Les listes de problèmes actuels rencontrés par les fournisseurs de services informatiques incluent normalement le « problème » d’adhérer à la gouvernance de la protection des informations. Il est souvent décrit comme un obstacle au progrès qui doit être surmonté d’une manière ou d’une autre afin que le MSP ou le fournisseur de services informatiques internes puisse, d’une manière ou d’une autre, poursuivre la « véritable activité » de protection de l’organisation. Il est vrai que la législation concernant la cybersécurité est généralement tardive et comporte fréquemment des frais généraux gouvernementaux. Mais la législation relative aux données des États ou des gouvernements fédéraux nationaux reflète simplement le souci de toutes les personnes et de toutes les entreprises que leurs données soient sécurisées et correctement traitées. Quels sont les facteurs de ces préoccupations? Le fait que les violations d’informations, accidentelles ou destructives, sont au mieux gênantes et intrusives, au pire financièrement épouvantables.
Le respect de la gouvernance des données n’est, pour cette raison, pas gênant ; cela doit être une évidence lorsque les organisations font les choses efficacement. Et faire les choses correctement en 2023 signifie protéger au maximum les utilisateurs, les partenaires, les clients, les membres du personnel et les données de l’entreprise. En offrant la meilleure sécurité possible, les entreprises se retirent de la classification des « fruits à portée de main », qui inclut ceux qui choisissent de ne pas faire les choses correctement.
En tant qu’expert en cybersécurité ou décideur MSP, vous serez très bien informé sur les radeaux de législation existants et émergents dans le monde entier. Un bon exemple de ces derniers sont les politiques DORA qui ont un impact sur les entreprises de services financiers qui font du commerce ou qui ont des clients en Europe. Chaque entreprise doit être consciente des implications de DORA en raison du fait que si ce n’est pas aujourd’hui, alors demain, certaines transactions seront impactées par la législation. La conformité devrait être pratiquement un effet secondaire par défaut d’une bonne pratique en matière de sécurité de l’information, quoi qu’il en soit.
Définir les bonnes pratiques en matière de sécurité
Produire un environnement plus sûr dans lequel les systèmes et les personnes peuvent travailler efficacement doit commencer par la réalité que tout actif peut être transformé en arme par de mauvaises étoiles. Une propriété dans ce sens peut être un point de terminaison, un serveur, une application basée sur le cloud ou un individu. Par conséquent, l’équilibre requis est de permettre à toute possession les opportunités dont elle a besoin pour travailler et rien de plus. Il y a, néanmoins, un accessoire à cela : si un composant a besoin d’une plus grande capacité (lire : avantages), il peut facilement demander la capacité et faire répondre la demande et agir rapidement.
C’est ici que nous trouvons notre définition de confiance zéro. Contrairement à une signification de système figé dans la cybersécurité « standard » (un VLAN, un LAN, un sous-réseau), notre définition du zéro-confiance est flexible dans le temps. La sauvegarde de chaque point de terminaison (individuel ou gadget) nécessite un contexte : dans un serveur, le contexte peut consister en la modification des rôles au fil du temps – un contrôleur ActiveDirectory peut également commencer à proposer un DNS interne. Dans le cas des personnes, le travail hybride et la capacité fraîchement retrouvée de faire un voyage, les politiques d’utilisation à distance doivent changer de jour en jour.
Couches de complexité
Dans les grandes organisations, il existe toujours un degré élevé de fluidité en termes de topologie informatique, et les architectures modernes ne reflètent pas seulement cela, mais sont conçues pour cette capacité précise : les machines virtuelles et les conteneurs ne sont pas conçus pour être fixes. De même, en termes purement RH, les employés des grandes organisations modifient leurs fonctions, passent d’un service à l’autre, travaillent ensemble dans des groupes de travail changeants et passent du travail à domicile sur un ordinateur portable personnel au bureau de l’entreprise. Les changements apportés aux appareils et aux individus sont également une réalité, même pour le plus petit MSP. Après tout, plusieurs dizaines d’entreprises clientes constituent une image extrêmement complexe à gérer et à protéger.
C’est dans la complexité et la malléabilité des systèmes que les problèmes peuvent survenir. Les erreurs se produisent plus fréquemment lorsque les gens sont sous tension, et les employés avec des échéances qui pèsent sur eux et un lieu de travail qui ne leur permet pas de réaliser ce dont ils ont besoin seront stressés. Un ordinateur portable utilisé sur le réseau local de l’entreprise peut, le même jour, être utilisé sur un réseau Wi-Fi d’hôtel suspect.
La protection des terminaux à l’ancienne peut donc fonctionner lorsque les vis sont bien serrées , mais découvrir l’équilibre en constante évolution entre la capacité et la défense des données est difficile.
Le service est en plusieurs parties
Comme toute défense de cybersécurité, les environnements de confiance zéro dans les entreprises complexes d’aujourd’hui comportent de nombreuses parties. Le ringfencing, par exemple, est basé sur les applications. Que sont les applications chargées de faire et à quelles ressources ont-elles besoin d’accéder ? Un lecteur vidéo devrait-il être autorisé à accéder au registre, par exemple, et pourquoi un package CAO aurait-il besoin d’accéder à tous les sites Web sur le Web ?
Si nous parcourons les attributions de chaque application, nous commençons à trouver l’étendue de l’environnement qui nécessite une surveillance. La liste blanche, par exemple, indique ce qui est autorisé à s’exécuter et où. Plus prosaïquement, les applications Web SaaS nécessitent-elles des capacités de stockage régionales ? Certains peuvent profiter d’une archive locale de données, par exemple, tandis que d’autres devraient être empêchés de composer sur des partages ou des volumes montés.
Le contrôle d’accès au réseau est probablement le plus proche des administrateurs système de la vieille école et des vétérans de la cybersécurité. reconnaîtra comme politiques de périmètre ou ensembles de règles de logiciels de pare-feu. Cependant, la configuration manuelle d’un serveur exécutant des dizaines de machines virtuelles ne devrait pas signifier qu’il faut s’adapter à chaque situation et modifier les fichiers de configuration un par un. Les systèmes de défense des points finaux actuels dans les environnements de confiance zéro encapsuleront la politique et utiliseront des ACL dynamiques pour permettre aux politiques de changer lorsque cela est nécessaire.
La dernière partie de la formule qui rend la sécurité des points finaux de confiance zéro adaptée à la fonction dans le entreprise moderne (entreprise ou MSP multi-clients) est la capacité d’exiger et de contrôler l’élévation des privilèges par n’importe quel point de terminaison (serveur, client, travailleurs) rapidement et en toute sécurité. Des problèmes tels que le shadow IT et le BYOD n’auraient jamais dû perturber le personnel informatique comme ils l’ont fait il y a quelques années si un contrôle d’escalade granulaire à réponse rapide était resté en place. Des directives sensées et basées sur des politiques qui permettent ce qui est nécessaire (et disent au revoir à) aussi longtemps que nécessaire trouvent le juste milieu entre la sécurisation des points de terminaison et leur autorisation.
Comme les liens intégrés dans les paragraphes ci-dessus vous ont peut-être signalé, la plate-forme de protection des terminaux ThreatLocker coche les cases nécessaires pour nous : elle a été conçue pour refléter la vérité d’aujourd’hui pour les utilisateurs et les décideurs dans des organisations complexes. . Il est utilisé par un grand nombre des plus grandes entreprises du monde pour son excellent facteur, mais les approches de confiance zéro qu’il apporte peuvent être rapidement déployées dans les petites entreprises et les organisations du secteur public.
Que votre rôle implique l’informatique d’entreprise discrète systèmes (comme un MSP) ou de nombreux départements et départements, l’option ThreatLocker est celle qui est conçue pour assurer la sécurité des individus et des systèmes. Ce faisant, ils restent bien sûr conformes. ThreatLocker ne vous aidera pas à soumettre votre audit de cybersécurité aux autorités, mais il vous fournira à la fois les métriques sur le robinet et les exigences de défense plus que requises.
Contactez-nous pour discuter de la façon dont votre service de modification peut acquérir la défense et la conformité où qu’elle aille demain.
.
Toute l’actualité en temps réel, est sur L’Entrepreneur