Comment les tests basés sur les risques transforment la sécurité dans les organisations réglementées
Pour de nombreuses organisations, les tests de pénétration en assurance cyber restent dans une logique bien connue. Un système doit subir un test annuel ; alors, quelqu’un soumet une demande. Le périmètre de travail est défini, examiné et approuvé, une commande est passée et le test est planifié, exécuté et rendu compte de ses résultats ; tout problème relevé est ensuite réévalué. Un an plus tard, le cycle recommence pour la plupart des systèmes.
Chaque étape a son propre sens. Ensemble, elles forment un processus lent, gourmand en ressources et, surtout, dépourvu de toute prise en compte des risques. Les tests se déroulent lorsque les procédures de passation permettent cela, et non lorsque des contrôles supplémentaires apporteraient la plus grande valeur ajoutée. De plus, la profondeur des tests appliqués à un système dépend souvent peu de sa pertinence pour l’organisation.
Chez Resillion, nous travaillons avec une organisation du secteur public pour changer cette situation. Nous avons une expérience confirmée de la combinaison de compétences provenant de l’ensemble de notre entreprise, ainsi que des années d’innovation et d’amélioration continue, et ce travail s’appuie sur ces deux éléments. Les résultats montrent ce que l’assurance peut accomplir lorsque celle-ci est conçue en fonction des risques plutôt que du calendrier des appels d’offres.
Une assurance difficile à défendre
L’un de nos clients opère dans l’un des environnements les plus rigoureusement réglementés du Royaume-Uni. Ses dispositifs de sécurité informatique sont évalués par le régulateur du secteur en fonction de ses Principes d’évaluation de la sécurité, qui exigent des organisations de démontrer que leur activité de certification est efficace et proportionnée au risque.
Le modèle d’évaluation existant rendait cette tâche plus difficile que nécessaire. La plupart des systèmes nécessitaient des évaluations annuelles, et chaque test traversait huit étapes distinctes de contrôle et d’approbation. Le personnel du client passait beaucoup de temps à gérer les engagements plutôt qu’à gérer les risques. De plus, il n’y avait pas de lien documenté entre la criticité d’un système et la profondeur des contrôles auxquels il était soumis, de sorte que la proportionnalité reposait sur des explications plutôt que sur des preuves.
Ce n’est pas un problème spécifique à une organisation. Les services centraux gouvernementaux qui travaillent dans le cadre de GovAssure, les opérateurs d’infrastructures nationales critiques selon le Règlement NIS et les organisations préparant le projet de loi sur la cybersécurité et la résilience du Royaume-Uni sont tous confrontés à la même question : pouvez-vous démontrer que votre démarche d’assurance correspond à vos risques ?
Laisser le risque diriger l’étendue
En collaboration avec notre client, nous avons conçu un modèle d’assurance basé sur les risques. Au cœur de ce modèle se trouve un outil de définition des besoins qui évalue la pertinence et le risque de chaque système et qui utilise cette évaluation pour déterminer le périmètre, l’étendue et la fréquence des tests.
Ce qui a rendu cela possible était la combinaison de trois domaines d’expertise de Resillion rarement combinés ensemble. Équipe de testage de Cyber Assurance Il a apporté une connaissance approfondie de la manière dont les attaquants ciblent les systèmes critiques et de la manière dont les tests doivent être planifiés et exécutés. Ingénierie de qualité L'équipe a apporté son expérience des tests continus dans la livraison de logiciels, où les tests sont intégrés dans chaque changement plutôt que de se dérouler à la fin. Et notre Gouvernance, Risques et Conformité (GRC) Les spécialistes ont apporté les connaissances en matière d’évaluation des risques et de réglementation nécessaires pour que toutes les décisions soient justifiables auprès des auditeurs et des autorités réglementaires.
Nous avons élaboré les critères d’évaluation lors de réunions communes rassemblant les parties prenantes du client ainsi que les trois équipes. Ces critères ont été alignés sur les principes réglementaires et sur l’attachement au risque propre au client, afin que chaque décision de cadrage soit fondée sur une base consensuelle et transparente. Avant de recourir à l’outil, nous avons effectué des tests sur une série de systèmes déjà testés afin de confirmer que leurs résultats étaient précis et acceptés par le client.
Nous avons ensuite mis en œuvre cette modification en un programme structuré de neuf axes d’action répartis sur quatre étapes. Nous avons commencé par comprendre l’état actuel : rationaliser l’inventaire des actifs et analyser des années de données historiques pour identifier les zones où le risque était réellement concentré. Ensuite, nous avons conçu une bibliothèque de cahiers des charges préalablement approuvés afin que les tests puissent être déployés rapidement sans avoir à répéter les mêmes approbations à chaque fois. Nous avons ensuite intégré ce modèle dans les opérations quotidiennes, en intégrant les tests aux processus de planification des ressources humaines et de gestion des projets. Livraison en continu du cycle de vie DevSecOps afin que des changements significatifs déclenchent automatiquement une assurance, et que des mesures correctives soient prises jusqu’à la fermeture vérifiée. Enfin, nous avons mis en place des indicateurs et une gouvernance pour soutenir le changement, avec une gestion du changement constante afin que le nouveau modèle devienne la manière dont l’organisation fonctionne.
Éfficacité sans compromettre l’indépendance
Un problème courant lié à la rationalisation de la certification est que l’efficacité pourrait compromettre l’objectivité. Nous avons conçu le modèle afin de renforcer l’indépendance, et non de la diminuer. Le périmètre est défini par les critères de risque convenus, et non par les testeurs, de sorte que personne n’est lié au résultat. Les conclusions sont communiquées sans filtrage selon une méthodologie standard de sévérité. Dans les cas où nous recommandons des mesures correctives, des tests de vérification sont effectués par un autre consultant, afin que nous n’approuvions jamais nos propres recommandations.
Les résultats
Les résultats sont significatifs. Notre client dépense désormais plus que 60% heures de moins de temps de travail sur les engagements de test. Les étapes de révision et d’approbation ont été réduits de huit à deux par engagement, avec la gouvernance intacte et le délai moyen entre la demande et le démarrage d'un test réduits de six semaines à deux.
De plus, les tests sont désormais prioritaires en fonction de leur importance et programmés en fonction de leur contribution la plus significative, notamment après des changements importants plutôt que seulement au cours d’un cycle annuel. De plus, une chaîne de contrôle est mise en place depuis l’évaluation des risques jusqu’à l’étendue des travaux, aux conclusions et aux mesures correctives vérifiées, ce qui permet au client de disposer d’éléments de preuve clairs quant aux processus d’assurance efficaces appliqués par l’autorité de réglementation.
Réduction du temps de test
Les étapes d’approbation sont réduites de 8 à 2 par engagement
le délai entre la demande et le début d’un test a été réduit à 2 semaines.
Pourquoi cela importe pour le secteur public
Pour les organismes du secteur public et les organisations réglementées, les avantages vont au-delà de l’efficacité.
La première est que l’audit et l’assurance deviennent beaucoup plus faciles à démontrer. Lorsque chaque test peut être lié à une évaluation des risques documentée, démontrer la proportionnalité à l’égard des auditeurs et des autorités de réglementation devient une question de présentation des preuves, et non de reconstruction du raisonnement.
Le deuxième est que les systèmes critiques reçoivent l’attention qu’ils méritent. Le ciblage basé sur les risques oriente les efforts de test vers les systèmes les plus importants, plutôt que de les répartir uniformément sur l’ensemble du parc informatique.
Le troisième est que des ressources internes rares sont libérées. Les équipes de sécurité et d’approvisionnement du secteur public sont souvent débordées, et il est possible de réduire le processus d’approbation de huit étapes à deux, tout en conservant les contrôles essentiels.
Enfin, l’assurance suit l’évolution des choses. Lier les tests au cycle de développement signifie que de nouveaux risques sont évalués dès leur apparition, plutôt que quelques mois plus tard lors du prochain test prévu.
Commencer
Les organisations envisageant un parcours similaire peuvent commencer par se poser quelques questions simples. Ont-ils une méthode consensuelle et documentée pour évaluer la criticités de chaque système, et peuvent-ils retracer l’étendue de chaque test jusqu’à cette évaluation ? Combien de phases d’approbation traverse un test de routine, et lesquelles de ces étapes gèrent-elles réellement le risque ? Et lorsque des changements importants surviennent, déclenchent-ils une assurance ou attendent-ils le prochain cycle annuel ? Si les réponses sont incertaines, il y a de la valeur et du temps à récupérer.
Nous avons depuis appliqué cette approche auprès d’autres clients de Resillion, avec des gains d’efficacité similaires. La garantie effective dépend autant de critères convenus, de la gouvernance et des preuves que de tests techniques. Lorsque ces éléments sont en place, les organisations peuvent tester de manière plus intelligente, consacrer moins de temps à la gestion des engagements et donner à leurs conseils d’administration et aux autorités de réglementation la confiance dont elles ont besoin.
Pour découvrir comment un modèle d’assurance continue fondé sur les risques pourrait fonctionner pour votre organisation, contactez L'équipe de Resillion Cyber Assurance.
