EUROEDITION LG171

François Barret
une échelle de trois niveaux, «Activate»,
«Adapt», «Anticipate». «Activate» couvre
les fondamentaux, à savoir la gestion des
incidents, les contrôles techniques, la configuration
des droits d’accès aux données
selon les profils métier (IAM), et, enfin, la
création d’un centre de gestion de la sécurité
(SOC). Les sociétés à ce stade considèrent
toujours la sécurité comme un coût et
non comme un avantage concurrentiel.
Le niveau «Adapt» témoigne en revanche
déjà de la volonté de se tourner vers une
approche plus dynamique de la sécurité,
c’est-à-dire vers l’intégration de la sécurité
à son environnement, qui, comme on le
sait, évolue en permanence.
Pour atteindrele dernier niveau, «Anticipate»,
une société doit être en mesure de répondre
àcinq questions essentielles concernant
sa sécurité : «En tant que société, est ce
que je sais où se trouvent mes bijoux de
famille?», «En quoi sont-ils vulnérables par
le biais de mes processus métier?»,
«Comment peut-on les rendre inaccessibles
sans mon autorisation?», «Serai-je au courant
des attaques perpétrées à mon encontre?»,
«Est-ce que je me suis préparé à
répondre aux attaques et à en réduire les
impacts?». Il convient en outre d’organiser
une veille sécurité, qui passe par la collaboration
avec son environnement (par exemple
autres sociétés, CSIRT, etc.), et de mettre
au point des scénarios de défense adéquats.
Pour autant, la sécurité informatique a
un coût substantiel, et nombre d’entreprises
ne disposent pas de moyens
financiers ou humains suffisants pour
parer les cyberattaques potentielles.
Comment dès lors faire face à cellesci?
Certes, la sécurité a un coût. Il n’empêche
qu’il faut prévoir des scénarios pour réagir au
mieux aux attaques, et ce, en fonction des
moyens humains et financiers que l’on a à sa
disposition, et de la sensibilité des données
que l’on a à traiter.
Par expérience, nous constatons que les
menaces proviennent aussi de l’intérieur de
l’entreprise et ne sont que la conséquence de
négligences facilement évitables. Il s’agit dès
lors de mettre en place une gouvernance,
des contrôles techniques et des actions de
formation qui sont autant de mesures à la
portée de tous.
Les entreprises doivent apprendre àconsidérer
la sécurité comme un facteur de différenciation,
qui peut leur apporter un avantage
concurrentiel, et cesser de ne raisonner qu’en
termes de coût.
EY Luxembourg
7, rue Gabriel Lippmann
Parc d’activités Syrdall 2
L-5365 Munsbach
Tél.: 42 124-1
www.ey.com
LG - Décembre 2014
25