Dimensionnement de la sécurité en 2018 : prévisions pour votre organisation et votre (ancienne) identité

Dans le cadre de mes fonctions, je passe beaucoup de temps à examiner et à réfléchir aux tendances technologiques, en me concentrant sur la manière dont la sécurité atteint et dépasse ses limites. C'est ce qui me motive lorsque nous concevons des produits pour répondre aux exigences du marché. Si Illumio existe, c'est parce que j'ai constaté que les pare-feux atteignaient leurs limites et devaient être repensés à l'ère du cloud.

Comme le veut la tradition à cette période de l'année, j'ai pris le temps de réfléchir à ce qui a changé en 2017 et à ce que cela signifie pour l'année à venir. Certaines prédictions sont fondées sur la réalité de ce qui s'est passé et de ce que nous avons appris, tandis que d'autres sont des suppositions plus spéculatives et plus éclairées basées sur les données dont nous disposons.

J'espère que ces prévisions vous inciteront à réfléchir et à vous inciter à devenir des agents du changement dans votre organisation et dans l'ensemble du secteur, en nous aidant, en tant que fournisseurs, à définir et à élaborer des solutions.

1. DevSecOps va passer d'un modèle démocratique à une république.

Le passage du contrôle du ministère de la Sécurité (alias le département du « non ») à un modèle dans lequel le développeur peut tout faire et n'importe quoi était une correction excessive. Cela a également introduit des risques inacceptables pour l'entreprise.

Bien qu'il soit important que le développement, la sécurité et les opérations fonctionnent ensemble, nous nous rendrons compte l'année prochaine qu'il ne devrait pas s'agir d'un mouvement de démocratisation, mais plutôt d'un modèle de république.

Les développeurs doivent intégrer leurs processus et exigences de développement agiles à la table, et les équipes de sécurité doivent apporter leur expertise en matière de sécurité. Bien que ces équipes doivent travailler ensemble de nouvelles manières, en fin de compte, ce sont les équipes de sécurité qui ont la responsabilité de faire le bon choix. Parce que, comme nous le savons tous, il n'y a pas vraiment de personne qui représente toutes les composantes de DevSecOps de la même manière. Il s'agit de travailler au sein d'équipes avec un langage et un objectif communs, où l'expertise de tous les membres est requise et où chaque contingent est apprécié pour ses opinions diversifiées et expertes.

2. Nos informations personnelles exposées reviendront nous mordre.

Les informations personnelles identifiables (PII) ne sont plus valides car une grande partie d'entre elles ont été révélées lors de violations au cours des dernières années. Tout le monde doit reconnaître qu'il a été victime d'une violation et qu'il est vulnérable, et que les attaquants détiennent plus d'informations personnelles que jamais auparavant. En conséquence, nous allons commencer à voir de nouveaux types d'attaques qui exploitent la grande quantité de données personnelles accessibles au public. Compte tenu de l'énorme quantité de données personnelles collectées, elles pourraient être utilisées comme armes pour provoquer des attaques massives contre des entités majeures (par exemple, le gouvernement, les finances, les systèmes de santé, etc.).

Les riches données dont disposent les attaquants sur les utilisateurs individuels pourraient créer des attaques de phishing et d'ingénierie sociale particulièrement sophistiquées, indétectables et impossibles à distinguer de la réalité. Une prise de contrôle de la vie sera possible.

3. Le marché se rendra compte que la sécurité doit être globale, ce qui nécessite un changement de culture.

Les entreprises commencent tout juste à accepter le fait que la sécurité commence au sommet et que la responsabilité s'étend à l'ensemble de l'organisation. Les violations ne sont pas dues à une ou à une poignée d'individus, ni même à un ensemble spécifique de politiques, et vous ne pouvez pas désigner un bouc émissaire ou un seul changement de situation comme cause première. De nos jours, tous les membres de l'organisation jouent un rôle en matière de sécurité. La pomme pourrie n'existe pas, c'est un mauvais tonneau.

Les organisations doivent comprendre que la sécurité doit faire partie intégrante de la culture d'entreprise et que, pour en faire une priorité, elle doit venir du haut vers le bas.

4. Les fournisseurs de solutions de sécurité basées sur l'IA devront passer de la technologie aux résultats.

Les fournisseurs vantant l'IA se rendront enfin compte que les clients veulent voir des résultats et pas seulement du marketing tape-à-l'œil. Les entreprises qui vendent des produits alimentés par l'IA devront trouver un moyen de commencer à afficher des résultats de manière quantifiable et ne pas simplement présenter leur solution.

Ceux qui le feront seront des leaders de l'industrie.

5. Il y aura un désir croissant de quantifier les risques

Nous commençons à assister à une transition des mesures qualitatives des risques vers des mesures quantitatives.

Les équipes informatiques font l'objet d'une surveillance accrue et doivent donc démontrer le rendement ou l'efficacité de leurs activités pour répondre aux questions concernant la manière dont les fonds consacrés à la sécurité sont dépensés et quel est leur impact sur la sécurité globale de l'organisation.

Cela est particulièrement vrai à l'heure où nous passons d'un modèle réactif à un modèle proactif en matière de sécurité.

6. Certaines « meilleures pratiques » en matière de sécurité apparaîtront dans le pool mort.

Les nouveaux modèles de déploiement tels que le cloud et les conteneurs inciteront les entreprises à renoncer à la gestion des correctifs en tant que contrôle de sécurité. Il est beaucoup plus facile de remplacer les machines virtuelles ou les conteneurs mis à jour que d'appliquer des correctifs sur place.

Ces mêmes modèles de déploiement dynamiques et distribués font perdre la place aux pare-feux à point d'étranglement, ou à ceux qui reposent sur la gestion du trafic, au profit de microsystèmes de plus en plus nombreux.contrôles de segmentation qui assurent une mise en œuvre de la sécurité aussi dynamique que les environnements qu'ils prennent en charge.

J'adorerais entendre vos histoires sur la façon dont votre expérience correspond à mes prévisions. Veuillez partager vos réflexions ou questions en répondant à @illumio.