Un Guide de la Gouvernance de la Sécurité de l’Information

La gouvernance de la sécurité devient de plus en plus importante dans toutes les industries, en particulier compte tenu des grandes cyberattaques qui ont récemment eu lieu.

Qu’est-ce que la gouvernance de la sécurité? La gouvernance de la sécurité est la manière dont une entreprise contrôle son approche de la sécurité à travers ses procédures, stratégies et autres programmes nécessaires pour gérer les risques et garantir la réalisation de ses objectifs de sécurité.

Qu’est-ce que la gouvernance de la sécurité de l’information?

La gouvernance de la sécurité de l’information est un cadre de politiques, de pratiques et de stratégies qui alignent les ressources organisationnelles pour protéger l’information à travers des mesures de cybersécurité.

Les politiques de gouvernance sont essentielles pour la plupart des organisations d’entreprise car les mesures de sécurité ad hoc seront presque toujours insuffisantes à mesure que les menaces de sécurité modernes et l’infrastructure informatique évoluent. La sécurité et la gouvernance de l’information centralisent la responsabilité et la planification dans une organisation afin que plusieurs priorités se chevauchent en tout temps. Ces priorités comprennent ce qui suit:

• Allocation des ressources, y compris le financement de la technologie, du personnel, des matériaux de formation et des postes exécutifs liés à la conformité et à la sécurité de l’information
• Conformité, que ce soit avec les normes de l’industrie ou les cadres optionnels déterminés par les besoins organisationnels
• Responsabilité, centrée autour d’une hiérarchie de gestion qui peut formaliser la prise de décision et le développement des processus
• Mise en œuvre de mesures de sécurité avancées comme la gestion des risques, la prévention proactive, et des outils comme les scanners de vulnérabilité, les tests de pénétration ou l’intelligence artificielle

Ces priorités sont englobées par quatre composantes de la gouvernance de la sécurité:

1. Stratégie: À travers les objectifs de sécurité, les objectifs commerciaux, les objectifs financiers et les exigences de conformité, une organisation doit avoir une stratégie en place. Cette stratégie devrait aligner toutes ces priorités dans un ensemble partagé de pratiques et de politiques.
2. Mise en œuvre: La stratégie ne vaut pas grand-chose sans une exécution appropriée. Une organisation devrait sécuriser le financement et le soutien de la direction de l’entreprise pour consacrer des ressources à la mise en œuvre correcte des exigences de sécurité alignées avec les stratégies de gouvernance.
3. Opération: Une fois mise en place, une infrastructure de sécurité nécessite un soutien opérationnel continu. Cela inclut la gestion directe de la conformité, l’alignement du projet et le risque.
4. Surveillance: Succès, échec et optimisation – la mesure de ces facettes d’une stratégie de sécurité nécessite une surveillance et une mesure régulières pour l’analytique et le reporting.

Qu’est-ce qu’un cadre de gouvernance de la sécurité?

La gouvernance de la sécurité est un processus complexe qui peut englober tous les aspects d’une organisation. Heureusement, les efforts de sécurité et de conformité ont élaboré plusieurs stratégies et meilleures pratiques pour soutenir des politiques de gouvernance efficaces.

Pour aider les entreprises à mettre en œuvre des stratégies de gouvernance de sécurité sans réinventer la roue, des organisations professionnelles ont développé des cadres pour soutenir le déploiement rapide et efficace de l’infrastructure de gouvernance de sécurité.

L’un des cadres les plus connus (et les plus influents) disponibles est le Cadre de Cybersecurity, développé par le National Institute of Standards and Technology (NIST). Ce cadre guide la mobilisation des priorités commerciales pour conduire la sécurité et la gestion des risques. Cette orientation est structurée autour de cinq Fonctions de base :

1. Identifier : Une organisation doit développer la capacité d’identifier les ressources, les personnes, les actifs, les informations et les capacités essentiels pour la mise en œuvre et le maintien de la sécurité informatique. Cela comprend la compréhension des contextes commerciaux de ces ressources.
2. Protéger : Une organisation devrait mettre en œuvre les contrôles appropriés pour protéger les actifs identifiés et limiter l’impact des problèmes de sécurité liés à ces actifs en cas de violation.
3. Détecter : Une organisation devrait déployer des ressources, y compris des outils de balayage et de surveillance, pour détecter les événements de cybersécurité au fur et à mesure qu’ils se produisent.
4. Répondre : Une organisation doit avoir la capacité de répondre aux événements de sécurité après leur survenue, y compris les efforts pour atténuer les violations, remédier aux problèmes et traiter les échecs de sécurité.
5. Récupérer : Une organisation devrait utiliser les événements de sécurité, les exigences de conformité et les objectifs commerciaux pour développer des plans de récupération et de résilience, y compris des sauvegardes régulières et une restauration chaude/froide pour la continuité.

Quels sont les avantages de la gouvernance de la sécurité pour les entreprises ?

Organiser les efforts de sécurité et de conformité sous une seule stratégie apportera plusieurs avantages significatifs à une organisation bien au-delà de la lutte contre la sécurité ad hoc.

Parmi les principaux avantages de la mise en œuvre de politiques de gouvernance de la sécurité, on peut citer les suivants :

• Une sécurité plus efficace : Une politique de gouvernance de la sécurité complète et bien définie peut rassembler les objectifs commerciaux et de sécurité d’une manière que les approches de sécurité désorganisées ne peuvent tout simplement pas égaler. Les cadres peuvent en outre aider les organisations à démarrer rapidement avec des approches complètes de la sécurité qui les aideront à atteindre leurs objectifs.
• Application uniforme des exigences de conformité : La conformité est une partie essentielle de l’activité dans la plupart des industries. Cependant, l’adhésion aux réglementations est une réalité tout ou rien – si une partie d’un système n’est pas conforme, alors toute l’organisation est ouverte à des sanctions ou à une éventuelle violation. Les politiques de gouvernance de la sécurité peuvent rationaliser les pratiques de conformité à travers les systèmes techniques, administratifs et physiques.
• Langage commun pour la sécurité : Il n’est pas utile que les experts en sécurité soient silencieux dans leurs propres enclaves. Une organisation peut créer un vocabulaire commun compréhensible à travers l’entreprise avec un cadre de politique robuste.
• Technologie rationalisée : Une fois que les exigences de sécurité et de conformité sont mobilisées dans la politique, il devient assez facile de définir les plateformes appropriées que l’organisation devrait utiliser pour les opérations commerciales comme la gestion de la relation client, le transfert sécurisé de fichiers, la gestion des documents et l’e-mail sécurisé.

Quels sont les défis de la mise en œuvre de la gouvernance de la sécurité ?

Bien qu’il y ait des avantages significatifs à mettre en œuvre une politique (ou un cadre) de gouvernance de la sécurité, ce n’est pas le cas que ces politiques se forment ou se mettent en œuvre elles-mêmes. Il y a plusieurs domaines où une organisation peut faire face à des défis sur la façon dont ses politiques de gouvernance se déroulent.

Parmi les défis de la mise en œuvre de la gouvernance de la sécurité, on peut citer les suivants :

• Manque d’adhésion de la part de la direction : Tous les dirigeants d’entreprise, en particulier ceux qui dirigent des petites et moyennes entreprises ou des entreprises en croissance, ne comprennent pas la valeur d’une cybersécurité cohérente. Pourtant, certains peuvent chercher à couper les coins dans des domaines où ils n’ont pas encore ressenti un impact négatif – comme la cybersécurité. Le manque d’adhésion peut rendre impossible de rassembler les personnes et les ressources nécessaires pour mettre en œuvre des politiques de gouvernance de la sécurité.
• Manque de personnel : La conception et la mise en œuvre de la gouvernance de la sécurité nécessitent une expertise et un entretien continu. En conséquence, les organisations sans personnel critique, y compris les agents de sécurité et de conformité, auront du mal à mettre en œuvre leur politique.
• Incapacité à mesurer le succès : Sans des métriques et des analyses appropriées, il est difficile d’évaluer comment, ou même si, une politique ou un cadre de gouvernance de la sécurité fait une différence. Parce que ce type d’infrastructure est une dépense au-delà des mesures de sécurité immédiates, de nombreuses entreprises peuvent ne pas avoir la capacité de lancer des outils de surveillance à grande échelle, ce qui peut ralentir le déploiement de la politique.

Kiteworks : Communications de contenu sécurisées pour le soutien de la politique de gouvernance

Un des aspects clés de toute politique de gouvernance de sécurité est une base de technologie sécurisée capable de répondre aux exigences de conformité. Cela inclut les technologies pour les e-mails, la gestion de documents, le partage de fichiers et les transferts de fichiers.

La plateforme Kiteworks offre une gouvernance complète, la conformité et la protection des données privées lorsqu’elles entrent, circulent et sortent d’une organisation. Kiteworks comprend des fonctionnalités avancées de gestion des données d’entreprise qui opèrent dans une longue liste de réglementations à travers de nombreuses industries majeures et marchés de consommateurs sans sacrifier la fonctionnalité.

Les fonctionnalités suivantes sont incluses dans la plateforme Kiteworks :

• Un tableau de bord CISO fournit un accès complet aux données, un accès utilisateur, des tendances et des mouvements de données, et des contrôles sur les transferts de données.
• Automatisation et planification transparentes du transfert sécurisé de fichiers pour renforcer les politiques de partage et de transfert de fichiers, y compris les transferts et opérations en dehors des heures de travail et déclenchés par l’activité des employés ou des patients.
• Liens d’e-mails sécurisés pour protéger les informations personnelles identifiables telles que les informations médicales protégées tout en maintenant une communication facile et fluide avec les patients par e-mail.
• Intégration SIEM avec des plateformes populaires comme IBM QRadar, ArcSight, FireEye Helix, et Splunk Forwarder. L’intégration standardise les journaux d’audit en un seul format de fichier pour soutenir la consommation généralisée d’informations de sécurité et de gestion des événements.
• Intégration de la prévention de la perte de données (DLP) pour scanner toutes les données en transit afin de déterminer si elles contiennent des données sensibles ou personnelles.
• Récupération de désastre avec des systèmes chauds et une redondance de données multi-sites garantit que vos systèmes restent opérationnels en cas d’urgence.
• Environnements cloud mono-locataire garantissent que les menaces pour les autres utilisateurs ne déborderont pas sur votre instance de la plateforme Kiteworks.
• Contrôles d’accès sur les débordements et les connexions pour protéger les données sensibles contre l’accès illicite.
• Chiffrement conforme, y compris le AES-256 pour les données au repos et le chiffrement TLS 1.2 pour les données en transit et soutenant les efforts de conformité pour des réglementations comme HIPAA, PCI DSS, FedRAMP, CMMC, NIST 800-53, ISO 27001, et RGPD.
• Transfert et stockage de grands fichiers avec des limites allant jusqu’à 16 To.
• Rapports HIPAA détaillés en un clic mettant en évidence les risques dans vos politiques de sécurité et de gouvernance. Utilisez-les lors des audits pour démontrer rapidement la conformité avec vos contrôles documentés, tels que l’intégration du scanner DLP, les politiques d’accès aux données, la liste blanche de domaines, et les contrôles d’expiration des fichiers.
• Des couches de protection supplémentaires sont incluses pour les clés de chiffrement en utilisant l’intégration avec un module de sécurité matériel ou le service de gestion des clés d’Amazon Web Services.

Pour en savoir plus sur le transfert de fichiers et comment il peut s’intégrer dans un plan complet de gouvernance de la sécurité, planifiez une démonstration personnalisée de Kiteworks aujourd’hui.

Ressources supplémentaires

• Article de blog Gouvernance de l’information : Pourquoi est-ce important ?
• Article Gestion des risques de sécurité [Risque d’information & Évaluation]
• Article Qu’est-ce que la gestion intégrée des risques ? IRM vs. GRC vs. ERM
• ArticlePourquoi la gestion des risques de cybersécurité est importante
• RésuméOptimisez la gouvernance, la conformité et la protection du contenu du partage de fichiers