Cinq défis en matière de sécurité des données auxquels les RSSI sont confrontés aujourd'hui

Rien ne vaut une rencontre avec des clients et des prospects capables d'exposer clairement les enjeux auxquels ils sont confrontés en tant qu'entreprise et organisation de sécurité, qu'il s'agisse des pressions réglementaires et des enjeux de gouvernance ou du déploiement des ressources, notamment humaines et matérielles. Ces échanges peuvent avoir lieu dans les hôtels proches du centre de congrès RSA à San Francisco, sur les toits-terrasses de Manhattan, ou dans tout autre lieu.

J'ai eu la chance de participer à des dizaines de conversations de ce type ces derniers mois, et j'ai constaté les points communs qui les caractérisent, que ce soit avec le RSSI d'une grande banque ou le responsable de la sécurité d'une multinationale des télécommunications. Chacun apporte une perspective unique et des défis différents. Tous sont sincères et déterminés à faire de leur mieux pour leur organisation et leurs équipes.

Ils subissent généralement des pressions de la part de leurs supérieurs, qu'il s'agisse de la direction générale, du conseil d'administration, des organismes de réglementation ou de l'ensemble de ces instances. Les stratégies qu'ils adoptent impliquent toutes des compromis. Leurs budgets ne sont pas illimités et ils ne peuvent pas tout essayer. Le plus souvent, ils combinent solutions internes, produits de fournisseurs et services de sécurité externalisés.

La plupart des stratégies de sécurité d'entreprise protègent les réseaux, les terminaux et les identités. La sécurité des données est une priorité, mais elle n'est souvent pas au cœur des stratégies de sécurité. Avec l'introduction massive de l'IA générale en entreprise, les responsables de la sécurité réévaluent leur approche de la sécurité des données, en commençant par l'utilisation interne de l'IA générale. On observe une attention quasi unanime portée à CoPilot et aux applications de productivité comme Slack, dont la gouvernance peut s'avérer complexe lorsque plusieurs instances sont utilisées au sein de l'environnement.

Responsables de la cybersécurité qui peinent à concevoir une stratégie de sécurité des données, rassurez-vous, vous n'êtes pas seuls. Après avoir écouté des RSSI de presque tous les secteurs, j'ai identifié cinq principaux défis en matière de sécurité des données auxquels même les meilleurs responsables de la sécurité sont confrontés :

1. Comprendre quelles données existent dans leur environnement C'était un point intéressant. Concernant leurs environnements sur site, la plupart estiment bien maîtriser leur empreinte de données. En revanche, pour le SaaS et le cloud public, ils ont rencontré de réelles difficultés. Les outils de sécurité des données utilisés pour leurs centres de données étaient, de leur propre aveu, insuffisants pour détecter et classifier les données hors de leur périmètre d'entreprise. Avec la démocratisation des données dans le monde du travail actuel, ils craignent qu'un transfert de données vers le SaaS ou le cloud public ne les expose à des risques importants.
2. Connaissant la sensibilité de leurs données Nombreux sont ceux qui ont reconnu que leurs données n'étaient pas toutes équivalentes, mais qu'il leur était difficile de déterminer lesquelles étaient les plus critiques pour leur sécurité. Leurs solutions sur site utilisaient des moteurs de classification basés uniquement sur des expressions régulières et la correspondance de modèles, ce qui entraînait de faux positifs – nécessitant une intervention manuelle pour la classification – et ne permettait pas une classification précise au niveau du fichier ou de l'objet. Or, cette précision est de plus en plus cruciale à l'ère des obligations de déclaration des violations de données.
3. L'infrastructure de distribution des données De nombreuses grandes entreprises possèdent des données réparties entre les trois principaux fournisseurs de cloud public (AWS, Azure et Google), des solutions SaaS (principalement des solutions Microsoft) et des infrastructures sur site. Or, beaucoup ignorent le volume exact de données présentes dans ces environnements et la présence éventuelle de doublons. Ces informations leur permettraient de prendre des décisions stratégiques concernant leur infrastructure et, potentiellement, de mettre en place des mesures de nettoyage des données supplémentaires (suppression de certaines données, migration vers une infrastructure moins coûteuse pour réduire la surface d'attaque et les coûts de stockage).
4. La relation entre identité et données Il n'est pas surprenant que les humains, les groupes d'humains et les entités non humaines (appareils) aient besoin d'accéder aux données d'entreprise. De nombreux responsables de la sécurité s'inquiètent de l'accès aux données. Ce fut peut-être l'un des enseignements les plus marquants pour moi. Je n'avais envisagé le concept de « confiance zéro » que dans le contexte de l'accès sécurisé, de la sécurité des terminaux et des fournisseurs d'identité. Or, la confiance zéro s'applique tout autant aux données au repos, mais on n'en parle jamais. Est-il temps d'adopter l'« accès aux données en toute confiance » (ZTDA) ?
5. Données de confidentialité Intervention en cas d'incident - La capacité à détecter les anomalies de données (accès aléatoires aux données personnelles), à garantir la conformité en matière de protection des données et à minimiser l'impact d'un incident de sécurité était une priorité absolue pour de nombreux acteurs, et représentait un défi de taille. Si l'alignement des mesures de réponse aux violations de données sur la réglementation en vigueur est indispensable, la capacité à identifier facilement les données personnelles compromises lors d'un incident est un objectif primordial. Prenons l'exemple de l'incident chez Change Healthcare. L'ignorance des données personnelles affectées par l'attaque de ransomware a empêché l'entreprise d'informer rapidement les clients concernés. Cette révélation a été un véritable électrochoc pour tous les responsables de la sécurité, les incitant à rechercher un partenaire spécialisé en sécurité des données pour les accompagner dans ce type de situation.

Réfléchissez à ces cinq défis. Si vous êtes responsable de la sécurité, disposez-vous d'une solution pour chacun d'eux ? Si oui, vous avez une longueur d'avance. Sinon, il n'est pas trop tard pour commencer à chercher. Chez Cyera Je serais ravi de vous aider. Au pire, je peux également vous mettre en relation avec mes convives.

Pour en savoir plus sur la manière de relever les défis en matière de sécurité et de bâtir une culture de sécurité résiliente, consultez notre épisode de podcast Avec la participation d'experts du secteur qui expliquent comment évaluer et renforcer votre programme de sécurité.