cyber securite

Solutions

Cybersécurité

Faire face aux menaces

Les cyber menaces pesant sur les organisations dépassent à présent les frontières traditionnelles des DSI et des RSSI pour atteindre celles des directions métiers et fonctionnelles. Face à l'émergence d'attaques très ciblées et d'un contexte règlementaire fort, la gestion du risque devient un enjeu majeur pour les entreprises.

 

Pour se protéger, les organisations doivent adapter leur programme de cyber sécurité en fonction de leurs évolutions stratégiques et opérationnelles et de leur environnement externe. Il faut non seulement anticiper les risques mais surtout être capables de détecter les incidents et d’y réagir efficacement.

Notre expertise

Nous vous accompagnons sur tout le processus de lutte contre les cyberattaques, en élaborant avec vous un programme de sécurité efficace. Nous mettons aussi notre expertise à votre service pour vous accompagner dans le développement de vos capacités à détecter, gérer et éviter les cyberattaques.

Réponse aux cyberincidents 

Les cybermenaces sont bien réelles et ne cessent d’évoluer. 

Depuis quelques années, la question n’est plus de savoir si vous subirez des cyberattaques, mais plutôt quand elles se produiront et quelle sera leur ampleur. La préparation est donc essentielle. 
Lorsque vous êtes victime d’une cyberattaque, vous devez pouvoir réagir rapidement, mobiliser les bonnes personnes, isoler l’incident et réparer tout dommage avec le moins de perturbations possible. Vous capitalisez ensuite sur votre expérience, apprenez de vos erreurs et améliorez votre résilience.

Le temps de réponse des organisations aux cyberattaques indique quelques lacunes en matière de préparation : le rapport d’enquête annuelle « Data Breach Investigations Report », publié par Verizon, fait le constat que 88% des cyberattaques sont menées avec succès en moins d’une journée ! Cependant, seulement 21% de celles-ci sont découvertes dans le même
laps de temps.

La vitesse des cyberattaques et le retard important dans leur découverte et leur traitement mettent en lumière les défis que les organisations doivent relever pour développer leurs capacités de détection et de réaction.

Gouvernance sécurité

La donnée, actif le plus critique pour les entreprises.

Le développement de votre entreprise ou de votre organisation nécessite le recours à de nombreux services en ligne : cloud, organisation décentralisée, interactions dématérialisées…

Dans ce contexte, il est désormais évident que la protection de l’ensemble des systèmes d’information de l’entreprise ne peut être totale et s’avère économiquement irréaliste. De plus, des mesures de sécurité non adaptées pourraient entraver certaines de vos initiatives stratégiques. Nécessité de faire évoluer la gouvernance sécurité. Ce constat nécessite de faire évoluer la gouvernance sécurité des entreprises et des organisations afin de s’assurer que les mesures définies participent au développement et à la protection des activités métiers.

La sécurité ne doit pas être une affaire de spécialistes à laquelle seule une réponse technique est apportée. La gouvernance sécurité doit être intégrée à la gouvernance de l’entreprise et doit permettre de s’assurer que les mesures mises en œuvre contribuent au rendement optimal de votre activité.

Data privacy et conformité aux réglementations

Des contextes réglementaires qui se durcissent.

La loi française oblige les acteurs manipulant des données à déclarer le traitement de données, encadrer son cycle de vie et ses transferts à l’étranger. La CNIL a pour rôle de protéger les individus dans leurs relations avec l’informatique et de s’assurer de la protection de leurs données personnelles.

Cette autorité peut contrôler et sanctionner des entreprises si ces dernières ne respectent pas les exigences de la loi. D’un point de vue européen, les exigences vont également tendre à se renforcer quant à l’encadrement des traitements. Obligation de nommer un délégué à la protection des données, de notifier des incidents de sécurité et des montants de pénalités accrus… Au-delà de ces points réglementaires, le risque d’atteinte à l’image de votre entreprise et les conséquences financières qui s’en suivent peuvent donc être majeures.

Dans l’anticipation du renforcement des exigences et de la valeur inhérente de la donnée personnelle, il convient pour l’entreprise de faire un état des lieux de conformité sur ses traitements déployés et de mettre en place une feuille de route pragmatique en matière de conformité.

Cadre de gouvernance de la donnée personnelle : quel équilibre à trouver ?

De par les risques inhérents accrus à sa teneur réglementaire à venir, la donnée personnelle doit être au cœur de la réflexion de la conformité. La mise à jour du cadre de gouvernance de la protection du SI viserait à prendre en compte le niveau d’exposition au risque de conformité et de potentielles conséquences tout en prenant en compte les besoins métiers, l’éthique.

Continuité d'activité

Sensibiliser les parties prenantes

Cloud, objets connectés, transformation digitale… Toute organisation se doit de maîtriser les risques pesant sur ses activités, qu’elle soit soumise à réglementation comme les secteurs d’importance vitale ou simplement pour assurer la pérennité de ses activités en cas de sinistre. Les organisations doivent être d’autant plus vigilantes que les risques business évoluent au fur et à mesure des mutations technologiques et de la multiplication des menaces cyber.


Mise en oeuvre d’un système de management de la continuité

  • Mettre en place d’un plan de continuité d’activité capable de répondre à l’ensemble des enjeux métiers et IT de l’organisation.
  • Connaître son environnement, ses processus et ses actifs critiques.
  • Appréhender son environnement réglementaire et juridique pour répondre aux contraintes internes/externes.
  • Mettre en œuvre un système de management de la continuité agile est essentiel afin de piloter son plan de continuité d’activité et limiter de potentiels impacts irréversibles pour les organisations.

Identity, Access Governance and Management (IAM, IAG)

Une thématique complexe, au coeur de tous les enjeux de l’entreprise.
La gouvernance et la gestion des identités et des accès sont une thématique complexe dont les parties prenantes ne se limitent plus, aujourd’hui, au seul département informatique. Quel que soit la taille de leur organisation ou leur métier, Deloitte accompagne la conception, l’analyse et l’implémentation de processus IAM garantissant une gouvernance et une gestion opérationnelle fiables des identités et des accès. Deloitte se base sur des référentiels reconnus sur le marché dans ses projets visant à renforcer la maturité des politiques IAM, et met son expertise des technologies ainsi que sa connaissance fine du marché à la disposition de ses clients, permettant ainsi d’appréhender avec sérénité des thématiques d’actualité, dont :

  • la fédération des identités et des accès dans le cloud ;
  • le choix et la typologie de l’outillage IAM ;
  • les politiques de sécurité et d’authentification ;
  • l’adaptabilité et la qualité des processus IAM ;
  • le contrôle de l’accès aux ressources sensibles ;
  • la conformité aux cadres législatifs facilitée par l’outillage IAM/IAG

Compte tenu de l’évolution rapide des métiers et des systèmes d’information vers plus d’ouverture et de synergie, Deloitte fournit l’expertise métier et technologique nécessaire pour répondre aux enjeux liés à la transformation numérique de ses clients :

  • fédération des identités, intégration des filiales et ouverture aux partenaires ;
  • protection des actifs, renforcement de la sécurité des données ;
  • amélioration des processus d’intégration des nouveaux arrivants ;
  • intégration des politiques d’entreprise en matière de gestion des accès et habilitations sensibles ;
  • respect des cadres de conformité applicables au secteur d’activité;
  • maîtrise des coûts et des risques organisationnels et opérationnels.

Offensive security center

Eprouvez vos systèmes en conditions réelles

L’un des plus grands challenges de la sécurité des entreprises est de déterminer si les politiques, outils et configurations mis en place fournissent le niveau de sécurité nécessaire à leurs besoins. Par son activité au sein de l’OSC (Offensive Security Center), Deloitte permet aux entreprises d’évaluer leur sécurité d’une manière pragmatique, au travers d’approches réalistes, ciblant notamment le métier et mettant en scénario des menaces actuelles.

Une contextualisation forte des menaces

Fort d’une expertise pointue en cybersécurité, Deloitte complète son approche par une contextualisation des risques au regard du secteur d’activité (banque, assurance, énergie, etc.) ainsi que des enjeux stratégiques des clients.
Cette démarche permet de traduire les vulnérabilités techniques en risques et vecteurs de menaces sur les actifs de l’entreprise, fournissant ainsi les éléments de décision nécessaires à la direction.

Une constante évolution

Les tests d’intrusion sont devenus une composante à part entière de la stratégie de défense de toutes les entreprises dans leur lutte contre la cybercriminalité. Cette dernière évolue constamment avec l’émergence de nouvelles technologies, et de vecteurs d’attaque (SCADA, BYOD, IoT,...). Conscient de ces constats au sein de l’OSC, les équipes Deloitte étudient les tendances et nouvelles menaces afin d’adapter leurs approches et fournir des méthodologies pertinentes et réalistes en adéquation avec les nouveaux risques encourus par les entreprises.

Un réseau de connaissance mondial

Les équipes Deloitte du réseau mondial communiquent, échangent et travaillent de concert pour assurer un niveau de technicité et de connaissance répondant aux challenges auxquels nos clients font face. De plus, afin de stimuler les échanges, les équipes Deloitte participent de manière constante aux événements majeurs de la scène Cyber Hacking, tels que les Cyber Olympics (vainqueur 2016), Black Hat, Hack In The Box, etc.

Crisis management

Anticiper au mieux les risques

Comment se préparer à affronter une situation, la plupart du temps asymétrique, dans laquelle l’attaquant est organisé et a systématiquement un ou plusieurs coups d’avance ? Comment évaluer et adapter les dispositifs de gestion de crise ?

Dans un environnement où la déstabilisation passe de plus en plus par des attaques logiques et physiques, les impacts sont souvent considérables, en termes humains, financiers, d’image et de responsabilités. Il faut adapter le système de gestion de crise.
Il devient crucial de développer des réflexes de gestion de crise, concrets et viables.

Mettre en oeuvre un système de management de crise

Quelles sont les conditions d’une réaction appropriée lors d’une crise, ou comment limiter les impacts irréversibles pour vos organisations.

Il vous faut donc :

  • une capacité à piloter en temps réel une situation de crise lorsqu’on ne dispose pas de toutes les infos ;
  • une gestion de l’exposition médiatique des conséquences ;
  • une capacité à piloter en temps réel les informations clés dont on dispose lors d’une crise ;
  • une collaboration des fonctions opérationnelles et des experts.
     

Notre expert

Michael Bittan

Michael Bittan

Associé Risk Advisory, Cyber Risk Services

Michaël est l’associé responsable des activités Cyber Risk Services de Deloitte France. Il dispose de plus de 16 ans d’expérience dans le Conseil en Sécurité des Systèmes d’Information. Il débute sa c... En savoir plus