Managed Security Services

Dans le cadre de la tran­si­tion numérique, en­tre­prises et or­ga­ni­sa­tions déplacent leurs activités vers des espaces virtuels et des réseaux nu­mé­riques. Si la structure y gagne en ef­fi­ca­cité, elle devient aussi plus vul­né­rable aux attaques ex­té­rieures. La question de la sécurité in­for­ma­tique devient alors un thème central pour elles. Il faut cependant garder en tête que l’approche proactive est une règle d’or. Mieux vaut empêcher les attaques en amont plutôt qu’avoir à réparer des dommages déjà causés.

Par habitude, la question de la sécurité in­for­ma­tique se gérait ha­bi­tuel­le­ment en interne. Le sujet restait cependant réservé aux grandes en­tre­prises, qui gèrent des centre de données avec des spé­cia­listes dédiés, les petites en­tre­prises faisant souvent l’impasse sur le sujet. Avec le temps, l’aug­men­ta­tion des attaques et la diversité des scénarios de menace, même les plus grandes en­tre­prises se sont re­trou­vées dépassées par la com­plexité du sujet.

Ce jeu du chat et de la souris, qui consiste à se protéger des cy­ber­cri­mi­nels organisés au niveau mondial, reste une solution coûteuse et con­som­ma­trice de res­sources. Une solution in­té­res­sante consiste à ex­ter­na­li­ser cette sécurité à des spé­cia­listes. Ces derniers four­nis­sent de meil­leures pres­ta­tions de manière plus efficace et à moindre coût. Nous allons voir ce qui se cache derrière l’ap­pel­la­tion « Managed Security Services ».

Les Managed Security Services (MSS ou services de sécurité gérés) sont des services de gestion et de garantie de la sécurité in­for­ma­tique des en­tre­prises ou d’autres or­ga­ni­sa­tions. Ces MSS sont fournis par des pres­ta­taires spé­cia­li­sés, appelés « Managed Security Service Providers » (MSSP). Parmi les plus grands MSSP, on retrouve les géants de l’in­for­ma­tique IBM, AT&T et Verizon, ainsi que des sociétés de conseil comme Accenture et Deloitte. Critère dé­ter­mi­nant des MSS : la pres­ta­tion doivent être confiés à un par­te­naire externe. En cela, les MSSP sont une forme spéciale de Managed Service Provider (MSP).

Avant d’examiner de plus près ces fameux Managed Security Services, faisons une courte di­gres­sion dans le monde de la sécurité in­for­ma­tique : la con­nais­sance des trois principes-clés de la cy­ber­sé­cu­rité permet de com­prendre plus fa­ci­le­ment le champ de tension entre les systèmes in­for­ma­tiques, les cy­ber­cri­mi­nels et les MSSP. Il s’agit de la con­fi­den­tia­lité, de l’intégrité et de l’ac­ces­si­bi­lité, souvent abrégées en CIA :

En principe, les four­nis­seurs de services de sécurité gérés (MSSP) four­nis­sent tous les services né­ces­saires au maintien de la sécurité in­for­ma­tique. Con­si­dé­rons à nouveau ces termes à travers le prisme de la sécurité de l’in­for­ma­tion :

Que font donc les MSSP ? Ils protègent les res­sources de manière proactive contre les attaques et les dommages, analysent les incidents, y réa­gis­sent et mettent à dis­po­si­tion des systèmes de gestion des alertes. Voyons main­te­nant en détail les services fournis par les MSSP.

En premier lieu, un Managed Security Services Provider (MSSP) est l’in­ter­lo­cu­teur pour toutes les questions relatives à la sécurité in­for­ma­tique du client. Dans le cadre de la pla­ni­fi­ca­tion stra­té­gique, le MSSP aide à définir les objectifs, à iden­ti­fier les risques et les op­por­tu­ni­tés. Le client profite de l’ex­pé­rience et des con­nais­sances spé­cia­li­sées du pres­ta­taire.

De manière spé­ci­fique, les MSSP sont en mesure d’expliquer les systèmes à mettre en place et comment les gérer. Cela inclut le matériel, les logiciels et la con­fi­gu­ra­tion. Certains de ces éléments sont fournis di­rec­te­ment par le MSSP, ce qui est souvent le cas aujourd’hui dans le Cloud ; sinon, le four­nis­seur gère les systèmes en place chez le client. En outre, les MSSP aident le client à mettre en œuvre les bonnes pratiques. Cela va jusqu’à la formation du personnel.

En plus de conseils proactifs, le pres­ta­taire de Managed Security Services in­ter­vient aussi en cas d’urgence. En effet, le mieux en cas d’attaque est une réaction rapide. En même temps, il est pré­fé­rable de ne pas céder à la panique, au risque de voir la situation se dégrader. Les spé­cia­listes ex­pé­ri­men­tés de Managed Security Services ont déjà vécu des scénarios qui tendent à se re­pro­duire. Ils peuvent évaluer les risques et donner des re­com­man­da­tions sur la meilleure façon de procéder.

Certes, l’as­sis­tance d’un pres­ta­taire de Managed Security Services vaut de l’or en cas de dommage pour une or­ga­ni­sa­tion, mais il est souvent déjà trop tard. Si des données sensibles ont été dérobées, il ne reste plus qu’à tenter de limiter les dégâts ; mieux vaut donc agir de manière proactive.

La base d’une approche proactive réside dans la pla­ni­fi­ca­tion pré­vi­sion­nelle et la sur­veil­lance continue des struc­tures critiques. Celles-ci incluent les systèmes in­for­ma­tiques tels que les terminaux, les en­vi­ron­ne­ments Cloud, le stockage des données et les réseaux. La sur­veil­lance des systèmes permet d’iden­ti­fier l’ap­pa­ri­tion de modèles suspects. Au moindre incident, des messages d’alerte sont envoyés. Les mesures de défense ou de sauvetage adéquates sont mises en place sur cette base.

La sur­veil­lance des res­sources in­for­ma­tiques demande des systèmes spé­cia­li­sés capables de générer des alertes en temps réel. C’est la seule façon de réagir à temps. En effet, des ten­ta­tives d’attaque ont lieu en per­ma­nence sur les réseaux in­for­ma­tiques. Même aux plus bas niveaux, on met en œuvre des mesures de défense au­to­ma­ti­sées, et en voici quelques-unes.

Les pare-feu filtrent en per­ma­nence les paquets non autorisés sur la base de règles statiques. Ils forment la base de la sécurité réseau. Ces pare-feu prennent la forme de matériels spé­cia­li­sés ou de logiciels. En outre, on utilise des systèmes de détection d’attaques : il s’agit de « systèmes de détection d’intrusion » (IDS pour Intrusion Detection Systems) ou de « systèmes de pré­ven­tion d’intrusion » (IPS pour Intrusion Pre­ven­tion System), ces derniers adaptant les règles de pare-feu en temps réel en réaction aux incidents détectés. IDS et IPS sont utilisés aussi bien dans le cadre du matériel réseau que sur les terminaux des uti­li­sa­teurs.

Moins glamour que la lutte contre les cy­ber­pi­rates, la gestion des mises à jour et des cor­rec­tifs n’en est pas moins im­por­tante. Une bonne gestion des cor­rec­tifs stoppe de nom­breuses attaques et constitue en cela un fondement de la stratégie de sécurité in­for­ma­tique. De plus, la gestion des mises à jour se laisse fa­ci­le­ment déléguer au pres­ta­taire de Managed Security Services. Comme de nombreux problèmes peuvent survenir lors des mises à jour, le pres­ta­taire qui effectue les mêmes updates pour de nombreux clients en sera informé et pourra agir en con­sé­quence.

Dans le cadre d’une approche proactive, les four­nis­seurs de Managed Security Services assument une autre fonction. Ils con­trô­lent les systèmes de leurs clients pour détecter les points faibles et les vul­né­ra­bi­li­tés. L’objectif est de minimiser la pro­ba­bi­lité de vio­la­tions de la sécurité ainsi que la gravité des dommages qui en découlent. Il existe dif­fé­rentes approches.

Lors d’un audit de sécurité, tous les domaines d’une or­ga­ni­sa­tion sont examinés afin d’iden­ti­fier les vul­né­ra­bi­li­tés. Outre les aspects tech­niques obli­ga­toires, l’accent est mis sur les facteurs or­ga­ni­sa­tion­nels et humains. Ensuite, les con­nais­sances acquises lors de l’audit sont utilisées pour iden­ti­fier les points faibles et in­tro­duire des amé­lio­ra­tions sur la base de con­clu­sions logiques.

En parallèle, les hackers bien­veil­lants, ou « White hat », tentent de neu­tra­li­ser ou de con­tour­ner les mesures de sécurité d’un système dans le cadre de « tests d’intrusion » (appelés pentest). Le pen­tes­ting utilise les mêmes approches et outils que ceux utilisés par les hackers dits « Black hat », mal­veil­lants. Si la cible a été piratée avec succès, les pen­tes­ters révèlent les failles ex­ploi­tées. Les systèmes sont ensuite renforcés sur la base de ces analyses pour être mieux protégés contre les attaques si­mi­laires d’acteurs mal­veil­lants.

Enfin, les four­nis­seurs de Managed Security Services (MSSP) aident leurs clients à se conformer à la ré­gle­men­ta­tion en vigueur et à appliquer au mieux les meil­leures pratiques. Ce thème est connu sous le nom de « Re­gu­la­tory Com­pliance » (ou con­for­mité). La sur­veil­lance de la con­for­mité du client par un le pres­ta­taire Managed Security Services s’appelle le « com­pliance mo­ni­to­ring » ou suivi de la con­for­mité.

La con­for­mité est d’une im­por­tance capitale, en par­ti­cu­lier pour les in­dus­tries critiques telles que la santé, les as­su­rances, les or­ga­ni­sa­tions ju­ri­diques et le secteur bancaire et financier. En effet, ce n’est qu’en ga­ran­tis­sant la con­for­mité qu’il est possible, en cas de dommage, d’éviter une perte d’image et le paiement d’im­por­tantes sommes de dommages et intérêts.

La promesse du recours aux Managed Security Services est d’atteindre un meilleur niveau de sécurité tout en réduisant les coûts. Les four­nis­seurs de Managed Security Services adoptent une approche sys­té­ma­tique de l’examen et de la gestion des questions liées à la sécurité. Leurs con­nais­sances spé­cia­li­sées dans le domaine de la sécurité con­tri­buent au respect des normes plus élevées dans ce domaine. Au besoin, le pres­ta­taire met à dis­po­si­tion le matériel né­ces­saire au respect de la sécurité.

La sur­veil­lance per­ma­nente de la sécurité permet de réagir de manière proactive en cas d’attaque. Les failles de sécurité sont décelées et corrigées en amont, les réseaux et les systèmes in­for­ma­tiques sont sur­veil­lés et les attaques bloquées au­to­ma­ti­que­ment. Le client profite de l’expertise d’un pres­ta­taire en sécurité ex­pé­ri­menté, au fait de l’actualité du secteur. Selon les exigences, les Managed Security Services peuvent se gérer fa­ci­le­ment à distance ou di­rec­te­ment sur place.

Côté client, il en résulte une réduction des coûts par l’économie de temps et de personnel. De plus, la con­cen­tra­tion sur l’activité prin­ci­pale induit une uti­li­sa­tion plus efficace des res­sources engagées. Les Managed Security Services proposent souvent dif­fé­rentes ca­té­go­ries de pres­ta­tions, pour des coûts de sécurité in­for­ma­tique trans­pa­rents et pla­ni­fiables. De quoi augmenter la sécurité tout en mi­ni­mi­sant les coûts.

Comme pour les secteurs de la santé et de la finance, le recours à un four­nis­seur de Managed Security Services spé­cia­lisé permet de garantir le respect des règles de con­for­mité. Ces derniers proposent des offres adaptées aux besoins des clients, pour des Managed Security Services né­ces­saires à un prix optimal.