14 choses à savoir sur la conformité en sécurité informatique

Qu'est-ce que la sécurité informatique ?

La sécurité des technologies de l'information englobe de nombreux aspects :

• Évaluation des risques
• Planification
• Contrôles
• Processus
• Workflows

Tous impliqués dans la protection des ressources de l'entreprise :

• Ordinateurs
• Appareils mobiles
• Réseaux
• Services
• Données

De menaces néfastes aux activités commerciales :

• Sécurité physique
• Accès non autorisés
• Code malveillant
• Cyberattaques
• Violations de données

Qu'est-ce que la conformité en informatique ?

nom

conformité \kɔ̃.fɔʁ.mi.te\

1

a : état de ce qui est conforme à un désir, une demande, une proposition, un régime ou la coercition

b : respect des exigences officielles

C'est la définition b ci-dessus qui décrit le mieux la conformité en informatique. Dans cette définition, les « exigences officielles » désigne les lois et règlements que les organisations des secteurs concernés sont tenues respecter. Ces mandats ont pour but de garantir la protection des utilisateurs finaux lorsqu'ils utilisent leurs services.

Avant de nous attarder sur les lois et les bonnes pratiques, prenons un exemple simple de conformité en informatique : les informations médicales des patients doivent être protégées contre tout accès non autorisé sur les appareils mobiles. En protégeant les données médicales lorsqu'elles sont au repos, le chiffrement des volumes permet de se conformer à cette exigence.

Qu'est-ce qui distingue la conformité de la sécurité de la conformité informatique en matière de cybersécurité ?

On peut répondre un peu vite qu'elles sont assez semblables.

Mais on peut aussi se pencher plus en détail sur les objectifs de la conformité dans le domaine de la cybersécurité.

Nous venons d'expliquer ce qu'est la conformité informatique. La conformité en matière de cybersécurité, quant à elle, consiste à « respecter les exigences officielles » dans le but explicite d'établir le système le plus sûr possible.

On parle souvent de durcissement pour évoquer le renforcement de la sécurité à des fins de conformité réglementaire. Pour répondre aux critères de conformité, des normes et des cadres fournissent aux organisations des modèles pour atteindre le niveau de sécurité souhaité. Nous verrons plus loin les lois et normes en question ; disons pour le moment qu'en s'alignant sur les cadres de conformité, les entreprises réglementées peuvent renforcer leur posture de sécurité, protéger leurs utilisateurs, les appareils et leurs données sensibles, prévenir les menaces et atténuer les facteurs de risque.

Pourquoi la conformité de la sécurité a-t-elle une telle importance ?

Les lois qui prescrivent un ensemble minimum de protections pour les utilisateurs de processus métier identifiés s'appliquent à des secteurs précis. L'application de ces réglementations est stricte et n'est pas sujette à interprétation. Les entreprises des secteurs réglementés doivent se conformer à l'ensemble des réglementations en vigueur.

En raison de l'importance cruciale de ces régulations, les organisations qui les enfreignent, délibérément ou à leur insu, s'exposent à de lourdes pénalités.

La conformité de sécurité d'une organisation a des conséquences dans plusieurs domaines :

• Réputation et notoriété
• Opportunités commerciales et partenariats
• Recettes et finances
• Responsabilité juridique
• Opérations commerciales

Normes et lois de sécurité

Les lois et les règlements sont conçus pour protéger les utilisateurs, les appareils et les données des environnements réglementés. Les normes et les cadres, en revanche, visent à corriger les vulnérabilités de sécurité et guident les organisations dans leur parcours de mise en conformité.

Certes, les équipes informatiques et de sécurité ont toujours la possibilité de configurer des outils, des contrôles, des processus et des workflows de sécurité pour sécuriser les appareils de l'entreprise. Mais les normes et les cadres ont un avantage de poids : les solutions qu'ils préconisent sont généralement modelées sur les réglementations sectorielles. Cette approche systématique élimine les doutes et les conjectures dans la gestion de la conformité. Les administrateurs peuvent ainsi adopter et déployer des configurations de sécurité qui satisfont, voire dépassent, les exigences minimales stipulées dans les réglementations.

En d'autres termes, les normes et les cadres ont, en amont :

1. identifié les meilleurs moyens de sécuriser les ressources
2. maximisé les protections en fonction de l'OS
3. aligné les protections sur les exigences propres aux différents secteurs d'activités
4. appliqué les bonnes pratiques en matière d'informatique et de sécurité
5. simplifié le déploiement des configurations de durcissement
6. étendu la conformité à l'ensemble de l'infrastructure
7. uniformisé la mise en œuvre de la conformité

Réglementations mondiales communes

• Loi sur la portabilité et la responsabilité en matière d'assurance maladie (HIPAA)
• Lois sur les droits éducatifs et la vie privée de la famille (FERPA)
• Règlement général de protection des données (RGPD)
• Autorité de conduite financière (FCA)
• Loi Sarbanes-Oxley (SOX)

Normes et cadres communs

• Norme de sécurité des données de l'industrie des cartes de paiement (PCI-DSS)
• Projet Conformité de sécurité macOS (mSCP)
• Institut national des standards et de la technologie (NIST)
• Centre pour la sécurité Internet (CIS)
• Organisation internationale de normalisation/Commission électrotechnique internationale (ISO/CEI)

Bonnes pratiques en matière de conformité de la sécurité

1. Pour élaborer un plan de gestion de la sécurité efficace, obtenez le soutien de la direction et l'adhésion des parties prenantes.
2. Déterminez les réglementations qui s'appliquent à votre secteur d'activité, la région d'implantation de l'entreprise et la localisation de ses clients.
3. Réalisez une évaluation des risques afin d'identifier les vulnérabilités et d'établir le niveau de tolérance au risque dans l'ensemble de votre infrastructure.
4. Comprenez les exigences de conformité qui s'appliquent à la sécurité de votre organisation en procédant à un examen de la conformité avec des acteurs clés : service juridique, finance, fonctions métier et administration.
5. Utilisez les normes et cadres du secteur comme guide sur la voie de la conformité, et créez des bases de référence sécurisées qui réduisent la surface d'attaque.
6. Mettez en place des contrôles de sécurité pour prévenir les menaces, minimiser les risques et atténuer les vulnérabilités. Cherchez le juste équilibre entre gestion et sécurité grâce à une stratégie globale de défense en profondeur.
7. Instaurez une surveillance active pour recueillir des données télémétriques riches sur la santé des appareils et avertir les administrateurs en temps réel en cas de problème.
8. Concevez une stratégie de gestion des correctifs pour détecter les appareils non conformes. Cette stratégie doit vérifier les mises à jour des OS et des applications pour éliminer les vulnérabilités et les bogues connus.
9. Établissez des règles pour assurer le respect constant des exigences et une conformité holistique dans l'ensemble de l'infrastructure en couvrant également les appareils personnels utilisés en BYOD.
10. Décuplez la puissance des workflows grâce à l'automatisation pour minimiser les vecteurs de risque, systématiser la prise en charge des menaces connues, faciliter la détection de menaces inconnues et accélérer les tâches de correction.
11. Documentez l'intégralité de vos mesures dans le cadre d'un processus efficace de gestion du changement en incluant les ressources, les processus et les procédures de reprise après sinistre. Il faudra prévoir de tester les correctifs, les logiciels et les contrôles dans un environnement de test désigné, jamais en production.
12. Parallèlement à la surveillance continue et à la gestion du changement, réalisez des audits fréquents afin d'identifier en amont les éventuels problèmes liés aux contrôles, procédures et workflows.
13. Créez un programme de formation régulier destiné aux utilisateurs finaux pour les tenir informés de l'évolution des menaces. Organisez également des exercices réguliers pour évaluer les connaissances pratiques des utilisateurs, leur permettre d'identifier leurs points faibles et adapter les formations en conséquence.
14. Révisez régulièrement la documentation pour améliorer les plans de cybersécurité et de gestion de la conformité en vous appuyant sur les enseignements des processus d'amélioration continue, tout au long du cycle de vie des appareils et des logiciels.