La plupart des entreprises dotées de petites équipes de sécurité sont confrontées aux mêmes problèmes. Ils ont des budgets insuffisants, un personnel inadéquat et des compétences inadéquates pour faire face à l’assaut actuel de cybermenaces sophistiquées.
Beaucoup de ces entreprises se tournent vers les RSSI virtuels (vCISO) pour fournir une expertise et des conseils en matière de sécurité. Les vCISO sont généralement d’anciens RSSI avec des années d’expérience dans la création et la gestion de programmes de sécurité des informations dans de grandes et petites entreprises.
La société XDR autonome Cynet, fournisseur d’une plate-forme de protection automatisée contre les brèches et d’un service MDR pour les plus petites équipes de sécurité, organise un webinaire avec le célèbre vCISO Brian Haugli pour comprendre les défis courants auxquels sont confrontés les RSSI avec de petites équipes de sécurité [register here].
Dans la première partie du webinaire, Haugli partagera les quatre risques fondamentaux communs à la plupart des entreprises qu’il aide. Il discutera ensuite des conseils les plus courants qu’il fournit dans les entreprises qu’il sert. Haugli partagera également une situation dans laquelle une entreprise n’a pas reconnu les risques de sécurité de base et les échecs qui en résultent.
Quatre risques fondamentaux les plus courants
La plupart des petites entreprises estiment que leur situation est unique. Brain trouve que cela est également vrai en matière de cybersécurité. Cependant, lorsqu’il rencontre pour la première fois de nouveaux clients RSSI, il constate que la plupart n’ont pas suffisamment traité les mêmes risques fondamentaux.
Manque de contrôle d’accès
De nombreuses entreprises n’ont pas correctement traité les privilèges d’accès administratif et mis en place les contrôles appropriés tels que l’authentification multifactorielle. L’utilisation inappropriée des privilèges administratifs est la principale cause des incidents de sécurité.
Manque de visibilité dans l’environnement
Les entreprises manquent de visibilité sur leur environnement pour être en mesure de détecter et de réagir aux activités malveillantes qui se produisent, qu’il s’agisse d’un employé faisant quelque chose d’idiot ou d’un acteur malveillant faisant quelque chose avec intention. Ils ne peuvent pas dire qu’ils savent ce qui se passe, donc ils ne peuvent vraiment pas empêcher quoi que ce soit de malveillant.
Manque de sécurité de messagerie
Le courrier électronique continue de fournir une énorme porte d’entrée aux attaquants. Cependant, de nombreuses entreprises n’ont pas abordé le risque de courrier électronique avec des contrôles appropriés, ainsi qu’une sensibilisation et une éducation continues des employés.
Manque de formation en cybersécurité pour les employés
En ce qui concerne la sécurité de la messagerie électronique, les entreprises ne consacrent pas de temps à la formation pour aider les utilisateurs à comprendre la puissance qu’ils ont sur leurs ordinateurs portables et les responsabilités qui doivent donc assumer. Il ne s’agit pas seulement d’une formation basée sur la conformité, mais d’une véritable éducation et sensibilisation continues.
Conseil pragmatique aux RSSI
vCISO Haugli adopte une approche très pragmatique pour comprendre et gérer les risques. Il trouve que de nombreux RSSI semblent figés, estimant qu’ils ne peuvent pas effectuer les contrôles nécessaires car ils n’ont pas suffisamment de budget pour la technologie requise.
Haugli, cependant, montre comment les entreprises peuvent évaluer et gérer les risques sans avoir besoin de systèmes de plusieurs millions de dollars. À un niveau élevé, la plupart des RSSI pourraient bénéficier d’une approche très simple qui ne nécessite pas «beaucoup de portance».
- Vous ne pouvez pas défendre ce que vous ne savez pas. Commencez petit en créant des structures de gouvernance de base et en cataloguant l’inventaire, peut-être simplement en utilisant une feuille de calcul Excel.
- Une fois que vous avez une configuration du terrain, définissez les actifs les plus critiques de l’entreprise. Si ce système prend en charge une ligne de revenus d’un million de dollars, peut-être que je veux mettre en place des contrôles différents de ceux d’autres systèmes moins critiques.
- Déterminez ensuite comment protéger chaque système de manière appropriée.
