Choisir la solution de cybersécurité qui convient le mieux à votre organisation - ITSM.10.023

Date d’entrée en vigueur

Le présent document entre en vigueur le 3 octobre 2022

Historique des révisions

1. Première diffusion : 3 octobre 2022

Vue d’ensemble

À mesure que les technologies évoluent et deviennent de plus en plus sophistiquées, les auteurs de menace cherchent de nouvelles façons d’exploiter les particuliers et les organisations. Être victime d’une cyberattaque peut entraîner des conséquences dévastatrices, voire irréversibles. En raison de ces menaces en évolution, les organisations de toutes tailles pourraient avoir des difficultés à trouver des solutions de sécurité adaptées à leur budget, à leurs cyberenvironnements et à leurs besoins opérationnels.

Le présent document traite des diverses options que les organisations de toutes tailles peuvent envisager lorsqu’elles cherchent à renforcer leur posture de cybersécurité. Il présente les pratiques exemplaires de base en matière de cybersécurité que les organisations peuvent mettre en œuvre avec leurs ressources en place, ainsi que les pratiques qui peuvent être mises en œuvre en faisant appel à un fournisseur de services de sécurité gérés (FSSG). Les FSSG offrent divers services de cybersécurité, notamment la sécurité des réseaux, la protection des terminaux et la surveillance connexe. Outre les services de sécurité de l’information, les FSSG peuvent héberger, déployer, surveiller et gérer les infrastructures de sécurité de leurs clients.

Les pratiques exemplaires et les contrôles de cybersécurité présentés dans ce document s’adressent aux organisations de toutes tailles. Nous présentons les cinq contrôles de sécurité de base que n’importe quelle organisation peut mettre en œuvre au moyen des ressources disponibles et qui lui permettront d’améliorer sa posture de cybersécurité. Plusieurs autres contrôles de sécurité à mettre en œuvre dans l’organisation sont définis en tenant compte de différents niveaux de ressources et de connaissances techniques nécessaires. Pour les organisations qui ne disposent pas d’un service technique, mais qui ont les moyens d’investir dans la cybersécurité, l’externalisation de certains ou de tous les besoins de l’organisation en matière de cybersécurité à des tiers, comme un FSSG, peut améliorer la résilience et la protection de l’organisation contre des cyberincidents.

Pour obtenir de plus amples renseignements, prière de communiquer par courriel ou par téléphone avec le Centre d’appel du Centre pour la cybersécurité :

Centre d’appel du Centre canadien pour la cybersécurité

Courriel contact@cyber.gc.ca |Mobile 613-949-7048 ou 1‑833‑CYBER‑88

Table des matières

• 1 Introduction
• 2 Déterminer la posture de cybersécurité
  • 2.1 Pratiques exemplaires de base en matière de cybersécurité
  • 2.2 Pratiques exemplaires avancées en matière de cybersécurité
• 3 Externaliser la cybersécurité
  • 3.1 Fournisseur d’accès Internet (FAI)
  • 3.2 Consultant en sécurité des TI ou en cybersécurité
  • 3.3 Fournisseur de services infonuagiques (FSI)
  • 3.4 Fournisseur de services de sécurité gérés (FSSG)
    • 3.4.1 Différences entre un FSSG et un FSG
    • 3.4.2 Critères à prendre en compte
    • 3.4.3 Avantages et désavantages d’attribuer un contrat à un FSSG
  • 3.5 Catégories de services de sécurité gérés
    • 3.5.1 Technologies de services de sécurité gérés
    • 3.5.2 Protection des données et surveillance de la sécurité
    • 3.5.3 Évaluation et gestion des risques et des vulnérabilités
    • 3.5.4 Surveillance et gestion de la conformité
• 4 Résumé
• 5 Contenu complémentaire
  • 5.1 Liste d’abréviations, d’acronymes et de sigles
  • 5.2 Glossaire
  • 5.3 Références

Liste des tableaux

• Tableau 1 : Questions sur l’évaluation des risques
• Tableau 2 : Différences entre un FSSG et un FSG
• Tableau 3 : Liste des critères d’évaluation d’un FSSG

1 Introduction

Compte tenu du contexte de cybermenace en constante évolution et du nombre sans cesse croissant de cyberattaques, les organisations de toutes tailles et de tous les secteurs d’activités font face à des menaces accrues et plus complexes. Les préjudices causés par les auteurs de menace peuvent s’avérer désastreux, coûteux et parfois irréversibles. Chaque organisation, indépendamment de sa taille, est exposée à des menaces liées à la cybersécurité. Parmi les cyberattaques courantes auxquelles font face les organisations, notons les suivantes :

• Hameçonnage : Procédé par lequel des auteurs de menace tentent de solliciter de l’information confidentielle appartenant à un individu, à un groupe ou à une organisation en les usurpant ou en imitant une marque commerciale connue dans le but de réaliser des gains financiers. Les hameçonneurs incitent les utilisateurs à partager leurs renseignements personnels (numéros de carte de crédit, informations bancaires en ligne ou autres renseignements) afin de s’en servir pour commettre des actes frauduleux.
• Maliciel : Logiciel malveillant conçu pour infiltrer ou endommager un système informatique sans le consentement de son propriétaire. Les maliciels les plus courants sont les virus informatiques, les vers, les chevaux de Troie, les logiciels espions et les logiciels publicitaires.
• Menace interne : Une menace interne provient de quiconque a une connaissance de l’infrastructure et des renseignements de votre organisation ou y a accès, et qui les utilise, sciemment ou par inadvertance, pour causer des préjudices.
• Rançongiciel : Type de maliciel qui empêche tout utilisateur légitime d’accéder à ses fichiers jusqu’à ce que l’utilisateur verse une somme d’argent.
• Attaque par bourrage de justificatifs d’identité : Cyberattaque au cours de laquelle des justificatifs de compte sont utilisés pour obtenir un accès non autorisé à des comptes d’utilisateur par l’entremise de demandes de connexion automatisées à grande échelle dirigées contre une application Web.

Les cybercriminels ciblent des organisations de toutes tailles; toutefois, un grand nombre de petites et moyennes organisations croient que leurs données et leurs biens ont peu de valeur ou présentent peu d’intérêt pour les cybercriminels. Les cybercriminels ciblent les petites et moyennes organisations parce qu’elles :

• manquent de ressources adéquates en cybersécurité pour protéger leurs renseignements, ce qui en fait des cibles faciles à pirater;
• ne font peut-être pas de sauvegardes de leurs données, ce qui les rend vulnérables face aux menaces de rançon;
• stockent des données importantes, comme des renseignements personnels et financiers;
• constituent une porte d’entrée aux plus grandes organisations qui offrent des services et des fournitures à partir de ces organisations de plus petites tailles.

Selon l’Évaluation des cybermenaces nationales 2020, la cybercriminalité est l’activité de cybermenace la plus susceptible de toucher les organisations canadiennes^{Note de bas de page 1}. Si vous avez été ciblé et que vos systèmes ont fait l’objet d’une intrusion, votre organisation pourrait subir les conséquences suivantes :

• atteinte à la réputation;
• perte de productivité;
• perturbations des opérations;
• vol de propriété intellectuelle et de données;
• frais de récupération;
• possibilité d’amendes et d’honoraires d’avocat.

En suivant les conseils décrits dans la présente publication, vous serez en mesure de renforcer la posture de cybersécurité de votre organisation. Nous présenterons des pratiques exemplaires de base en matière de cybersécurité que les organisations peuvent mettre en œuvre, en commençant par la plus facilement accessible pour les petites organisations et allant jusqu’à une gamme complète de contrôles de cybersécurité et de pratiques exemplaires s’adressant aux organisations plus grandes. Quelle que soit la taille de votre organisation, ce document vous aidera à renforcer votre posture de cybersécurité et il vous fournira des conseils sur des technologies et des services de sécurité plus complets que vous pouvez obtenir auprès de FSSG. Nous démontrerons les façons dont le recours à un FSSG peut améliorer la posture de cybersécurité de votre organisation, ainsi que votre capacité à détecter et à atténuer un cyberincident, et à vous en remettre.

2 Déterminer la posture de cybersécurité

Mettre en œuvre des mesures d’atténuation pour améliorer la sécurité de l’infrastructure, des réseaux, des systèmes et des données peut sembler presque impossible, plus particulièrement si votre organisation ne possède pas l’expertise nécessaire en interne. Certaines organisations choisissent de confier la cybersécurité à des fournisseurs tiers; toutefois, cette option pourrait ne pas être accessible à tous. L’information présentée dans cette section vous aidera à évaluer la posture de cybersécurité de votre organisation en examinant les principales pratiques exemplaires en matière de cybersécurité.

La première étape pour comprendre les exigences liées à la cybersécurité de votre organisation est d’effectuer une évaluation des risques. Celle-ci permettra de déterminer toutes vulnérabilités et priorités en matière de sécurité connues ou potentielles au sein de l’infrastructure et des référentiels, notamment en ce qui concerne vos actifs informationnels les plus sensibles. L’évaluation des risques permet de définir la présence de menaces, la source potentielle de ces menaces ainsi que les incidents que pourraient entraîner ces vulnérabilités si elles étaient exploitées. L’évaluation permet également de cerner les répercussions de diverses menaces ou de divers incidents sur votre organisation, ainsi que la probabilité de chaque scénario possible.

Dans un deuxième temps, vous devez déterminer les exigences en matière de cybersécurité propres aux fonctions, aux rôles et aux responsabilités de l’organisation. Dans le cadre de ce processus, il est essentiel de comprendre la valeur de vos actifs informationnels. Par exemple, il est possible que votre organisation conserve de l’information sensible au sujet de clients et que celle-ci nécessite une protection supplémentaire. En tant que propriétaire d’entreprise, vous êtes légalement responsable, en vertu de la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE)^{Note de bas de page 2} ou de législations provinciales similaires, de protéger les renseignements personnels des clients et de signaler au Commissariat à la protection de la vie privée du Canada toutes atteintes à la vie privée ou à la protection des données qui posent un risque de préjudice à une personne. Protéger les renseignements exclusifs contre des cyberincidents est aussi important pour conserver votre avantage concurrentiel et assurer la continuité des activités. Votre organisation a la responsabilité de protéger la confidentialité, l’intégrité et la disponibilité de vos données et de vos actifs.

Le tableau 1 donne des exemples de questions préliminaires que les organisations de toutes tailles devraient aborder dans le cadre d’une évaluation des risques.

Tableau 1 : Questions sur l’évaluation des risques

2.1 Pratiques exemplaires de base en matière de cybersécurité

Des contrôles de sécurité de base et de bonnes pratiques de cybersécurité peuvent améliorer la résilience et la protection de l’organisation contre des cyberincidents. Ces contrôles ne font pas partie d’une approche universelle à l’égard de la cybersécurité. Ils sont des lignes directrices à utiliser pour créer le propre cadre de cybersécurité de votre organisation. Ces contrôles de sécurité de base visent à aider les petites et moyennes organisations, à savoir les organisations qui comptent moins de 500 employés, à protéger leurs actifs et leurs renseignements, ainsi qu’à améliorer la résilience par l’entremise d’investissements en cybersécurité. Les contrôles de sécurité de base ont été choisis en fonction de notre analyse des tendances des activités de cybermenace et de leur répercussion sur les réseaux connectés à Internet. Les organisations qui mettent en œuvre ces recommandations pourront mieux s’attaquer aux vulnérabilités et améliorer leur protection contre les cybermenaces.

De plus, les organisations doivent déterminer les éléments de leurs systèmes d’information et de leurs actifs dont elles doivent tenir compte pour les contrôles de base. Dans ce contexte, les systèmes d’information et les actifs font référence à tous les ordinateurs, serveurs, dispositifs réseau, appareils mobiles, systèmes d’information, applications, services, applications en nuage, etc. qu’utilise une organisation pour exercer ses activités. Nous recommandons fortement aux organisations de tenir compte de tous leurs systèmes d’information et actifs (qu’ils appartiennent à l’organisation, soient sous contrat ou utilisés d’une autre manière) dans le champ d’application pour les contrôles de base.

Vous devriez délimiter et adapter ces contrôles en fonction de l’évaluation des risques, des besoins opérationnels et des exigences de l’organisation. Bien que la meilleure approche soit pour les organisations de mettre en œuvre tous les contrôles de sécurité de base, cette approche n’est pas toujours possible. Les organisations qui ne disposent pas d’un soutien technique interne adéquat ou qui ne peuvent compter que sur des ressources limitées devraient commencer par les cinq contrôles suivants pour renforcer leur posture de cybersécurité et aider à minimiser le risque de cyberincidents :

1. Mettre en œuvre une authentification robuste des utilisateurs : Utilisez des politiques d’authentification qui assurent un équilibre entre la sécurité et l’utilisabilité. Il faut s’assurer que les dispositifs authentifient les utilisateurs avant qu’ils n’accèdent à vos systèmes. Dans la mesure du possible, utilisez l’authentification à deux facteurs (2FA pour Two-Factor Authentication) ou l’authentification multifacteur (MFA pour Multi-Factor Authentication).
2. Appliquer les correctifs aux systèmes d’exploitation et aux applications : Lorsque des problèmes ou des vulnérabilités sont repérés, les fournisseurs publient des correctifs pour corriger les bogues, résoudre les vulnérabilités et améliorer l’utilisabilité ou la performance. Dans la mesure du possible, activez l’application automatique de correctifs et de mises à jour pour tous les logiciels et tout le matériel afin de prévenir l’exposition à des vulnérabilités connues.
3. Faire des sauvegardes et chiffrer les données : Nous recommandons aux organisations de faire régulièrement des sauvegardes de toutes les applications et de tous les renseignements commerciaux essentiels vers au moins un emplacement sécurisé externe, comme le nuage ou un disque dur externe. Les sauvegardes de données sont un élément critique pour permettre d’assurer une reprise rapide non seulement après des incidents liés à la cybersécurité comme un rançongiciel ou un maliciel, mais aussi après des catastrophes naturelles, des pannes d’équipement ou des vols. Les sauvegardes peuvent se faire en ligne ou hors ligne, et elles peuvent également être réalisées en trois itérations différentes : complète, différentielle ou incrémentielle. Conservez les sauvegardes sous forme chiffrée et sécurisée afin de protéger la confidentialité des données. Les sauvegardes ne devraient être accessibles qu’aux personnes chargées de faire des tests et d’utiliser ces sauvegardes dans le cadre d’activités de restauration. Effectuez régulièrement des tests des sauvegardes pour vous assurer de pouvoir restaurer les données, le cas échéant.
4. Former les employés : Adaptez vos programmes de formation pour répondre aux protocoles, aux politiques et aux procédures de cybersécurité de l’organisation. Compter sur un personnel averti peut contribuer à réduire la possibilité que surviennent des cyberincidents.
5. Élaborer un plan d’intervention en cas d’incident : Lorsque vous disposez d’un plan, vous pouvez rapidement faire face aux incidents, restaurer les données et les systèmes essentiels, et limiter le plus possible les interruptions de services et la perte de données. Avant de mettre en œuvre votre plan, vous devez connaître les biens, les renseignements et les systèmes qui ont de la valeur pour votre organisation. Analysez le type d’incidents que vous pourriez rencontrer et déterminez les mesures d’intervention appropriées. Déterminez les personnes qui ont les qualifications requises pour faire partie de l’équipe d’intervention et la façon d’informer l’organisation de votre plan et des politiques et procédures connexes. Pour obtenir de plus amples renseignements sur la façon d’élaborer un plan d’intervention en cas d’incident, consultez la publication Élaborer un plan d’intervention en cas d’incident^{Note de bas de page 3}.

2.2 Pratiques exemplaires avancées en matière de cybersécurité

Les contrôles de sécurité présentés dans cette section s’appuient sur les cinq contrôles de base mentionnés à la section 2.1. Ces contrôles exigences des ressources supplémentaires. Un FSSG ou d’autres services de cybersécurité tiers peuvent se charger de la gestion de ces contrôles pour votre organisation.

1. Activer les logiciels de sécurité : Activez des coupe-feux et installez un antivirus, un anti-maliciel et un logiciel de détection et d’intervention sur les terminaux (EDR pour Endpoint Detection and Response) pour contrecarrer les attaques malveillantes et assurer une protection contre les maliciels. Assurez-vous de télécharger les logiciels auprès de fournisseurs reconnus. Installez un filtre de système d’adressage par domaines (DNS) sur vos appareils mobiles pour bloquer les sites Web malveillants et filtrer le contenu dangereux.
2. Sécuriser les sites Web : Protégez votre site Web et les renseignements sensibles qu’il recueille en chiffrant les données sensibles, en mettant à jour vos certificats au besoin, en utilisant des mots de passe ou des phrases passe robustes en arrière-plan et en utilisant le protocole HTTPS. Si vous avez externalisé votre site Web, assurez-vous que l’hôte a des mesures de sécurité en place qui correspondent à vos contrôles de sécurité, à vos politiques et à vos procédures internes.
3. Sécuriser les appareils mobiles : Choisissez un modèle de déploiement des appareils mobiles (p. ex. prenez vos appareils personnels, appareils fournis par l’entreprise) qui correspond à la posture de sécurité et aux politiques de l’organisation. Veillez à ce que les employés ne puissent utiliser que les applications approuvées par l’organisation et qu’ils ne puissent télécharger que des applications provenant de sources de confiance.
4. Mettre en œuvre le contrôle et l’autorisation de l’accès : Appliquez le principe du droit d’accès minimal. Ne donnez accès aux employés qu’aux fonctions et aux privilèges dont ils ont besoin pour leur travail pour ainsi éviter un accès non autorisé et des atteintes à la protection des données. Les employés ne devraient avoir accès qu’aux renseignements dont ils ont besoin pour exécuter leurs tâches. Chaque utilisateur doit détenir son propre ensemble de justificatifs de connexion, et les administrateurs doivent avoir des comptes d’administration distincts avec droits d’accès privilégiés connexes.
5. Établir un périmètre de défense de base : Protégez vos réseaux contre les cybermenaces en mettant en œuvre des périmètres de défense de base, comme l’utilisation d’un coupe-feu ou d’un réseau privé virtuel (RPV). Un coupe-feu peut être utilisé pour se protéger contre des intrusions extérieures en surveillant le trafic entrant et sortant, et en filtrant les sources malveillantes. Un RPV peut être utilisé lorsque les employés travaillent à distance pour sécuriser la connexion et protéger les renseignements sensibles.
6. Configurer les dispositifs pour assurer leur sécurité : Assurez-vous de passer en revue les paramètres par défaut des appareils et d’apporter toutes modifications nécessaires. Nous recommandons au moins de changer les mots de passe par défaut (plus particulièrement les mots de passe administratifs) et de désactiver les services de localisation ainsi que les fonctions inutiles.
7. Sécuriser les supports amovibles : Les supports amovibles, comme les clés USB, sont un moyen pratique et économique de stocker et de transférer des données, mais il est possible de les perdre ou de se les faire voler. Votre organisation devrait utiliser des dispositifs de stockage amovibles chiffrés, conserver un inventaire de tous les actifs et nettoyer correctement les dispositifs avant de les réutiliser ou de les mettre hors service.

Le dernier contrôle en est un que l’organisation doit bien comprendre et mettre en œuvre lors de l’externalisation d’une partie ou de la totalité de la cybersécurité.

8. Sécuriser les services infonuagiques et externalisés : Assurez-vous d’effectuer des recherches sur un fournisseur de services avant de conclure une entente avec celui-ci et de vous procurer ses produits ou services. Vos recherches doivent déterminer si le fournisseur de services a des mesures en place pouvant répondre à vos exigences en matière de sécurité pour soutenir les besoins de l’organisation. Lorsque vous travaillez avec un fournisseur de services infonuagiques (FSI), il est important de bien comprendre ses stratégies de gestion des données, notamment de savoir où se trouvent ses centres de données, car il existe différentes lois internationales en matière de protection de la vie privée et différentes exigences en matière de protection des données que vous ne connaissez peut-être pas.

Pour obtenir de plus amples renseignements sur ces contrôles de sécurité, veuillez consulter la publication Contrôles de cybersécurité de base pour les petites et moyennes organisations^{Note de bas de page 4}.

Outre ces contrôles de base, les organisations peuvent également engager des fournisseurs de services de sécurité gérés (FSSG) qui sauront leur offrir des avis et des conseils plus détaillés, ainsi que leur présenter des mesures de sécurité concrètes à mettre en œuvre pour améliorer la posture de cybersécurité de chaque organisation. La section 3 fournit des précisions sur les services qu’offrent ces fournisseurs et sur les facteurs que votre organisation doit prendre en compte avant de faire l’acquisition de leurs services.

3 Externaliser la cybersécurité

Choisir des solutions efficaces de sécurité et de gestion des risques pour protéger l’organisation contre des attaques et pour sécuriser ses données est essentiel pour assurer la posture de cybersécurité de l’organisation. Certaines organisations préfèrent sous-traiter à un tiers une partie ou la totalité de leurs obligations en matière de cybersécurité. Il s’agit d’une pratique courante pour les organisations de toutes les tailles.

De nombreux services professionnels de cybersécurité sont offerts. Ils devraient tous être en mesure d’élaborer un plan de cybersécurité efficace qui saura profiter à votre organisation. La mise en œuvre de votre plan sera avantageuse pour votre organisation de bien des façons, notamment :

• réduire le risque et l’incidence potentielle de cyberattaques;
• protéger les systèmes, réseaux et technologies contre toute exploitation;
• empêcher des tiers indésirables d’accéder à de l’information sensible;
• se protéger contre des interruptions de services;
• maintenir la productivité tout en réduisant les temps d’arrêt causés par des maliciels;
• permettre une meilleure continuité des activités.

3.1 Fournisseur d’accès Internet (FAI)

Le niveau de protection ainsi que le coût associé à la mise en œuvre et au maintien des contrôles de cybersécurité varient selon la nature et les exigences de l’organisation. Bien que le recours à des services externalisés puisse s’avérer avantageux, les coûts peuvent être jugés trop onéreux pour certaines organisations. Si l’embauche d’une entreprise de sécurité comme un FSSG n’est pas une option envisageable pour l’organisation, vous devriez consulter votre FAI pour voir s’il offre des services de cybersécurité. Par exemple, beaucoup de FAI fournissent à leurs clients des antivirus, des anti-maliciels et des coupe-feux comme service complémentaire moyennant des frais supplémentaires.

La liste suivante énumère certaines des questions à poser à un FAI lorsque vous désirez ajouter des services de sécurité complémentaires au réseau de votre organisation.

• Offrez-vous des systèmes de prévention d’intrusion?
• Pouvez-vous détecter des cyberintrusions à mesure qu’elles se forment et avant qu’elles n’atteignent leurs cibles?
• Offrez-vous la détection de maliciel?
• Pouvez-vous détecter et bloquer la mystification d’adresses IP?
• Envoyez-vous aux utilisateurs des notifications concernant des infections ou des intrusions (p. ex. un réseau de zombies)?

3.2 Consultant en sécurité des TI ou en cybersécurité

Il n’est pas toujours évident de comprendre clairement les besoins en matière de cybersécurité de votre organisation. Il est tout aussi compliqué d’établir les répercussions potentielles pour votre organisation si elle devenait victime d’un cyberincident. Un consultant en sécurité des TI ou en cybersécurité peut vous aider à déterminer les domaines de la sécurité qui exigent une attention particulière et à savoir comment vous devriez prioriser la mise en œuvre de vos contrôles de sécurité et de vos mesures de suivi.

Souvent, un client embauche un consultant en sécurité des TI ou en cybersécurité pour :

• effectuer une évaluation exhaustive des risques de l’organisation;
• tester les mesures de sécurité actuelles;
• évaluer les vulnérabilités liées aux logiciels, aux systèmes informatiques et aux réseaux;
• aider à concevoir et à mettre en œuvre un modèle robuste de cyberdéfense;
• fournir des recommandations et des conseils techniques;
• concevoir, bâtir et déployer des solutions de cybersécurité.

Discuter de la posture de cybersécurité de l’organisation et déterminer les mesures nécessaires pour assurer la sécurité des réseaux, des systèmes et des données vous aidera à juger de la pertinence du recours aux services d’un FSSG. Beaucoup de FSSG réaliseront également une évaluation préliminaire de votre posture de cybersécurité pour vous aider à choisir le type et le niveau de service qui conviennent le mieux à vos besoins en matière de sécurité.

3.3 Fournisseur de services infonuagiques (FSI)

Un grand nombre d’organisations migrent leur infrastructure informatique, leur stockage, leurs applications, leurs bases de données et leurs données vers le nuage. Ce choix s’explique en partie parce qu’elles manquent de ressources informatiques à temps ou parce que l’infonuagique peut aider à réduire les coûts liés à la sécurité et aux services TI. L’infonuagique peut également réduire le coût des ressources TI internes, de l’équipement, des serveurs, du stockage et de la maintenance. Beaucoup d’organisations demandent l’aide de fournisseurs de services infonuagiques, car ceux-ci peuvent offrir des environnements informatiques sur demande et évolutifs, et une plus large gamme de capacités.

Bien que les services infonuagiques soient pratiques et économiques, ils ne garantissent pas automatiquement la protection des actifs de votre organisation dans le nuage ou qui sont gérés par un FSI. En ayant recours à un FSI, vous abandonnez le contrôle direct de plusieurs aspects de la sécurité et de la vie privée, et ce faisant, vous accordez un niveau de confiance au FSI. Malgré les services infonuagiques, votre organisation demeure responsable de la protection de la confidentialité, de l’intégrité et de la disponibilité des services TI et des renseignements hébergés par le FSI. Afin de bien tirer parti de l’infonuagique, votre organisation se doit de déterminer toutes les exigences opérationnelles et de sécurité, et elle doit s’assurer que les risques liés à la sécurité sont gérés adéquatement, que les facteurs liés à la sécurité propres à l’infonuagique sont pris en compte et que les contrôles de sécurité des services dans le nuage sont correctement évalués avant que leur utilisation soit autorisée.

En règle générale, les FSI offrent aux clients trois modèles différents de services parmi lesquels ils doivent choisir :

• Infrastructure à la demande (IaaS pour Infrastructure as a Service) : Avec un modèle de service IaaS, le consommateur profite d’une disposition lui offrant le traitement, le stockage, les réseaux et d’autres ressources informatiques fondamentales lui permettant de déployer et d’exécuter les logiciels de son choix, ce qui comprend des systèmes d’exploitation et des applications.
• Plateforme à la demande (PaaS pour Platform as a Service) : Dans un modèle de service de type PaaS, le consommateur a la capacité de déployer dans son infrastructure infonuagique des applications qu’il a créées ou acquises au moyen d’outils de programmation, de bibliothèques, de services et d’autres outils pris en charge par le fournisseur.
• Logiciel à la demande (SaaS pour Software as a Service) : Dans le cadre du modèle SaaS, le service offert au consommateur lui permet d’utiliser les applications du fournisseur qui sont exécutées dans une infrastructure infonuagique. Il est possible d’accéder aux applications à partir de divers dispositifs clients au moyen d’une interface client léger comme un navigateur Web (p. ex. un courriel accessible sur le Web) ou une interface de programme (p. ex. une application locale).

Afin de permettre l’adoption de l’infonuagique, le gouvernement du Canada (GC) a élaboré une approche intégrée de gestion des risques pour établir des services fondés sur l’infonuagique. Cette approche est définie dans la publication Gestion des risques liés à la sécurité infonuagique (ITSM.50.062)^{Note de bas de page 5}. La publication traite de cette approche qui peut être appliquée à tous les services fondés sur l’infonuagique, quels que soient le modèle de déploiement infonuagique et le modèle de services infonuagiques.

Il est à noter qu’il existe des différences entre les services infonuagiques et les services gérés. La principale différence est axée sur qui a le contrôle des données et des processus. Avec les services gérés, le consommateur (p. ex. votre organisation) impose la technologie et les procédures d’exploitation. Toutefois, avec des services infonuagiques, le fournisseur de services dicte à la fois la technologie et les procédures opérationnelles offertes au consommateur, en l’occurrence, votre organisation.

3.4 Fournisseur de services de sécurité gérés (FSSG)

Les auteurs de cybermenace continuent d’améliorer leurs tactiques, et ils sont parfois capables de contourner les mesures de sécurité les plus sophistiquées. Les environnements dans lesquels évoluent les organisations font face à des risques accrus et plus complexes; et même lorsqu’elles peuvent compter sur des professionnels compétents au sein de leur personnel, les organisations risquent quand même d’être victimes de cyberattaques. Plus que jamais, les organisations de toutes les tailles sous-traitent à des FSSG une partie ou la totalité de leur cybersécurité.

Un FSSG est une firme spécialisée dans la technologie qui offre des services de cybersécurité à des entreprises et à des organisations. Les FSSG peuvent héberger des services de sécurité, déployer des logiciels et du matériel de cybersécurité, et gérer votre infrastructure de sécurité en plus d’offrir des services de sécurité de l’information (SI). Leurs services comprennent une surveillance et une gestion externalisées des dispositifs et des systèmes de sécurité, et dans certains cas, ils prennent des mesures d’atténuation sur les systèmes TI pour aider à combattre et à prévenir les compromissions.

De nombreuses raisons expliquent pourquoi les organisations choisissent de collaborer avec un FSSG. Certaines organisations peuvent ne pas avoir suffisamment de ressources internes ou de compétences dans certains domaines de la sécurité. Elles peuvent aussi avoir besoin de surveillance et de gestion de la sécurité en dehors des heures opérationnelles normales. D’autres organisations cherchent plutôt à embaucher un FSSG pour effectuer des contrôles de sécurité ou intervenir en cas d’incidents et enquêter sur ceux-ci.

Parmi les raisons évoquées pour l’embauche d’un FSSG, notons les suivantes :

• augmenter la sécurité;
• miser sur la sécurité interne pour aider à combler certaines lacunes;
• mettre en œuvre ou intégrer des technologies et des solutions de sécurité de tiers qui ont été adaptées à l’infrastructure et à l’architecture des TI;
• accroître la visibilité des menaces tout en accélérant les interventions en matière de sécurité.

Les services que peut offrir un FSSG comprennent :

• la gestion des coupe-feux, des systèmes de détection des intrusions (SDI), des technologies de défense contre les menaces et des RPV;
• l’administration des outils de gestion des informations et des événements de sécurité (GIES);
• la surveillance continue de dispositifs et de systèmes;
• les services gérés de détection et d’intervention (MDR pour Managed Detection and Response) comprennent la surveillance, la détection, l’alerte et la gestion de l’intervention en cas d’attaque visant les systèmes;
• la supervision de la gestion des correctifs et des mises à niveau de l’équipement et des logiciels de sécurité;
• la réalisation d’évaluations de sécurité et de contrôles de sécurité;
• la réalisation de tests de vulnérabilité et de balayages de menace pour formuler des recommandations et des conseils concernant des solutions de cybersécurité;
• la sensibilisation à la sécurité;
• l’opérationnalisation des renseignements sur les menaces.

Il est à noter qu’il existe des différences entre un fournisseur de services gérés (FSG) et un FSSG. Un FSG offre un service d’administration des technologies de l’information (TI), tandis qu’un FSSG s’occupe de la cybersécurité. Toutefois, certains FSG offrent des services de sécurité des terminaux, de sécurité réseau et de sécurité infonuagique. Si vous avez un contrat avec un FSG, vérifiez les services de sécurité qu’il offre. Une comparaison plus approfondie est offerte dans la prochaine section.

3.4.1 Différences entre un FSSG et un FSG

Un FSSG met en place au moins un centre des opérations de sécurité (COS) chargé de surveiller et de protéger la sécurité de l’infrastructure d’un client (p. ex. réseaux, applications, bases de données, serveurs). Un FSG peut avoir son propre centre d’exploitation de réseau (NOC pour Network Operation Center) pour veiller à ce que les opérations TI du client se déroulent bien. Il s’occupe de tous les aspects relatifs aux TI d’une organisation par abonnement, mais il pourrait ne pas fournir de surveillance liée à la sécurité dans le cadre de ce service.

Le tableau 2 met en évidence les principales différences entre un FSG et un FSSG.

Tableau 2 : Différences entre un FSSG et un FSG

L’objectif prioritaire d’un FSG est l’administration des TI, alors qu’un FSSG se concentre principalement sur le soutien en matière de cybersécurité. Choisir un FSSG est une décision complexe pour une organisation, et elle nécessite une recherche et une analyse approfondies. La section suivante dresse une liste des critères à prendre en compte dans le cadre des échanges avec un FSSG.

3.4.2 Critères à prendre en compte

Après avoir pris la décision d’externaliser certaines fonctions de sécurité, vous devez bien comprendre les objectifs que votre organisation cherche à réaliser. Vos objectifs en matière de sécurité doivent être définis avant de prendre une décision. Les FSSG n’offrent pas tous les mêmes gammes de services ou de capacités; voilà pourquoi vous devez choisir un fournisseur qui répond aux exigences de sécurité de votre organisation.

Lors de l’évaluation de FSSG potentiels, tenez compte des critères énumérés au tableau 3. Ces critères vous aideront à choisir un fournisseur qui possède les capacités adéquates pour assurer la protection de vos biens et de vos données.

Tableau 3 : Liste des critères d’évaluation d’un FSSG

3.4.3 Avantages et désavantages d’attribuer un contrat à un FSSG

Parmi les avantages à collaborer avec un FSSG, notons :

• l’amélioration des compétences et de la couverture de votre équipe de sécurité existante;
• la réduction des coûts liés à l’embauche en interne de spécialistes qualifiés de la sécurité des TI, à la mise à jour des technologies et à la mise en œuvre d’équipements de détection de maliciel et de nouveaux programmes;
• l’accès à des experts en sécurité informatique accrédités et qualifiés, et à leurs recherches et renseignements sur les menaces;
• l’accès à des technologies de pointe;
• l’atténuation des menaces et des vulnérabilités en utilisant des processus hautement efficaces et une automatisation du flux de travail pour améliorer considérablement les délais de remise en état liés aux problèmes de sécurité;
• l’accès à des COS en tout temps.

Il faut également tenir compte de certains inconvénients :

• Lorsque vous décidez de collaborer avec un FSSG pour protéger vos données de gestion, vous confiez votre sécurité à des étrangers, alors que vous êtes responsable des risques encourus.
• Les FSSG sont des cibles intéressantes pour des cyberattaques, car les répercussions d’une effraction à l’égard d’un fournisseur de services peuvent entraîner une atteinte à la protection des renseignements personnels de nombreux clients en même temps. Il est important de comprendre comment vos réseaux et données, qui sont pris en charge par le fournisseur, sont protégés contre une possible compromission du fournisseur de services.
• Contrairement à une équipe TI interne, un FSSG peut ne pas toujours être au courant des nouveaux services et des modifications apportées par l’organisation.

L’atténuation des risques associés à l’utilisation de services de sécurité contractuels est une responsabilité partagée par l’organisation et le FSSG. Toutefois, votre organisation est responsable sur le plan juridique de protéger ses données, y compris les renseignements personnels, et elle doit défendre ses réseaux et ses systèmes d’information. Si votre organisation choisit d’externaliser sa cybersécurité, il est important de maintenir un dialogue ouvert avec le FSSG et de comprendre les mesures qu’il prend pour assurer la sécurité de ses activités et services. Il est également important d’avoir des communications constantes avec le FSSG afin de s’assurer que les stratégies de sécurité font l’objet d’examens et de mises à jour en fonction de vos priorités et systèmes en constante évolution.

3.5 Catégories de services de sécurité gérés

Que vous cherchiez à externaliser certains des services de cybersécurité de l’organisation ou la totalité de ceux-ci, une consultation avec un FSSG de confiance peut offrir une perspective impartiale vous permettant d’harmoniser les objectifs de l’organisation pour obtenir les meilleures solutions possibles.

Les FSSG offrent généralement des conseils adaptés sur place à leurs clients pour les tâches suivantes :

• évaluer les risques;
• déterminer les principales exigences en matière de sécurité opérationnelle;
• élaborer des politiques et des processus de sécurité;
• intégrer des technologies de sécurité;
• fournir un soutien sur place à l’atténuation après une intrusion, comme l’intervention d’urgence en cas d’incident et l’analyse judiciaire.

3.5.1 Technologies de services de sécurité gérés

Les services TI les plus courants offerts par un FSSG comprennent le déploiement, la gestion et la configuration de ce qui suit :

• systèmes de détection et de prévention des intrusions (SDPI);
• détection et intervention sur les terminaux (EDR);
• filtrage du contenu Web et du trafic;
• gestion des informations et des événements de sécurité (GIES);
• détection et intervention étendues (XDR pour Extended Detection and Response);
• gestion de l’identité et de l’accès (GIA);
• gestion des accès privilégiés;
• analyse et évaluation des vulnérabilités;
• gestion des correctifs;
• antivirus, antipollupostage et anti-maliciel;
• coupe-feux;
• RPV;
• prévention de la perte de données (PPD);
• renseignements sur les menaces;
• surveillance des dispositifs et des systèmes.

3.5.2 Protection des données et surveillance de la sécurité

Les FSSG offrent des services pour protéger les données, s’assurent que les dispositifs et les systèmes fonctionnent comme prévu, et identifient des menaces existantes ou imminentes. Ces services comprennent, entre autres, les suivants :

• Anti-maliciel : Aider à identifier et à traiter le code malveillant dans les systèmes, l’infrastructure et les applications des clients.
• Sauvegardes et reprise après catastrophe : Protéger les données des clients contre le risque de perte due à des atteintes à la sécurité et à d’autres perturbations. Elles permettent d’avoir une copie des données à restaurer en cas de compromission des systèmes.
• Criminalistique numérique : Enquêter sur les incidents liés à la sécurité afin de déterminer ce qui s’est passé et d’empêcher qu’ils se reproduisent.
• Liste d’applications autorisées et PPD : Distinguer les ressources connues pour être sécuritaires de celles potentiellement malveillantes.
• Sécurité des courriels : Atténuer le risque d’hameçonnage et d’autres types d’attaques par courriel.

Les FSSG offrent une surveillance et une interprétation quotidiennes des événements système importants dans le réseau, ce qui comprend les comportements non autorisés, les piratages malveillants, les attaques par déni de service (DoS), les anomalies et l’analyse des tendances.

3.5.3 Évaluation et gestion des risques et des vulnérabilités

Un FSSG peut aider votre organisation à identifier les vulnérabilités connues que les cybercriminels peuvent exploiter pour avoir accès aux applications, aux systèmes et aux données, à établir la priorité de ces vulnérabilités et à y remédier. Les services de gestion des vulnérabilités comprennent les évaluations des vulnérabilités des réseaux, des systèmes et des applications du client (les mesures correctives sont la responsabilité du client), ainsi que la gestion complète des vulnérabilités (y compris la détection et la correction par l’application automatisée de correctifs et la reconfiguration système).

Les FSSG fournissent les types de services en matière de découverte des risques et d’intervention suivants :

• Analyse et correction des vulnérabilités : Aider à identifier les vulnérabilités connues dans des applications pour les résoudre.
• Tests de pénétration : Simuler des attaques que les cybercriminels pourraient mener en vue d’évaluer dans quelle mesure l’infrastructure d’un client peut résister aux attaques.
• Évaluation et contrôles de sécurité : Cerner les mauvaises configurations pouvant mener à des failles de sécurité, ainsi que des occasions de rendre les stratégies de sécurité encore plus rigoureuses.
• Détection d’intrusion : Surveiller les intrusions et les tentatives d’intrusion et intervenir lorsqu’elles se produisent.
• Chasse aux cybermenaces : Identifier et se débarrasser des menaces dans son environnement de façon proactive à l’aide de la criminalistique informatique, de renseignements sur les menaces et de l’analyse des maliciels.

Les offres de gestion des risques peuvent comprendre la surveillance, la gestion des règles de routage du trafic du coupe feu et la production de rapports fréquents de trafic et de gestion pour les clients. La gestion de la détection d’intrusion, au niveau du réseau ou au niveau de l’hôte, comporte non seulement l’envoi aux clients d’alertes d’intrusion, mais aussi la connaissance des nouveaux moyens de défense contre les intrusions et la production fréquente de rapports sur les tentatives d’intrusion et les activités connexes. Des services de filtrage de contenu peuvent être fournis par filtrage de courriels et par d’autres types de filtrage de trafic des données.

3.5.4 Surveillance et gestion de la conformité

Si vous êtes tenu de prouver que l’état de la sécurité de votre organisation est conforme à la réglementation du gouvernement et du secteur, vous pouvez demander au FSSG d’évaluer, de vérifier et de documenter le respect de l’organisation à l’égard de mandats de conformité précis.

En outre, le contrôle de la conformité peut inclure le contrôle des journaux d’événements pour détecter les changements, que l’on appelle parfois la « gestion des changements  ». Ce service permet de relever les modifications apportées à un système qui contreviennent à une politique de sécurité officielle. En bref, il mesure la conformité à l’égard d’un modèle de risque technique.

4 Résumé

Dans la présente publication, nous offrons aux organisations de toutes les tailles des solutions de cybersécurité pouvant aider à améliorer et à renforcer leur posture de cybersécurité et à améliorer leur résilience face aux cybermenaces. Nous présentons les pratiques exemplaires et les contrôles en matière de cybersécurité que toutes les organisations, quelle que soit leur taille, devraient mettre en œuvre. Les organisations doivent déterminer si elles ont les ressources et les connaissances techniques internes nécessaires pour fournir une protection adéquate contre les cybermenaces ou si elles devront confier à un tiers, comme un FSSG, une partie ou la totalité de leurs besoins en matière de cybersécurité. L’objectif global est de créer et de maintenir une solide posture de cybersécurité en établissant une solution dynamique de cybersécurité.

5 Contenu complémentaire

5.1 Liste des acronymes, des abréviations et des sigles

2FA

Authentification à deux facteurs

RPV

Réseaux privés virtuels

XDR

Détection et intervention étendues (Extended Detection and Response)

ANS

Accord sur les niveaux de service

ONS

Objectif de niveau de service

COS

Centre des opérations de sécurité

CIS

Center for Internet Security

PPD

Prévention de la perte de données

DNS

Système d’adressage par domaines (Domain Name System)

DoS

Déni de service (Denial of Service)

EDR

Détection et intervention sur les terminaux (Endpoint Detection and Response)

GIA

Gestion de l’identité et de l’accès

IaaS

Infrastructure à la demande (Infrastructure as a Service)

SDPI

Systèmes de détection et de prévention des intrusions

SDI

Systèmes de détection des intrusions

FSG

Fournisseur de services gérés

FSSG

Fournisseur de services de sécurité gérés

GIES

Gestion des informations et des événements de sécurité

LPRPDE

Loi sur la protection des renseignements personnels et les documents électroniques

PaaS

Plateforme à la demande (Platform as a Service)

SaaS

Logiciel à la demande (Software as a Service)

MDR

Services gérés de détection et d’intervention (Managed Detection and Response)

MFA

Authentification multifacteur (Multifactor Authentication)

NIST

National Institute of Standards and Technology (États-Unis)

COR

Centre des opérations de réseau

PII

Plan d’intervention en cas d’incident

FAI

Fournisseur d’accès Internet

SI

Sécurité de l’information

ISO

Organisation internationale de normalisation (International Organization for Standardization)

TI

Technologies de l’information

5.2 Glossaire

Application de correctifs

Acte d’appliquer des mises à jour aux logiciels et aux micrologiciels.

Atteinte à la protection des données

Incident de cybersécurité dans lequel une personne prend des renseignements sensibles sans l’autorisation du propriétaire.

Atteinte à la vie privée

Incident qui implique la collecte, l’utilisation ou la divulgation non autorisée de renseignements personnels. Une telle pratique est « non autorisée » si elle contrevient à la Loi sur la protection des renseignements personnels. Une atteinte peut découler d’erreurs accidentelles ou d’interventions malveillantes de la part d’employés, d’agents, d’entrepreneurs, de tiers, de partenaires ayant une entente de communication d’information en place ou d’intrus.

Cheval de Troie

Programme malveillant déguisé en logiciel légitime ou qui y est intégré.

Chiffrement

Procédure par laquelle une information est convertie d’une forme à une autre afin d’en dissimuler le contenu et d’en interdire l’accès aux entités non autorisées.

Confidentialité

Caractéristique de l’information sensible protégée contre tout accès non autorisé.

Contrôle d’accès basé sur les rôles

Ensemble d’autorisations d’accès que reçoit un utilisateur en fonction d’une hypothèse explicite ou implicite d’un rôle donné. Les autorisations de rôles peuvent être héritées au moyen d’une hiérarchie de rôles et reflètent en général les autorisations nécessaires pour exécuter des fonctions définies au sein de l’organisation. Un rôle donné peut s’appliquer à une seule ou à plusieurs personnes.

Contrôle de la sécurité

Exigence technique, opérationnelle ou gestionnelle de haut niveau relative à la sécurité, qu’il convient d’appliquer à un système d’information afin de protéger la confidentialité, l’intégrité et la disponibilité des actifs TI connexes. Ces contrôles peuvent être appliqués au moyen de diverses solutions de sécurité, notamment des produits, des politiques, des pratiques et des procédures de sécurité.

Contrôles de sécurité de base

Mécanismes de protection qui sont définis dans les instruments de politique du Secrétariat du Conseil du Trésor du Canada (SCT) et qui constituent la norme minimale que les ministères doivent appliquer à leurs fonctions de sécurité des TI et à leurs systèmes d’information.

Coupe-feu

Barrière de sécurité placée entre deux réseaux qui contrôle le volume et les types de trafic autorisés à passer d’un réseau à l’autre.

Cybercrime

Crime perpétré au moyen d’ordinateurs ou de réseaux informatiques.

Disponibilité

Caractéristique de l’information ou des systèmes qui sont accessibles aux personnes autorisées au moment où celles-ci en ont besoin. La disponibilité est un attribut des actifs informationnels, des logiciels et du matériel informatique (l’infrastructure et ses composantes). Il est également entendu que la disponibilité comprend la protection des actifs contre les accès non autorisés et les compromissions.

Droit d’accès minimal

Principe selon lequel il convient de n’accorder aux utilisateurs que les autorisations d’accès dont ils ont besoin pour accomplir les tâches qui leur ont été dûment attribuées. Ce principe permet de limiter les dommages pouvant résulter d’une utilisation accidentelle, incorrecte ou non autorisée d’un système d’information.

Évaluation des risques

Processus d’identification, d’analyse et de priorisation des risques liés aux opérations de l’organisation. Ce processus aide à déterminer les contrôles de cybersécurité nécessaires en fonction du niveau de risque de l’organisation.

Information sensible

Information qui doit être protégée contre toute divulgation non autorisée.

Intégrité

Aptitude à protéger l’information contre les modifications ou les suppressions non intentionnelles ou inopportunes. L’intégrité permet de savoir si l’information est conforme à ce qu’elle est censée être. Elle s’applique également aux processus opérationnels, à la logique des applications logicielles, au matériel et au personnel.

Logiciel espion

Logiciel indésirable qui s’installe dans un dispositif informatique dans le but de voler des données relatives à l’utilisation d’Internet et de l’information sensible.

Logiciel publicitaire

Logiciel soutenu par la publicité qui affiche à l’écran d’un utilisateur des publicités non sollicitées.

Menace

Événement ou acte délibéré, accidentel ou naturel pouvant éventuellement porter préjudice à l’information et aux actifs TI.

Préjudice

Dommages que subissent les organisations à la suite d’une compromission de leurs systèmes d’information et de leurs actifs TI.

Propriété intellectuelle

Droits légaux qui découlent de l’activité intellectuelle dans les domaines industriel, scientifique, littéraire et artistique. Des exemples incluent les droits d’auteur, les marques de commerce et les brevets.

Rançongiciel

Type de maliciel qui empêche un utilisateur légitime d’accéder à des ressources (système ou données) jusqu’à ce qu’il ait payé une rançon.

Renseignements personnels

Renseignements concernant une personne identifiable, quelle que soit leur forme, au sens de l’article 3 de la Loi sur la protection des renseignements personnels.

Réseau de zombies

Plusieurs dispositifs connectés à Internet et infectés par un maliciel contrôlés par des utilisateurs malveillants.

Réseau privé virtuel

Réseau de communication privé généralement utilisé au sein d’une organisation ou entre plusieurs entreprises ou organisations diverses pour communiquer sur un réseau élargi. Les communications sur le RPV sont habituellement chiffrées ou codées pour protéger le trafic provenant des autres utilisateurs, qui est transmis sur le réseau public ayant recours au RPV.

Virus

Programme informatique qui se propage en se reproduisant à plusieurs reprises. Les virus informatiques se propagent d’un ordinateur à l’autre, souvent à l’insu de l’utilisateur, et causent des dommages de toutes sortes. Ils peuvent faire afficher des messages irritants, voler des données ou même permettre à d’autres utilisateurs de prendre le contrôle de l’ordinateur infecté.

Vulnérabilité

Défectuosité ou lacune inhérente à la conception ou à la mise en œuvre d’un système d’information ou à son environnement, qui pourrait être exploitée par un auteur de menace en vue de compromettre les actifs ou les activités d’une organisation.