[Cybercriminalité] Vol de données d'origine externe: comment protéger son SI?

Le RSSI, un poste incontournable

Face à ce risque protéiforme et fluctuant, assurer la sécurité des données est une tâche complexe. D'où un premier impératif: la nécessité de disposer des compétences indispensables pour assumer cette mission. Et même si le recours à la sous-traitance est fréquent dans le domaine de l'informatique, "il faut avoir une part de la compétence en interne", alerte Laurent Bloch. Pour une entreprise de taille moyenne, avec un effectif d'environ 200 salariés, l'expert recommande de mettre en place, a minima, une équipe de quatre personnes: un DSI intégré au conseil d'administration de l'entreprise, un responsable de la sécurité et des systèmes d'information (RSSI), un responsable pour l'informatique de gestion (qui connaisse les systèmes financiers et comptables), et enfin un responsable pour les postes de travail utilisateurs.

Dans un contexte de transformation numérique des organisations, le RSSI est un profil de plus en plus recherché. Comptez une rémunération fixe comprise entre 70 et 100 k€ pour un RSSI avec 6 à 10 ans d'expérience, avec un variable pouvant aller jusqu'à 30%, selon la dernière étude de rémunérations de Robert Half. Pour assurer sa fonction, le RSSI doit être en mesure de critiquer les processus du système d'information, et donc la DSI. C'est pourquoi il doit rapporter directement à la DG, estime Laurent Bloch.

Gestion des identités et tests de pénétration

"La gestion des identités, c'est fondamental", rappelle Laurent Bloch. Pierre angulaire du SI, l'annuaire des personnes, des entités et du matériel doit être tenu à jour quotidiennement par un processus de gestion des identités et des habilitations. Chaque agent ou entité enregistré dispose d'habilitations particulières, qui limitent ses actions ou ses accès au SI. L'ANSSI recommande de disposer d'une cartographie précise de l'installation informatique et de la maintenir à jour, ainsi que d'un inventaire exhaustif des comptes à privilèges, cible de choix pour les utilisateurs malintentionnés, car ils offrent un accès étendu au SI. Sur ce point, quelques éditeurs tels que Wallix, Balabit ou encore Cyberark proposent des outils pour gérer et surveiller ces comptes sensibles.

Enfin, pour évaluer la résistance de votre SI face aux intrusions, Laurent Bloch recommande de faire réaliser une fois par an un test de pénétration du SI par une entreprise spécialisée (Hervé Schauer Consultants, NBS System ou encore Synacktiv). Cette démarche sera le meilleur moyen de convaincre la DG de consacrer des ressources à la DSI: en moyenne, il suffit d'une demi-journée à ces prestataires pour prendre le contrôle du SI dans les entreprises où ils interviennent...