Guide de la gouvernance de la sécurité de l’information

La gouvernance de la sécurité devient de plus en plus importante dans toutes les industries, surtout compte tenu des piratages majeurs qui ont récemment eu lieu.

Qu’est-ce que la gouvernance de la sécurité ? La gouvernance de la sécurité est la manière dont une entreprise contrôle son approche de la sécurité à travers ses procédures, stratégies et autres programmes nécessaires pour gérer les risques et garantir l’atteinte de ses objectifs de sécurité.

Qu’est-ce que la gouvernance de la sécurité de l’information ?

La gouvernance de la sécurité de l’information est un cadre de politiques, de pratiques et de stratégies qui alignent les ressources organisationnelles pour protéger les informations par le biais de mesures de cybersécurité.

Les politiques de gouvernance sont essentielles pour la plupart des entreprises car les mesures de sécurité ad hoc seront presque toujours insuffisantes à mesure que les menaces de sécurité modernes et l’infrastructure informatique évoluent. La sécurité et la gouvernance de l’information centralisent la responsabilité et la planification dans une organisation afin que plusieurs priorités se chevauchent en permanence. Ces priorités comprennent les suivantes :

• Affectation des ressources, y compris le financement pour la technologie, le personnel, les matériaux de formation et les postes de direction liés à la conformité et à la sécurité de l’information
• Conformité, que ce soit aux normes de l’industrie ou aux cadres facultatifs déterminés par les besoins organisationnels
• Responsabilité, centrée autour d’une hiérarchie de gestion qui peut formaliser la prise de décision et le développement des processus
• Mise en œuvre de mesures de sécurité avancées comme la gestion des risques, la prévention proactive et des outils tels que les scanners de vulnérabilité, les tests de pénétration ou l’intelligence artificielle

Ces priorités sont englobées par quatre composantes de la gouvernance de la sécurité :

1. Stratégie : Concernant les objectifs de sécurité, les objectifs commerciaux, les objectifs financiers et les exigences de conformité, une organisation doit avoir une stratégie en place. Cette stratégie devrait aligner toutes ces priorités en un ensemble commun de pratiques et de politiques.
2. Mise en œuvre : Une stratégie ne vaut pas grand-chose sans une exécution appropriée. Une organisation devrait sécuriser le financement et le soutien de la direction pour consacrer des ressources à déployer correctement les exigences de sécurité alignées avec les stratégies de gouvernance.
3. Opération : Une fois mise en œuvre, une infrastructure de sécurité nécessite un soutien opérationnel continu. Cela inclut la gestion directe de la conformité, l’alignement des projets et le risque.
4. Surveillance : Succès, échec et optimisation—mesurer ces facettes d’une stratégie de sécurité nécessite une surveillance et une mesure régulières pour l’analytique et le reporting.

Qu’est-ce qu’un cadre de gouvernance de la sécurité ?

La gouvernance de la sécurité est un processus complexe qui peut englober tous les aspects d’une organisation. Heureusement, les efforts de sécurité et de conformité ont élaboré plusieurs stratégies et meilleures pratiques pour soutenir des politiques de gouvernance efficaces.

Pour aider les entreprises à mettre en place des stratégies de gouvernance de la sécurité sans réinventer la roue, des organisations professionnelles ont élaboré des cadres pour soutenir le déploiement rapide et efficace de l’infrastructure de gouvernance de la sécurité.

L’un des cadres les plus connus (et influents) disponibles est le Cadre de Cybersécurité, développé par le National Institute of Standards and Technology (NIST). Ce cadre guide la mobilisation des priorités commerciales pour piloter la sécurité et la gestion des risques. Cette orientation est structurée autour de cinq Fonctions de base :

1. Identifier : Une organisation doit développer la capacité d’identifier les ressources critiques, les personnes, les actifs, les informations et les capacités liées à la mise en œuvre et au maintien de la sécurité informatique. Cela comprend la compréhension des contextes commerciaux de ces ressources.
2. Protéger : Une organisation doit mettre en place les contrôles appropriés pour protéger les actifs identifiés et limiter l’impact des problèmes de sécurité liés à ces actifs en cas de violation.
3. Détecter : Une organisation doit déployer des ressources, y compris des outils de balayage et de surveillance, pour détecter les événements de cybersécurité au fur et à mesure qu’ils se produisent.
4. Répondre : Une organisation doit avoir la capacité de répondre aux événements de sécurité après leur survenue, y compris les efforts pour atténuer les violations, remédier aux problèmes et traiter les défaillances de sécurité.
5. Récupérer : Une organisation doit utiliser les événements de sécurité, les exigences de conformité et les objectifs commerciaux pour développer des plans de récupération et de résilience, y compris des sauvegardes régulières et des restaurations chaudes/froides pour la continuité.

Quels sont les avantages de la gouvernance de la sécurité pour les entreprises ?

Organiser les efforts de sécurité et de conformité sous une stratégie unique apportera plusieurs avantages significatifs à une organisation, bien au-delà de la lutte contre des mesures de sécurité ad hoc.

Parmi les principaux avantages de la mise en œuvre de politiques de gouvernance de la sécurité, citons :

• Une sécurité plus efficace : Une politique de gouvernance de la sécurité complète et bien définie peut rassembler les objectifs commerciaux et de sécurité d’une manière que les approches de sécurité désorganisées ne peuvent tout simplement pas égaler. Les cadres peuvent en outre aider les organisations à démarrer rapidement avec des approches complètes de la sécurité qui les aideront à atteindre leurs objectifs.
• Application uniforme des exigences de conformité : La conformité est une partie critique de la conduite des affaires dans la plupart des industries. Cependant, l’adhésion aux réglementations est une réalité tout ou rien – si une partie d’un système est non conforme, alors toute l’organisation est ouverte à des pénalités ou à une violation potentielle. Les politiques de gouvernance de la sécurité peuvent rationaliser les pratiques de conformité à travers les systèmes techniques, administratifs et physiques.
• Langage commun pour la sécurité : Cela n’aide pas lorsque les experts en sécurité sont réduits au silence dans leurs propres enclaves. Avec un cadre de politique robuste, une organisation peut créer un vocabulaire commun compréhensible dans toute l’entreprise.
• Technologie rationalisée : Une fois que les exigences de sécurité et de conformité sont mobilisées dans la politique, il devient assez facile de définir les plateformes appropriées que l’organisation devrait utiliser pour les opérations commerciales telles que la gestion de la relation client, le transfert sécurisé de fichiers, la gestion de documents et la messagerie sécurisée.

Quels sont les défis de la mise en œuvre de la gouvernance de la sécurité ?

Bien qu’il y ait des avantages significatifs à mettre en œuvre une politique (ou un cadre) de gouvernance de la sécurité, il n’est pas vrai que ces politiques se façonnent ou se mettent en œuvre d’elles-mêmes. Plusieurs domaines peuvent présenter des défis pour une organisation concernant la manière dont ses politiques de gouvernance se concrétisent.

Parmi les défis de la mise en œuvre de la gouvernance de la sécurité, citons :

• Manque d’adhésion de la direction : Tous les dirigeants d’entreprise, en particulier ceux qui dirigent des entreprises de petite à moyenne taille ou en croissance, ne comprennent pas la valeur d’une cybersécurité cohésive. Pourtant, certains peuvent chercher à prendre des raccourcis dans des domaines où ils n’ont pas encore ressenti d’impact négatif – comme la cybersécurité. Le manque d’adhésion peut rendre impossible de rassembler les personnes et les ressources nécessaires à la mise en œuvre des politiques de gouvernance de la sécurité.
• Manque de personnel : Concevoir et mettre en œuvre la gouvernance de la sécurité nécessite une expertise et une maintenance continue. Ainsi, les organisations sans personnel critique, y compris les responsables de la sécurité et de la conformité, auront du mal à mettre en œuvre leur politique.
• Incapacité à mesurer le succès : Sans mesures et analyses appropriées, il est difficile de juger comment, ou même si, une politique ou un cadre de gouvernance de la sécurité fait une différence. Parce que ce type d’infrastructure est une dépense au-delà des mesures de sécurité immédiates, de nombreuses entreprises peuvent ne pas avoir les capacités de lancer des outils de surveillance à grande échelle, ce qui peut ralentir le déploiement de la politique.

Kiteworks : Communications de contenu sécurisées pour le soutien des politiques de gouvernance

Un des aspects clés de toute politique de gouvernance de la sécurité est une base de technologies sécurisées qui peuvent répondre aux exigences de conformité. Cela inclut les technologies pour la messagerie électronique, la gestion des documents, le partage de fichiers et les transferts de fichiers.

La plateforme Kiteworks assure la gouvernance, la conformité et la protection des données privées lors de leurs mouvements entrants, internes et sortants d’une organisation. Kiteworks comprend des fonctionnalités avancées de gestion des données d’entreprise qui opèrent dans le cadre d’une longue liste de réglementations couvrant de multiples industries majeures et marchés de consommateurs sans sacrifier la fonctionnalité.

Les fonctionnalités suivantes sont incluses dans la plateforme Kiteworks :

• Un Tableau de bord RSSI qui offre une vue complète sur l’accès aux données, l’accès utilisateur, les tendances et les mouvements des données, et les contrôles sur les transferts de données.
• Automatisation et planification transparentes du transfert sécurisé de fichiers pour alimenter des politiques robustes de partage et de transfert de fichiers, y compris les transferts en dehors des heures de travail et les opérations déclenchées par l’activité des employés ou des patients.
• Liens de messagerie sécurisée pour protéger les informations personnelles identifiables (PII) telles que les informations médicales protégées (PHI) tout en maintenant une communication facile et fluide avec les patients par e-mail.
• Intégration SIEM avec des plateformes populaires telles qu’IBM QRadar, ArcSight, FireEye Helix et Splunk Forwarder. L’intégration standardise les journaux d’audit dans un seul format de fichier pour soutenir une large consommation de la gestion des informations et des événements de sécurité.
• Intégration de la prévention des pertes de données (DLP) pour analyser toutes les données en transit afin de déterminer si elles contiennent des données sensibles ou personnelles.
• Reprise après sinistre avec des systèmes chauds et une redondance des données sur plusieurs sites garantissant que vos systèmes restent opérationnels en cas d’urgence.
• Environnements cloud à locataire unique pour garantir que les menaces pesant sur d’autres utilisateurs ne se répercutent pas sur votre instance de la plateforme Kiteworks.
• Contrôles d’accès sur les débordements et les connexions pour protéger les données sensibles contre les accès illicites.
• Chiffrement conforme, incluant le AES-256 pour les données au repos et le TLS 1.2 pour les données en transit, et soutenant les efforts de conformité pour des réglementations telles que HIPAA, PCI DSS, FedRAMP, CMMC, NIST 800-53, ISO 27001, et RGPD.
• Transfert et stockage de fichiers volumineux avec des limites allant jusqu’à 16 To.
• Rapports HIPAA détaillés en un clic mettant en évidence les risques dans vos politiques de sécurité et de gouvernance. Utilisez-les lors des audits pour démontrer rapidement la conformité avec vos contrôles documentés, tels que l’intégration du scanner DLP, les politiques d’accès aux données, la liste blanche de domaines et les contrôles d’expiration des fichiers.
• Des couches supplémentaires de protection sont incluses pour les clés de chiffrement grâce à l’intégration avec un module de sécurité matériel ou le service de gestion des clés d’Amazon Web Services.

Pour en savoir plus sur le transfert de fichiers et comment il peut s’intégrer dans un plan complet de gouvernance de la sécurité, planifiez une démonstration personnalisée de Kiteworks dès aujourd’hui.