Comment lutter contre le risque de sécurité des données en veille

Nous avons en fait vérifié la menace pour la sécurité que représente le stockage de « données dormantes » – des données qui n’ont plus de valeur pour une entreprise – avec Terry Ray, vice-président directeur chez Imperva. C’est un phénomène chroniquement sous-exploré et mal compris, car il vient d’une anticipation raisonnable selon laquelle tout garder est naturellement plus sûr que de le laisser partir – et après cela peut-être, en fin de compte, en avoir à nouveau besoin.

Dans la première partie, Terry a décrit la réflexion qui sous-tend les entreprises qui conservent des données dont elles pensent avoir besoin un jour, mais auxquelles personne ne s’intéresse ensuite. pendant plusieurs années, voire des années, en le comparant au tiroir à déchets que nous avons tous dans nos maisons.

Dans la deuxième partie, nous avons examiné l’ampleur du problème, avec une étude de recherche britannique Imperva qui a montré pratiquement un record de perte par les entreprises pour chaque être humain restant dans le pays, chaque année, sur trois ans (2019-22).

Alors que l’ampleur de la menace pour la sécurité des données endormies devenait claire, nous » a mis Terry au défi avec la question apparente à laquelle toute entreprise souhaiterait avoir une réponse : maintenant que nous comprenons le problème, que pouvons-nous vraiment faire à ce sujet ?

Le problème des deux tiers.

TR :

Je considère la cybersécurité en général et le danger pour la sécurité en particulier comme une sorte de terrain de football.

THQ :

* Des bretelles pour discours sur le sport. *

TR :

Au football, votre gardien de but est votre dernière ligne de défense, la dernière sécurité avant (si vous voulez) que l’adversaire n’atteigne le but.

C’est la sécurité de vos informations.

Mais votre gardien de but n’a que la capacité d’accéder à un tiers de l’objectif. Les deux tiers restants ne peuvent pas y aller. Résultat ?

THQ :

* Clignote en technicien. *

TR :

Le résultat est que vous n’allez pas gagner la partie à moins de vous attaquer au danger pour votre sécurité.

Et c’est de cela dont nous discutons. ici. Quand nous disons que nous allons uniquement sécuriser les informations gérées ou les données essentielles à l’entreprise, c’est fantastique. Cela représente un tiers de la tâche. Nous ignorons les deux autres tiers du travail à nos risques et périls, c’est en fait à cela que cela se résume.

THQ :

Alors, en nous reprenant des recommandations relatives au sport, comment pouvons-nous protégeons-nous les deux autres tiers de nos informations ?

TR :

Eh bien, je ne vais pas être celui qui reste ici et déclare que l’utilisation de contrôles de sécurité des données est peu coûteuse. . Ce n’est pas. Cependant, si une entreprise déclare « il est vraiment important que je collecte toutes ces données », alors une partie des dépenses liées à ce choix réside dans l’obligation de protéger ces données. La sécurisation de ces données entraîne une dépense et je pense que, malheureusement, pour de nombreuses organisations, lorsqu’elles ont commencé à collecter ces données, cela ne faisait peut-être pas partie de la formule.

Mais là où nous en sommes aujourd’hui, cette information reste demandée par quelqu’un. Cela fait partie des dépenses liées au stockage de ces informations et certainement du coût de la collecte de données supplémentaires.

L’intérêt d’une plate-forme de sécurité de l’information.

THQ :

Alors… montre-moi l’argent ?

TR :

Pratiquement. Les organisations doivent ajuster leur conception des dépenses afin de conserver ces informations, car elles doivent désormais réduire le risque d’avoir ces informations dans leur organisation.

Maintenant, vous pourriez simplement dire, je vais pour réduire les risques en supprimant tout ce qui a plus de 5 ans. Et à l’avenir, je vais mettre des contrôles sur quoi que ce soit. Super, c’est très bien, allez-y et faites-le.

Si vous ne faites pas cela, alors vous devez réévaluer votre stratégie de sécurité, car aujourd’hui, vous avez un gardien de but. qui ne peut atteindre qu’un tiers de l’objectif.

THQ :

Alors, comment peuvent-ils avoir un bien meilleur gardien de but ?

TR :

Ils nécessitent une plateforme de sécurité des données. Ce que cela implique dépendra de l’organisation elle-même. Les organisations intelligentes qui ont obtenu cela au cours des 10 à 20 dernières années ont en fait déclaré : « J’ai besoin d’être capable d’identifier où se trouvent ces informations. Et de quel type d’informations je dispose. »

Et s’ils ne souhaitent pas poser ces 2 questions — et c’est tout à fait normal de ne pas le faire — ils doivent au moins pouvoir dire « Si quiconque accède à ces données, je veux avoir la possibilité de les visualiser activement. »

Vous devez comprendre quelles données ont été touchées, par qui, et comprendre si, disons Terry, a déjà touché à ces informations auparavant. . Est-il juste que Terry touche à cette information, soudainement, après néanmoins longtemps ? S’agit-il d’informations restreintes ou d’informations sensibles ? Et s’agit-il de données que seules les applications touchent habituellement, ou est-il logique que Terry touche ces informations en ce moment ?

Si vous ne visualisez pas activement les données, vous ne pouvez pas sécuriser ou catégoriser quoi que ce soit.

Des anciens concepts transformés en nouveaux.

Les plates-formes de sécurité des données ont la capacité de garder un œil sur toutes les données dans le cloud, si l’organisation a choisi cette voie, ou toutes les informations dans leur mainframe Oracle MSSQL sur site s’ils en disposent.

Le but de cette technique est de faire exactement la même chose pour la sécurité des informations que les organisations ont déjà fait pour le point de terminaison sécurité : surveillez tous les points de terminaison. Il est actuellement prévu pour la sécurité des réseaux – voir tous les réseaux.

Une plate-forme de sécurité de l’information est une répétition des meilleures pratiques de cybersécurité – vous devez avoir les yeux sur quelque chose pour la protéger. Gardez les yeux sur vos informations.

Les organisations savent très bien comment procéder pour leurs données gérées, car elles le font depuis régulateurs pendant une longue période. Ils doivent simplement reproduire cet effort pour tout le reste de leurs données et arrêter de croire que s’ils ont couvert toutes leurs données contrôlées, ils en ont fini avec la sécurité des informations.

La présence des données est essentielle – et cela signifie être capable de répondre à toutes ces questions sur ce qui se passe avec vos informations et si cela vous convient.

Au-delà de cela, l’atténuation est un tout autre jeu de balle.

Au moins, si vous pouvez répondre à ces questions sur ce qui arrive à vos informations, vous disposez de l’intelligence nécessaire pour commencer à prendre des décisions éclairées. Qui accède aux données ? Sont-ils autorisés à le faire ? Si oui, très bien, sinon, comment font-ils ? Cela indique-t-il une faiblesse quelque part dans le système — et ainsi de suite.

Si vous pouvez répondre à toutes ces questions sur toutes vos données, non seulement vous pourrez satisfaire tous vos besoins. En vertu des exigences réglementaires, vous disposez de ces informations à des fins d’analyse, d’intelligence artificielle ou de tout autre outil dont vous disposez. Cela signifie que vous pourrez peut-être en tirer des utilisations grâce à de nouvelles innovations et analyses que vous n’aviez pas lorsque vous avez commencé à les stocker.

« Je ne sais pas » est inacceptable.

Nous arrivons à un point où « Je ne sais pas » savoir » ne devrait pas être une réponse acceptable lorsqu’il s’agit des informations stockées par une entreprise.

J’organise des tables rondes de routine avec les RSSI, je réunis un groupe de dix RSSI et la première question que je pose est « Levez la main si vous comprenez qui est responsable de la sécurité des données dans votre entreprise. »

La moitié de l’espace ne lève pas la main.

Et après cela, nous faisons le tour de l’espace pour découvrir pourquoi ils n’ont pas levé la main. Il y a toujours la réponse diplomatique : « C’est la tâche de chacun. La sécurité de l’information est la tâche de chacun. » Bien. C’est. Oui, c’est le travail de tout le monde. Ce que je demande, c’est à qui le téléphone sonne quand quelqu’un déclare que nous avons perdu un million d’enregistrements à cause de l’arrivée d’un bug bounty ? À qui le téléphone sonne-t-il et qui dit : « Qu’ont-ils pris ? Quand l’ont-ils pris ? De quels contrôles avons-nous besoin pour nous assurer que nous les avons surveillés, sinon cela ne se reproduira plus ? »

Et après cela ils tous lèvent la main, car c’est leur téléphone. « Alors maintenant, parlons des contrôles et de la technique que vous avez mis en place… »

C’est ce à quoi les entreprises doivent faire face au quotidien : comprendre qu’il y aura quelqu’un qui sera responsable de la menace de sécurité lorsque l’appel arrivera, mais disposera rarement du budget prévu ou des équipes nécessaires pour répondre avec une méthode de données préventive.

Si vous disposez de cette technique, de ce budget et de ces groupes sur place pour prendre la sécurité de l’information au sérieux, vous obtenez des RSSI qui ne sont pas tenus de rattraper leurs actions en cas de crise quand la crise frappe. Idéalement, ils auront un responsable de la confidentialité des informations pour les aider à sécuriser leurs informations et répondre au cas où cet appel pourrait être trouvé.

Qui est en ligne lorsque le téléphone sonne ? .

Toute l’actualité en temps réel, est sur L’Entrepreneur