Une stratégie de cyber-résilience consiste à prendre des décisions concernant l'allocation de ressources financières et humaines limitées : les éléments à défendre en priorité, les scénarios à anticiper, le niveau de perturbation toléré et la répartition des efforts entre la neutralisation des attaques et la gestion des incidents. Un cadre de référence définit les composantes de cette stratégie. Une stratégie, quant à elle, détermine les éléments à financer en priorité et justifie ces choix dans un langage approuvé par le conseil d'administration.
- Une courte liste de ce qui ne peut véritablement pas être perdu, plutôt qu'une affirmation selon laquelle tout est essentiel.
- Scénarios précis que vous prévoyez de contrer, choisis délibérément.
- Une tolérance convenue face aux perturbations, approuvée par les personnes qui en assument les conséquences.
- Une distinction explicite entre prévention et récupération, au lieu d'une distinction par défaut.
- Une séquence, car tout ne peut pas être premier.
- Des mesures qui permettent de constater des progrès sans avoir besoin d'un incident pour le prouver.
Qu’est-ce qu’une stratégie de cyber-résilience ?
Une stratégie est un ensemble de choix effectués sous contrainte. Si le budget et l'attention étaient illimités, il n'y aurait pas de stratégie, seulement une liste de bonnes pratiques à mettre en œuvre. La raison d'être d'une stratégie est qu'il est impossible de tout faire en même temps ; il faut donc décider des priorités et de ce qui est accepté pour le moment.
C’est ce qui la distingue du cadre de référence. Ce dernier définit les fonctions à couvrir et les preuves qu’elles produisent. Il est structurel et ne hiérarchise pas les actions. Une stratégie, quant à elle, s’appuie sur cette structure et répond aux questions plus complexes : compte tenu de nos ressources disponibles cette année, quelles lacunes comblons-nous ? Avec lesquelles devons-nous composer ? Et que faudrait-il changer pour que la réponse soit différente ?
Les stratégies échouent de façon prévisible. Elles transforment les bonnes pratiques en ambition, s'engagent à tout améliorer et ne prévoient aucune possibilité de refuser quoi que ce soit. Un document qui resterait lisible même collé sur le papier à en-tête d'une autre organisation n'est pas une stratégie.
Cette page part du principe que le concept sous-jacent est acquis. Pour comprendre ce qu'est la cyber-résilience , en quoi elle diffère de la cybersécurité et où s'applique le règlement européen sur la cyber-résilience, veuillez consulter cette page.
Quelles décisions prend une stratégie de cyber-résilience ?
Six, et elles sont plus faciles à fabriquer dans cet ordre car chacune contraint la suivante.
- Outils: ce qui nuirait réellement à l'organisation si la perte, la divulgation ou l'indisponibilité de certains éléments était avérée. Si la liste comporte plus de quelques éléments, la priorisation n'a pas encore eu lieu.
- Menaces: quels scénarios prévoyez-vous pour contrer ? Les ransomwares, les abus internes, la compromission de fournisseurs et le vol d’identifiants fonctionnent différemment et n’entraînent pas tous les mêmes dépenses.
- Appétit: quel niveau de perturbation est acceptable et où se situe la limite au-delà de laquelle elle ne l'est plus ? Les déclarations d'appétit pour la perturbation vagues constituent le point faible le plus courant.
- L’équilibre: comment les efforts se répartissent entre la prévention des incidents et la gestion de ces derniers. En l'absence de choix, la priorité est fortement donnée à la prévention, car elle est plus facile à mettre en œuvre.
- Séquence: l'ordre des tâches, classé en fonction du risque réduit par unité d'effort plutôt que selon l'équipe qui a le plus insisté.
- MesurerCe qui permet de vérifier son bon fonctionnement avant qu'un incident ne survienne : couverture par fonction, délai de détection, délai de rétablissement, exercices réalisés.
La décision qui a le plus d'impact sur les résultats est la quatrième. Les organisations qui ne la prennent jamais explicitement découvrent lors de leur premier incident grave qu'elles ont acheté des outils de détection sans jamais répéter une réponse, ou que des sauvegardes existaient mais que personne n'avait planifié une restauration.
Comment trouver le juste équilibre entre prévention et guérison ?
Non pas par principe, mais en analysant votre situation actuelle. La plupart des organisations abordent cette question avec une forte tendance à privilégier la prévention, car celle-ci est présentée comme un produit aux caractéristiques clairement définies, tandis que la capacité de récupération repose principalement sur la répétition, l'appropriation et la discipline, des aspects qui ne sont pas mis en avant.
| Questionne toi | Ce à quoi ressemble une réponse faible | Ce que cela devrait donner |
|---|---|---|
| Que défendons-nous ? | Tout est vital pour l'entreprise. | Ces quatre services, dans cet ordre, pour ces raisons. |
| Combien de temps pouvons-nous rester hors service ? | Le moins possible. | Quatre heures pour les paiements, deux jours pour les rapports. |
| Pourrions-nous le repérer ? | Nous avons mis en place un système de surveillance. | Nous avons détecté la dernière simulation en 40 minutes. |
| Pourrions-nous nous en remettre ? | Nous avons des sauvegardes. | Nous avons remis en service ce système lors d'un test le trimestre dernier, et cela a pris neuf heures. |
| Qui décide de la date ? | L'équipe d'intervention se réunirait. | Personne désignée, adjoint désigné, tous deux ont exercé leurs fonctions. |
Parcourir la colonne de droite permet d'élaborer plus rapidement une stratégie défendable que n'importe quel modèle de maturité . Chaque réponse est soit déjà vraie, auquel cas elle constitue une preuve, soit pas encore vraie, auquel cas elle représente une priorité. Cette distinction est au cœur même de la stratégie.
Il y a un enjeu plus important derrière tout cela.
Cette page aborde un aspect de la résilience des entreprises. Real Resilience — le cadre d'IO qui relie la sécurité, la confidentialité et la gouvernance de l'IA — offre une vision d'ensemble.
Comment constituer un dossier de présentation convaincant pour obtenir un investissement ?
La cyber-résilience est en concurrence avec des éléments offrant des retours sur investissement tangibles, et elle perd du terrain lorsqu'on s'en tient à des arguments purement techniques. Ce qui compte vraiment, c'est la portée de l'information, exprimée dans le langage courant de l'entreprise.
- Mettez l'accent sur le service, pas sur la menace.: ce que les clients ne peuvent pas faire, et pendant combien de temps, plutôt que le nom de la technique d'attaque.
- Quantifiez l'intervalle, pas l'incident.: le coût de l'impossibilité de commercer pendant une journée est discutable, contrairement aux estimations du coût total d'une violation de données.
- Démontrer la capacité testée par rapport à la capacité supposéeL'écart entre les deux est l'argument le plus clair qui soit et il ne nécessite aucune prévision.
- Présentez les contreparties, pas seulement la demande. Présentez-vous comme une contrepartie, et pas seulement comme une demande.: la question de savoir ce qu'impliquerait un budget plus restreint en termes de risque accepté donne au conseil d'administration un élément à trancher plutôt qu'à approuver.
- Utiliser la pression des contrats et des appels d'offres: là où les clients exigent une certification ou des preuves, la résilience devient une condition de rentabilité plutôt qu'un centre de coûts.
- Signalez les mêmes mesures à chaque fois.Un ensemble court et cohérent vaut mieux qu'un tableau de bord exhaustif que personne ne lit deux fois.
La certification est particulièrement utile ici car elle transforme une affirmation interne en une affirmation vérifiée par un organisme externe. Un conseil d'administration qui rejette une auto-évaluation acceptera généralement un système de management audité, et les éléments de preuve requis pour un tel audit recoupent en grande partie ceux qu'une stratégie devrait de toute façon produire.
Quels sont les éléments à éviter dans une stratégie de cyber-résilience ?
Les schémas de défaillance sont suffisamment cohérents pour permettre une vérification directe.
- Une liste d'outils déguisée en stratégieLes plans d'approvisionnement décrivent ce que vous allez acheter, et non ce que vous avez déjà décidé.
- Aucun appétit déclaréSans cadre défini, chaque risque est discutable et rien ne peut être accepté en toute connaissance de cause.
- Tout ce qui est critique: une liste d'actifs critiques de quarante éléments ne fournit aucune base pour un séquençage.
- Prévention uniquement: une hypothèse implicite selon laquelle la récupération fonctionnera, qui reste valable jusqu'à ce qu'elle soit testée.
- Menace sans scénarios: renseignements sur les menaces décrivant les actions des attaquants, sans indication sur les actions à entreprendre.
- Des mesures que personne ne peut produire: des indicateurs choisis parce qu'ils paraissent rigoureux plutôt que parce que les données existent.
- Écrit une fois: une stratégie triennale jamais réexaminée, dans un domaine où l'actif et les menaces évoluent tous deux trimestriellement.
Démarrez facilement avec une démonstration de produit personnelle
L'un de nos spécialistes de l'intégration vous guidera à travers notre plateforme pour vous aider à démarrer en toute confiance.
Comment cette stratégie s'intègre-t-elle à la boucle de résilience ?
Une stratégie de cyber-résilience qui ne prend en compte que la cybersécurité devra être repensée d'ici un an, car les actifs qu'elle protège sont également soumis à des obligations de confidentialité et, de plus en plus, à des exigences de gouvernance de l'IA. Définir ses priorités en matière de sécurité indépendamment de ces éléments tend à aboutir à trois feuilles de route concurrentes pour les mêmes personnes.
La boucle de résilience intègre la sécurité de l'information ( ISO 27001) , la protection des données ( ISO 27701) et la gouvernance de l'IA (ISO 42001) au sein d'un système interconnecté. La mise en œuvre simultanée de ces trois éléments transforme une stratégie de cybersécurité en une stratégie de résilience, et modifie la donne : une mesure de contrôle appliquée une fois compte trois fois, si bien que la prochaine action la plus économique est souvent celle qui répond à plusieurs obligations. Cette structure plus large est décrite dans le cadre de résilience des entreprises.
Comment savoir si la stratégie fonctionne ?
Avant un incident, deux éléments seulement permettent de tirer des conclusions : la couverture et la capacité testée. La couverture correspond à la présence d'un responsable pour chaque fonction et à une situation à jour. La capacité testée, quant à elle, représente la différence entre ce que l'on suppose fonctionnel et ce qui a été démontré fonctionnel ; c'est la seule mesure qui ne peut être truquée.
Un ensemble de mesures courtes et répétées est plus efficace qu'un ensemble exhaustif. Le temps de détection lors du dernier exercice. Le temps de rétablissement du service le plus critique, mesuré plutôt que ciblé. La proportion de services critiques ayant bénéficié d'une réponse préparée. Les exercices réalisés par rapport aux exercices planifiés. Chaque mesure est issue d'un travail que vous devriez de toute façon effectuer, ce qui constitue un critère de pertinence. L'approche est décrite dans le document « Comment démontrer la résilience » , et le score de résilience vous fournit un point de référence.
Pourquoi choisir ISMS.online pour sa stratégie de cyber-résilience ?
Une stratégie n'est efficace que si l'on constate sa mise en œuvre. ISMS.online relie les décisions aux actions.
- Priorités liées aux contrôles et aux risquesCe que vous avez décidé de défendre est lié aux contrôles qui le protègent et aux risques auxquels il est exposé.
- Un seul ensemble de contrôles, chaque framework: séquencer le travail en fonction du nombre d'obligations que chaque contrôle satisfait dans les normes ISO 27001, ISO 27701, ISO 42001 et ISO 22301.
- Testé par rapport à des hypothèses visibles: les données et les résultats des exercices sont comparés aux témoins, l'écart est donc un chiffre plutôt qu'une impression.
- Rapports du conseil d'administration à partir de données en direct: rapporter les mêmes mesures à chaque cycle sans les assembler manuellement.
- L'appétit pour le risque a été enregistré et appliqué.La ligne que vous avez acceptée est respectée face aux risques que vous acceptez, elle n'est pas classée et oubliée.
- Vous aide à obtenir une certification: transforme les affirmations internes en une position vérifiée de manière indépendante et acceptée par les conseils d'administration et les clients.
- Conçu pour le marché britannique et les marchés réglementés.: conçu pour les organisations qui doivent faire preuve de résilience pour remporter et conserver des contrats.
Découvrez comment tout cela s'articule sur la plateforme de résilience d'entreprise , ou réservez une démonstration.
FAQ
Quelle est la différence entre une stratégie de cyber-résilience et un cadre de référence ?
Un cadre de référence est structurel. Il définit les fonctions à couvrir et les éléments probants que chacune produit ; il s’applique à toute organisation. Une stratégie, en revanche, est un ensemble de choix propres à la vôtre : les lacunes que vous comblez cette année compte tenu de votre budget limité, celles que vous acceptez sciemment et celles que vous défendez avec le plus de vigueur. Le cadre de référence vous indique les critères d’excellence. La stratégie, quant à elle, détermine les actions à entreprendre et leur ordre de priorité.
Quelle doit être la durée d'une stratégie de cyber-résilience ?
Assez court pour être lu par l'équipe dirigeante, ce document contient en quelques pages les décisions essentielles, les ressources concernées, les scénarios envisagés, les objectifs à atteindre, l'équilibre à trouver, l'ordre de priorité et les indicateurs à suivre. Un document trop long révèle généralement qu'il s'agit d'une simple réaffirmation de bonnes pratiques plutôt que de choix concrets, et qu'une stratégie dont personne ne se souvient des priorités est inopérante.
Quelle part du budget devrait être consacrée à la reprise plutôt qu'à la prévention ?
Il n'existe pas de ratio idéal, et toute donnée présentée comme universelle doit être considérée avec prudence. L'approche la plus pertinente consiste à analyser sa propre situation : si vous pouvez décrire en détail vos mesures de prévention, mais que vous ne pouvez pas estimer le temps de restauration de votre système le plus critique, un déséquilibre est constaté et la priorité est donnée à la récupération. Il est essentiel de définir clairement cette répartition, car en l'absence de décision, la priorité sera donnée à la prévention.
À qui appartient la stratégie de cyber-résilience ?
Ce document est rédigé par le responsable de la sécurité et appartient au conseil d'administration, car les décisions qui y sont prises concernent les risques acceptés et ne peuvent être déléguées à une fonction technique. Cette distinction est cruciale en pratique : une stratégie élaborée uniquement par l'équipe de sécurité peut être remise en cause lors de chaque révision budgétaire, tandis qu'une stratégie dont le conseil d'administration a validé les compromis en matière de risques a généralement plus de chances d'être maintenue.
À quelle fréquence faut-il réexaminer cette stratégie ?
Un examen complet est effectué chaque année, et la séquence est réexaminée dès qu'un changement important survient : incident majeur dans votre secteur, modification importante d'un système ou d'un fournisseur, nouvelle obligation ou exercice invalidant une hypothèse. Les décisions elles-mêmes sont relativement stables. Seule la séquence évolue, car le risque réduit par chaque tâche restante change au gré des modifications du contexte.
