Global Security Mag : Qu’allez-vous présenter à l’occasion des Assises de la Sécurité ?

Jean-Benoît Nonque : Ivanti est reconnue comme leader dans la gestion des correctifs, mais nos solutions couvrent des besoins plus vastes en matière de sécurité, comme la gestion des privilèges, le contrôle des applications, la gestion des périphériques mobiles ou encore la gestion des identités. Notre plateforme Ivanti Security Controls, réunit ainsi en une seule console, les composants essentiels dont les entreprises ont besoin pour limiter leur exposition aux risques de sécurité. Cette solution très complète, permet également aux entreprises de traduire une liste de CVE (Common Vulnerabilities and Exposures) en correctifs à appliquer, en seulement quelques heures ou minutes contre plusieurs jours ou semaines habituellement.

GS Mag : Quel sera le thème de votre conférence cette année ?

Jean-Benoît Nonque : Notre atelier cette année traitera de « l’industrialisation et de l’automatisation des processus de gestion des vulnérabilités ». En effet, Patrick Prosper, RSSI de Groupama partagera son expérience des solutions Ivanti et détaillera les différentes étapes de leur projet sécurité, du choix de la solution en passant par les scans de vulnérabilités, jusqu’à la mise en œuvre de la gestion des remédiations. Il expliquera également comment le reporting permet au groupe de suivre la sécurisation de leur SI.

GS Mag : Quelles sont les principales menaces que vous avez pu identifier en 2019 ?

Jean-Benoît Nonque : 2019 a de nouveau connu de nombreuses fuites de données, et la tendance n’a aucune raison de ralentir. Des cyberattaques ont été perpétrées contre trois districts scolaires de l’État de Louisiane aux États-Unis. C’est la première fois dans l’histoire de la Louisiane qu’une cyber-attaque est traitée comme une catastrophe naturelle. Les infrastructures informatiques des institutions gouvernementales sont devenues si importantes que la National Governors Association - une association politique américaine composée de gouverneurs - leur conseille désormais d’élaborer des plans d’intervention plaçant les cyberattaques au même niveau d’urgence que les catastrophes naturelles ou les actes terroristes. Dans un monde où les réglementations sur la confidentialité des données sont de plus en plus nombreuses et strictes, comme le RGPD, l’importance de certaines de ces brèches a même engendré des mesures additionnelles, comme le California Consumer Privacy Act of 2018.

GS Mag : Quid des besoins des entreprises ?

Jean-Benoît Nonque : Les entreprises ont besoin d’une meilleure visibilité de leur réseau. On ne peut pas sécuriser ce que l’on ne connaît pas. Une récente étude que nous avons menée, indique que les 3 principaux freins en matière de sécurisation du datacenter sont le manque de sensibilisation des salariés, la difficulté à identifier les risques et évaluer les menaces ainsi que la difficulté à se tenir à jour face au flux de menaces.
Les entreprises ont également besoin de simplification et d’unification des solutions de sécurité. Cette même étude démontre en effet que les entreprises françaises s’appuient en moyenne sur 8 technologies de sécurité différentes. Ces différents outils ne s’intègrent pas forcément les uns aux autres et ne permettent pas la mise en place d’une politique de sécurité cohérente.
Enfin, il est important aussi pour les entreprises de renforcer la collaboration entre les équipes IT opérationnelles et les équipes Sécurité IT. Notre capacité à gérer les correctifs en fonction des CVE pertinentes pour une organisation en est l’exemple.

GS Mag : De quelle manière votre stratégie est-elle amenée à évoluer pour adresser ces enjeux ?

Jean-Benoît Nonque : Ivanti souhaite apporter plus d’efficacité et d’agilité aux entreprises. L’efficacité passe à la fois par des actions de bon sens telles que connaitre son réseau, mettre à jour les correctifs, ne pas donner des droits trop étendus à tout un chacun ou encore être en capacité à couper les accès aux applications à des personnes ayant quitté l’entreprise, mais l’efficacité passe aussi par le partage de l’information : quand une personne au sein de l’entreprise change de rôle, ses privilèges changent mais dans bien des cas, ce n’est pas mis en œuvre faute de lien entre les services et de taches encore trop manuelles ; 52 % des professionnels de l’IT connaissent quelqu’un qui a conservé son accès aux applications et données de son ancien employeur. L’automatisation permet de mettre en place des stratégies de sécurité efficaces, systématiques et évolutives.

GS Mag : La sécurité et la privacy « by design » sont devenues incontournables aujourd’hui. De quelle manière intégrez-vous ces principes au sein de votre entreprise et de votre offre ?

Jean-Benoît Nonque : Mettre la sécurité « by design » dans les processus entourant la gestion des postes de travail et des infrastructures est au cœur de l’IT Unifiée. La gestion de la sécurité des parcs de périphériques modernes, qui s’étendent très rapidement, prend énormément de temps et notre nouvelle plateforme, Ivanti Security Controls, simplifie les processus de sécurité grâce à une solution unifiée qui cible les principaux vecteurs d’attaque qui menacent les entreprises d’aujourd’hui. En facilitant la découverte des logiciels autorisés et non autorisés dans un environnement et en vous protégeant des menaces qu’ils représentent, ce nouveau produit très complet combine les composants essentiels dont les entreprises modernes ont besoin pour limiter leur exposition aux risques de sécurité, tout en aidant les équipes Sécurité et Opérations à mieux collaborer pour résoudre rapidement les problèmes.

GS Mag : Quels sont vos conseils en la matière, et plus globalement pour limiter les risques ?

Jean-Benoît Nonque : 1. Automatisez l’ensemble de vos processus de gestion des vulnérabilités
La plupart des stratégies de gestion des vulnérabilités s’intègre aux plateformes SIEM (Security Information and Event Management) ou SOAR (Security Orchestration, Automation and Response) de l’entreprise. Après évaluation des vulnérabilités, les données y sont compilées et une hiérarchisation de la situation globale en matière de sécurité est réalisée. Cependant, l’étape suivante pour corriger la situation est souvent manuelle et représente donc un risque d’erreurs. L’automatisation de la gestion des correctifs permet de l’éliminer.

Appliquez plus rapidement les correctifs de sécurité
La plus grande difficulté de la cybersécurité est de la maintenir sur le long terme. Plus une vulnérabilité reste exposée longtemps, plus les pirates ont le temps de l’exploiter. Les incidents de sécurité constatés par les entreprises impliquent généralement des vulnérabilités pour lesquelles un correctif existait déjà depuis plus d’un an ; mais assez régulièrement, ce correctif n’était disponible que depuis deux à quatre semaines. En donnant la priorité aux vulnérabilités qui représentent le plus de risques et en les résolvant en moins de deux semaines, vous réduisez sensiblement votre surface d’attaque.

Optez pour le contrôle des applications
Tout est question de confiance. Si vous ne pouvez pas l’accorder, refusez-la. En la matière, le contrôle des applications, qui combine listes blanches dynamiques et gestion des privilèges pour interdire l’exécution du code non autorisé, est sans doute l’outil de contrôle de la sécurité le plus efficace. C’est aussi l’un des plus difficiles à mettre en œuvre en raison de son étendue et de sa complexité, notamment s’il vous faut fournir des fonctionnalités de self-service. Pour réduire votre coût total de possession, pensez à utiliser des modèles d’approbation qui fournissent des applications de référence, faciles à utiliser et à maintenir.

Améliorez votre gestion des privilèges
De nombreuses failles de sécurité débutent par l’exploitation d’une vulnérabilité. Mais une fois le système atteint, la question des permissions entre bien souvent en jeu. Le champ d’action d’un pirate sera d’autant plus réduit que l’utilisateur infecté disposera de peu de privilèges, car il devra trouver un moyen d’élever ces permissions pour réellement nuire au système. Attention cependant, un pirate pourra également infecter un système, puis utiliser des outils tels que Mimikatz pour récupérer les informations d’identification d’utilisateurs connus, et s’en servir pour se frayer un chemin jusqu’aux données importantes. Vous devez donc aller au-delà d’une stratégie du moindre privilège : il faut également envisager des règles contextuelles pour bloquer les mouvements latéraux.

Tenez également compte de ces prévisions - parmi les plus audacieuses - pour vos futurs projets de sécurité :

 ? En 2020, les entreprises qui feront le choix de conserver Windows 7 sans pour autant payer pour le support étendu Microsoft seront exposées à des vulnérabilités critiques représentant des risques élevés, et elles auront peu de moyens pour les limiter.

 ? D’ici à 2020, une très grande entreprise se verra infliger l’amende maximale dans le cadre du RGPD, à savoir 20 millions d’euros ou 4 % de son chiffre d’affaires annuel.

 ? D’ici à 2021, les connaissances opérationnelles des entreprises, reposant sur l’humain et l’intelligence artificielle, seront à la fois recherchées et une cible de choix pour les pirates. Les connaissances vont devenir un bien hautement valorisé.

 ? D’ici à 2021, notre identité reposera (de façon fiable et cohérente) sur notre visage et autres éléments physiques. Les mots de passe au format texte auront disparu.

 ? D’ici à 2020, Microsoft sera le plus gros fournisseur d’antivirus du marché. Il détiendra plus de 50 % de ce marché et sera reconnu comme fournisseur d’antivirus de confiance.

GS Mag : Enfin, quel message souhaitez-vous faire passer aux RSSI ?

Jean-Benoît Nonque : Pensez Automatisation. Un tiers des PME qui n’auront pas embrassé la transition numérique feront faillite d’ici à 2020, selon une récente étude. Non seulement, l’automatisation est un gain de temps, mais elle permet également de mettre en place des stratégies de sécurité qui seraient trop gourmandes en ressources sans l’automatisation des tâches. Un exemple : le déploiement automatique des correctifs de sécurité. Il est désormais connu que le ransomware Wannacry a exploité, en 2017, une faille de systèmes d’exploitation Windows pour lequel un correctif de sécurité existait. Les plus de 300 000 ordinateurs touchés n’avaient simplement pas reçu de mise à jour. C’est aussi un moyen de se mettre en conformité, notamment avec le RGPD. Lors d’un contrôle ou suite à une fuite avérée de données, l’entreprise devra montrer que tout est, ou a bien été mis en œuvre pour assurer leur protection. On citera instinctivement les logiciels antivirus, l’utilisation de mots de passe forts, ou encore les outils de chiffrement. Mais on pensera peut-être moins spontanément à la résiliation des accès – aux emails, aux données, aux systèmes – des collaborateurs qui ont quitté l’entreprise.

Parce qu’elle permet de gagner en productivité et de renforcer la sécurité, l’automatisation est une aventure technologique à la fois indispensable, à la portée de toutes les structures et qui fédère dans l’entreprise. Et parce qu’elle permet d’apporter des services plus fiables et plus rapides aux utilisateurs, et de délester les équipes informatiques de tâches ingrates et sans fin, c’est aussi une véritable aventure humaine.

Contact :
Anne-Pierre Guignard
Directrice Marketing Europe du Sud
01 49 03 77 80
contact@ivanti.fr
www.ivanti.fr