SERVICES DE RÉSILIENCE CYBERNÉTIQUE
Évaluations de diligence raisonnable fournissant des informations essentielles pour les opérations de fusion-acquisition
Les évaluations en matière de cybersécurité constituent un élément clé de la diligence raisonnable pour une intégration réussie dans le cadre d'une fusion-acquisition. Cependant, une évaluation traditionnelle des risques « globale » comporte des lacunes qui augmentent les risques.
Les évaluations fiables s’appuient sur des référentiels de contrôle reconnus, tels que le NIST, la norme ISO 27002 ou le CSC 20, pour mesurer la confidentialité, l’intégrité et la disponibilité des actifs d’une cible dans tous les domaines critiques. Ces informations vous aident à éviter de vous exposer à des risques numériques cachés, vous protègent contre la transmission de violations de données coûteuses et préservent la valorisation de la transaction. Les conclusions alimentent les feuilles de route qui définissent les mesures nécessaires pour renforcer la résilience de l’entité fusionnée après la clôture de l’opération.
Compte tenu de l’augmentation des risques cybernétiques lors des fusions-acquisitions, notamment ceux liés à l’IA externe et à l’état de la gouvernance interne de l’IA, les évaluations de sécurité ont un impact sur la transaction dans des domaines clés tels que la valorisation, la prévention de la responsabilité, la vulnérabilité de la chaîne d’approvisionnement et la conformité. Elles vous aident à comprendre ce qui est nécessaire pour intégrer diverses infrastructures de sécurité et informatiques afin de parvenir à un état final résilient.
Par conséquent, les évaluations ne sont pas standardisées. En fonction de vos besoins spécifiques et du rythme de la transaction, vous choisissez les évaluations et leur niveau de détail : d’un simple contrôle ponctuel à un examen global de haut niveau, en passant par une analyse approfondie dans les domaines qui vous importent le plus.
Nous avons conçu un processus d’évaluation des risques techniques en matière de cybersécurité afin de garantir que la diligence raisonnable aille bien au-delà des évaluations superficielles traditionnelles, qui se traduisent par des vulnérabilités inconnues, une dette technique imprévue, des mesures correctives sous-financées et la perte d’avantages concurrentiels.
Réalisées selon un cadre de contrôle établi, ces évaluations exhaustives alimentent les feuilles de route qui guident une intégration réussie après la clôture de la transaction. La compréhension de l’interopérabilité des outils, des données et des processus de toutes les parties concernées offre la visibilité nécessaire pour planifier une sécurité proactive et une intégration sécurisée dès le premier jour.
L'IDENTITÉ EST LE NOUVEAU PÉRIMÈTRE
Évaluation de diligence raisonnable en matière d'identité
Compte tenu de l'évolution rapide des menaces et de l'utilisation croissante de l'IA en interne, la gestion des identités et des accès (IAM) revêt une importance croissante pour garantir la sécurité de l'environnement.
Une évaluation des identités permet d’analyser et de cartographier les référentiels d’identités coexistants afin d’identifier les comptes orphelins, les utilisateurs hérités disposant de privilèges excessifs et les annuaires en conflit.
Au vu des résultats, nous évaluons ensuite les options possibles, telles que l’application immédiate du principe du moindre privilège (PoLP), l’authentification multifactorielle, la gestion des accès et des identités privilégiés, ainsi que la mise en place d’une authentification inter-domaines. Le plus souvent, nous pouvons vous aider à planifier ces changements sans perturber vos flux de travail.
SAVEZ CE QUE VOUS HÉRITEZ
Évaluation de diligence raisonnable relative aux vulnérabilités
La plupart des organisations accumulent un retard en matière de mises à jour de micrologiciels et de CVE (Common Vulnerabilities and Exposures) non corrigées, et, dans certains cas, de vulnérabilités héritées non résolues.
Tout dépend de la manière dont elles ont défini leurs priorités, compte tenu du manque de temps et de ressources dont souffrent de nombreuses équipes de sécurité et informatiques. En fin de compte, vous devez savoir ce dont vous héritez de ce nouvel environnement. Surtout si vos priorités diffèrent.
Une évaluation des vulnérabilités comprend un scan complet de l’environnement afin de hiérarchiser les risques. Ce processus non invasif permet d’identifier et de classer par ordre de priorité les correctifs à appliquer avant le début de l’intégration active.
SecureOps effectuera un nouveau scan de vulnérabilité et une évaluation d’impact sur l’environnement de la cible. Non seulement cela fournira des données actualisées, mais la comparaison avec toute politique de correctifs existante ou prévue sera détaillée afin d’identifier les lacunes.
L’application de correctifs est très importante – et constitue un moyen facile – de réduire les risques. Mais cet examen est également utile pour déterminer quels autres éléments pourraient être non conformes par rapport à la politique de sécurité déclarée.
Au-delà des vulnérabilités internes : l’intelligence sur les menaces
Les vulnérabilités internes ne reflètent qu’une partie de la réalité. Les annonces de fusions-acquisitions attirent souvent les cybercriminels qui cherchent à exploiter le chaos lié à la période de transition. Pour évaluer le profil de risque externe de la cible et son historique d’exposition, SecureOps intègre une surveillance complète des renseignements sur les menaces.
|
Capacité |
Domaine d’intervention |
|
Protection de la marque |
Surveillance continue des domaines similaires, des profils de réseaux sociaux frauduleux et des applications usurpées conçues pour exploiter la marque de la cible ou tromper ses clients. |
|
Surveillance du Dark Web |
Analyse des forums et des places de marché clandestines à la recherche d'identifiants d'employés compromis, de fuites de données propriétaires ou d'annonces d'« Initial Access Brokers » (IAB) liées à la cible. |
|
Activité des acteurs malveillants |
Suivi des discussions des acteurs malveillants, des violations passées et des campagnes actives ciblant spécifiquement l’organisation, sa chaîne d’approvisionnement ou son segment de marché au sens large. |
|
Interventions actives |
Perturbation proactive des menaces externes grâce à des opérations coordonnées et rapides de neutralisation des domaines malveillants, des sites de hameçonnage et des infrastructures compromises. |
DÉFINIR LE RISQUE INVISIBLE
Évaluation de la diligence raisonnable en matière d'IA
L'utilisation de l'IA, sous une forme ou une autre, est désormais monnaie courante pour la plupart des « cibles ».
Des outils d’IA « fantômes » aux systèmes agentiques non régulés, en passant par le code généré par l’IA sans piste d’audit, le risque invisible s’amplifie lorsqu’il est hérité lors de l’intégration.
L’évaluation de l’IA se concentre sur la détection et l’inventaire automatisés des systèmes d’IA, des autorisations des agents et des outils d’IA « fantômes » dans l’environnement de la cible. Elle évalue également l’état de la gouvernance de l’IA (politique, contrôles, formation des utilisateurs) et explore les voies potentielles d’exposition des données afin d’identifier les risques hérités.
Les recommandations orientent la planification visant à renforcer les contrôles de gouvernance et à améliorer la posture de sécurité liée à l'IA pour les opérations postérieures à la clôture de la transaction.
IDENTIFIER LES ERREURS DE CONFIGURATION, LES DÉRIVES DU SYSTÈME ET LE « SHADOW IT »
Évaluation de la diligence raisonnable en matière de configuration
Qu'il s'agisse d'architectures cloud, d'appareils ou de serveurs mal configurés, d'une dérive des paramètres de référence du système au fil du temps ou encore d'actifs informatiques « fantômes », la configuration joue un rôle essentiel dans la cybersécurité et la conformité.
L'évaluation de la configuration commence par l'examen de la configuration de référence documentée de tous les systèmes critiques ciblés, par rapport à leur état actuel. Il peut s'agir, entre autres, de serveurs, de centres de données ou d'applications critiques.
Nous nous attachons à identifier l'état de la configuration, les actifs cachés et les lacunes d'intégration actuelles.
Si une lacune importante est détectée, les processus de gestion du changement et les chaînes d’approbation font l’objet d’un examen plus approfondi.
Les recommandations comprennent les mesures nécessaires à la remédiation ainsi que la mise en place d’un suivi proactif de la conformité.
CONTINUEZ À RENFORCER VOTRE DÉFENSE DE SÉCURITÉ
Évaluation de diligence raisonnable relative au suivi du SOC
Les évaluations traditionnelles considèrent les opérations de sécurité (SOC) et les opérations réseau comme des entités distinctes. Le contexte actuel exige une approche intégrée.
Une sécurité proactive et interconnectée élimine les angles morts que les acteurs malveillants ne demandent qu’à exploiter. L’évaluation conjointe de ces deux aspects vous permet de faire le lien entre les dépendances opérationnelles et les failles qui accentuent le profil de risque de la cible — ou qui pourraient permettre à un acteur malveillant de se déplacer latéralement de la cible vers la nouvelle société mère.
L’évaluation de la surveillance du SOC identifie les flux redondants et les opportunités d’optimisation, du SIEM à l’EDR et à l’ensemble des outils de sécurité, afin de cartographier les lacunes de visibilité et d’unifier les sources de journaux de télémétrie.
Les recommandations qui orientent les feuilles de route comprennent des mesures visant à instaurer une visibilité de bout en bout 24 h/24 et 7 j/7, ainsi que des processus interconnectés.
Les composantes de l’évaluation de la surveillance du SOC comprennent :
- Couverture des sources de journaux
- Couverture des attaquants (mise en correspondance avec les techniques d’attaque du cadre MITRE Att&ck!)
- Analyse de l’automatisation (axée sur les guides d’intervention pour les volumes élevés)
- Analyse des faux positifs
- Couverture des processus
- Analyse d'optimisation
BÉNÉFICIEZ D'UNE VISIBILITÉ DE BOUT EN BOUT
Évaluation de diligence raisonnable du réseau
Les architectures réseau plates dépourvues de segmentation interne exposent les ressources critiques à des risques en cas de violation du périmètre.
L'informatique fantôme (Shadow IT) constitue également un problème persistant qui affaiblit le niveau de sécurité. De même, les systèmes hérités, incapables de prendre en charge les contrôles de sécurité modernes, augmentent les risques et élargissent la surface d'attaque. Des contrôles incohérents créent des failles dans la sécurité du réseau. Selon le secteur d'activité, ces situations peuvent entraîner une non-conformité réglementaire.
L’évaluation du réseau cartographie et visualise le périmètre de votre réseau de bout en bout ainsi que l’état de la segmentation interne afin d’identifier les interdépendances et les actifs cibles suspects.
Les recommandations incluent des options pour établir des priorités afin de mettre en place des contrôles sécurisés pendant la phase d’intégration active.
Les composantes supplémentaires d’une évaluation du réseau peuvent également inclure :
- Analyse de la documentation
- Évaluation des processus
- Évaluation de la gestion du changement
- Analyse de l’automatisation, de l’IA et de l’optimisation
- Analyse des politiques relatives aux périphériques critiques
DÉCOUVREZ LES CONFLITS AVANT DE LES HÉRITER
Évaluation de la diligence raisonnable des processus
Une documentation incomplète, des incidents de sécurité passés non détectés ou non divulgués, le recours à des formulaires d'auto-évaluation et un suivi insuffisant des dépendances vis-à-vis des tiers peuvent tous avoir une incidence sur le profil de risque de la cible.
Des guides d’intervention en cas d’incident incompatibles et des flux de travail opérationnels contradictoires créent des failles de couverture potentiellement non identifiées qui augmentent le risque après la clôture de la transaction.
L’évaluation des processus passe en revue les guides opérationnels, la logique de détection, les règles de gestion des changements et les politiques de communication de la cible.
Les recommandations fournissent des orientations pour créer un cadre coordonné de détection et de réponse de bout en bout, conçu pour renforcer la cyber-résilience en vue d’un état futur après la clôture de la transaction.
IDENTIFIEZ LES FAILLES D'EXPOSITION DES INFORMATIONS SENSIBLES
Évaluation de la diligence raisonnable en matière de données
Les données constituent un atout essentiel qui contribue à l'évaluation des opérations de fusion-acquisition et permettent d'identifier la croissance du chiffre d'affaires.
Cependant, les données peuvent également constituer un risque en matière de conformité et d’exigences légales. Il est donc essentiel de comprendre les contrôles en place concernant les informations personnelles identifiables (PII), la loi HIPAA et d’autres données réglementées, afin de s’assurer que ces contrôles sont mis en œuvre de manière proportionnée par rapport à la valeur commerciale et au risque encouru. Cela implique notamment d’identifier ou de mettre en place des processus continus visant à garantir la conformité.
L’état de la sécurité des données met en évidence des risques cachés, tels qu’une classification incohérente ou une visibilité insuffisante sur les tiers, ce qui pourrait faire baisser le prix d’achat. Mais les données peuvent également révéler des synergies permettant d’améliorer l’efficacité inter-sociétés et la performance de la mise sur le marché.
L’évaluation des données cartographie les flux de données, les normes de classification, les politiques de gouvernance et les contrôles de protection afin de mettre en évidence les failles d’exposition des informations sensibles, y compris les points d’accès des tiers.
Les recommandations comprennent des mesures visant à harmoniser les politiques de gouvernance et les mesures de protection lors de la migration afin de protéger les données critiques pendant l’intégration et après la clôture de la transaction.
ÉVALUER LE DEGRÉ DE MATURITÉ DE LA GOUVERNANCE DE LA SÉCURITÉ
Gouvernance, risques et conformité Évaluation de diligence raisonnable
Une évaluation de la gouvernance, des risques et de la conformité (GRC) aide les organisations à évaluer le niveau de maturité de leurs structures de gouvernance en matière de sécurité.
Elle identifie et hiérarchise les expositions aux risques, et vérifie la conformité aux obligations réglementaires, contractuelles et sectorielles applicables (par exemple, ISO 27001, SOC 2, NIST CSF, PCI-DSS, HIPAA ou RGPD, selon le secteur d’activité du client).
En tant que mission fournie par un MSSP, elle combine généralement l’examen de la documentation, des entretiens avec les parties prenantes et des tests de contrôle afin de dresser un tableau clair de la situation actuelle par rapport à un référentiel cible, aboutissant à une feuille de route hiérarchisée des mesures correctives.
Les principales activités d’une évaluation GRC comprennent généralement :
- Définition du périmètre et sélection du référentiel – Définir les limites de l’évaluation et sélectionner le ou les référentiels réglementaires/sectoriels applicables en fonction du secteur d’activité du client, de sa situation géographique et de ses obligations contractuelles
- Examen de la gouvernance – Évaluation des politiques de sécurité, des rôles et responsabilités, de la structure organisationnelle et de la supervision du programme de sécurité par la direction
- Évaluation des risques – Identification, évaluation et hiérarchisation des risques pesant sur les actifs, les données et les opérations ; examen du registre des risques et de la méthodologie de traitement des risques
- Analyse des écarts de conformité – Comparer les contrôles actuels aux exigences du cadre choisi afin d’identifier les écarts et les non-conformités
- Examen des politiques et procédures – Vérifier si des politiques documentées existent, si elles sont à jour et si elles sont effectivement respectées dans la pratique
- Test et validation des contrôles – Effectuer des tests par échantillonnage des contrôles clés (gestion des accès, gestion des changements, réponse aux incidents, risques liés aux fournisseurs, etc.) pour vérifier leur efficacité de conception et de fonctionnement
- Examen des risques liés aux tiers et aux fournisseurs – Évaluer la manière dont les risques liés aux fournisseurs et à la chaîne d’approvisionnement sont gérés et surveillés
- Constatations et notation des risques – Documenter les écarts en leur attribuant une notation de risque définie (par exemple : critique/élevé/moyen/faible) et en précisant leur impact sur l’activité
