Sélection des contrôles de sécurité et analyse des écarts

Les contrôles préventifs bloquent les menaces avant leur réussite (pare-feu, contrôle d’accès, chiffrement). Les contrôles détectifs identifient les menaces qui se sont produites (IDS, journalisation, audits). Les contrôles correctifs réduisent l’impact après un incident (sauvegardes, plans IR, correctifs). Une défense en profondeur à plusieurs niveaux nécessite les trois types.

Les contrôles couvrent plusieurs dimensions : physique (serrures, caméras), technique (pare-feu, MFA) et administrative (politiques, formation). Pour un risque donné, sélectionnez des contrôles complémentaires dans plusieurs catégories : un contrôle technique soutenu par une politique administrative et une sécurité physique crée une véritable défense en profondeur.

Sélectionnez des contrôles proportionnés au risque. Calculez le risque résiduel : risque inhérent diminué de l’efficacité des contrôles. Les risques à forte vraisemblance et à fort impact justifient des contrôles coûteux. Les risques à faible vraisemblance et à faible impact peuvent être acceptés sans contrôles. Documentez la justification du traitement des risques.

La révision 5 de NIST 800-53 contient plus de 1 000 contrôles organisés en 20 familles (AC, AU, CA, CM, etc.). Les agences fédérales et les sous-traitants doivent mettre en œuvre les niveaux de référence spécifiés (Faible/Modéré/Élevé). Ce catalogue est la référence la plus complète disponible pour les contrôles techniques.

L’analyse des écarts compare l’état actuel de votre sécurité à la référence cible d’un cadre. Étapes : (1) documenter les contrôles actuellement mis en œuvre, (2) les faire correspondre aux contrôles du cadre, (3) identifier les contrôles non mis en œuvre ou partiellement mis en œuvre, (4) hiérarchiser les écarts selon le risque, (5) créer une feuille de route de remédiation.

Lorsqu’un contrôle idéal n’est pas réalisable (coût, contraintes opérationnelles, systèmes anciens), mettez en œuvre des contrôles compensatoires qui réduisent le risque de manière équivalente par d’autres moyens. Documentez la justification du contrôle compensatoire à l’intention des auditeurs et pour l’acceptation du risque.

Les contrôles doivent être vérifiés, et non considérés comme efficaces par défaut. Vérifiez les contrôles préventifs en tentant l’action bloquée. Vérifiez les contrôles détectifs en simulant l’événement et en confirmant sa détection. Vérifiez les contrôles correctifs en réalisant des exercices sur table et des exercices de reprise.

Les contrôles de sécurité critiques du CIS (18 contrôles) sont des mesures de protection concrètes et hiérarchisées. Les groupes de mise en œuvre (IG1/IG2/IG3) vont de l’hygiène de base pour les petites organisations à des contrôles sophistiqués pour les grandes entreprises. IG1 fournit les protections de base ayant le plus fort impact pour assurer un niveau minimal de sécurité viable.

Les résultats de l’analyse des écarts deviennent une feuille de route de maturité : hiérarchisez les mesures selon la réduction du risque par euro investi, regroupez les contrôles en cycles trimestriels, suivez les progrès par rapport aux jalons de maturité et présentez l’avancement aux parties prenantes de la direction en termes de risques métier plutôt qu’en jargon technique.

La gestion des risques liés aux tiers exige d’évaluer les contrôles de votre chaîne d’approvisionnement. Les questionnaires de sécurité, les rapports SOC 2, les certificats ISO 27001 et les synthèses d’essais d’intrusion fournissent des preuves de l’efficacité des contrôles des fournisseurs. Des fournisseurs à haut risque peuvent nécessiter des évaluations sur site.

Les contrôles se dégradent avec le temps : les niveaux de correctifs diminuent, les configurations dérivent et les droits d’accès s’accumulent. La surveillance continue des contrôles au moyen d’outils automatisés de conformité (AWS Config, Azure Policy, SCC) maintient un état des contrôles en temps réel plutôt qu’un instantané ponctuel issu des audits annuels.

Quelle est la différence entre les contrôles de sécurité préventifs et les contrôles de détection ?

La sélection des contrôles associe les risques identifiés aux contrôles préventifs, de détection et correctifs appropriés dans les catégories physique, technique et administrative. L’analyse des écarts repère les contrôles manquants par rapport aux référentiels de référence, et une feuille de route hiérarchisée selon les risques pilote une amélioration systématique vers une maturité de sécurité mesurable.