Tests de référence pour mesurer la sécurité informatique

Pour les entreprises, il est essentiel de savoir où en est leur propre sécurité informatique. Cependant, il y a un problème : les fournisseurs de produits de sécurité ont un intérêt évident à présenter le scénario de menace comme plus dangereux qu’il ne l’est en réalité. Les tests de référence peuvent-ils y remédier ?

L’industrie de la sécurité informatique est un environnement particulier. Les succès doivent y être mesurés différemment qu’ailleurs. En effet, il est dans la nature des choses que ce ne soit pas le bon fonctionnement de l’informatique, mais surtout les failles apparues dans la structure de sécurité qui attirent l’attention des responsables d’entreprise. Les entreprises menacent donc souvent de scénarios horrifiques pour justifier l’urgence de nouvelles solutions de sécurité. Comment les décideurs peuvent-ils savoir si le concept de sécurité actuel de leur entreprise est vraiment efficace ?

Qu’est-ce que les tests de référence ?

Pour tester cela, de plus en plus d’entreprises proposent des tests de référence. Le benchmarking est une méthode permettant de déterminer la performance des systèmes informatiques et des classes de systèmes. Pour ce faire, divers paramètres de test sont créés, à l’aide desquels différents fournisseurs doivent ensuite être comparés. À l’origine, ils étaient utilisés pour comparer le matériel. Cependant, les tests de référence ont également une grande importance pour la comparaison des systèmes de sécurité informatique. La structure de sécurité informatique dans les entreprises est cependant très complexe et fragmentée. Cela rend la création de tests de référence significatifs une affaire assez complexe.

Comment fonctionnent les tests de référence pour évaluer la sécurité informatique

Les tests de référence ont désormais une grande importance dans la comparaison des systèmes de sécurité informatique. (Source : iStock / PeopleImages)

Lors des tests de référence pour évaluer la sécurité informatique, on distingue donc entre la sécurité normative et la sécurité technique. La sécurité normative fait référence aux objectifs et aux directives. Ceux-ci doivent ensuite être en conformité avec la mise en œuvre technique (sécurité technique). Pour la réalisation d’un test de référence, les différentes zones du système de sécurité informatique sont attribuées à différentes catégories. Celles-ci pourraient, par exemple, comprendre la gouvernance et la gestion des risques ou la surveillance de la sécurité. Ensuite, les données dans l’entreprise sont examinées. La profondeur de l’analyse dépend du fournisseur du test de référence et du souhait du client.

Avec tout cela, on ne poursuit qu’un seul objectif : établir la comparabilité avec d’autres fournisseurs et systèmes de sécurité. Ils reposent donc sur le fait que le fournisseur peut intégrer autant de données que possible d’autres entreprises afin de pouvoir localiser les résultats du test. Ce n’est qu’alors que le test peut offrir des résultats précieux. À la fin d’un test de référence, le client doit recevoir un rapport détaillé sur les différentes facettes de son propre système de sécurité informatique. Des réponses aux questions centrales de la sécurité informatique doivent être fournies. Par exemple, la relation entre les coûts et le degré de mise en œuvre ou l’identification des domaines où l’on sous-performe.

Conclusion : Dans les entreprises où le système de sécurité informatique est devenu de plus en plus opaque, les tests de référence peuvent aider. Ils peuvent fournir une bonne base pour construire un système de sécurité informatique plus efficace. Ils aident également, s’ils sont bien réalisés, à faire face de manière compétente aux fournisseurs de systèmes de sécurité.

L’essentiel

Comment fonctionnent les tests de référence pour évaluer la sécurité informatique Les tests de référence ont désormais une grande importance dans la comparaison des systèmes de sécurité informatique…
En effet, il est dans la nature des choses que ce ne soit pas le bon fonctionnement de l’informatique, mais surtout les failles apparues dans la structure de sécurité qui attirent l’attention des responsables d’entreprise…
Les entreprises menacent donc souvent de scénarios horrifiques pour justifier l’urgence de nouvelles solutions de sécurité.
Comment les décideurs peuvent-ils savoir si le concept de sécurité actuel de leur entreprise est vraiment efficace ?

Key Facts

Durée de l’attaque : En moyenne, les attaquants restent 204 jours non détectés dans le réseau de l’entreprise.

Les PME dans le viseur : 43 % de toutes les cyberattaques visent les petites et moyennes entreprises.

Questions fréquentes

Quelles sont les cybermenaces les plus fréquentes pour les entreprises ?

Selon le rapport de situation du BSI (Office fédéral de la sécurité informatique), le ransomware, le phishing, les attaques DDoS et les compromissions de la chaîne d’approvisionnement sont les menaces les plus courantes. Pour les entreprises allemandes, s’ajoutent les risques réglementaires (RGPD, NIS2).

Combien une entreprise devrait-elle investir dans la cybersécurité ?

Les experts du secteur recommandent d’allouer 10 à 15 % du budget informatique à la cybersécurité. Les entreprises allemandes se situent en moyenne à 14 % selon Bitkom. Ce qui compte, ce n’est pas seulement le montant, mais la répartition stratégique entre la prévention, la détection et la réaction.

Chaque entreprise a-t-elle besoin d’un CISO ?

Toutes les entreprises n’ont pas besoin d’un CISO à temps plein, mais toutes ont besoin d’une responsabilité claire en matière de sécurité informatique au niveau de la direction. Les PME peuvent faire appel à un CISO externe (CISO virtuel). Avec NIS2, la responsabilité de gestion est ancrée par la loi.

Imprimer l'article

À propos de l'auteur: Tobias Massow

Plus d'articles de Tobias Massow

Aussi disponible en

Español English Deutsch