wavestone en 2018, sur 25 systèmes d’information de grandes entreprises, ont résulté en sa compromission totale (cf. Bilan de la sécurité des sites web en France Retour sur 3 ans d’analyse de la sécurité des sites de grandes entreprises). Même si cette valeur est orientée à la baisse depuis 1 à 2 ans, elle reste aujourd’hui aux alentours de 90%.

Etant devenu une priorité absolue pour la plupart des organisations, les équipes de cybersécurité des entreprises ont lancé d’importants programmes de renforcement du niveau de sécurité de l’AD. Pour adresser ce chantier complexe, vaste d’un point de vue du périmètre et incluant de nombreux thèmes à traiter de front, notamment la mise en œuvre du tiering (cf. Livre Blanc – Sécurisation de l’Active Directory et d’Azure AD, enjeux et trajectoires de transformation – Wavestone et Microsoft), les organisations cherchent à se doter d’outils permettant de les aider dans l’exécution.

En analysant le marché, nous avons identifié 4 cas d’usage sur lesquels ces outils se positionnent :

1. L’analyse et l’audit
2. Le durcissement et le maintien en condition de sécurité
3. La détection
4. La réponse et la reconstruction

Le radar suivant recense un ensemble d’éditeurs mettant à disposition des solutions sur ces quatre cas d’usage en lien avec la sécurité d’Active Directory.

Dernière mise à jour : avril 2023

DES OUTILS SPECIALISES, REPONDANT CHACUN A UNE PARTIE DE L’EQUATION

« AUDIT » : CARTOGRAPHIER l’AD ET IDENTIFIER SES VULNERABILITES POUR STRUCTURER UN PLAN D’ACTIONS

Avant de débuter toute action de renforcement de la sécurité, il est nécessaire d’identifier le point de départ, en établissant un premier état des lieux. Pour cela, réaliser un audit outillé permet de revoir les différents éléments de configuration de l’AD : protocoles obsolètes, version d’OS obsolètes, niveau fonctionnel non à jour, politiques de mots de passe, relations d’approbations avec d’autres forêts AD, comptes à privilèges, octroi de droits pouvant conduire à des chemins de compromissions, etc.

Ces outils sont classiquement utilisés par les équipes de sécurité offensive (internes ou externes), mais l’on observe de plus en plus une utilisation récurrente de ce type d’outils par les équipes chargées du MCO de l’Active Directory et par les équipes sécurité durant le projet, pour suivre la correction mois après mois, des vulnérabilités identifiées.

Pour une identification des vulnérabilités de l’AD, l’on pourra notamment se tourner vers des outils tels que PingCastle (open source), Purple Knight (Semperis), Group3r (open source), ADAnlyzer (Cogiceo) ou encore OAADS (Microsoft). S’agissant des chemins de compromission, l’on pourra recourir à BloodHound (open source) ou AD Control Path (open source, ANSSI).

Enfin, pour les opérateurs règlementés et de la sphère publique, l’ANSSI propose le service Active Directory Security (ADS) [3], afin d’aider les opérateurs critiques à évaluer leur niveau de sécurité.

À noter que toutes les solutions d’audit ont en commun la production de rapports de sécurité sur les différents éléments revus, avec parfois un score de maturité (pouvant être basé sur les points de contrôle Active Directory mis à disposition par l’ANSSI [4]) et des indications techniques quant à la correction à appliquer. Il s’agira ensuite, pour les équipes cybersécurité, d’analyser et de mettre en perspective les différentes vulnérabilités à la lumière du contexte de l’entreprise (e.g. domaines prioritaires, adhérences avec d’autres projets en cours, trajectoire de sécurisation plus globales, etc.), d’établir un plan d’actions en identifiant au préalable les impacts associés à leur mise en œuvre, de prioriser le déploiement des actions correctrices et de s’assurer de leur caractère effectif.

« HARDEN & MANAGE » : RENFORCER LE NIVEAU DE SECURITE DE l’AD EN APPLIQUANT LES BONNES PRATIQUES

Maintenir le niveau de sécurité de l’Active Directory au quotidien n’est pas trivial. En effet, chaque jour, des changements sont apportés à différents niveaux (e.g. création de comptes, ajout de comptes à des groupes, octroi de droits à des comptes, modifications de GPO, modification de politiques de sécurité, etc.), pouvant, dans certains cas, exposer l’Active Directory plus que ce que l’on ne le pense.

D’abord, détecter de vulnérabilités sans délai et sans réaliser d’actions manuelles peut s’avérer être un accélérateur, si une gouvernance adéquate y est associée, afin de traiter les alertes remontées. Pour cela, des outils tels que Tenable.ad (Tenable), Directory Services Protector (Semperis) ou Security Compliance Toolkit (Microsoft) permettent d’offrir une visibilité en temps réel des vulnérabilités, permettant une plus grande réactivité dans la remédiation. Il est à noter que certaines organisations font le choix d’utiliser des outils d’audit qu’ils exécutent très régulièrement (i.e. plusieurs fois par mois), et identifient et traitent le delta.

De plus, un ensemble d’outils existent pour améliorer la visibilité globale, simplifier la gestion au quotidien et ainsi renforcer la sécurité ou encore permettre d’identifier des modifications de configuration menées. Par exemple, AD Audit Plus (Manage Engine) ou DatAdvantage for Directory Services (Varonis) permettent d’obtenir tous les détails concernant un changement effectué et d’être notifié si besoin, Booster for Active Directory (Brainwave) ou Privilege Assurance (QOMPLEX) améliorent la visibilité générale de l’AD. Par ailleurs, la suite d’outils de Quest, ActiveRoles For Server pour compléter la gestion des délégations, Change Auditor pour identifier les changements de configuration et GPOAdmin pour garder une bonne maitrise des GPO peuvent compléter les outils à disposition de l’équipe chargée du MCO de l’AD.

Enfin, s’agissant de l’amélioration de la gestion des comptes à privilèges, l’on peut citer Stealthbits Privileged Activity Manager (Netwrix), qui met en œuvre une solution de PAM qui permet par exemple d’implémenter du just-in-time administration (octroyer des privilèges à un compte seulement pour une opération à réaliser et non pas de manière permanente).

« MONITOR » : DETECTER LES TENTATIVES DE COMPROMISSION AVANT QU’ELLES N’ABOUTISSENT

Les configurations de sécurité maintenant activées, Active Directory est plus difficile à compromettre mais il n’en est toutefois pas à l’abris. Il est donc fondamental de le surveiller continuellement, afin d’être en mesure de détecter les premiers signes d’une attaque.

En complément des scénarios de détection mis en œuvre dans le SIEM par les équipes du SOC, reposant sur la corrélation de logs préalablement collectés, des outils spécialisés peuvent compléter le dispositif. Ces derniers récupèrent des données directement sur les Domain Controllers soit via un agent soit via un compte, puis mènent leurs propres opérations de corrélation et de détection.

Dans cette catégorie d’outils, l’on peut citer Tenable.ad (Tenable), Directory Services Protector (Semperis), Falcon Identity Threat Detection (CrowdStrike), Ranger AD & Singularity Identity (SentinelOne) ou encore DatAlert (Varonis).

« RESPOND & RECOVER » : INVESTIGUER LES COMPROMISSIONS ET RECONSTRUIRE L’ACTIVE DIRECTORY

En cas de compromission partielle ou totale de l’AD, deux actions devront être menées rapidement et en parallèle :

• l’investigation, pour comprendre comment l’attaquant a procédé et quel est le degré de confiance que l’on peut avoir dans l’AD dans son état actuel ;
• la restauration / reconstruction de l’AD, selon le cas de figure.

Afin de mener les investigations requises, et de pouvoir tenter de remonter à la source de compromission initiale, l’on peut notamment citer l’outil ADTimeline (open source, ANSSI), qui permet de retracer, via les données de réplication, les modifications qui ont été faites sur un AD.

Reconstruire entièrement son environnement AD peut prendre plusieurs jours, voire plusieurs semaines, ce qui peut entrainer de lourds impacts à l’échelle de l’organisation. Minimiser ce temps peut se révéler vital dans certains cas. Certains outils permettant de réduire ce temps de reconstruction, l’on peut notamment citer Active Directory Forest Recovery (Semperis), qui automatise les opérations de la procédure de récupération de forêt de Microsoft ou Recovery Manager for Active Directory (Veeam) qui combine sauvegarde mise à l’abris d’une compromission et restauration en cas de besoin.

Il est à noter que certaines organisations font le choix d’externaliser (après chiffrement) la sauvegarde ainsi que d’automatiser et de s’entrainer régulièrement à la reconstruction, ou encore d’héberger un des Domaine Controllers de la forêt sur une plateforme tierce pour maximiser les chances de succès de la restauration, en diversifiant les moyens de sauvegarde.

QUID D’AZURE AD ?

Dans la mesure où beaucoup d’entreprise sont aujourd’hui dans un mode hybride, il convient d’intégrer au plus tôt Azure AD dans le périmètre du chantier de sécurisation. Sur ce périmètre, certains outils peuvent être cités :

• Sur la partie « Audit» : Microsoft 365 DSC, BloudHound (incluant maintenant une partie Azure AD)
• Sur la partie « Harden & Manage » : CoreView, Idecsi, les outils Microsoft (Azure AD Access Reviews, Azure AD Entitlement Management, Azure AD Privileged Identity management, etc.)
• Sur la partie « Monitor » : Azure AD Identity Protection, Microsoft 365 DSC
• Sur la partie « Respond & Recover » : Azure AD Identity Protection, Quest On Demand Recovery

POINTS IMPORTANTS AU SUJET DU RECOURS AUX OUTILS

Le déploiement d’un outil ne permet pas, seul, de renforcer le niveau de sécurité des environnements AD. Après son acquisition, il s’agit de ne pas négliger le reste à faire : définir et mettre en place la gouvernance (processus, modèle d’organisation, comitologie, pilotage, reporting, contrôle, amélioration continue, etc.) et les ressources dotées de la bonne expertise permettant de rendre effective l’amélioration de la sécurité (traiter les alertes, corriger les vulnérabilités, mener des actions d’amélioration continue, etc.).

Aussi, un ensemble de projets connexes à mener et de processus à revoir lors de chantiers de sécurisation AD, qu’il convient de ne pas sous-estimer : patch management, inventaire, rationalisation (limitation du nombre de domaines / forêts afin de faciliter leur maintien en condition de sécurité), revue de la stratégie de sauvegarde, entrainement à la reconstruction, construction d’infrastructure de restauration / nettoyage, etc.

Enfin, lors du déploiement de ces outils, il convient de rester vigilant à ne pas exposer davantage l’Active Directory : installation d’agents sur les Domain Controllers, ouvertures de flux réseau, octroi de privilèges à des comptes ou à des comptes de services, etc.

À PROPOS DE NOTRE MÉTHODE

Le radar a été construit sur la base d’un recensement des outils du marché. Sur cette base et en lien avec les thèmes récurrents de sécurisation de l’Active Directory, une catégorisation a été établie pour en faciliter la lecture.

La liste des outils mentionnés ne prétend pas être exhaustive, dans la mesure où la liste d’outils pouvant concourir de près ou de loin à la sécurité de l’Active Directory est vaste. Ce radar est donc une synthèse des principaux outils existants, notamment ceux que les consultants Wavestone rencontrent le plus dans les organisations (envisagés, étudiés, testés voire déployés).

[1] https://docs.aws.amazon.com/whitepapers/latest/active-directory-domain-services//active-directory-domain-services.html

[2] https://www.silicon.fr/avis-expert/repenser-la-securite-dactive-directory-a-lere-du-cloud

[3] https://www.ssi.gouv.fr/actualite/le-service-active-directory-security-ads-accompagner-la-securisation-des-annuaires-active-directory-des-acteurs-critiques/

[4] https://www.cert.ssi.gouv.fr/uploads/guide-ad.html

Cet article Radar des outils pour renforcer la sécurité d’Active Directory est apparu en premier sur RiskInsight.

Cependant, comment modéliser ces différentes données d’entrée de FAIR ? Comment se font les calculs sur les données ? Existe-t-il des outils pour faciliter leur obtention ou évaluer leur qualité, et quels efforts demandent-ils pour être mis en œuvre ?

Ayants vu précédemment dans quelle mesure la méthode de quantification du risque était digne de confiance dans son déroulement, voyons à présent comment la part inévitable de subjectivité peut être confinée, et quels facilitateurs peuvent aider à obtenir des résultats sûrs.

Le carburant de FAIR : les données

L’analyse du risque proposée par FAIR (selon le document de normalisation édité par l’OpenGroup[3]) est réalisée en quatre temps :

• Dans un premier temps, de façon assez classique, il s’agit de préciser le périmètre du risque en question (Scope the analysis) : l’asset (le bien sujet au risque), le contexte de la menace (agent et scénario), et l’évènement de perte (ou évènement redouté considéré sous l’angle des pertes) ;
• La deuxième étape (Evaluate Loss Event Frequency) consiste à collecter l’ensemble des données fréquentielles liées à l’évènement de perte (et donc intimement lié à l’agent de menace). Ceci consiste à collecter les valeurs de la branche de gauche dans l’arborescence ci-dessous.
• La troisième (Evaluate Loss Magnitude), en évaluant les couts, focalise sur l’asset. Il s’agit alors de chiffrer les différentes pertes primaires (c’est-à-dire les pertes inévitables en cas d’occurrence du risque) et secondaires (ou pertes éventuelles, ne se produisant pas systématiquement en cas d’avènement du risque). Ceci consiste à collecter les valeurs de la branche de droite dans l’arborescence ci-dessous.
• Enfin, la dernière étape (Derive and Articulate Risk) est le fusionnement des données obtenues conformément à l’arborescence FAIR par différents calculs, pour obtenir le résultat sous forme d’outputs exploitables.

Lien entre l’analyse et la taxonomie de FAIR

Sans aller plus dans le détail de la taxonomie, déjà abordé dans l’article présenté précédemment2, nous constatons que l’analyse standard d’un seul risque demande déjà sept données (correspondant aux éléments de la base de l’arborescence) :

1. Contact frequency;
2. Possibility of action;
3. Threat capability;
4. Resistance strength;
5. Primary loss magnitude;
6. Secondary loss magnitude;
7. Secondary loss event frequency.

Il faut ajouter à cela que FAIR invite à décliner les pertes (primaires et secondaires) en six catégories (facilitant ainsi l’estimation précise de ces données de pertes) :

• En pertes de production : liées à l’interruption du service produit par l’asset ;
• En cout de réponse : liées à la réponse à incident ;
• En frais de remplacement : liées au remplacement des constituants endommagés de l’asset ;
• En frais de justice : liées aux amendes et poursuites juridiques ;
• En perte d’avantage compétitif : liées à l’impact sur l’organisation dans son secteur d’activité ;
• En pertes de réputation : liées aux retombées sur l’image publique de l’organisation.

Comment modéliser correctement l’incertitude du risque ?

De plus, il est bon de se poser la question de ce qu’est concrètement une donnée FAIR.

En effet, il est trop réducteur de définir une donnée par une unique valeur chiffrée. Par exemple, si nous considérons l’attaque par rançongiciel : il serait incorrect d’affirmer qu’une occurrence de ce risque couterait exactement 475 k€[4] (illustrée par la courbe bleue sur le graphe 1).

Graphe 1 : Une distribution, un modèle plus réaliste qu’une valeur isolée

En revanche, ajouter de l’incertitude à cette donnée en l’accompagnant d’une borne minimale (qui pourrait être de 1 € dans notre exemple) et d’une borne maximale (de 300 M€ dans l’exemple), tout en gardant la valeur la plus probable énoncée précédemment, permettrait de modéliser beaucoup plus fidèlement la réalité (courbe violette du graphe 1).

Une donnée est alors définie par un minimum, un maximum et une valeur la plus probable (correspondant au pic de la distribution). Nous pouvons de plus noter qu’une telle distribution de probabilité est indépendante du type de valeurs considérées : il peut aussi bien s’agir d’une perte dans une devise quelconque (cf. l’exemple précédent), que d’une occurrence (par exemple, entre 1 fois par an et 1 fois tous les 10 ans, et une valeur plus probable autour d’une fois tous les deux ans), ou bien même d’un ratio (entre 30% et 70 %, plus probablement autour de 45%). Nous pouvons ainsi utiliser ces distributions pour modéliser toutes les données de la taxonomie FAIR.

Un autre avantage de la modélisation de l’incertitude par une distribution est de pouvoir régler finement le degré de confiance dans la valeur la plus probable, via le coefficient d’aplatissement de la courbe. Plus ce dernier sera élevé, plus la confiance dans la donnée sera grande (correspondant à un pic très marqué, cf. la courbe verte sur le graphe 2). En revanche, une donnée peu fiable sera modélisée par une distribution beaucoup plus homogène (cf. la courbe rouge sur le graphe 2).

Graphe 2 : Refléter le niveau de confiance à travers les distributions

Cependant, le fait d’utiliser des distributions plutôt que des valeurs fixes pose problème lorsqu’il s’agit de les combiner entre elles, ce qui sera nécessairement le cas lorsque nous effectuerons les calculs de l’arborescence FAIR. Comme nous pouvons en effet le constater sur le graphe 3 (l’addition de la distribution verte et de la rouge donnant la violette), l’addition de deux lois de distribution ne permet pas d’obtenir une distribution aussi ‘simple’ que les précédentes (elle ne suit plus une loi de probabilité dite log-normale). Cela est également le cas dans le cadre d’une multiplication (dont le résultat est également complexe).

Graphe 3 : addition de deux distributions.

Pour obtenir un résultat mathématiquement cohérent, la théorie des jeux nous donne un moyen simple : les simulations de Monte Carlo. Il s’agit en effet de discrétiser les distributions (la verte et la rouge du graphe 3), en un nombre prédéfini de valeurs aléatoires (appelé nombre de simulations), réparties de façon à correspondre à la distribution concernée. Nous pouvons ensuite combiner les distributions ainsi discrétisées en effectuant les calculs sur des paires de valeurs de chaque distribution. La nouvelle répartition pourra ensuite être approximée, et sera d’autant plus précise que le nombre de simulations sera grand.

Les caisses à outils artisanales pour automatiser FAIR…

Pour effectuer ces calculs permettant d’obtenir une valeur chiffrée du risque, des solutions ont émergé (principalement à partir de la méthode FAIR). Nous aborderons donc ici les avantages et inconvénients de ces outils, qui sont également cités dans l’article précédent1.

L’OpenFAIR Analysis Tool

La première que nous pouvons citer est l’OpenFAIR Analysis Tool[5]. Si cet outil a simplement un but pédagogique, il permet néanmoins de comprendre le fonctionnement de FAIR. Il est ainsi possible d’avoir une première application concrète de la méthode, et d’obtenir des résultats simplement (uniquement dans le cadre d’une analyse d’un risque isolé). Mis sur pied par l’université de San José (Californie) en collaboration avec l’OpenGroup, cet outil utilise une feuille Excel pour obtenir une évaluation du risque à partir d’un nombre prédéterminé de simulations, en respectant scrupuleusement la taxonomie FAIR.

OpenFAIR Risk Analysis Tool : un outil avant tout pédagogique

Très utile pour avoir un premier contact avec la quantification, l’outil reste cependant très limité en termes d’utilisation. Enfin, il faut noter qu’il n’est accessible que sous Excel et avec une licence d’évaluation limitée à 90 jours.

Riskquant

Pour une utilisation à plus grande échelle, le département R&D de Netflix a mis sur pied la solution Riskquant[6]. Il s’agit d’une bibliothèque de programmation Python, s’appuyant notamment sur tensorflow (un module python spécialisé pour le calcul statistique massif). La particularité de Riskquant est de proposer une quantification du risque inspirée de la taxonomie FAIR, mais ayant gardé une grande liberté dans son implémentation. Développée pour faciliter l’utilisation sur des conteneurs, elle permet par conception des évaluations très rapides à partir de fichiers csv.

Riskquant : une approche originale mais manquant de maturité

Cependant, le fait de n’avoir gardé de FAIR qu’une valeur unique de perte et une fréquence unique la rend peu exploitable, notamment dans le cadre d’une organisation qui chercherait à cadrer précisément ses risques. De plus, elle ne fournit à ce jour que peu de résultats exploitables et manque clairement de maturité. Enfin, elle semble à ce jour mise en sommeil depuis le 1^er mai 2020 (date du dernier dépôt sur la page GitHub de la solution).

PyFAIR

Pour finir ce paragraphe sur les solutions pouvant servir de base à une implémentation de FAIR, la bibliothèque PyFAIR est disponible sur le dépôt python officiel (téléchargeable via l’outil pip). Désormais mature, l’outil permet une décomposition du risque suivant la taxonomie FAIR. Il permet également d’alimenter l’arborescence à partir de valeurs intermédiaires, ou de regrouper des données pouvant servir à plusieurs risques (permettant par exemple des regroupements par asset ou menaces). Il est capable de calculer des risques globaux, et fournit des distributions facilement exploitables sous python, mais également des graphiques et des rapports HTML préformattés.

PyFAIR, une bibliothèque complète et efficace en Python

Bien qu’elle reste une boite à outil de programmation, demandant de fait une appétence et du temps pour développer et entretenir une solution en Python, PyFAIR est bien conçue. Elle facilite l’implémentation de FAIR en restant très proche de la taxonomie, et fournit des fonctions facilitant la mise en œuvre comme l’exploitation des résultats. Apte à être exploitée à plusieurs niveaux (i.e. en l’utilisant uniquement pour calculer des résultats à partir d’un paramétrage fin de FAIR et de Monte Carlo, ou bien en exploitant des fonctions de génération de rapports de haut niveau), elle permet d’envisager une utilisation de la quantification techniquement facilitée et à grande échelle.

Des plateformes ‘clé en main’ pour faciliter l’acquisition des données :

Néanmoins, la difficulté principale de FAIR reste, comme nous l’avons vu précédemment, l’obtention de données et leur fiabilité. Pour y faire face efficacement, la solution la plus efficace est de s’appuyer sur une plateforme intégrant une base de données de CTI.

Ces plateformes fournissent les valeurs de risque liées aux menaces (donc très peu dépendantes de l’entreprise). Elles accompagnent de plus le déploiement et la mise en œuvre de la méthode de quantification, notamment en la guidant pour l’obtention de données de pertes adaptées.

RiskLens

La première de ces solutions est la plateforme RiskLens[7]. Cette solution, directement issue de la méthodologie FAIR, a été co-fondée par Jack Jones. Elle sert de support technique au développement de la méthode, en lien avec le FAIR Institute. Ayant une approche technique de la méthode, elle porte son effort sur le respect des standards de l’analyse en général et de la définition du périmètre (première étape de FAIR) en particulier.

RiskLens, l’application de FAIR à la lettre

Néanmoins, il faut noter que d’une part, cette solution demande d’avoir des notions avancées dans la méthode FAIR pour être facilement utilisable. En effet, la plateforme n’apporte pas une véritable aide pour l’obtention des données (qui comme nous l’avons vu, reste la clé de voute de la quantification), partant du principe que la définition du périmètre suffit à définir précisément la donnée, et de ce fait de l’obtenir aisément. D’autre part, il s’agit d’une plateforme américaine, ce qui implique que l’interface (assez peu intuitive) est uniquement disponible dans cette langue, et que les données collectées sont alors assujetties à la réglementation américaine.

CITALID

La seconde plateforme dont nous ferons mention ici est la startup française CITALID, qui a adopté une approche fondamentalement différente. En effet, cette dernière, fondée par deux analystes de l’ANSSI, recherche par conception à lier la CTI à la gestion de risque. Ainsi, utilisant FAIR comme l’outil leur permettant de réaliser ce lien, elle fait effort sur la conception et le maintien d’une base de données disposant de chiffres solides et maintenus à jour pour suivre au plus près la situation cyber géopolitique locale et internationale.

CITALID, une base de données à haute valeur ajoutée

Cette dernière plateforme apporte un vrai accompagnement dans la définition et la collecte des données, permettant ainsi d’identifier précisément où subsiste la part de subjectivité indéniablement liée au risque. Disponible en français et en anglais, elle facilite la gestion du risque cyber en prenant en compte tous les paramètres de l’organisation (localisation, taille, secteur d’activité, niveau de maturité, conformité aux référentiels, etc.) pour fournir des données de contextes adaptées. En outre, et en plus d’une explicitation de chacun des champs de la plateforme, la startup accompagne ses clients dans l’obtention des données qui sont de leur ressort.

FAIR le premier pas…

Quoi qu’il en soit, la difficulté demeurera toujours de réussir la transition de l’estimation qualitative à l’estimation quantitative. Bien que des solutions puissent faciliter cette bascule, l’abandon d’une méthode maitrisée pour une nouvelle méthode reste un défi, malgré tous les bienfaits que cette dernière promet.

S’il fallait insister sur 3 points pour envisager ce changement, ceux-ci pourraient être :

• D’une part, de s’assurer d’avoir la maturité requise. La quantification demande d’avoir une bonne maitrise du niveau de sécurité du SI concerné, et de s’adosser à une méthode de gestion du risque préexistante et rodée. Si la quantification apporte des solutions pour chiffrer un risque, le provisionner ou estimer le ROI d’une mesure, il est cependant inutile (voire contre-productif) de s’engager sur cette voie trop tôt (sous peine au mieux de perdre du temps, au pire de dégrader la gestion de risque existante).
• Ensuite, d’avoir une approche progressive dans le déploiement de la quantification. Dans un SI mature disposant d’une gestion de risque stable, il est préférable d’adopter progressivement la méthode quantitative. Cela permet notamment de prendre confiance dans les estimations produites (éventuellement en le faisant coexister avec la méthode d’estimation qualitative) et d’assimiler la méthodologie, tout en assurant son intégration dans le processus existant de gestion du risque.
• Pour terminer, de s’appuyer sur l’expérience existante dans la collecte des données de risque cyber. La difficulté résidant dans l’obtention de données sûres, il est crucial (pour avoir confiance dans la méthode) de disposer de chiffres sûrs. Il semble alors judicieux de s’appuyer sur une plateforme qui peut fournir des données de qualité, et un appui dans la collecte des données internes. Celle-ci disposera de plus de l’expérience acquise par le déploiement de la méthode sur d’autres clients. La qualité des résultats fournis sera alors l’élément clé dans la confiance que l’organisation aura dans la méthode quantitative.

[1] https://www.riskinsight-wavestone.com/2020/11/estimation-quantifiee-du-risque-1-2-lodyssee-de-la-quantification/

[2] https://www.riskinsight-wavestone.com/2020/06/la-quantification-du-risque-cybersecurite/

[3] https://publications.opengroup.org/c13g

[4] https://www.sophos.com/fr-fr/medialibrary/Gated-Assets/white-papers/sophos-the-state-of-ransomware-2020-wp.pdf

[5] https://blog.opengroup.org/2018/03/29/introducing-the-open-group-open-fair-risk-analysis-tool/

[6] https://netflixtechblog.com/open-sourcing-riskquant-a-library-for-quantifying-risk-6720cc1e4968

[7] https://www.risklens.com/

Cet article Estimation quantifiée du risque (2/2) : Quelles données, quels outils ? est apparu en premier sur RiskInsight.

Paradoxalement à cela, seulement 35 % des organisations considèrent comme efficace leur processus de gestion de la sécurité des fournisseurs (selon une étude menée par l’institut Ponemon).

Alors, comment définir une stratégie efficace de gestion de la sécurité de vos fournisseurs ? Quels sont les facteurs clés de succès ?

Adopter une stratégie de gestion des fournisseurs par les risques

Qu’il s’agisse de partenaires métier, de sous-traitants ou de prestataires de services informatiques, nombre de vos fournisseurs gèrent ou ont accès à vos actifs. Ils constituent une source de risques pour votre organisation et il est donc clé de vous assurer qu’ils s’engagent à respecter un niveau de sécurité conforme à vos exigences.

Selon le périmètre métier sur lequel vos fournisseurs interviennent et le type de service qu’ils fournissent, le niveau de risque pour votre organisation est plus ou moins élevé. Notre recommandation est donc de classifier vos fournisseurs afin d’adapter la manière de gérer la sécurité selon le niveau de risque qu’ils portent.

Vos fournisseurs pouvant se compter en milliers, cette classification vous permettra également de prioriser et de garder une charge de travail acceptable pour vos équipes.

Pour ce faire, notre premier conseil est de cartographier vos fournisseurs. Nous remarquons sur le terrain que peu d’organisations possèdent une cartographie exhaustive et que sa réalisation constitue un projet fastidieux qui nécessite l’intervention de nombreux acteurs (achats, département juridique, métier…). Ainsi, nous vous conseillons de commencer par définir un processus pour capter vos nouveaux fournisseurs ainsi que de recenser en priorité vos fournisseurs intervenant sur des activités métiers identifiées comme critiques dans vos BIA (Business Impact Assessment). Ensuite, vous pourrez élargir progressivement aux autres fournisseurs.

À partir de cette cartographie, vous pourrez évaluer la criticité sécurité de vos fournisseurs et les classifier selon une échelle à plusieurs niveaux. Pour cela, nous vous suggérons de notamment prendre en compte les critères suivants :

• La criticité métier du projet ou de l’actif sur lequel le fournisseur intervient ;
• Le degré d’interconnexion du fournisseur à votre SI ;
• L’accès du fournisseur à des données sensibles ou confidentielles ;
• L’exposition du service fourni sur Internet.

Cependant, nous constatons auprès de nos clients qu’il n’est pas toujours évident d’appliquer ces critères par manque d’informations sur certains fournisseurs. Ainsi, nous vous suggérons de faire valider « à dire d’expert » votre classification par vos équipes sécurité, vos responsables informatiques et votre métier.

Exemple de classification sécurité des fournisseurs, selon une échelle à 3 niveaux

Intégrer la sécurité tout au long du cycle de vie

Nous constatons sur le terrain que la plupart des organisations évaluent leurs fournisseurs avant de contractualiser et intègrent des clauses de sécurité dans les contrats. Toutefois, la sécurité des fournisseurs n’est pas toujours prise en compte par la suite.

Nous recommandons d’intégrer la sécurité tout au long du cycle de vie des fournisseurs en les responsabilisant et en adoptant une position de contrôle.

Cycle de vie de la gestion des fournisseurs

Durant la contractualisation

Durant la contractualisation, l’objectif est de s’assurer que le fournisseur choisi par votre métier réponde à vos exigences de sécurité. Pour ce faire, nous vous conseillons d’intégrer la sécurité lors de chaque étape du choix d’un fournisseur :

• Inclure la sécurité dans vos appels d’offres, c’est-à-dire expliciter vos exigences de sécurité et vos modalités d’évaluation ;
• Évaluer le niveau de maturité sécurité des fournisseurs dans le cadre de l’analyse des réponses à l’appel d’offres ;
• Fournir une recommandation de sécurité à votre métier en fonction de la sensibilité du projet et du risque porté par le fournisseur ;
• Inclure dans le contrat avec le fournisseur choisi des clauses de sécurité adaptées à sa criticité et au service fourni.

Pendant la durée du contrat

Afin de s’assurer que vos fournisseurs garantissent un niveau de sécurité conforme à l’état de l’art et respectent vos exigences de sécurité pendant toute la durée du service fourni, nous suggérons de :

• Intégrer vos fournisseurs dans vos méthodologies d’analyse de risques lorsqu’ils interviennent sur un projet. Ceci est d’ailleurs mis en place dans la méthodologie EBIOS RISK MANAGER qui permet de recenser l’ensemble des parties prenantes intervenant sur un projet puis d’établir un plan d’actions de mise sous contrôle de l’écosystème. Un suivi de l’implémentation de ces mesures doit être mené auprès du fournisseur ;
• Mettre en place des revues de sécurité à des fréquences adaptées aux risques et donc au niveau de classification du fournisseur. Ainsi, les fournisseurs les plus critiques pourront être revus a minima annuellement tandis que les moins critiques le seront uniquement lors du renouvellement du contrat ;
• Définir au sein de votre organisation un processus dédié à la gestion des incidents de sécurité impliquant un fournisseur et disposer de fiches réflexes sur les incidents avec des tiers ;
• Auditer le fournisseur en cas de besoin (par exemple à la suite d’un incident de sécurité majeur ou de l’identification d’un risque critique).

À la fin du contrat

Un renouvellement de contrat constitue une occasion pour réaliser une nouvelle évaluation de la posture sécurité du fournisseur et éventuellement mettre à jour les exigences contractuelles.

En cas d’arrêt du contrat, vous pourrez activer vos clauses de réversibilité et il est important de vous assurer que la sécurité est bien prise en compte dans le décommissionnement du service fourni.

Industrialiser l’évaluation des fournisseurs grâce à des solutions du marché

Nous constatons sur le terrain que beaucoup d’organisations évaluent et contrôlent la sécurité de leurs fournisseurs à l’aide de questionnaires propriétaires, non automatisés et qui nécessitent de nombreuses ressources externes. De plus, les fournisseurs de taille importante peuvent refuser de remplir ces questionnaires tandis que les plus petits ne répondent pas toujours correctement.

Par ailleurs, nous remarquons également que très peu d’organisations ont pour le moment adopté une approche d’évaluation massive.

Afin de rationaliser l’approche, nous vous suggérons donc d’abandonner ces solutions d’évaluations historiques pour adopter des solutions adaptées au niveau de criticité des fournisseurs et pouvoir passer à l’échelle.

Pour les fournisseurs les plus critiques

Nous conseillons d’opter pour une démarche d’évaluation co-constructive avec vos fournisseurs les plus critiques, tout en adoptant une position de contrôle. Ceci se traduit par les actions suivantes tout au long du cycle de vie :

• Evaluer vos fournisseurs les plus critiques sur la base de leurs certifications cybersécurité et de leurs rapports de conformité sur le périmètre du service fourni ;
• Etablir un Plan d’Assurance Sécurité contractuel afin de définir la gouvernance sécurité de la prestation ;
• Organiser des revues de sécurité (a minima annuelles) pour contrôler le niveau de sécurité de vos fournisseurs sur la base des indicateurs définis dans le Plan d’Assurance Sécurité (maintien des certifications, incidents de sécurité, audits, roadmap sécurité…). Ces comités sont également l’occasion d’instaurer une relation de confiance avec vos fournisseurs, par exemple en discutant des actualités et évènements de sécurité ainsi que des conférences que vous pourriez faire en commun.

Pour les fournisseurs présentant une criticité moyenne à faible

Afin d’adopter une approche massive dans l’évaluation et la revue de la sécurité de vos fournisseurs non critiques, des solutions du marché peuvent être utilisées.

En effet, des éditeurs et des startups (tels que CyberVadis, CyberGRX, Risk Ledger) sont positionnés sur l’industrialisation des évaluations de sécurité des fournisseurs. Ceci fera l’objet de l’un de nos prochains articles.

Leurs solutions sont basées sur des questionnaires de maturité dont les résultats sont partagés entre l’ensemble de leurs clients. Plus concrètement, ces plateformes fonctionnent de la manière suivante :

Fonctionnement des solutions d’évaluation de la maturité d’un fournisseur

Bien que ces solutions soient pour le moment peu personnalisables selon des exigences spécifiques à votre organisation, elles vous permettront notamment de :

• Obtenir des évaluations de sécurité adaptées à des fournisseurs non critiques ;
• Réduire la charge de vos équipes sécurité ;
• Partager les évaluations fournisseurs avec d’autres clients et donc pouvoir disposer très rapidement d’évaluations déjà réalisées ;
• Adopter une approche gagnant-gagnant avec vos fournisseurs qui partageront un unique questionnaire pour l’ensemble de leurs clients et se verront proposer des plans d’actions afin de remédier aux écarts constatés ;
• Vulgariser la sécurité des fournisseurs auprès de votre métier ou de vos équipes achat grâce à des scores didactiques sur différentes thématiques.

S’assurer de l’efficacité de votre processus de gestion de la sécurité des fournisseurs

Des interlocuteurs métiers aux chefs de projets informatiques et en passant par les équipes achats et juridiques, la gestion de la sécurité des fournisseurs implique un nombre important d’acteurs de votre organisation. Elle ne peut être un succès que si votre processus est connu et appliqué par tous. Ainsi, il est clé de former et sensibiliser l’ensemble des parties prenantes.

Afin de s’assurer de la bonne mise en application de votre processus, il est important de définir et mettre en place des contrôles couvrant l’ensemble des étapes du cycle de vie de gestion des fournisseurs. Dans un premier temps, nous vous recommandons de définir des cibles réalistes en vous concentrant sur vos fournisseurs les plus critiques. Au fil du temps, ces cibles pourront évoluer pour prendre en compte vos fournisseurs présentant des niveaux de criticité plus faibles.

Vos contrôles peuvent notamment porter sur la classification de vos fournisseurs, leur évaluation ainsi que leur revue à une fréquence adaptée pendant la durée du contrat.

Inscrire la sécurité des fournisseurs dans une démarche « Know Your Supplier »

A la manière de la démarche KYC (Know Your Customer) dans le B2C, nous suggérons d’inscrire la sécurité des fournisseurs dans un esprit KYS (Know Your Supplier) où l’objectif est de prendre en compte l’ensemble des risques fournisseurs de manière consolidée.

Les évaluations de sécurité et notamment les plateformes d’évaluation de maturité pourront être intégrées au sein des outils de gestion des fournisseurs (source to contract), au même titre que notamment les évaluations financières, RSE, impact environnemental, anti-corruption et anti-blanchiment d’argent. Ceci permettra de faciliter l’intégration de la sécurité dans vos processus de sourcing et de revues des fournisseurs.

Rendez-vous au prochain épisode pour un article sur les solutions du marché permettant d’automatiser l’évaluation de la sécurité de vos fournisseurs.

Cet article Comment définir une stratégie efficace de gestion de la sécurité des fournisseurs ? est apparu en premier sur RiskInsight.

Aujourd’hui, l’enjeu majeur de la cybersécurité réside essentiellement dans la formation des collaborateurs. L’erreur humaine est impliquée dans plus de 90 % des incidents de sécurité (clic sur un lien de phishing, consultation d’un site Web suspect, activation de virus ou autres menaces persistantes avancées).

Il devient urgent de trouver des moyens efficaces afin de former chaque collaborateur. Pour ce faire, le numérique reste le format idéal pour parvenir à sensibiliser rapidement le maximum de personnes au sein des entreprises.

Dès lors, quels outils peuvent être mis en place afin d’impliquer différents publics, dans cette période où la transformation digitale bouleverse les codes ?

Le rapport au distanciel

Jusqu’à aujourd’hui, il était habituel de faire des actions de sensibilisation au travers d’interventions physiques. Mais au vu de la situation sanitaire, il devient très compliqué d’organiser des sessions en présentiel.

Les actions et jeux de sensibilisation utilisant des cartes ou des plateaux sont difficiles à virtualiser. En revanche, les Escape Games sont plutôt simples à développer sous format digital. Des outils comme Genially ou Bfast accélèrent la création de jeux en ligne grâce à leur facilité de prise en main. En quelques dizaines de jour, il devient possible de créer un jeu sur mesure en fonction des besoins de sensibilisation.

L’avantage du format numérique se trouve dans la simplicité à adapter/changer/mettre à jour les outils. Ainsi, les outils développés sous format numérique seront toujours à l’ordre du jour et même spécialement adaptés pour une occasion particulière.

Adapter les outils au public

La clé pour plaire à tout le monde c’est de s’adapter à tout le monde.

Il n’est pas possible de créer 1 seul outil qui conviendra à toutes les populations visées par votre campagne de sensibilisation. Le but est d’avoir plusieurs outils différents ou bien de pouvoir adapter facilement l’outil à chaque nouvelle population cible.

Si l’on reprend l’exemple de l’Escape Game, le format numérique permet de créer plusieurs jeux de différents niveaux. En gardant le même scénario, il est possible de modifier le nombre d’énigmes, d’ajouter des indices ou encore de rallonger le temps de jeu afin de l’adapter au degré de connaissance des joueurs. Le tout en quelques clics.

Le format numérique: une sensibilisation à moindre coût

Les budgets affectés à la cybersécurité et à la sensibilisation des collaborateurs sont souvent trop faibles par rapport aux besoins des entreprises. Malgré tout, il existe des moyens de sensibiliser les collaborateurs à faible coût.

La transformation digitale s’opère aussi dans l’éducation. De nombreux sites et plateformes en ligne permettent de créer des présentations et jeux ludiques rapidement. Genially, une plateforme de création de contenu interactif, est un bon moyen de créer ce genre d’outil. Très facile à prendre en main, son utilisation ne nécessite aucun savoir-faire particulier.

Aujourd’hui, la création d’un escape game en ligne est réalisable en 30 jours par un seul développeur. Ces 30 jours comprennent la phase de réflexion autour du scénario, le développement du jeu ainsi que les phases de test.

Un dernier avantage, et non des moindres, se trouve dans l’efficacité du jeu digital. Grâce à la version numérique de l’escape game, plus besoin d’animateur et de créneau pour chaque session. L’accès au jeu se fait par un lien, disponible à tout moment. Ainsi, former 1 ou 1000 collaborateurs revient au même prix.

La sensibilisation du futur se joue essentiellement sur l’approche numérique. Avec un développement rapide, à faible coût, adaptable à tous les niveaux et faisable à distance, l’Escape Game digital sera bientôt le nouvel outil phare des campagnes de sensibilisation.

Cet article Comment concevoir la sensibilisation du futur ? est apparu en premier sur RiskInsight.

Mais les résultats de ces démarches sont très hétérogènes. Définir des processus n’est pas une fin en soi et il faut continuellement en vanter les apports. Comment gagner en légitimité auprès des opérationnels et du management ? Quel timing adopter pour réussir les déploiements ?

Avancer pas à pas pour atteindre les objectifs

Une énergie considérable est nécessaire pour définir des pratiques idéales, conformes à l’état de l’art et aux besoins. Cet effort est souvent réalisé au détriment d’une réflexion sur l’applicabilité effective des processus. À l’inverse, chercher à adopter une démarche rapide top-down  de transformation des processus peut avoir pour effet de frustrer les opérationnels en les privant d’un temps de compréhension et d’apprentissage.

Par ailleurs, les « bibles » de référentiels de processus sont rarement consultées et souvent complexes à comprendre. Aussi, s’il faut déterminer une cible idéale, il ne faut pas perdre du temps à l’élaborer dans ses moindres détails. Progresser en « gagnant du terrain » est déjà un bon objectif.

Il est donc conseillé d’appliquer 3 règles d’or :

• Définir un socle d’exigences pour lesquelles le management doit être intransigeant.
• Laisser une marge d’adaptabilité aux besoins spécifiques et promouvoir une démarche collaborative d’amélioration continue du processus.
• S’assurer que les processus sont atteignables c’est-à-dire compris, applicables et mesurables.

Le résultat de déploiements de processus se mesure ainsi par l’atteinte d’améliorations concrètes sur le terrain.

Une gestion de projet par exemple n’est pas conçue de façon identique qu’il s’agisse d’infrastructures ou d’applications. Cependant, le socle de pratiques communes peut se limiter à la définition de l’ossature commune du processus ainsi que l’intégration de normes imposées par le contrôle interne ou encore la sécurité. L’application du processus encourage ainsi les travaux transverses et permet aux acteurs de s’assurer de respecter l’ensemble de la règlementation.

Réussir la conduite du changement, c’est aussi s’assurer que les acteurs savent et peuvent faire ce qui est leur est demandé. Aussi, il est essentiel de mener une réflexion parallèle sur le déploiement des bons outils permettant d’appliquer et de suivre le changement. Un outil de gestion de projet et de portefeuille par exemple doit non seulement offrir des opportunités d’amélioration du processus mais aussi agréger des données pour mesurer l’activité de la DSI. Les indicateurs permettent aussi de s’assurer du soutien managérial nécessaire dans la durée.

Poser la gouvernance après les premières évolutions

Cette approche des « petits pas » se fera au détriment de l’impact que peut avoir un grand projet marquant les esprits. Il faut compenser cela par une communication claire et régulière sur les objectifs et les acteurs. Pour ne pas perdre de crédibilité au gré des déploiements qui se suivent et des processus qui ne sont pas définis dans leurs moindres détails, la démarche d’amélioration continue des processus doit être partagée et admise par tous.

L’équipe processus transverse chargée de faire vivre cette transformation dans la durée doit donc affirmer son identité, animer la communauté d’un tissu de contributeurs et intégrer aux travaux les acteurs les plus influents et ceux ayant développé des « outils maison ». Il est d’ailleurs conseillé de commencer par fédérer autour d’un processus concernant plusieurs acteurs sur plusieurs sujets comme la gestion des demandes clients et d’investir dans des moyens de communication à décliner pour chaque déploiement (newsletters, outils collaboratifs, livrets synthétiques imprimés, etc.)

Avec sa montée en notoriété progressive, « l’équipe processus » devient naturellement un centre de services pour les entités ayant besoin d’un appui sur le sujet. Lorsque les premiers déploiements ont fait leurs preuves, son intervention devient naturellement indispensable pour la légitimation de l’ensemble des initiatives et la garantie de prise en compte des aspects transverses.

La démarche processus s’ancre progressivement dans les pratiques. L’élaboration d’un référentiel de processus, d’une cartographie et de normes de formalisation partagées devient alors nécessaire pour maîtriser les transformations et leurs impacts.

Le déploiement de processus communs n’est effectivement pas une fin en soi mais la mise en commun de moyens, de pratiques et d’outils de mesure permet la production d’indicateurs transverses et un pilotage plus fin de l’activité. À ne pas négliger donc.

Cet article Évolution par les processus : quelles clés pour réussir ? est apparu en premier sur RiskInsight.