Stratégie de sécurité basée sur les risques

Une organisation peut créer un plan de sécurité basé sur les risques qui identifie les mesures de sécurité qu'elle doit prendre dans un environnement informatique. Il documente également où et quand ces précautions doivent être utilisées. Les stratégies de sécurité basées sur les risques aident les organisations à identifier les actifs numériques qui nécessitent le plus de protection. Une entreprise doit aborder trois domaines clés avec ses stratégies de sécurité basées sur les risques : quels sont les actifs informationnels les plus importants ? Qui a accès à ces actifs, comment sont-ils protégés et qui pourrait vouloir les voler ou les détruire. La sécurité basée sur le risque doit être soigneusement planifiée et surveillée en permanence pour garantir que les stratégies soutiennent une approche complète et approfondie de la cybersécurité. Les stratégies de sécurité efficaces fondées sur le risque complètent les autres stratégies de gestion des risques de l'entreprise (ERM). Composants de la stratégie de sécurité basée sur le risque Une organisation doit suivre cinq étapes pour s'assurer qu'elle pratique une sécurité basée sur le risque. Ces étapes sont les suivantes Évaluation des actifs -- Cette étape permet à une organisation de déterminer l'emplacement et la propriété de ses actifs les plus importants. Les coûts et l'impact sur l'entreprise d'un actif compromis qui est évalué devraient être inclus dans cette étape. Il est important d'accorder une priorité élevée aux actifs les plus critiques pour les opérations quotidiennes d'une organisation. Identification des menaces - L'organisation doit identifier les acteurs malveillants qui pourraient vouloir voler des informations ou endommager des actifs. Il peut s'agir de concurrents ou d'employés en colère. Parmi les autres menaces potentielles à garder à l'esprit figurent les catastrophes naturelles telles que les inondations ou les incendies. Il faut attribuer un niveau de menace à chaque menace en fonction de la probabilité qu'elle se produise. Identifier les faiblesses - C'est l'étape qui permet d'identifier les vulnérabilités potentielles du réseau et des logiciels. Des tests d'intrusion et des outils automatisés d'analyse des vulnérabilités peuvent y contribuer. Établissement du profil de risque -- Cette étape permet d'évaluer la probabilité qu'une menace exploite une vulnérabilité. Les activités de profilage évaluent les mesures de protection existantes et mesurent le risque pour des actifs spécifiques. L'objectif est d'attribuer à chaque actif son propre score de risque. Gestion des risques -- La décision de traiter ou non les risques, d'y mettre fin ou de les tolérer. Chaque décision doit être documentée avec les raisons qui la motivent. Pour simuler toute menace, des tests de pénétration doivent être effectués pour s'assurer que les actifs sont sécurisés. Ce processus doit être répété pour chaque menace qui a été identifiée. Mise en œuvre d'une stratégie de sécurité fondée sur les risques Bien que la mise en œuvre d'une stratégie de sécurité fondée sur les risques puisse prendre du temps, elle protégera les actifs informationnels et aidera à aligner les efforts de sécurité sur les objectifs de l'entreprise. Les discussions entre les professionnels de la sécurité et les responsables d'entreprise doivent commencer par l'identification des menaces potentielles et de la probabilité qu'une menace potentielle se produise. Cela permettra aux parties prenantes de commencer à attribuer des niveaux de risque à chaque menace et vulnérabilité potentielle.

Cette vidéo explique pourquoi il est important d'obtenir le soutien de la direction lors de la mise en œuvre de stratégies de sécurité fondées sur les risques.

Une fois cet audit terminé, les administrateurs réseau pourront examiner les politiques de contrôle d'accès et vérifier que l'entreprise respecte le principe du moindre privilège. Une fois l'audit des contrôles techniques effectué pour s'assurer que tout fonctionne comme prévu, des tests peuvent alors être lancés pour simuler chaque menace.