RSA SECURITY MANAGEMENT Une approche intégrée de la gestion du risque, des opérations et des incidents Fiche solution
LIMITES DES APPROCHES TACTIQUES DE GESTION DE LA SÉCURITÉ Vos problématiques majeures de sécurité dépendent naturellement de votre fonction et de la perspective que vous adoptez. Toutefois, si vous êtes directeur informatique, CIO, CISO, responsable sécurité, directeur des risques d'entreprise, analyste sécurité, architecte ou enquêteur, les préoccupations qui suivent vous sont sûrement familières : Le manque de visibilité, empêchant de localiser précisément les risques dans le système d'information, induit des charges inutiles et des projets sans réelle valeur ajoutée pour la sécurité. Les difficultés à communiquer les problématiques de sécurité aux décideurs non techniques ralentissent les prises de décision, génèrent des risques et accroissent les coûts. Le temps excessif consacré à la réduction/correction des incidents empêche toute approche proactive d'identification des risques (avant qu'ils ne causent de dommages) et induit des pertes de temps et des coûts évitables. L'inefficacité des processus manuels répétitifs tels que la production de rapports, les évaluations d'audit et le développement de contrôles de sécurité ou de politiques induisent des pertes de temps et des coûts évitables. Solutions intégrées RSA Security Management RSA Archer egrc Suite Une solution prête à l'emploi de gestion intégrée de la gouvernance, du risque, de la conformité, des politiques, des incidents, des fournisseurs, des menaces, de la continuité métier et de l'audit. RSA Policy Workflow Manager RSA Data Loss Prevention et RSA Archer egrc Platform. RSA Risk Remediation Manager RSA Data Loss Prevention et RSA Archer egrc Platform. RSA Cloud Security and Compliance RSA envision, RSA Archer egrc Platform et VMware. Identification d'incident basée sur le contenu RSA envision et RSA Data Loss Prevention. RSA Security Incident Management RSA envision et RSA Archer Incident Management. RSA NetWitness Panorama RSA envision SIEM et RSA NetWitness Monitoring. Les préoccupations de sécurité liées aux nouvelles technologies (cloud computing) et l'absence de solutions adaptées retardent des projets fortement créateurs de valeur. Les difficultés pour intégrer la sécurité aux processus métier, plus particulièrement pour identifier les propriétaires des processus et données, leur communiquer leurs responsabilités de sécurité, les aider à y faire face etc. conduisent à une exposition au risque ignorée ou inutile. La plupart de nos interlocuteurs reconnaissent que le problème majeur est l'incapacité à adopter une approche intégrée de la sécurité pour en faire une préoccupation stratégique et non tactique (voir figure 1). Cette carence induit un rapport médiocre entre les coûts engagés et le niveau de sécurité obtenu et impose de mener une lutte continuelle pour intégrer des volumes exponentiels de données ou pour répondre à des exigences de conformité de plus en plus strictes et à des menaces en perpétuelle évolution. UNE APPROCHE PLUS MÛRE DE LA GESTION DE LA SÉCURITÉ Herbert Hugh Thompson, gourou de la sécurité, remarque que «La gestion de la sécurité n'a rien à voir avec la sécurité! Il s'agit de gérer un risque pour un certain coût. En l'absence de métriques, nous tendons à surcompenser et à nous focaliser sur des risques familiers ou récents.» Qu est-ce que la gestion de la sécurité? Ce résumé illustre bien la spécificité des challenges dans ce domaine... Les budgets ne sont en effet jamais illimités et la gestion de la sécurité consiste avant tout à arbitrer entre le niveau des dépenses et la valeur des ressources à protéger. Pour cela, il est impératif de commencer par localiser les ressources stratégiques, leur niveau d'exposition au risque et son acceptabilité pour l'entreprise. Sans de telles informations l'absence de métriques évoquée par H.H. Thompson vous en serez réduit à... ne rien faire ou à réagir au dernier incident en date (ayant défrayé la chronique ou vous ayant touché). En l'absence d'informations vous devez vous transformer en...pompier! Maturité de la gestion de la sécurité Pour adopter une approche plus stratégique de la sécurité (alignant les activités de sécurité avec la valeur organisationnelle), il est donc indispensable de s'appuyer sur une plate-forme robuste et pérenne pour intégrer les informations requises et les convertir en intelligence exploitable, visible et partageable. page 2
Figure 1. Modèle de maturité de gestion de la sécurité Situation de la majorité des entreprises 4 FOCUS MÉTIER 1 DÉFENSE CONTRE LES MENACES Approche de la sécurité comme un «mal nécessaire» Supervision réactive et décentralisée Approche réactive et tactique 2 CONFORMITÉ ET DÉFENSE Approche de validation (boîtes à cocher) Mise en avant de la supervision des données de conformité réglementaire Défense tactique, contrôles de sécurité multiniveaux Tactique 3 FOCUS RISQUE Basé sur l'évaluation et la proactivité Collecte de données de gestion du risque pour une meilleure visibilité des menaces Intégration des outils de sécurité Approche de prévention et processus immatures de réponse d'urgence Intégration complète de la sécurité aux processus d'entreprise Vue orientée données des risques et allocation des ressources Intégration des outils métier et de sécurité Approche de prévention, détection et correction et processus aboutis de réponse d'urgence Stratégique Ces informations peuvent en effet être mises entre les mains des acteurs informatiques et métier pour que leurs décisions soient plus cohérentes en évitant les écueils du laxisme ou de la paranoïa... L'importance du partage d'information est illustrée dans le modèle de maturité de gestion de la sécurité développé par l'esg (Enterprise Strategy Group) et illustré à la figure 1. Pour passer aux niveaux 3/ 4 où la réactivité cède la pas à la proactivité et où les activités de sécurité sont alignées avec les objectifs métier il est nécessaire, selon les propres termes de l'esg, de disposer d'une vue des risques orientée sur les données et d'outils intégrés pour gérer les objectifs métier et de sécurité. «La gestion de la sécurité n'a rien à voir avec la sécurité! Il s'agit de gérer un risque pour un certain coût. En l'absence de métriques, nous tendons à surcompenser et à nous focaliser sur des risques familiers ou récents.» Herbert Hugh Thompson Gourou de la sécurité Ce modèle de maturité revient sur la façon dont les entreprises ont répondu au cours des dernières décennies aux changements de leur environnement de sécurité et définit une feuille de route pour optimiser l'approche de sécurité pour adresser les problématiques actuelles et futures. Pour plus d'informations sur ce modèle de maturité et sur les raisons pour lesquelles il est important de passer des niveaux 1/2 à 3/ 4, veuillez vous reporter à l'étude de l'esg (The ESG Information Security Management Maturity Model) publiée en juillet 2011 par Jon Oltsik, Analyste principal senior de l'esg. Vous pouvez vous la procurer sur www.rsa.com. FRAMEWORK DE GESTION DE LA SÉCURITÉ Si le modèle de maturité définit clairement le point de départ, l'objectif à atteindre et ses raisons, il n'offre pas d'assistance quant aux moyens de l'atteindre. RSA, la Division Sécurité d'emc, a développé pour cela un framework de gestion stratégique de la sécurité en quatre phases (figure 2) : Gouvernance métier. Il s'agit de synthétiser les objectifs clés et les ressources qui doivent être protégées pour les atteindre. Cela permet d'intégrer la sécurité à tous les processus et structures et de prendre en charge les exigences externes (conformité réglementaire, etc.) et internes (lignes d'activité, politiques d'entreprise, etc.). Gestion des risques de sécurité. Il s'agit de quantifier le niveau effectif de risque et de le rapprocher du niveau acceptable par l'entreprise. Cela permet d'identifier et d'ordonner les risques et de contrôler les projets de réduction des risques. Gestion des opérations de sécurité. Il s'agit d'évaluer le fonctionnement quotidien des opérations de sécurité et leur capacité à offrir un rapport optimal coût/sécurité. Cela page 3
Réévaluation du risque métier et des ressources critiques GOUVERNANCE MÉTIER RISQUES DE SÉCURITÉ OPÉRATIONS GESTION DES INCIDENTS Définition des objectifs métier Objectifs de niveau de risque Définition des ressources métier critiques Compréhension des menaces internes et externes Identification des vulnérabilités Classification des ressources à haute valeur Priorisation des travaux en fonction du risque Ajout des contrôles de sécurité requis Amélioration de la supervision et de la visibilité Identification des événements de sécurité Priorisation par impact métier Rapport aux responsables métier Figure 2. Processus clés du framework RSA Security Management permet d'aligner les processus et contrôles aux politiques pour réduire le taux de conversion de risques en incidents. Gestion des incidents. Il s'agit d'évaluer la capacité de l'entreprise à répondre aux incidents de sécurité pour garantir que le niveau de tolérance au risque n'est jamais dépassé. Cela permet de détecter, analyser, traiter et communiquer sur les événements de sécurité pour minimiser leurs effets et coûts de résolution. La maîtrise des quatre phases de cette trame trois dans le périmètre du département informatique, une dans celui des lignes métier vous permettra d'accéder au niveau 4 du modèle de maturité. En vous focalisant sur les trois domaines spécifiquement informatiques, vous accéderez au niveau 3. «Nous devons faire de la sécurité un objectif commun pour les équipes qui en sont chargées comme pour les unités métier. Les acteurs de la sécurité ne peuvent plus agir seuls...» Directeur des opérations de sécurité (CISO) d'une société technologique, cité dans «The ESG Information Security Management Maturity Model» par Jon Oltsik, Analyste Principal Senior de l'esg (Enterprise Strategy Group), juin 2011 MAÎTRISER LES QUATRE ÉTAPES Ce framework est au coeur de la stratégie de sécurité conçue par RSA. Pour en faire une réalité, nous avons développé un portefeuille intégré de solutions de gestion de la sécurité à partir de technologies déjà reconnues isolément pour leurs qualités exclusives. Ces solutions : Reflètent des bonnes pratiques de sécurité reconnues à chaque stade. Rationalisent les workflows de gestion de la sécurité à tous les niveaux pour les professionnels de la sécurité comme pour les acteurs métier. RSA propose une intégration avancée clés en main grâce à des solutions prenant en charge des workflows de sécurité de bout en bout et facilitant la collaboration entre les professionnels de la sécurité et l'ensemble des autres intervenants d'entreprise dans une approche proactive et résolument orientée métier. Certaines de ces solutions sont présentées plus loin. ÉTAPE 1 GOUVERNANCE MÉTIER Comme indiqué à la figure 1, une approche stratégique de la sécurité doit être centrée sur les objectifs métier. Il s'agit donc d'identifier les processus et les ressources critiques et les moyens de les protéger. Pour cela, les acteurs de sécurité doivent disposer d'informations complètes sur les objectifs métier, les politiques d'entreprise, les structures organisationnelles, l'environnement (contraintes réglementaires, menaces spécifiques, etc.). Réciproquement, ils doivent également pouvoir traduire les problématiques de sécurité en langage métier... Pour des acteurs fonctionnels, des rapports sur le nombre mensuel de virus ne sont instructifs que s'ils en qualifient la gravité. Les intervenants métier page 4
souhaitent avant tout savoir si leurs données critiques sont impactées, si les investissements en sécurité informatique réduisent le nombre d'incidents mensuels, etc. Si l'entreprise compte plusieurs centaines de collaborateurs, il est impossible de répondre à ces attentes avec des feuilles de calcul, des e-mails ou des référentiels SharePoint. Ces outils induisent en effet des travaux redondants tout en laissant dans l'ombre de nombreuses activités. De nouveaux outils sont nécessaires... «RSA reste toujours aux avant-postes par sa grande simplicité d'intégration.» Frost & Sullivan, Marché mondial des produits de gestion SIEM et des journaux de Log Novembre 2010 Ou plus exactement, un outil, consolidant des informations métier et de sécurité et permettant de générer des rapports intelligibles sur leurs relations. La plate-forme RSA Archer egrc Suite a été conçue pour que vous puissiez administrer dans un environnement unique tous les composants de Gouvernance, Risque et Conformité (GRC). Grâce à ses milliers de modèles, ses outils d'automatisation des workflows à haut niveau, ses fonctions avancées de reporting et ses interface ergonomiques, RSA Archer offre à chaque intervenant une vision pertinente des problématiques de sécurité et l'assiste à accomplir les tâches dans son domaine de compétence dans le cadre d'un programme de sécurité orienté métier. RSA Archer egrc Suite constitue en effet un référentiel unique et fédérateur de collaboration, cataloguant les ressources et données critiques, administrant le cycle de vie des politiques et exceptions, évaluant le niveau de conformité et prenant en charge les workflows de gestion des incidents et d'investigation. Cette plate-forme intègre la plupart de nos technologies leader de sécurité. ÉTAPE 2 GESTION DES RISQUES DE SÉCURITÉ La gestion du risque consiste à identifier et classer proactivement les risques de sécurité de façon à les réduire avant qu'ils ne causent de dommages. Les entreprise où il est encore nécessaire d'échanger des e-mails, des appels téléphoniques, des feuilles de calcul ou d'organiser des réunions pour, par exemple, savoir quand une application Web a été testée pour la dernière fois contre les attaques par injection SQL, s'exposent à de sérieuses déconvenues... La gestion du risque est généralement la pratique de sécurité la moins répandue dans la mesure où elle consolide des informations multisources, et surtout, où elle exige une collaboration transparente avec les propriétaires des processus et données pour quantifier et réduire les risques. Une gestion performante exige de pouvoir intervenir transversalement pour : Identifier les menaces internes et externes affectant la sécurité des ressources. Définir des workflows pour prioriser et contrôler les projets de réduction des risques. Classer et protéger les informations sensibles et autres actifs vulnérables. Produire des rapports sur le résultat de toutes ces activités. Grâce à ses outils dédiés à la gestion des risques et menaces, RSA Archer egrc Suite : automatise le processus d'évaluation des risques et menaces ; constitue un référentiel des risques et les associe aux processus et structures métier ; relie les menaces connues aux vulnérabilité identifiées et produit des rapports en temps réel sur le profil votre organisation face aux risques et menaces. Grâce à son intégration immédiate aux autres produits RSA, ses fonctionnalités peuvent être étendues, par exemple avec RSA Data Loss Prevention Suite (DLP), pour localiser, classer et protéger les données sensibles en cours d'utilisation (sur des serveurs d'applications ou des postes utilisateur), en mouvement (réseaux) ou stockées (disque, poste utilisateur, etc.). En intégrant RSA DLP à la plate-forme RSA Archer egrc, nous avons conçu deux solutions additionnelles, RSA Policy Workflow Manager et RSA Risk Remediation Manager, permettant d'associer les propriétaires des informations sensibles page 5
(découvertes par RSA DLP) à la création et l'application de politiques efficaces de contrôle et à l'adoption de mesures appropriées de protection. Grâce à ces solutions, les propriétaires des données et responsables de la conformité peuvent en effet définir par eux-même (sans intervention des administrateurs informatiques) les informations sensibles et limiter leur prolifération afin de réduire considérablement leur exposition au risque. ÉTAPE 3 GESTION DES OPÉRATIONS DE SÉCURITÉ Les opérations de sécurité englobent toutes les activités quotidiennes qu'elles relèvent ou pas d'une stratégie de gestion des risques de sécurité orientée métier. Idéalement, la gestion des risques et des opérations interagissent en permanence. Cependant, même en l'absence de gestion du risque, les opérations de sécurité sont nécessaires pour minimiser l'exposition au risque et prévenir les incidents. La gestion des opérations de sécurité couvre deux domaines : La maintenance active : déploiement de contrôles (technologiques ou processus), configuration et correction des serveurs et applications, gestion des habilitations utilisateur pour contrôler les accès aux systèmes et informations, etc. La supervision continue: détection des failles de sécurité (attaques tentées/réussies), des violation des politiques, des échecs de contrôle de sécurité, etc. La gestion du risque est généralement la pratique de management de la sécurité la moins développée... Pour prendre des décisions d investissement pertinentes quant aux technologies de contrôle, il est indispensable de clairement relier les contrôles aux objectifs de gestion du risque, aux politiques de sécurité et aux exigences de conformité. Ainsi vous êtes en mesure d'adopter des contrôle appropriés, d'éviter les pertes de temps et d'argent sur des solutions ponctuelles et d'offrir une claire vision aux spécialistes IT et sécurité de la raison des contrôles et des tâches à accomplir. RSA Archer egrc Suite intègre tous les outils nécessaires pour répondre à ces problématiques et prend en charge les procédures de contrôle spécifiques de plus de 6 000 appareils qu il peut associer à plus de 90 sources d'exigences réglementaires et normes industrielles (ISO, PCI, COBIT, FFIEC, NIST, etc.). Cette plate-forme intègre également quelque 12 000 questions d'évaluation pour vous aider à valider la pertinence des contrôles implémentés. Notre stratégie consiste à consolider des solutions avancées autour de la plate-forme RSA Archer egrc pour offrir aux entreprises des outils répondant aux challenges actuels et futurs de gestion de la sécurité. RSA Cloud Security and Compliance Solution, illustre cette approche en proposant un système de gestion des contrôles de sécurité, des événements et des workflows, applicable aux infrastructures physiques et aux environnements virtuels VMware. Cette solution a été développée par intégration de fonctionnalités de RSA Archer egrc, de RSA envision (plate-forme de gestion des événements et informations de sécurité ou SIEM) et de certains produits VMware. ÉTAPE 4 GESTION DES INCIDENTS La gestion orientée métier du risque et des opérations de sécurité consiste pour l'essentiel à prévenir les incidents. Néanmoins, lorsqu'un incident survient, il est vital de pouvoir le détecter et l'analyser très rapidement pour prendre les mesures appropriées pour en limiter l'impact. page 6
«La plate-forme RSA Solution for Cloud Security and Compliance propose une approche différentiée et bien acceptée des challenges spécifiques aux environnement physiques, virtuels et de cloud computing.» Scott Crawford, Enterprise Management Associates, «Managing Risk on the Journey to Virtualization and the Cloud» Septembre 2010 L'étroite intégration entre RSA Archer egrc Suite, RSA envision et RSA Data Loss Prevention offre une solution incomparable pour optimiser la gestion des incidents. En effet, RSA envision collecte, relie, analyse et stocke en temps réel les journaux de log détaillés émanant de tous les systèmes, et déclenche des alertes en temps réel grâce à ses fonctionnalités analytiques avancées de détection des événements à haut-risque. En outre, lorsque RSA envision émet une alerte, il sait qualifier si elle porte sur des données sensibles ou non. Son intégration immédiate à RSA DLP permet donc de constituer une plate-forme capable de différentier les contenus et, en cas d'alerte, d'identifier les données compromises, et surtout, de mesurer la gravité de la menace en fonction de sa nature. Cette intelligence situationnelle permet de se prioriser sur les incidents les plus importants et de prendre le relais avec la solution RSA Security Incident Management pour mener les investigations et résoudre le problème en adressant directement les alertes de RSA envision à RSA Archer egrc Suite. Cette approche rationalise l'intégralité du cycle de gestion des incidents : documentation, affectation de l'équipe de résolution, notification juridique/légale/pénale, reporting sur les pertes, stratégie de reconstitution, historique détaillé, piste d'audit, etc. Avec RSA envision et RSA NetWitness Panorama, vous pouvez également obtenir une vision sans précédent des menaces et incidents dans le même environnement. RSA NetWitness Panorama est un module de la plate-forme RSA NetWitness, reconnue par des entreprises et administrations parmi les plus exigeantes au monde en matière de sécurité comme la plate-forme la plus sophistiquée d'analyse réseau. RSA NetWitness Panorama intègre les données de log détaillées de RSA envision et met en oeuvre de puissantes fonctionnalités de capture de paquets et d'analyse réseau pour offrir une vision véritablement panoramique de toute activité suspecte. Cette solution automatise un élément clé du partage d information sur les menaces en corrélant les journaux de log et les données de session et en les mettant à la disposition des modules NetWitness Investigator et NetWitness Informer à des fins d'investigation et de reporting. POURQUOI CHOISIR LES SOLUTIONS INTÉGRÉES RSA SECURITY MANAGEMENT Par son expérience, RSA sait que la gestion de la sécurité va bien au-delà de solutions ponctuelles ou d'intégrations élémentaires ; elle exige un cadre stratégique et des outils offrant une visibilité intégrale des workflows. A cet effet, RSA a développé un framework dans lequel s'intègrent l'ensemble des éléments de la suite Security Management. Les composants de cette plate-forme vous aideront à prendre des décisions plus pertinentes, à agir plus vite et efficacement et à réduire les coûts de gestion de la sécurité. Nos solutions intègrent en effet des outils, absents des offres concurrentes, qui vous permettront de relier des îlots d'informations, de créer des vues et workflows consolidés, et surtout, de développer une stratégie de sécurité globale intégrant la gouvernance et la gestion du risque et de la conformité. Notre plate-forme vous aidera à identifier les risques et à prioriser les réponses en fonction de leur impact et à intégrer les exigences de sécurité aux processus métier pour les gérer de façon cohérente et reproductible. page 7
GOUVERNANCE MÉTIER RISQUES DE SÉCURITÉ OPÉRATIONS GESTION DES INCIDENTS RSA Archer egrc Suite Gestion des politiques Gestion d entreprise Gestion de la conformité RSA Archer Risk & Threat Management RSA Data Loss Prevention Risk Remediation Manager et RSA Policy Workflow Manager RSA NetWitness Spectrum RSA Archer Enterprise Management RSA envision SIEM Solutions pour la sécurité et la conformité cloud Figure 3. Correspondances entre les Solutions et le Framework de gestion de la sécurité RSA RSA Security Incident Management : RSA envision SIEM, RSA Archer Incident Management RSA Data Loss Prevention RSA NetWitness Investigator «[RSA] a conçu un outil pour automatiser l'identification, la priorisation et la résolution en temps réel des incidents de sécurité.» Charles King, Pund-IT, Inc «Trusted Cloud: Built On Proof, Not Promises» Février 2011 À PROPOS DE RSA RSA, est la Division le premier Sécurité éditeur d'emc, de solutions est le premier de sécurité, fournisseur de gestion de solutions du risque de et sécurité de la pour conformité. l'accélération En aidant métier les entreprises et le partenaire à relever privilégié leurs des défis plus les grandes plus complexes entreprises et les mondiales plus critiques pour en résoudre matière de leurs sécurité, challenges RSA contribue de sécurité au les succès plus complexes des plus grandes et sensibles entreprises en mondiales. matière de Ces gestion défis du incluent risque la opérationnel, gestion des de risques protection opérationnels, des accès la mobiles protection et des accès environnements mobiles et de de collaboration, la collaboration, de la démonstration preuve de conformité de conformité et la et de sécurisation sécurisation des des environnements environnements virtuels virtuels et cloud. et cloud. En Combinant combinant des ses contrôles technologies critiques exclusives métiers de dans contrôle, la gestion d'assurance des identités, identité, la de prévention des pertes de données, de le chiffrement cryptage, de et clés la tokenisation, matérielles, de la protection contre la fraude, et ainsi de gestion que le SIEM des événements à des fonctions de sécurité de GRC (SIEM) et des à services des de fonctionnalités consulting, RSA leaders apporte d'egrc la visibilité et à des et la services confiance dédiés à des de millions consulting, d identités RSA offre une transparence utilisateurs, aux sans transactions pareille à des qu elles millions réalisent d'identités et aux d'utilisateurs données générées. dans le monde, 2011 EMC Corporation. EMC2, EMC, RSA, envision, Archer et le logo RSA sont des marques ou marques déposées d'emc Corporation aux États-Unis et/ou dans d autres pays. Tous les autres produits et services mentionnés sont des marques appartenant à leurs détenteurs respectifs. www.rsa.com h9010-iaroim-sb-0811