Il y a 15 ans, lors de nos premiers travaux sur la mise en place de SOC chez nos clients, la définition d’une feuille de route était simple : mise en place d’un outillage puis collecte et analyse des logs des équipements de sécurité et des actifs critiques/exposés.

Cependant, de nouveaux enjeux liés à la décentralisation du SI, à l’évolution d’une menace toujours plus évoluée et également à la crise que nous traversons (généralisation du télétravail, baisse des budgets de cybersécurité…) doivent nous faire prendre conscience que le SOC doit se réinventer !

Impliquer (vraiment) tout le monde !

En refaisant l’histoire par le début, le SOC est géré par une population SSI qui a donc mis en place des mécanismes de surveillance sur des équipements SSI avec des use-cases SSI. Le résultat est mitigé, cela fonctionne plus ou moins bien et les chiffres de notre benchmark CERT sont là pour en attester : 167 jours en moyenne pour détecter un incident !

Les premières stratégies de détection étaient bien évidemment définies, challengées et validées par la filière SSI. Elles avaient pour objectif d’étendre de plus en plus le périmètre de surveillance via la collecte de toujours plus de logs (pares-feux, WAF…) et la mise en place de nouveaux équipements de surveillance (SIEM, sondes…).

Ce premier constat s’est fatalement retrouvé dans la majorité de nos conclusions d’audits de SOC : les objectifs sont mal définis et non alignés avec les attentes des clients du SOC (RSSI, DSI, métiers), entrainant une perte de confiance et de crédibilité.

Des exemples frappants permettent d’expliquer ce sentiment : manque de SLAs, périmètre mal défini, reporting trop bruts, non contextualisés et contenant des informations erronées…

Si vous ne voulez pas redéfinir une nouvelle fois votre stratégie SOC de manière peut-être partiale, l’organisation d’un séminaire est le bon exercice pour établir un nouveau point de départ. Toutes les parties prenantes doivent être présentes (équipes sécurité, DSI, clients du SOC…) et le but est d’adresser les principales problématiques :

• Redéfinition des objectifs : concentrer la surveillance sur des périmètres beaucoup plus restreints et faisables tant techniquement qu’humainement
• Clarification de la gouvernance : redéfinir le positionnement et le rôle du SOC dans l’organisation
• Refonte du reporting : partager les incompréhensions et les irritants des clients afin de remonter le bon niveau d’information

Nous avons pu constater que cette étape, indispensable au renouveau du SOC, permet de fédérer tout un ecosystème autour d’une cible commune.

Privilégier la qualité à la quantité !

Paradoxalement, bien que la surface d’attaque du SI ait augmenté de manière significative, la priorité est bien de restreindre le périmètre de surveillance pour se concentrer sur ce qui a réellement de la valeur.

Premièrement, dès lors que le périmètre fonctionnel de surveillance a été redéfini et validé par tous, la mission du SOC est de traduire techniquement ces nouveaux objectifs en scénarios de détection dans les outils. Pas besoin de réinventer la roue car de nouveaux Framework tels que MITRE ATT&CK permettent maintenant de recenser et matérialiser de manière claire les différents types d’attaques (techniques utilisées, exemples/références et suggestions pour la détection). L’objectif n’est bien évidemment pas de pouvoir couvrir toutes les techniques utilisables (330 au total) mais de prioriser les efforts sur ce qui permettra d’atteindre les objectifs.

De plus, un constat RH a également été remonté dans la plupart de nos audits : les équipes manquent de motivation, recul et autonomie pour apporter de la plus-value dans les opérations.

Ce constat entraine un fort turn-over car certaines tâches sont jugées peu intéressantes. L’objectif est de concentrer l’effort humain sur ce qui apporte réellement de la valeur ajoutée. Nous avons accompagné de nombreux clients dans l’implémentation d’outils de type SOAR (Security Orchestration, Automation and Response) permettant d’automatiser les tâches répétitives des équipes en charge de l’analyse et de la réaction. Ces outils sont extrêmement efficaces pour automatiser le traitement des attaques courantes, très rébarbatives (ransomware, phishing…) qui représentent une grande part des alertes.

Une fois ces mesures en place, les équipes peuvent alors être mobilisées sur des activités ayant une plus forte valeur ajoutée telles que la mise en place des tâches d’automatisation, les activités de Threat Hunting…

Et maintenant… s’améliorer et se challenger en continu !

Dès lors que toutes les fondations sont mises en place pour donner un nouveau souffle à son SOC, comment fait-on pour rester à la page ?

La réponse à cette question aurait été complexe il y a encore 5 ans mais de nombreux standards reconnus permettent dorénavant de pouvoir évaluer la maturité de son SOC dans une logique d’amélioration continue. SOC CMM est le parfait exemple car ce référentiel permet de pouvoir s’auto-évaluer à partir d’un ensemble de questions précises adressant toutes les problématiques en termes d’outillages et d’organisation. Cette méthodologie nous a permis d’accompagner des clients sur de nombreuses comparaisons avant/après.

Les opérations de Red Team ou Purple Team sont également d’excellents moyens permettant de challenger les dispositifs mis en place par rapport aux objectifs définis. Ces exercices permettent de mettre en avant des exemples concrets de vulnérabilités ainsi que des recommandations précises pour y remédier. De plus, le Framework MITRE ATT&CK peut être utilisé pour consolider les tests effectués par type d’attaque, ainsi que leurs résultats.

Ces différentes initiatives ne permettent pas de traiter l’exhaustivité des problématiques que rencontrent le SOC actuellement mais permettent de souligner nos principaux constats : un SOC isolé, des outils mal configurés et des équipes démobilisées.

L’exercice de redéfinition d’une stratégie SOC est une formidable opportunité permettant de remobiliser tout un ecosystème sous une même bannière. Cette initiative permet de redonner du sens à la fois aux équipes opérationnelles mais également à toutes les parties prenantes de l’activité du SOC… Bref, il n’y a plus qu’à !

Cet article Le SOC est mort d’ennui, de fatigue, de mauvais positionnement ? Découvrez comment le réanimer ! est apparu en premier sur RiskInsight.

Bien définir le périmètre du dispositif

La définition du périmètre est l’une des actions clés à mener au départ, en regardant le dispositif sous tous les angles possibles.

• Axe organisationnel : se focalisera-t-on sur les projets d’un domaine particulier de l’entreprise, sensible par le nombre de ses projets, les objectifs stratégiques de l’entité, ou par ses ressources ? Étend-on le périmètre à un champ plus large de l’organisation (inter-domaines, l’entreprise, l’entreprise étendue…) ?

• Axe financier : les portefeuilles de projets intégreront-ils tout projet quel que soit son niveau de dépenses, se concentreront-il sur ceux allant au-delà d’un seuil minimum ? Intègrent-ils tous les investissements et leurs évolutions ?

• A quelle phase du cycle de vie des projets s’intéressera-t-on compte tenu des gains escomptables?

La phase d’instruction des projets candidats est probablement celle qui présente le plus fort potentiel : l’effort est alors concentré sur l’amélioration de la sélection des projets, sur l’optimisation des allocations de ressources, la régulation des demandes de projets. Mais suivre les engagements en cours de réalisation permet également de rechercher les optimisations envisageables entre les projets, de revoir les priorisations et les allocations selon leurs avancements, voire de décider des arrêts ou fusions de projets. La phase de retrait est également une source de gain non négligeable…

Il est possible, voire recommandé, de retenir un périmètre initial sur lequel la démarche sera expérimentée, pour progressivement l’étendre vers un périmètre cible.

Donner du sens à la démarche et mobiliser

Mettre en place de la GPP doit répondre à une stratégie, à une vision de la situation constatée et de l’objectif visé. Formaliser cette vision permettra de lancer une dynamique au sein de l’entité.

Elle favorisera la mobilisation indispensable des acteurs impliqués dans cette démarche. Des sponsors sont à identifier pour la promouvoir et suivre son déroulement.

Définir au préalable les résultats visés en fixant des objectifs quantifiables et pouvant être suivis à l’aide de quelques indicateurs pertinents et faciles à mesurer et à comprendre, donnera du sens à la démarche. C’est se donner les moyens de mesurer les progrès et d’identifier les besoins d’ajustement.

Arrêter les modalités de fonctionnement et de méthodes adaptés

Le fonctionnement de la GPP s’appuie sur des règles, des processus, des méthodes d’évaluation / de priorisation objective des projets, des outils de reporting qui doivent préalablement être définis, documentés et déployés.

Par contre, pour éviter tout risque de rejet de la part des chefs de projet, il faudra veiller à ce qu’un nombre limité d’informations soit à remonter de façon à ce qu’elles puissent être rapidement rassemblées par chacun d’eux, sinon le risque existe de ne pas disposer régulièrement de ces données ou de compromettre leur fiabilité. Par ailleurs, l’efficacité du dispositif tient au fait qu’aucun projet n’y échappe : en concevant le processus de GPP, veiller à ce que tout sponsor et chef de projet « gagne » à passer son projet dans la gestion de portefeuille (par exemple : meilleure prise en compte des alertes sur les moyens, simplification des reportings…).

Organiser les fonctions d’intégration et de support qui sont à assurer.

Compte tenu de l’organisation de l’entreprise, des pratiques existantes de GPP, de son mode de management, il sera nécessaire de décider du degré d’harmonisation et du rythme de convergence de ces éléments au sein de ses entités. Selon ces choix, il peut être intéressant de mutualiser certaines activités.

Dans le cas où la création d’une cellule spécifique PMO (Portfolio Management Office) est envisagée, celle-ci doit disposer des moyens et du soutien lui permettant d’assurer sa mission.

L’accompagnement au changement ne doit pas être négligé pour assurer la réussite de la démarche. Au-delà de la mise en œuvre d’un plan de formation des acteurs (chefs de projet, PMO, responsables de portefeuilles, membres des instances décisionnelles…) à ces processus et outils, il est indispensable de prendre en compte et d’accompagner les changements qu’induit la GPP dans la manière de gérer un projet. Ainsi, un projet n’est plus « autonome », la GPP appelle la mise en place d’une gestion partagée des ressources, elle exige peut-être davantage de transparence…

Ainsi, la mise en place une démarche de gestion de portefeuilles de projets, si elle offre aux directions un outil décisionnel indispensable pour optimiser leurs investissements et la mobilisation de leurs ressources, elle constitue néanmoins un projet d’ampleur non négligeable qu’il faut aborder en prenant la mesure de tous les aspects à traiter…dans le bon ordre…avant d’aborder la délicate question du choix de (s) outil(s)….

Mieux les objectifs, le périmètre de la GPP seront clairs, mieux ses processus et les critères de valorisation des projets seront définis, plus le choix pourra être adapté aux réels besoins de l’entreprise.

Cet article La gestion de portefeuilles de projets : se donner toutes les chances de succès dans la mise en œuvre ! est apparu en premier sur RiskInsight.

Un appui pour le management…

L’activité principale d’une cellule PMO est de consolider des données afin de réaliser le reporting du programme. Le suivi des 6 axes de pilotage (qualité, délai, coûts, risques, ressources et changements) apporte au management les éléments nécessaires d’aide à la décision. Mais limiter le rôle de la cellule à cette seule activité de coordination crée une distance avec les équipes opérationnelles. Cette distance limite la remontée d’informations fiables de la part des équipes et rend impossible toute conduite du changement efficace.

…mais également pour les acteurs opérationnels

La constitution d’une cellule composée d’équipes de pilotage et d’équipes de réalisation assure un pilotage efficace, sans perturbation de l’activité récurrente. De plus, l’autonomie de cette cellule permet de réaliser rapidement les arbitrages nécessaires et d’accélérer la prise de décision. Cette autonomie et cette indépendance dans la prise de décision augmentent le risque d’effet tunnel. Il devient alors indispensable de réaliser une conduite du changement forte auprès des équipes en fin de programme.

Le dialogue en réponse à la résistance au changement

La cellule PMO est souvent confrontée à la réticence des chefs de projet qui la perçoive comme un acteur interférant dans leur relation avec le management. L’ajout de ressources techniques à la cellule minimise ces résistances. Cette structure permet d’apporter le support nécessaire en termes de communication et de gestion du changement. Les équipes opérationnelles restent autonomes sur leur périmètre et disposent d’un relai opérationnel garantissant la cohérence technique. Ce relai restant toutefois éloigné des équipes, il ne peut pas garantir la fiabilité de l’avancement qui lui est remonté.

Imposer la légitimité de la fonction et assurer la perception de sa valeur ajoutée

Il est courant pour une cellule PMO d’être perçue comme une couche additionnelle « superflue » de la gestion de projet. Si la légitimité du PMO dépend en partie de son positionnement hiérarchique et de sa proximité avec le management, il est nécessaire d’asseoir son existence auprès des opérationnels. L’implication de relais dédiés dans les équipes opérationnelles permet de créer un lien fort avec la direction de programme. Il convient dès lors d’en faire un vecteur privilégié de communication pour l’ensemble des acteurs. Partager avec l’ensemble des contributeurs les synthèses réalisées permet de leur fournir la visibilité sur l’importance des informations qu’ils transmettent. Ces contacts réguliers permettront d’inclure les contributeurs lors de la construction des outils de pilotage, de prendre en compte leurs remarques et ainsi de s’inscrire dans une dynamique d’amélioration continue. En effet, au travers de ces contacts réguliers, la cellule PMO récupérera des clés de compréhension parfois absentes des reportings et autres échanges de mails. Cette proximité avec l’ensemble des acteurs permet à la cellule PMO d’être perçue comme un acteur du programme à part entière.

Pour assurer la pérennité de la fonction de PMO, il faut aller au-delà des fonctions « classiques » de coordination. Des alternatives existent telles que les « métarègles » décrites par F. Jolivet*. L’implication d’acteurs dédiés aux côtés des équipes opérationnelles permet d’imposer cette cellule comme un acteur nécessaire et reconnu de tous.

* « Manager l’entreprise par projets : Les Métarègles du management par projet », François Jolivet

Cet article Quelle place pour la cellule PMO dans les programmes de transformation ? est apparu en premier sur RiskInsight.