La data : actif précieux ou risque commercial ?

Presque tous les objets peuvent être connectés : une voiture, un téléphone, un aquarium, etc.
À mesure que l'Internet des objets (IoT) prend de l'ampleur, les données recueillies s'étoffent donc, enregistrant un flux constant d'informations sur notre localisation, nos habitudes de navigation ou encore nos dépenses. Toutefois, le simple fait que les données puissent être collectées ne les rend pas plus précieuses. Il faut être capable de les exploiter pour en tirer profit. Et surtout, les protéger efficacement.

Dépendance aux données

Plus un système dispose d'informations clients, plus la personnalisation est élevée. Et c'est cette personnalisation qui devrait, à son tour, accroître l'engagement des clients et in fine, le chiffre d'affaires. Malgré tout, l'accumulation de données, en premier lieu quand elle concerne les clients et prospects, mène justement beaucoup d'organisations à leur perte. Les nouvelles réglementations telles que le règlement général sur la protection des données (RGPD) demandent aux entreprises de justifier d'un stockage, d'une sécurité et de processus adaptés pour protéger cette marchandise si précieuse.

De surcroît, les auteurs de ces réglementations ne sont pas les seuls à vouloir que les entreprises gardent un oeil sur les données : vos clients veillent eux aussi au grain. La valeur des données ne peut être préservée que si celles-ci sont protégées. Lorsqu'une faille de sécurité apparaît, les clients remettent en doute la capacité de l'entreprise piratée à stocker leurs données et pourront même exiger, en vertu de la RGPD, que l'ensemble de leurs données soient retirées de leurs systèmes.

Les RSSI font donc face à un dilemme : plus le volume de données est important, plus l'entreprise est à même de prendre les meilleures décisions commerciales, mais le maintien de la sécurité de ces données est coûteux et plus risqué que jamais. Stockées à différents endroits, du logiciel CRM aux boîtes de messagerie, des réseaux aux bases de données en passant par les clouds tiers, les données ne peuvent plus être sécurisées dans leur intégralité si l'on recourt uniquement à une approche périmétrique.

Redéfinir les règles en matière de gestion des données

L'approche périmétrique n'étant plus à l'ordre du jour, c'est le réseau, facteur commun qui relie tout, qui doit devenir une composante clé de la sécurité. D'après le RGPD, il est primordial de savoir à tout instant où se trouvent les données et quelles applications les utilisent (un récent sondage a révélé que 43 % des personnes interrogées ignorent où sont stockées leurs données). Toutefois, étant donné que de nombreux tiers sont souvent sollicités pour stocker, transporter et récupérer les données, comment définir les limites du réseau ? Il est en outre nécessaire de pouvoir accéder à ces informations en temps réel pour une question de flexibilité commerciale et de rapidité de prise de décision.

Malgré tout, toutes les données ne se valent pas. L'adoption d'une approche générique de la sécurité pourrait donc s'avérer non rentable ou inefficace sur le plan opérationnel. En maîtrisant le réseau et en investissant dans une sécurité en temps réel, il est possible d'acquérir une meilleure vue d'ensemble des événements et de réagir de manière pertinente. Le niveau d'investissement compense ainsi la valeur relative de données spécifiques.

Sécurité proactive

Selon Gartner, l'IoT devrait enregistrer une croissance annuelle de 33 % entre 2015 et 2020, pour constituer un parc informatique de 20,4 milliards d'unités.1 Le volume de données ainsi créé va générer un « effet réseau », quand la valeur du réseau est multipliée à chaque ajout d'un nouvel utilisateur. L'ensemble de l'écosystème clients, partenaires et fournisseurs alimentera le volume de données transitant au sein du réseau, permettant de prendre de meilleures décisions plus rapidement.

Tout cela offre néanmoins davantage d'opportunités aux cybercriminels. Tout réseau peut être exposé un jour ou l'autre. Plus de 357 millions d'attaques de malwares ont ainsi été lancées à l'échelle mondiale en 2016, des chiffres qui ont bondi en un an. Sur la seule période de juillet à septembre 2017, le nombre d'échantillons de malwares détectés a atteint 57,6 millions ! Un tel volume d'attaques ne peut tout simplement pas être l'oeuvre d'individus isolés. L'automatisation fait désormais partie intégrante de la cybercriminalité. L'époque des « corrections mensuelles de bugs » est désormais révolue. La solution réside aujourd'hui dans une réactivité immédiate permettant d'anticiper les menaces qui évoluent rapidement. L'automatisation doit donc être également intégrée aux moyens de défense. Seule une approche automatisée permet d'analyser ce qu'il se passe sur le réseau, de repérer les anomalies, et de les corriger ou de les signaler avant qu'elles n'entraînent des dégâts.

Le Machine Learning est efficace pour identifier rapidement un problème et l'automatisation intervient pour le résoudre. Ce principe permettra à tous les périphériques connectés d'être mis à jour et protégés. En ayant recours à l'automatisation pour exécuter les tâches répétitives, les équipes informatiques peuvent se concentrer sur d'autres activités plus stratégiques, telles que la transformation numérique.

Un volume sans cesse croissant de données s'accumule au sein des entreprises ; des données qu'elles doivent traiter et stocker, et auxquelles elles doivent pouvoir accéder pour se développer. Plus important encore, ces données doivent être protégées et sécurisées. Face à des menaces toujours plus sophistiquées, il est impératif de conserver une longueur d'avance, bien que cela soit plus complexe avec l'IoT, dans un environnement sans périmètre de sécurité. Pour y parvenir, mettre en oeuvre des réseaux flexibles et programmables qui s'adaptent au paysage changeant de la sécurité est essentiel. De plus, en exploitant les capacités de ces réseaux, il sera possible de s'appuyer sur une plateforme qui préservera intelligemment les données (et les activités), dans le respect des nouvelles législations.

Laurence Pitt, Directeur stratégie sécurité - EMEA - Juniper Networks.