Sécurité

Ce que couvre ce rayon

Empêcher la prise de contrôle des systèmes et des comptes : identités et accès, protection des postes, gestion des vulnérabilités, secrets, surveillance des activités suspectes et réponse quand quelque chose arrive.

Les produits vont d’un contrôle unique à des plateformes couvrant tout un parc. Ce qui compte, c’est la couverture des chemins qu’empruntent réellement les attaquants, bien plus étroite que ne le laisse croire le marketing.

Le stockage des identifiants pour les équipes relève de la gestion des mots de passe. Les preuves d’audit et les référentiels relèvent de la conformité et GRC.

Acheter dans l’ordre qui correspond au risque réel

La plupart des incidents dans les petites et moyennes entreprises commencent à l’un de trois endroits : un mot de passe volé, un système non corrigé exposé à internet, ou quelqu’un persuadé par mail de faire quelque chose.

Cet ordre dit quoi acheter en premier. L’authentification multifacteur sur tout, surtout la messagerie et les comptes d’administration. Un moyen géré de maintenir les systèmes à jour. Une protection des postes avec visibilité centralisée plutôt qu’une licence qui dort sans surveillance sur chaque portable.

Les plateformes avancées valent la peine plus tard. Achetées en premier, elles génèrent des alertes que personne n’a le temps de lire, ce qui produit un coût sans protection.

L’identité est désormais le périmètre

Le contrôle d’accès est devenu la défense principale, car la frontière du réseau a perdu l’essentiel de son sens dès que le travail est passé dans les navigateurs et sur les téléphones.

• L’authentification unique, pour que les comptes soient créés et supprimés en un seul endroit.
• Le provisionnement, qui lie l’accès à l’emploi plutôt qu’à la mémoire.
• Des seconds facteurs robustes, avec des options résistantes à l’hameçonnage pour les administrateurs.
• Le moindre privilège, y compris l’élévation de courte durée au lieu de droits permanents.
• Le contrôle des sessions, pour qu’un jeton volé ait une durée de vie limitée.

Demandez comment le produit traite les comptes qui échappent à l’authentification unique. Toute organisation en a, et ce sont ceux qu’on oublie quand quelqu’un part.

Postes, vulnérabilités et maintenance fastidieuse

La protection des postes est passée du blocage des menaces connues à l’enregistrement des comportements, pour enquêter après coup. La question utile est ce qu’un analyste peut réellement faire : isoler une machine, récupérer un fichier, voir l’historique des processus, annuler une modification.

La gestion des vulnérabilités est moins exaltante et bouche plus de brèches. Ce qui compte n’est pas la longueur du rapport mais s’il hiérarchise selon l’exploitabilité et l’accessibilité, et si les correctifs peuvent être suivis jusqu’à leur terme plutôt que listés indéfiniment.

La cadence des correctifs l’emporte sur presque tous les autres contrôles de cette catégorie. Un outil qui vous dit ce qui manque sans vous aider à l’appliquer déplace le travail au lieu de le réduire.

Surveiller, et qui surveille

La collecte de journaux et les alertes ne servent que si quelqu’un réagit.

Avant d’acheter une plateforme, décidez qui lit les alertes à deux heures du matin et de quelle autorité il dispose. Si la réponse honnête est personne, un service managé est le meilleur achat, car il transforme un outil en réponse.

Fixez ensuite les attentes sur le bruit. Le volume ingéré fait le coût et les faux positifs font la lassitude : le réglage est donc un travail continu et non une tâche d’installation. Demandez à quoi ressemble le réglage dans le produit et comment la qualité des alertes est mesurée.

Les personnes, et le contrôle le moins cher qui existe

La formation et les simulations d’hameçonnage prêtent à moquerie et fonctionnent pourtant, parce que l’attaque qu’elles visent est la plus courante.

Gardez-les courtes, fréquentes et spécifiques aux situations que votre personnel rencontre vraiment. Associez-les à un moyen de signalement qui prend quelques secondes, et traitez un message suspect signalé comme une réussite plutôt qu’une interruption.

La tarification de cette catégorie va au poste, à l’utilisateur, au volume ingéré ou à l’analyse, les services managés facturant à part l’attention humaine. Modélisez le total en incluant cette attention plutôt que la seule licence, en gardant en tête les habitudes décrites dans ce que cachent les pages de tarifs.

À quoi ressemble le bon niveau, à trois tailles

Pour une entreprise de moins de vingt personnes, le bon niveau signifie que chaque compte est protégé par un second facteur, que les portables sont chiffrés et à jour, que les identifiants sont dans un coffre et qu’une personne s’occupe du sujet. C’est faisable sans équipe de sécurité.

À cent personnes, il s’y ajoute la gestion des identités, l’automatisation des arrivées et des départs, la détection sur les postes et un plan de réponse documenté que quelqu’un a réellement répété.

Au-delà, les questions deviennent organisationnelles plutôt que techniques : qui surveille les alertes, à quelle vitesse un compte compromis peut être contenu, et si les réponses tiennent à deux heures du matin un jour férié.

Ce qu’il faut remarquer, c’est que les dépenses échouent rarement parce qu’un outil était trop bon marché. Elles échouent parce que personne n’était responsable du résultat, ce qui relève d’une décision d’organisation et non d’achat.