La panne de Crowdstrike/Microsoft de juillet 2024 a été terrible. Des hôpitaux, des services d’urgence, des banques, des compagnies aériennes, des chaînes de télévision et d’innombrables autres organisations ont été touchés. La seule bonne nouvelle pour les centaines de milliers d’entreprises touchées était peut-être qu’il ne s’agissait pas d’un incident de sécurité, mais plutôt d’une mise à jour de cybersécurité défectueuse. Aussi grave soit-elle, la situation aurait pu être bien pire. Outre les nombreuses opportunités d’apprentissage, les événements du « Crowdstrike Friday » démontrent à quel point les infrastructures critiques peuvent être vulnérables.

Il semble donc que ce soit le bon moment pour faire le point sur les progrès de la directive NIS2 de l’Union européenne pour aider les organisations à mettre à niveau leurs dispositifs de cybersécurité.

Nous avons rencontré Peter Sandkuijl de Check Point pour connaître son point de vue.

NIS2: règlement, cadre ou orientation ? La NIS2 est en vigueur depuis janvier 2023. Mais il n’existe pas grand-chose sur quoi on puisse se baser pour dire « c’est la NIS2 en action ». Contrairement au Règlement général sur la protection des données (RGPD) ou à la loi sur la résilience opérationnelle numérique (DORA), la NIS2 est une directive plutôt qu’une réglementation. Par conséquent, il existe de nombreuses zones d’ombre.

NIS2 : Pourquoi tout le monde est conforme jusqu’à ce qu’il ne le soit plus ?

1

Avec la DORA, par exemple, les banques ne peuvent pas fonctionner au-delà de la date de mise en œuvre si elles ne sont pas conformes. Ce n’est pas le cas avec la NIS2. Personne ne vient cocher des cases.

Cela ne signifie pas que les organisations ne peuvent pas être sanctionnées, cela signifie simplement que dans le cadre de la NIS2, tout le monde est conforme jusqu’à ce qu’il ne le soit plus. Essentiellement, une violation grave devrait se produire, et il faudrait alors prouver dans l’audit qui en résulte que vous avez enfreint les recommandations de la NIS2.

Ainsi, bien qu’elle soit entrée en vigueur plus tôt que la DORA, le calendrier de la NIS2 est en réalité beaucoup plus long. Nous attendons ce premier cas très médiatisé avant de pouvoir établir un précédent. Que se passera- t-il après cela ? Même cela n’est pas très clair pour le moment.

Vous avez mentionné DORA. Dans quelle mesure existe- t-il un chevauchement entre ce type de réglementation et NIS2 ? Cela dépend des aspects que vous examinez. DORA se limite par exemple au secteur des services financiers, tandis que NIS2 s’applique à toute organisation essentielle à l’économie de l’UE. NIS2 a donc une portée beaucoup plus large, mais elle est également beaucoup moins rigoureuse. NIS2 n’inclut pas la chaîne d’approvisionnement, qui est l’un des éléments clés de DORA. Avec NIS2, vous n’avez pas besoin de garantir la sécurité de votre chaîne d’approvisionnement, mais uniquement celle de votre propre organisation.

Technologiquement, cependant, de nombreux facteurs sont les mêmes. Nous parlons toujours d’authentification multifactorielle, de segmentation, de résilience des entreprises, de la mise en œuvre de la confiance zéro, ce genre de choses. Et tout cela est très comparable.

Donc, si vous êtes conforme à la DORA, serez-vous conforme à la NIS2 ? C’est presque certain, mais pas l’inverse. Il faut aussi se rappeler que DORA est spécifique aux organisations de services financiers, donc ce n’est pas comme si le secteur dans son ensemble prenait déjà des mesures pour se conformer.

D’un autre côté, NIS2 est loin d’être aussi exigeant que DORA. Dans le cadre de DORA, vous devez effectuer des tests de cyber-résilience, du red-teaming, ce genre de choses. Cela ne fait pas partie de NIS2, à moins que vous ne le souhaitiez. C’est en grande partie la maturité de l’organisation qui détermine jusqu’où elle doit aller. Ainsi, alors que certains se retrouveront avec des cadres très rigoureux de style DORA autour de NIS2, d’autres diront simplement « hé, nous avons un système de prévention des intrusions, tout va bien ».

2

Il y aura donc des différences ? Vous pourriez avoir deux organisations conformes à la norme NIS2, mais l’une pourrait être considérablement plus sécurisée que l’autre ? Oui. Tout dépend de votre compréhension des directives et de la manière dont vous choisissez de les mettre en œuvre. La nature interprétative de la norme NIS2 implique une certaine notion d’« innocent jusqu’à preuve du contraire ». Si vous n’avez pas subi de violation au cours des 10 dernières années, après tout, pourquoi en subiriez-vous une demain ? Évidemment, c’est un peu réducteur, mais cela complique les choses. Il est déjà très difficile d’amener les organisations à donner la priorité à la cybersécurité, et c’est compréhensible.

Disons que vous travaillez dans le secteur de la vente au détail de produits alimentaires. C’est une activité à volume élevé et à faible marge. Nous parlons de 2 à 3 % au mieux. Donc si quelqu’un vient vous dire « nous avons besoin que vous investissiez entre 10 et 12 % de votre budget informatique total dans la cybersécurité », vous pouvez imaginer quelle sera la réponse. C’est un pourcentage normal si vous voulez faire du bon travail, soit dit en passant, mais l’état d’esprit est très différent, et c’est compréhensible.

Même si vous formulez ce besoin autour d’un élément comme la norme NIS2, il reste difficile d’obtenir le soutien approprié. Pensez à tous les autres aspects auxquels un détaillant doit faire face : santé et sécurité, prévention des pertes, chaîne d’approvisionnement. La liste est infinie. Et je ne parle pas uniquement du commerce de détail. Ce sera le cas dans de très nombreux secteurs couverts par la norme NIS2. Une grande partie du travail du RSSI consiste donc à inciter les gens à prendre des mesures.

Et comment devraient-ils faire cela ? Eh bien, une partie du travail sera faite pour eux lorsque les premiers gros dossiers feront la une des journaux.

Rien n’incite plus le conseil d’administration à commencer à se poser des questions sur la conformité qu’une entreprise de leur secteur qui subit une violation. Ce n’est pas vraiment une approche proactive, bien sûr.

En fin de compte, être un RSSI consiste à équilibrer un budget limité. Et ce budget augmentera ou diminuera en fonction de votre capacité à convaincre les gens de la nécessité de renforcer vos défenses. C’est pourquoi il est si important d’avoir une approche à plusieurs niveaux. Si vous n’obtenez pas le budget pour l’option A, vous avez besoin des options B, C, D, E, etc. en attente dans les coulisses afin de pouvoir gérer le risque du mieux possible. Il y aura toujours une autre voie vers le succès.

Comment aborderiez-vous ce travail ? Personnellement, je commencerais par éliminer tous les points de défaillance de mon réseau. Les e-mails, les pare-feu, les bases de données. Si quelqu’un parvient à les contourner, vous avez un problème. Il suffit d’une erreur, d’un bug ou d’une vulnérabilité zero-day, et c’est fait. C’est un risque trop grand.

Ce risque va également s’accroître. La situation autour de NIS2 va s’améliorer. Nous verrons beaucoup plus de clarté. Et personne ne veut être l’entreprise qui a laissé un administrateur effectuer un changement de politique qui a tout fait s’écrouler. Donc, même s’il ne s’agit que d’une « orientation » pour l’instant, NIS2 doit être pris très au sérieux.

Pour plus d’informations sur NIS2 et d’assistance tout au long de votre parcours, Cliquez ici.

© 2024 Check Point Software Technologies Ltd. Tous droits réservés. 3