Comment la gestion des vulnérabilités basée sur le risque booste la posture de sécurité de votre environnement IT moderne

L'évaluation des vulnérabilités et la gestion des vulnérabilités ont l'air identiques, mais c'est faux. Comme l'explique un nouveau livre blanc émanant d'ESG (Enterprise Strategy Group), il est indispensable de comprendre les différences qui les caractérisent et de passer d'une série d'évaluations des vulnérabilités ad-hoc à une gestion des vulnérabilités continue et basée sur le risque (RBVM). Consultez-le pour découvrir les points clés issus de cette étude mandatée par Tenable et comment la RBVM aide les entreprises à atteindre une posture de sécurité et de risque solide au sein d'environnements hybrides, complexes et multicloud.

Ne faites pas l'amalgame entre évaluation des vulnérabilités et gestion des vulnérabilités.

Pour gérer les risques de sécurité de manière efficace, vous avez besoin d'une gestion des vulnérabilités complète et continue, et non pas d'évaluations ponctuelles menées périodiquement ou sur une base ad-hoc. Même si l'évaluation des vulnérabilités a son importance, elle ne représente qu'une partie du programme de gestion des vulnérabilités pour réduire le risque et booster la posture de sécurité des environnements modernes.

C'est sur ce point que se concentre le nouveau livre blanc d'ESG (Enterprise Strategy Group) mandaté par Tenable et intitulé « Elevating Security with Risk-based Vulnerability Management ». Le rapport détaille pourquoi un programme de gestion des vulnérabilités basée sur le risque (RBVM) qui ne se contente pas d'évaluer les vulnérabilités est essentiel, mais aussi implique la priorisation, la prise de décisions, la réévaluation et l'incorporation d'améliorations. Dans cet article de blog, nous détaillerons certains des points clés du rapport. 

Que représente l'évaluation des vulnérabilités et quelles sont ses limites ?

ESG définit l'évaluation des vulnérabilités comme « des scans ponctuels utilisés pour découvrir des assets IT, des applications et leurs vulnérabilités associées ». En s'appuyant sur ces évaluations périodiques, les entreprises peinent à effectuer un suivi et à mesurer le succès de leur programme. Souvent, il leur est impossible de répondre à des questions importantes, telles que : 

• « Avons-nous scanné 100 % des assets de l'environnement ? »  
• « Avons-nous réglé toutes les vulnérabilités critiques en temps en en heure ? » 
• « Sommes-nous en train de réduire notre risque global ? » 

Sans réponse à de telles questions, les entreprises ne sont pas en mesure de déterminer l'impact à long terme de leurs efforts. 

Avec l'adoption des services cloud, des appareils IoT, des systèmes de technologiques opérationnelles (OT), des points de terminaison mobiles, les entreprises doivent gérer et sécuriser des environnements hybrides et multicloud hautement complexes. Etant donné que les outils d'évaluation des vulnérabilités sont conçus pour scanner un environnement IT à la fois, les entreprises qui s'appuient sur ces outils traditionnels doivent souvent mener de nombreux scans individuels pour couvrir l'ensemble de leur environnement. Et même à ce stade, obtenir une visibilité complète sur les assets est un défi majeur car ces outils traditionnels n'ont pas été conçus pour détecter et sécuriser les assets modernes tels que les machines virtuelles, les conteneurs, l'infrastructure cloud et les charges de travail éphémères. 

Les résultats de scan doivent alors être agrégés à un même emplacement pour être en mesure de fournir des efforts de priorisation et de remédiation. Les outils d'évaluation des vulnérabilités traditionnels ne sont pas adaptés à l'auomatisation des workflows, et donc s'avérer assez couteux pour les entreprises. Comme indiqué dans le livre blanc d'ESG : « Les outils traditionnels sont peut-être meilleur marché, mais les heures passées par le personnel pour mener une action productive sur les vulnérabilités détectées sont telles, qu'elles dépassent amplement les économies réalisées sur les logiciels. » 

Principaux défis du programme de gestion des vulnérabilités

Selon l'étude d'ESG menée auprès de 383 professionnels de l'informatique et de la cyber-sécurité, les trois principaux défis que rencontre une entreprise vis-à-vis de ses process et outils de gestion des vulnérabilités sont :

• l'automatisation des process tels que la découverte, la prioriation et l'atténuation des vulnérabilités
• le suivi des vulnérabilités qui n'ont pas de correctifs et qui ne peuvent pas être corrigées
• la difficulté à coordonner les process de gestion des vulnérabilités dans plusieurs outils 

Ces données présentent le besoin d'une solution de gestion des vulnérabilités qui aille au-delà de l'évaluation des vulnérabilités traditionnelle pour offrir des capacités d'automatisation des workflows puissantes, une priorisation basée sur le risque effective et efficiente, ainsi qu'un moyen de combler le fossé qui divise les équipes de sécurité et de remédiation. 

Les avantages d'une gestion des vulnérabilités continue et basée sur le risque

Adopter un programme des gestion des vulnérabilités basée sur le risque est essentiel pour une réduction du risque effective et une posture de sécurité améliorée. 

Pour adopter une approche basée sur le risque vis-à-vis de la gestion des vulnérabilités, ESG met en lumière trois éléments clés requis pour contextualiser les vulnérabilités et prioriser le risque de manière efficace et efficiente : 

1. Impact : Si une vulnérabilité vient à être exploitée, il est indispensable de comprendre l'impact sur l'asset affecté ainsi que sur l'ensemble de l'entreprise.
2. Probabilité d'exploitation : Comprendre quelles vulnérabilités sont activement exploitées en environnement réel et quelles vulnérabilités peuvent être facilement exploitées est un facteur important dans vos efforts de priorisation. 
3. Valeur d'un asset : Ce facteur s'est complexifié avec les années, et la valeur d'un asset ne se calcule plus en fonction de quels systèmes exécutent des logiciels critiques. La valeur d'un asset est également corrélée aux données d'identité et aux rôles et autorisations accordés aux utilisateurs d'un système.

Affiner le programme de gestion des vulnérabilités de votre entreprise en programme complet et proactif pour une réduction du risque efficace vous aidera à mieux répondre aux besoins des charges de travail modernes. Pour un regard plus approfondi sur les observation d'ESG, téléchargez dès aujourd'hui le livre blanc complet (en anglais). 

Comment Tenable Vulnerability Management peut aider 

Tenable Vulnerability Management est une plateforme de gestion des vulnérabilités basée sur le risque, qui propose une approche efficace et moderne pour la résolution des défis les plus complexes en matière de gestion des vulnérabilités. 

Géré dans le cloud et optimisé par Tenable Nessus, Tenable Vulnerability Management fournit la couverture des vulnérabilités la plus complète du secteur grâce à une évaluation continue en temps réel des entreprises et une visibilité totale de l'écosystème afin de prédire les attaques et de répondre rapidement aux vulnérabilités critiques.

Pour en savoir plus sur Tenable Vulnerability Management, démarrez votre premier essai aujourd'hui et téléchargez le livre blanc « Elevating Security with Risk-based Vulnerability Management ».