Cybersécurité : un rappel sur les 6 principes de Gartner

Gartner a présenté cette année plusieurs principes que les professionnels IT pourraient mettre en place afin de construire des bases solides en matière de cybersécurité. Ces principes, mis en avant par Peter Firstbrook, directeur de recherche, viennent répondre à une urgence car les modèles sont en train de se transformer. Il est temps de ne pas les oublier en 2016 lors de la construction de votre architecture de sécurité.

 

1. From checkbox compliance to risk-based thinking

Le temps des audits de compliance qui seraient basés sur de simples checklists doit se terminer. De nombreux exemples ont mis en doute l’utilité de tels audits puisqu’ils ne protègent aucunement les entreprises face aux failles de sécurité. Par contre, les départements IT gagneraient à tout envisager du point de vue du risque. En d’autres termes, tout risque doit être identifié, avant d’être soit transféré, soit réduit.

 

2. From technology to business outcomes

Les professionnels chargés de la sécurité doivent laisser en arrière-plan l’aspect technique des solutions pour se pencher sur l’utilité pour le business de l’entreprise et pour ses revenus. Il ne s’agit plus de protéger uniquement l’infrastructure mais aussi de s’intéresser aux revenus de l’entreprise et aux solutions qui pourraient les préserver et les améliorer (Fraud detection systems par exemple).

 

3. From defender to facilitator

Un meilleur équilibre doit être établi entre la protection à tout prix et l’objectif de revenus. Les professionnels de la sécurité devraient davantage jouer un rôle de facilitateur, de conseil  face aux risques éventuels. Ils devraient se poser la question des risques acceptables pour l’entreprise, en gardant comme objectif le business et non plus la défense à outrance.

 

4. From controlling information to understanding information flow

La croissance de l’économie digitale implique des volumes de plus en plus imposants de données, avec des formes de plus en plus variées. Il est crucial de connaître et maîtriser le flux de ces informations. Il est tout aussi important de savoir où elles se trouvent (at rest, in motion, in use) afin de mieux protéger ce qui doit l’être.

 

5. From technology focus to people focus

Trust but verify. L’aire de la dictature de la sécurité est terminée. Il est nécessaire d’impliquer les utilisateurs dans la sécurité, de leur inculquer les bons comportements. Car ce qui est connu et accepté par chaque utilisateur est toujours mis en oeuvre plus facilement. Cette approche centrée sur la personne révèle aussi de meilleurs résultats que sous la contrainte.

 

6. From prevention only to detect and response

Prévenir n’est plus suffisant. Protéger l’infrastructure n’est plus suffisant. Une entreprise doit désormais intégrer qu’une attaque peut se produire à tout moment. Il faut donc passer à l’étape suivante : la détection en temps réel et l’anticipation d’un côté et la réactivité préparée en cas d’attaque de l’autre. Cela passe inévitablement par un investissement dans les ressources techniques et humaines pour y arriver.

 

Laisser un commentaire

Optimization WordPress Plugins & Solutions by W3 EDGE