CSEM : vos données stratégiques méritent une vraie stratégie de sécurité

Serez-vous mieux protégés cette année qu’en 2005 ?

Davantage de solutions de sécurité ont été déployées en 2005 pour combattre les nouvelles menaces telles que les rootkits et codes malicieux. Mais ces offres solutionnent-elles le problème de la sécurité ou bien le rendent-elles plus complexe?
Si l’on compare la sécurisation de l’information à une bataille, les sociétés sont aujourd’hui à la tête d’une armée disparate de systèmes tactiques, de briques et de solutions de sécurité. C’est un peu comme si elles dirigeaient une force d’intervention multilingue des Nations Unies - véritable imbroglio de problèmes de communication, comme l’histoire nous l’a souvent montré !

Chaque système contribue il est vrai à relever le niveau de sécurité de l’information d’une société, mais en même temps chaque système détient son propre format de logs et de règles. Cette affluence d’événements de sécurité en provenance des systèmes en place trouble la vision qu’a l’équipe d’administration de l’état et du niveau global de sécurité.
Si l’équipe d’administration et le management ne peuvent identifier les menaces réelles de sécurité parmi ce flot permanent d’informations, les informations sensibles se perdront dans le bruit de fond – et la bataille sera perdue avant même le premier coup de semonce.

Une étude du Gartner Group estime que les équipements qui génèrent des informations de sécurité des sociétés de plus de 1000 utilisateurs peuvent générer une moyenne de 200 événements de sécurité à la seconde. Ce chiffre colossal rend la supervision de la sécurité humainement intraitable. En effet, cette masse de données de sécurité rend la protection des actifs d’une entreprise exceptionnellement difficile parce qu’elle contraint les équipes d’administration à passer leur temps à tenter de reconstituer des chaînes de process globaux et à leur donner du sens à partir d’événements fragmentés.

Alors, comment mieux gérer le déluge de données de sécurité en provenance des systèmes internes d’une entreprise et en tirer la quintessence pour atteindre ainsi l’objectif ultime qui est d’assurer la protection des actifs stratégiques de l’entreprise ?
C’est là qu’interviennent les solutions «Core Security Event Management » (CSEM). Le CSEM unifie et coordonne le management de la sécurité, aidant ainsi les entreprises à mener la bataille de la sécurité à deux niveaux.

Au niveau de la vision d’ensemble, tout d’abord :

Le CSEM intègre le foisonnement de consoles et de formats de reporting pour en simplifier le management et offrir une vue globale du champ de bataille. Ceci donne à l’équipe d’administration une vision plus claire et améliore les temps de réponse.

Le CSEM donne aussi une vue « entrée-sortie » de l’activité des réseaux, alertant sur tout changement touchant aux données stratégiques et actifs business – c'est-à-dire là où la sécurité est le plus nécessaire.

Le CSEM agrège et corrèle, à partir d’un point central, toutes les données et logs d’événements des systèmes et briques de sécurité reliés aux actifs business. Il superpose des rapports multiples et des flux de données, apportant aux équipes en charge de la sécurité une vision sous forme de vue unique des événements de sécurité clés. Il identifie également et replace dans leur contexte des activités non autorisées, ou encore des tentatives d’attaque autrement invisibles.

Au niveau de la riposte, ensuite :

Le CSEM permet de passer d’une analyse manuelle des logs à une véritable « gestion du risque métier ». En fournissant, au bon moment, la bonne information à la bonne personne, et grâce à des fonctionnalités d’aide à la décision, le CSEM assiste les équipes dans la gestion et la résolution d’incidents.

Il va sans dire que ceci joue un rôle clé dans la mise en conformité réglementaire…

Qu’est-ce que cela signifie pour les entreprises?

Le CSEM offre une approche stratégique de l’ensemble de la chaîne pour protéger leurs vrais actifs business.
Le CSEM permet d’optimiser les coûts d’administration de la sécurité en réduisant considérablement le temps passé à l’identification et la résolution de problèmes.
Le CSEM fournit des tableaux de bords conformes aux obligations réglementaires nécessaires en cas d’audit.
Enfin, le CSEM permet d’accroître le niveau de sécurité des systèmes en place et ainsi de mieux protéger les actifs de l’entreprise.

SIM versus CSEM : définition sectorielle

Les produits SIM (Security Information Management) sont une évolution des outils basiques qui en leur temps collectaient, agrégeaient, reportaient, ou archivaient des événements à partir des outils de sécurité périphériques (IDS, firewalls, etc…) en place dans l’entreprise. Les produits SIM ont aidé à réduire la charge des administrateurs IT qui consistait essentiellement à trier les menaces véritables noyées dans le flot des volumes de données de sécurité en tous genres et des faux positifs que ces outils périphériques généraient.

Cependant, ce focus sur les outils de sécurité périphériques ne donne que peu ou pas de visibilité sur les systèmes internes en prise avec le cœur du business et l’information qu’ils contiennent. Les produits SIM sont une approche tactique à un problème informatique.

Les solutions CSEM reposent sur l’approche inverse. Le focus est placé sur les actifs stratégiques business et s’étend sur l’ensemble du périmètre du système d’information. De cette manière, les données de sécurité sont rassemblées à partir de tous les outils et applications dans lesquels est créée, stockée et transmise l’information stratégique, et pas seulement à partir des outils périphériques. Le CSEM est une approche stratégique à une problématique business.

Les solutions CSEM assurent le monitoring des actifs stratégiques, des activités et des comportements sur les réseaux internes et externes. Elles compilent tout ceci en temps-réel avec les processus de l’entreprise, alertent les administrateurs en cas de déviation, et fournissent une analyse en profondeur des activités déviantes au fur et à mesure qu’elles se présentent. Ceci non seulement apporte un véritable ROI en terme de gestion de la sécurité, mais aussi et surtout garantit que les actifs stratégiques sont protégés de tout type de modification non souhaitée et offre une vision complète et auditable de la sécurité du système d’information de l’entreprise.