La règle 20/80 ou Pourquoi choisir une stratégie basée sur le risque

Rédigé par : Frédérik Blais

Avant de rentrer dans le vif du sujet, nous allons d’abord mettre les cartes sur la table et dresser un portrait de la situation. Qu’est-ce qui se passe à l’heure actuelle dans le monde de la cybersécurité ? Pourquoi autant d’entreprises se font-elles pirater jour après jour ? Regardons de plus près quelles sont les grandes lignes du problème et comment nous pouvons y remédier avec la stratégie 20/80.

Techniques de piratage avancées VS cyberdéfense insuffisante

Prenons d’abord le temps de décortiquer le problème. D’un côté nous avons les protagonistes de l’histoire : les pirates informatiques. De prime abord, il faut comprendre que le piratage peut être très, très lucratif. Dans bien des cas, les hackers en font une carrière et gagnent leurs vies de cette façon. Par conséquent, leurs tâches quotidiennes se résument à deux choses : trouver mille et une façon de déjouer les outils de sécurité mis en place par les organisations ainsi que d’innover continuellement leurs méthodes de piratage afin de rester au top de leurs capacités et de pénétrer votre réseau le plus facilement possible. Jusqu’à présent, on parle de plus de 200 techniques de piratage répertoriées. Par exemple, les ransomwares, les attaques par brute force ou encore les injections de code, pour ne nommer que les plus connues.

À l’opposé, vous l’aurez deviné, se trouvent toutes les entreprises ciblées par ces pirates. Le problème prend tout son sens ici, car les entreprises semblent sous-estimer les risques de piratage ou même, les ignorer. Or, on remarque un nombre de vulnérabilités grandissantes dans les entreprises québécoises (et mondialement aussi) autant dans leurs systèmes, dans les serveurs, dans les logiciels ou même, au niveau des failles causées par les humains. À cela s’ajoute qu’il existe présentement un grand manque de ressources spécialisées en cybersécurité et qu’en plus, la majorité des outils de cyberdéfense qui se trouvent dans les organisations sont désuets. C’est donc un problème de cybersécurité global qui se trouve sur plusieurs niveaux dans les organisations.

Le résultat ? On comprend rapidement que la somme des deux situations occasionne un décalage important entre les mesures de cyberdéfense mises en place par les organisations et les techniques de piratage. Autrement dit, les mesures de cybersécurité en place ne sont pas suffisantes (voir inexistantes pour plusieurs) pour détecter ou arrêter les techniques de piratage les plus sophistiquées des hackers.

La stratégie 20/80

Il existe plusieurs façons de rehausser la cybersécurité d’une entreprise. Ce que l’on voit à présent dans les organisations, ce sont des mesures appliquées selon l’intuition ou par imitation, sans réellement connaître l’origine du problème.

En revanche, en ce qui concerne la stratégie 20/80, celle-ci a été développée à travers nos nombreuses années d’expérience sur le terrain. Elle consiste sommairement à prendre des actions concrètes et simplistes pour rehausser la cybersécurité. En d’autres termes, il s’agit d’aligner les mesures de cyberdéfense avec les cyberrisques de votre entreprise. À savoir, détecter et comprendre quels sont les tops cybermenaces qui ciblent votre organisation, pour ensuite mettre en place les meilleures solutions possibles pour mitiger les risques identifiés.

Déploiement de la stratégie en 5 étapes

1- Collecter et documenter les cybermenaces qui vous touchent
En premier lieu, collecter les données locales de votre parc informatique ainsi que toutes les informations relatives aux cybermenaces qui ciblent votre industrie. L’objectif est de comprendre les risques liés à l’entreprise en s’appuyant sur les faits et les données réelles et ainsi, les adresser plus efficacement.

2- Établir une analyse d’écarts

Une fois que les risques qui touchent votre organisation sont identifiés, il est nécessaire d'établir les priorités de ses risques et déterminer lesquels seraient le plus probable au moins probable de se produire. Établissez ensuite une analyse d’écarts à savoir quels sont les cyberrisques qui vous ciblent, VS les mesures de cybersécurité que vous avez en place. Ainsi, vous pouvez obtenir en une seule image la capacité que vous avez à faire face aux cybermenaces qui vous ciblent et de la même façon, comprendre où sont les faiblesses dans vos mesures de défense.

3- Communiquer les cybermenaces à travers l’organisation

L’étape 3 consiste à présenter l’analyse d’écart à la haute direction. La matrice effectuée à l’étape 2 peut être présentée comme support visuel afin de donner une vue d’ensemble rapide de la situation aux dirigeants. Elle sera utile pour justifier les investissements et l’implémentation de nouvelles mesures et/ou ressources. Il est important de toujours garder la haute direction informée et de leur faire un topo au moins une fois par trimestre et de communiquer les avancements.

4- Mettre en place des mesures de cybersécurité et mitiger les écarts

Comme vous l’aurez remarqué dans l’analyse d’écarts, les outils traditionnels comme les pare-feux et les antivirus que vous possédez probablement déjà ne permettent pas de vous protéger contre tous les risques qui vous ciblent. Donc, c’est à cette étape-ci que vous devez mettre en place les outils qui vous permettront de contrer les risques que vous avez identifiés dans l’analyse d’écarts. De plus, prenez note qu’il est normal d’avoir deux outils qui vous protègent pour un type de risque, par contre, si vous avez 3 ou 4 outils pour un seul même risque, on vous conseille fortement de revoir la répartition des vos investissements en termes de mesures en cybersécurité.

5- Maintenir une surveillance active

En dernier lieu, sachez que la sécurité informatique n’est pas statique. Elle demande des actions continuelles et une surveillance active. De plus, vous devez utiliser les dernières technologies de sécurité que vous mettrez en place pour collecter de nouvelles informations et garder toujours l'œil ouvert sur les risques de sécurité. Enfin, réservez-vous du temps quotidiennement pour analyser les informations générées par les outils de sécurité en place.

En somme, la stratégie 20/80 vous permet de :

• Avoir une vision d'ensemble sur les cybermenaces qui ciblent votre organisation
• Établir un plan concret axé sur les priorités : maximiser la sécurité pour un minimum d’efforts
• Rehausser le niveau de cybersécurité concrètement
• Anticiper la réponse aux incidents
• Optimiser les investissements en termes de cybersécurité
• Facilite la compréhension de la situation aux membres de la direction

Externaliser la cybersécurité

Si votre équipe de TI (ou de sécurité) est réduite, une entreprise comme StreamScan qui offre ses services d’externalisation peut se greffer à celle-ci, et prendre en charge la stratégie proposée. Ainsi, vous libérerez votre équipe de TI aux tâches et activités courantes sans devoir vous préoccuper de la cybersécurité. Laissez la place aux experts qui sont habitués et habiles avec cette compétence de gestion de sécurité informatique. Pour avoir plus d'informations sur nos services, rendez-vous sur notre site ou encore, contactez-nous au : 1-877-208-9040.

Frédérik Blais est le chef en croissance de StreamScan et aide nos clients à développer leur programme de cybersécurité depuis près de 4 ans maintenant.