Le volume des cyberattaques et le coût de la cybercriminalité continuent d'augmenter. L'incertitude du marché limite les budgets, y compris ceux consacrés à la cybersécurité. Les menaces continuent d'évoluer et d'accélérer leur rythme d'attaque.
Votre entreprise poursuit des objectifs de croissance et d'innovation. Elle adopte de plus en plus de technologies, se tourne davantage vers le cloud et embauche davantage de personnes travaillant à distance. Votre infrastructure critique s'étend, les points d'accès se multiplient et vous vous rendez compte que vous devez développer une pratique de sécurité plus formelle.
Votre équipe de direction demande des garanties de résilience face à toutes ces incertitudes. L'entreprise ne peut pas se permettre une attaque qui pourrait ternir sa réputation, causer des dommages financiers ou stopper la dynamique de lancement de nouveaux produits et de pénétration de trois nouveaux marchés cette année.
Vous évaluez vos conditions de sécurité actuelles :
Après avoir examiné ce qui se passe dans le monde à l'extérieur et à l'intérieur de votre entreprise, vous concluez que votre organisation a besoin d'un centre d'opérations de sécurité (SOC). Il est impératif d'améliorer la détection des menaces et de réduire la probabilité de violations de la sécurité.
Un centre d'opérations de sécurité est une installation physique ou virtuelle conçue pour protéger une organisation contre les menaces de cybersécurité 24 heures sur 24 et 7 jours sur 7. L'objectif est d'exercer une vigilance sans faille sur l'infrastructure informatique d'une entreprise, notamment les réseaux, les serveurs, les terminaux, les bases de données, les applications et les environnements en nuage. Le résultat à atteindre est de protéger les actifs informationnels de l'entreprise contre l'accès, l'utilisation, la divulgation, l'altération ou la destruction non autorisés.
L'équipe SOC établit des règles et surveille en permanence les réseaux, les serveurs, les appareils, les systèmes d'exploitation, les applications et les bases de données pour détecter les signes d'anomalies et d'exceptions en matière de sécurité ou de nouvelles vulnérabilités. Elle recueille des données sur les menaces à partir de pare-feu, de systèmes de détection et de prévention des intrusions, de systèmes de détection et de réponse des points d'extrémité (EDR) et de systèmes de gestion des informations et des événements de sécurité (SIEM).
Lorsqu'un système détecte une activité suspecte ou une violation, il déclenche une alerte auprès de l'équipe SOC, qui enquête et réagit au fur et à mesure.
Figure 1 : Données et outils typiques d'un SOC
Voici 7 étapes pratiques pour mettre en place un SOC pour votre entreprise :
La première étape consiste à clarifier les objectifs de l'entreprise pour la mise en place du SOC. Il s'agit notamment de déterminer quels sont les systèmes et les données les plus importants pour le bon fonctionnement de l'entreprise. Se contenter de créer un SOC pour améliorer son niveau de sécurité sans tenir compte des objectifs généraux de l'entreprise pourrait entraîner un désalignement, voire faire en sorte que le SOC passe à côté d'une menace majeure qui aboutirait à un cyberincident dévastateur.
L'étape suivante consiste à évaluer les capacités existantes du SOC de votre entreprise en termes de personnel, de processus et de technologie. Si vous partez de zéro, limitez la portée initiale de votre SOC aux fonctions essentielles (surveillance, détection, réponse et récupération). Retardez les fonctions plus avancées, telles que la gestion des vulnérabilités, jusqu'à ce que vos fonctions de base aient atteint un niveau de maturité suffisant.
Lors de la conception de votre solution, commencez par sélectionner quelques cas d'utilisation critiques pour l'entreprise et définissez votre solution SOC initiale sur la base de ceux-ci, en gardant à l'esprit qu'elle devra évoluer pour répondre à des besoins futurs supplémentaires. En conservant une conception prudente de votre solution initiale dès les premières étapes, vous réduirez le temps nécessaire à sa mise en œuvre et à l'obtention de résultats.
Suivez les étapes suivantes pour achever le processus de conception :
Si vous élaborez une solution partiellement externalisée, il est essentiel de travailler avec votre fournisseur de services de sécurité gérés (MSSP) pour garantir un accord mutuel sur les processus, les procédures et la formation.
Avant de déployer votre SOC, vérifiez que tous les composants sont adaptés et garantissent un environnement sécurisé. Vous devez notamment protéger les appareils de votre personnel SOC et vous assurer que des mécanismes robustes de gestion des accès et d'authentification sont en place.
Suivez les étapes suivantes pour le déploiement initial de votre SOC :
Maintenant que vous avez déployé les capacités de base de votre SOC, vous pouvez commencer à mettre en œuvre des cas d'utilisation à travers les niveaux d'analyse, d'automatisation de la sécurité et d'orchestration. Il peut s'agir de détecter des informations d'identification compromises ou des campagnes de spear phishing réussies.
Une fois que votre SOC est en production, il aura besoin d'une maintenance continue, comme des mises à jour des paramètres de configuration et des ajustements pour améliorer la précision de la détection. À terme, vous pourrez envisager d'ajouter d'autres systèmes, soit en entrée, soit en sortie, afin de faire progresser votre maturité en matière de sécurité.
La mise en place d'un centre d'opérations de sécurité comporte de nombreux éléments mobiles, mais le fait de les envisager par étapes rend le défi réalisable.