Global Security Mag : Qu’allez-vous présenter à l’occasion des Assises de la Sécurité ?

Sébastien Faivre : Cette année, à l’occasion des assises de la sécurité nous allons présenter la nouvelle version de notre solution de contrôle et de gouvernance des habilitations : Brainwave GRC.

Le monde de la cyber sécurité a fortement évolué ces dernières années : la transformation digitale qui conduit au déploiement d’infrastructures dans le Cloud, le rapprochement entre les départements de contrôle interne et les départements sécurité afin d’adresser les risques de façon holistique et bien sur la pression réglementaire sont autant de sujets qui ont eu pour conséquence 1/ de mettre la notion d’identité et de contrôle applicatif sur le devant de la scène, et 2/ de toujours plus impliquer les départements métiers.

Afin de répondre à cette attente cette nouvelle version de Brainwave intègre notamment des fonctionnalités de publication de données sous la forme de tableaux de bords de contrôles directement paramétrables par les utilisateurs, ainsi que de nombreuses nouvelles fonctionnalités d’analyse dont le « role mining ».
Cette année va aussi être l’occasion de présenter notre nouvelle offre de service outillé :Brainwave As A Service. Le constat est simple : Véritables hommes orchestres, en permanence sous pression, les RSSI doivent être présents sur tous les fronts à la fois. Ils ne peuvent donc plus se permettre de perdre du temps sur des activités à faible valeur ajoutée. Pour autant, trop de RSSI sont encore tributaires d’analyses manuelles, à grand renfort de croisements de fichiers Excel, pour cartographier les personnes et les droits d’accès attribués dans l’entreprise ceci afin de répondre aux obligations de contrôle : comptes résiduels à désactiver, comptes dormants, droits d’accès excessifs, revue des accès, …

Avec Brainwave As A Service, nos consultants prennent en charge les opérations de corrélation et d’analyse de l’ensemble des données de personnes et de droits d’accès aux infrastructures, applications et données et restituent mensuellement, sous la forme d’une série de tableaux de bords Excel l’ensemble des résultats des contrôles.

Ceci est rendu possible en interne par l’utilisation intensive par les consultants Brainwave de la solution Brainwave Identity GRC.

Libéré de ces tâches manuelles à faible valeur ajoutée, le responsable sécurité peut passer plus de temps sur les opérations qui font la différence : l’analyse des résultats de contrôle, la communication et l’animation autour des résultats et le pilotage des opérations de remédiations

Cette offre, proposée sous la forme d’un abonnement ne nécessite aucune infrastructure ni aucun logiciel, elle se met en place sous 15 jours calendaires et démarre à 3000€/mois.

GS Mag : Quel sera le thème de votre conférence cette année ?

Sébastien Faivre : Depuis le début de notre participation aux assises, nous avons fait le choix de privilégier les moments d’échanges entre nos clients, notre conférence sera donc cette fois encore l’occasion pour un de nos clients de réaliser une présentation de son projet. Nous sommes particulièrement fiers cette année d’avoir à nos cotés la Banque de France qui présentera son projet de gestion et de gouvernance des identités digitales.

GS Mag : Quelles sont les principales menaces que vous avez pu identifier en 2018 ?

Sébastien Faivre : La mauvaise gestion des comptes et droits d’accès reste la première menace dans les entreprises. Avec la transformation digitale, le nombre d’applications a explosé, ces dernières sont maintenant pour la plupart accessibles depuis Internet, ce qui augmente d’autant les impacts en cas de comptes d’accès résiduels ou de droits d’accès mal configurés. Avec la pression réglementaire qui augmente, il n’est aujourd’hui plus possible de se contenter d’un statu quo sur ce sujet, il devient impératif de savoir qui travaille pour l’entreprise, ou sont situés les actifs sensibles, qui y a accès et d’identifier de manière proactive l’ensemble des risques associés.

GS Mag : Quid des besoins des entreprises ?

Sébastien Faivre : Cette année 2018 est marquée sous le signe de la mise en œuvre de la RGPD, de fait de nombreuses entreprises déploient des procédures de cartographie, contrôle et gouvernance de l’accès aux infrastructures, applications et données. Nous avons observé une forte accélération des projets de gouvernance des identités avec en particulier de nombreux projets de revue des droits et des accès aux applications et aux données.

GS Mag : De quelle manière votre stratégie est-elle amenée à évoluer pour adresser ces enjeux ?

Sébastien Faivre : Plus que jamais nous continuons sur notre lancée : proposer à nos clients des solutions pragmatiques pour répondre à leurs enjeux de gouvernance des identités. La transformation digitale est l’un des enjeux majeurs. Afin de sécuriser la transformation digitale de nos clients, nous travaillons à étendre le support des applications et systèmes cloud contrôlés par Brainwave : Amazon AWS, Okta, Microsoft Azure, GSuite, … de nombreux systèmes sont d’ores et déjà supportés et les connecteurs et des analyses prêtes à l’emploi sont disponibles sur notre marketplace : http://marketplace.brainwavegrc.com

GS Mag : Avec l’entrée en vigueur du RGPD, la « security et la privacy by design » deviennent quasi incontournables. Quel sera votre positionnement en ce domaine ?

Sébastien Faivre : Notre métier est la corrélation et l’analyse de données d’identité : qui travaille dans l’entreprise, qui a accès à quoi, … manipuler des données sensibles est donc dans l’ADN de Brainwave. Ceci s’est traduit au démarrage de notre activité par la mise en place d’un modèle de sécurité solide dans les fondations de la solution afin de limiter l’accès à ces données sensibles. Contrairement aux solutions concurrentes, il n’est par exemple pas permis d’accéder directement à la base de données pour des besoins d’analyse ou de reporting : des interfaces et APIs ont été mis en place ceci afin d’appliquer la politique de sécurité d’accès aux données quel que soit le moyen d’accès. Nous avons de plus intégré l’année dernière le support de fonctionnalités supplémentaires telles que le « droit à l’oubli ».
En outre, en cartographiant de manière précise les droits d’accès attribués sur l’ensemble des systèmes de l’entreprise, notre solution assiste nos clients dans l’application et le contrôle de ces principes fondamentaux de « privacy ».

GS Mag : Quel est votre message aux RSSI ?

Sébastien Faivre : Nous vivons des moments intenses, la transformation digitale transforme de façon radicale le paysage et le métier de la cyber sécurité : décloisonnement des infrastructures, infrastructures cloud gérés par des tiers, accès utilisateur multi canal, applications devops et micro-services, explosion du volume de données traité, …
Il s’agit pour le RSSI d’être agile pour accompagner ce mouvement : renforcement de ses relations avec le département juridique afin de gérer les clauses contractuelles des fournisseurs cloud, déploiement de méthodes d’analyse de risque au sein des directions métier pour les aider à mesurer les impacts de leurs décisions, …

Au final le seul invariant de ce nouveau paysage reste l’Identité car quelque soit les moyens et techniques mises en place il restera toujours à la charge de l’entreprise de gérer les personnes et les droits d’accès de ces dernières aux différents systèmes et données de l’entreprise.

Des solutions telles que Brainwave ont pour objectif d’aider les RSSI à y voir plus clair : Véritable phare dans cette tempête digitale, elles permettent de fixer et de tenir un cap qui réconcilie sécurité et conduite du changement vers le tout digital.