22 e Colloque annuel 7 décembre 2012 Le modèle SSI actuel et ses limites Olivier Chapron Damien Jullemier RSSI Groupe Société Générale Adjoint du RSSI LCL
Introduction Le modèle actuel est challengé car : Trop statique Peu adapté aux nouvelles exigences liées à la mobilité, l externalisation, etc. Peu résistant aux nouveaux types d attaques Parfois trop coûteux Et pas assez efficace sur certains sujets Notre exposé montrera que l évolution doit intervenir sur : La construction même du modèle actuel Les modes de protection Les responsabilités au sein de l entreprise
La construction du modèle doit évoluer Pour satisfaire les métiers qui souhaitent des évolutions en matière : De réactivité (discordances entre rythmes internes et externes) D adaptation au marché (le SaaS est très présent mais difficile à traiter par les modèles et politiques actuels) De mobilité (pour les salariés et les clients) De coût Pour satisfaire des besoins de sécurité en dépit de : L absence de maîtrise : du terminal, de la localisation des traitements (poupées gigognes de l externalisation) Le traitement de données localisées à l extérieur et à l intérieur, par des internes et des externes
Les modes de protection doivent évoluer Parce que le paradigme change : Les attaques sont ciblées : métaphore de l Ours Les attaques réussissent (DDoS, APT) et leur sophistication est très forte (exemples des attaques sur les postes des clients) Tous les acteurs veulent une mobilité totale, un choix de terminal, etc. Et donc pour être efficace, il faut être adaptatif : Inclure au dispositif des moyens externes adaptés (ex. DDoS) Changer les organisations internes : les efforts doivent être davantage axés sur la détection, l analyse et la réaction (force d intervention rapide, cloisonnement adaptatif) que sur la protection (maximisée dans le modèle actuel : exemple des parefeu et des antivirus) Faire évoluer la protection en fonction du contexte d utilisation (d une application, d un terminal), ce qui est rarement le cas à ce jour Parce que par nécessité nous ne pouvons nous concentrer que sur les actifs les plus sensibles
Les responsabilités doivent évoluer Pour une maîtrise globale : L interpénétration forte fait parfois porter les décisions sur des acteurs qui n ont pas la vue globale (ex. simplification des infrastructures, traitement d un projet transverse) Le silotage coûte cher! Nous n avons pas à ce jour les leviers sur la globalité des dépenses sécurité des organisations (et donc la responsabilité des priorisations). Certains modèles de gouvernance les concentrent dans le budget du RSSI. De par l importance du facteur humain dans la limitation des risques : À ce jour les modèles sont avant tout axés sur les moyens organisationnels et techniques Les entreprises les plus performantes ont su faire passer dans leur culture la sécurité (sur la confidentialité en particulier)
En conclusion Les nouveaux modèles ne remettront pas en cause les démarches classiques en cours : Le métier doit sélectionner les traitements les plus sensibles Les applications doivent fiabiliser authentification et habilitations Les infrastructures doivent traiter leurs vulnérabilités et surveiller les réseaux internes Les modèles actuels évolueront naturellement dans nos établissements : Parce que les filières sécurité savent éclairer les décideurs sur la nécessité de changer Car certaines évolutions sont naturellement à l ordre du jour (réactivité demandée, conséquence d une attaque interne ou connaissance d une attaque externe réussie)
Merci de votre attention 22e Colloque annuel 7 décembre 2012