Le cadre britannique d'évaluation de la cybersécurité

Si votre organisation assure l'éclairage public, l'approvisionnement en eau ou l'intervention des services d'urgence, une cyberattaque n'est pas seulement un problème informatique, c'est une crise de sécurité publique. C'est précisément à cette réalité que le cadre d'évaluation de la cybersécurité (Cyber Assessment Framework) du Centre national de cybersécurité du Royaume-Uni a été conçu pour répondre, et c'est la raison pour laquelle un nombre croissant d'organisations s'y réfèrent désormais comme référence en matière de cyber resilience.

Conçu à l'origine pour les opérateurs de services essentiels, le CAF a connu un essor bien au-delà du domaine des infrastructures critiques. Le NHS, les opérateurs de télécommunications, les ministères du gouvernement central et un cercle de plus en plus large d'organisations y ont désormais recours pour répondre à une question d'une simplicité trompeuse : nos dispositifs de défense sont-ils réellement efficaces ?

Ce qui distingue le CAF de nombreux cadres de conformité, c'est qu'il met l'accent sur les résultats plutôt que sur les moyens mis en œuvre. La question ne porte pas sur le fait de savoir si vous avez acheté un outil particulier ou coché une case spécifique. Cette question vise à déterminer si vos capacités en matière de sécurité produisent les résultats escomptés. Cette distinction revêt plus d'importance que jamais, alors que les menaces gagnent en sophistication et que la surface d'attaque s'étend à tous les aspects du mode de travail des personnes.

Quatre objectifs, 14 principes, un défi commun

La CAF articule la cyber resilience autour de quatre objectifs : la gestion des risques de sécurité, la protection contre les cyberattaques, la détection des incidents de cybersécurité et la minimisation de l'impact des incidents. Ces quatre objectifs s'articulent autour de quatorze principes, dont chacun est évalué à l'aune d'indicateurs spécifiques permettant de définir ce que constituent les bonnes pratiques.

Ce qui apparaît clairement lorsque l'on examine ces principes dans leur ensemble, c'est qu'ils ne décrivent pas des contrôles techniques isolés. Ils décrivent un système interdépendant de gouvernance, de protection, de détection et d'intervention, dans lequel une faiblesse dans l'un de ces domaines compromet l'ensemble du système.

Prenons l'objectif A, qui porte sur la gestion des risques de sécurité. La CAF attend de vous une responsabilisation au niveau du conseil d'administration, une gestion dynamique des risques s'appuyant sur des renseignements concrets en matière de menaces, une compréhension globale de vos actifs (y compris vos données et votre personnel), ainsi qu'une visibilité sur les risques liés à la chaîne d'approvisionnement. Rien de tout cela ne peut être réalisé à l'aide d'un single produit ou d'un bilan des risques annuel. Cela nécessite des signaux continus, une intelligence intégrée et une ligne de communication claire entre la direction et le terrain.

C'est là que de nombreuses organisations rencontrent des difficultés. Ils disposent d'outils qui génèrent des données, mais pas de la vision globale qui permet de transformer ces données en gouvernance. Ils assurent un suivi minutieux des actifs du système, mais ne disposent que d'une visibilité limitée sur la manière dont les informations sensibles circulent via les plateformes de collaboration, les e-mails et la multitude croissante d'outils d'IA que leurs collaborateurs utilisent au quotidien.

Les personnes : un risque que le cadre ne peut ignorer

L'un des changements les plus marquants dans notre façon d'appréhender le risque cyber — et que le CAF reflète — réside dans la prise de conscience que les personnes constituent à la fois la cible principale et la variable principale. Les pirates ne se contentent pas d'exploiter les failles logicielles. Ils exploitent les comportements humains : le sentiment d'urgence, la confiance, la curiosité et la routine.

Les principes de la CAF relatifs à la sensibilisation et à la formation du personnel, au contrôle d'identité et d'accès, ainsi qu'à la sécurité des données, vont tous dans ce sens. Pour atteindre l'indicateur « atteint » dans ces domaines, il ne suffit pas de suivre des modules de formation annuels. Il faut pour cela déterminer quelles sont les personnes les plus exposées au risque, quels comportements sont à l'origine de ce risque et comment intervenir au moment le plus crucial.

Les études montrent systématiquement qu'une faible proportion d'utilisateurs (8%) est à l'origine de la grande majorité (80%) des incidents de sécurité. Un cadre axé sur les résultats, tel que le CAF, pose naturellement la question de savoir si votre organisation est en mesure d'identifier ces personnes, de comprendre leur profil de risque et de prendre des mesures concrètes à cet égard. Les campagnes de sensibilisation générales ne suffiront pas à elles seules à vous permettre d'« y parvenir ».

Détection et réaction : passer d'une approche réactive à une approche résiliente

La dernière version du CAF, la version 4.0, confirme que la surveillance réactive n'est plus suffisante. Les objectifs C et D incitent les organisations à se tourner vers la recherche proactive des menaces, la réponse automatisée et une véritable résilience opérationnelle.

Concrètement, cela signifie être capable de détecter les menaces qui ont contourné les défenses initiales, de les analyser rapidement à l'aide d'outils modernes et de déclencher des procédures d'intervention permettant de limiter les dégâts avant qu'ils ne s'étendent. Cela signifie conserver les données essentielles dans des archives inviolables afin de permettre leur restauration et de respecter les obligations réglementaires. Cela implique de tirer les leçons de chaque incident : analyser les causes profondes, adapter les mesures de contrôle et établir un lien entre ce qui s'est produit et les changements mis en œuvre.

Ce ne sont pas des objectifs ambitieux. Ce sont les normes fixées par la CAF pour toute organisation dont les services sont essentiels à la sécurité publique et à la vie quotidienne.

Un cadre qu'il convient de prendre au sérieux

La force de la CAF réside dans son refus de laisser les organisations se retrancher derrière les procédures de passation de marchés. Acheter un outil n'est pas la même chose que gérer un risque. Le fait de déployer un capteur ne revient pas à détecter une menace. Avoir une politique ne revient pas à gouverner efficacement.

Pour les organisations qui se tournent vers le CAF — que ce soit parce que la réglementation l'exige ou parce qu'elles souhaitent disposer d'un indicateur fiable de leur résilience —, l'essentiel est de raisonner en termes de résultats interdépendants. Votre écosystème de sécurité vous apporte-t-il les preuves, la visibilité et la capacité de réaction exigées par le référentiel ? Pouvez-vous montrer non seulement ce dont vous disposez, mais aussi ce que cela permet d'accomplir ?

C'est ça, le bar. Et dans un environnement de menaces caractérisé par des attaques générées par l'IA, des surfaces de collaboration toujours plus étendues et un risque humain persistant, la mise en conformité ne se résume pas à cocher une case.

Pour en savoir plus, téléchargez la fiche de présentation de la solution « UK Cyber Assessment Framework» de Mimecast