Pourquoi la maturité en cybersécurité est importante dans la sécurité physique

Être spécialiste des tests d’intrusion chez Genetec, c’est se mettre dans la peau d’un attaquant. Ce point de vue souligne une vérité simple : la sécurité physique et la cybersécurité sont les deux faces d’une même médaille. Pour un attaquant, une faiblesse dans l’une peut constituer une porte d’entrée dans l’autre.

Les attaquants cherchent le moyen le plus facile de parvenir à leurs fins, souvent en combinant des techniques d’attaque physiques et informatiques. Ils peuvent, par exemple, s’introduire dans des locaux en emboîtant le pas à une personne autorisée pour connecter un appareil non autorisé au réseau de l’entreprise, ou exploiter une faille sur une caméra qui n’a pas reçu les correctifs de sécurité nécessaires pour s’implanter dans le réseau et créer un angle mort propice à d’autres activités malveillantes.

En cas de violation, les conséquences peuvent entraîner des interruptions opérationnelles, des fuites de données et des atteintes à la réputation. C’est pourquoi la maturité en cybersécurité compte dans l’évaluation des technologies de sécurité physique.

Plus votre fournisseur fait preuve de rigueur pour anticiper, identifier et contenir les risques dans la durée, mieux votre organisation sera protégée et préparée lorsque des vulnérabilités apparaîtront.

TRUST CENTER

À quoi ressemble la maturité en cybersécurité dans la sécurité physique ?

Les plateformes de sécurité physique modernes fonctionnent comme des systèmes informatiques d’entreprise. Elles connectent des appareils, stockent des données sensibles, s’intègrent à des services cloud, sont présentes sur les réseaux d’entreprise et aident à prendre des décisions cruciales.

Même si vos équipes chargées de la sécurité physique ou des installations ne pensent pas nécessairement en termes de « maturité en cybersécurité », elles cherchent à sécuriser les bâtiments, à protéger les données des titulaires de carte, à protéger les éléments de preuve sensibles et à travailler avec un fournisseur de confiance.

Lors de mes évaluations de sécurité, j’ai constaté que de nombreuses organisations perçoivent encore les dispositifs de sécurité physique différemment des actifs informatiques classiques.

Pourtant, les caméras, contrôleurs d’accès, interphones et serveurs modernes sont tous des systèmes connectés qui échangent des données sur les réseaux d’entreprise. Du point de vue d’un attaquant, un dispositif de sécurité physique ne se distingue guère de n’importe quel autre équipement connecté au réseau.

Comme les technologies évoluent sans cesse, la maturité en cybersécurité n’est ni un objectif définitivement atteint ni une liste de cases à cocher. C’est une démarche permanente qui consiste à anticiper l’imprévu et à se préparer à y faire face. Après tout, de nouvelles vulnérabilités apparaissent et les méthodes d’attaque évoluent. La question n’est pas seulement de savoir si un produit de sécurité physique fonctionne aujourd’hui, mais aussi si son fournisseur continue de remettre en question ses hypothèses et d’examiner avec rigueur comment ce produit pourrait être mis en défaut demain.

BLOG

Pourquoi les certifications ne disent pas toujours tout

Lorsque vous évaluez des fournisseurs de solutions de sécurité physique, votre premier réflexe est peut-être de consulter leurs certifications.

Les référentiels tels que ISO 27001, SOC 2 Type 2, UL 2900-2-3 et CAPSS offrent une garantie appréciable : les contrôles et processus de sécurité du fournisseur ont fait l’objet d’une évaluation indépendante. Ils établissent un niveau de référence important et contribuent à montrer que le fournisseur assume ses responsabilités.

Mais une certification ne suffit pas, à elle seule, à rendre compte de la maturité en cybersécurité. Deux fournisseurs peuvent détenir la même certification tout en ayant des approches très différentes de la cybersécurité.

Une certification peut attester qu’un fournisseur satisfait aux critères d’une norme reconnue, mais elle ne permet pas de savoir :

• Dans quelle mesure les pratiques de cybersécurité sont ancrées dans le fonctionnement de l’entreprise
• Avec quelle constance la cybersécurité reste une priorité tout au long du cycle de vie du produit
• Comment l’organisation réagit lorsque ses contrôles sont mis à l’épreuve ou que de nouvelles vulnérabilités apparaissent
• Quelles équipes et ressources elle mobilise pour tester et renforcer continuellement ses défenses

C’est là que la maturité en cybersécurité prend toute son importance. Il ne suffit pas de prévoir les bons contrôles sur le papier : encore faut-il que le fournisseur les applique au quotidien. Cet engagement se manifeste dans les choix d’architecture, les stratégies de développement, les tests, la formation, la gestion des vulnérabilités et l’amélioration continue.

Les certifications constituent un point de départ important, mais les acheteurs doivent aller plus loin et se demander : sur quelles compétences, quels programmes et quelle culture de la sécurité reposent-elles ? Comment la cybersécurité est-elle mise en pratique, pilotée et renforcée en continu dans l’ensemble de l’organisation ?

Certifications

Comment reconnaître un fournisseur mature en cybersécurité

  Il intègre la cybersécurité au produit dès sa conception

Une idée reçue très répandue dans le secteur de la sécurité physique veut que la cybersécurité puisse être ajoutée après coup. En réalité, les décisions de sécurité les plus importantes se prennent avant même l’écriture de la première ligne de code. C’est le principe de la sécurité dès la conception : prendre en compte les principes de cybersécurité dès le départ et intégrer plusieurs couches de défense à l’architecture et à la conception du produit. La cybersécurité doit faire partie des fondements du produit.

Pour mieux comprendre, on peut s’appuyer sur le « modèle du fromage suisse » (Swiss Cheese Model). Le principe est qu’aucune couche de défense n’a vocation à arrêter toutes les attaques à elle seule. Plusieurs couches se complètent pour éviter qu’une défaillance isolée ne dégénère en problème plus grave.

Lors des évaluations de sécurité que je mène, il est rare qu’une attaque réussie résulte d’une seule défaillance. Le plus souvent, plusieurs faiblesses mineures se combinent pour offrir une possibilité d’attaque. Un appareil peut exécuter un micrologiciel obsolète, la segmentation du réseau peut être absente, des systèmes peuvent être mal configurés et les alertes de supervision peuvent ne pas être examinées. Pris isolément, ces problèmes ne conduisent pas nécessairement à une compromission. Ensemble, ils peuvent ouvrir la voie à un attaquant.

Prenons l’exemple d’un appareil connecté au réseau qui a été compromis. La segmentation du réseau peut empêcher l’attaquant d’accéder aux autres systèmes de l’entreprise sans lien avec l’appareil compromis. Les mécanismes d’authentification et de gestion des droits selon le principe du moindre privilège peuvent limiter ce que l’attaquant peut faire ou modifier. Côté back-end, la surveillance en temps réel de l’état des systèmes peut détecter une activité inhabituelle et déclencher une alerte. Si l’une des mesures de sécurité échoue, les autres peuvent empêcher l’attaquant de progresser plus loin dans l’environnement informatique.

Les fournisseurs matures ne partent pas du principe que chaque couche de défense fonctionnera parfaitement en permanence. L’objectif est plutôt de concevoir le produit de sorte que, si une couche échoue, les autres contribuent à maîtriser la situation et à limiter l’ampleur des conséquences.

BLOG

  Ils mettent le produit à l’épreuve avant que les attaquants ne le fassent.

Un fournisseur fait preuve de maturité en cybersécurité lorsqu’il accepte de mettre son propre produit à l’épreuve. Au lieu de présumer que les contrôles de sécurité fonctionneront comme prévu, les fournisseurs matures disposent d’équipes dédiées qui cherchent activement comment ces contrôles pourraient être contournés ou détournés. Leur mission est de se mettre dans la peau d’un attaquant, d’imaginer ce qui pourrait mal tourner, puis de mettre leurs hypothèses à l’épreuve.

Cette approche de la sécurité offensive doit être appliquée tout au long du cycle de vie du produit.

Pendant le développement

Pendant la phase de conception, les développeurs recourent à la modélisation des menaces pour examiner comment les systèmes communiquent, où se situent les frontières de confiance et comment une fonctionnalité pourrait être utilisée à mauvais escient. Ils se posent alors des questions pour déceler les faiblesses de l’architecture tant qu’il est encore temps d’y remédier :

• Comment un composant s’authentifie-t-il auprès d’un autre ?
• Quelle identité le backend utilise-t-il pour s’authentifier auprès de ce service ?
• Que se passe-t-il si une dépendance devient indisponible ?
• Comment un attaquant pourrait-il tenter d’élever ses privilèges ?
• Pourrions-nous détecter un comportement inattendu de la part d’un composant de confiance ?
• Sur quelles hypothèses nous appuyons-nous, et que se passerait-il si elles étaient fausses ?

Pendant les tests et au-delà

Avant la sortie d’une version, les spécialistes des tests d’intrusion poussent cette démarche plus loin en mettant à l’épreuve les contrôles de sécurité intégrés au produit. L’un des principaux enseignements des tests d’intrusion est que les attaquants réussissent souvent en exploitant des hypothèses, et pas seulement des vulnérabilités techniques.

Par exemple, les testeurs peuvent perturber délibérément la connexion d’une caméra afin d’observer comment le système réagit dans des conditions imprévues. Ils peuvent tenter de contourner les mécanismes d’authentification, d’altérer les communications considérées comme fiables entre les composants ou d’exploiter des fonctionnalités d’une manière que les concepteurs n’avaient jamais envisagée. Leur objectif est de déceler des faiblesses avec les mêmes méthodes, la même inventivité et la même façon de penser que les attaquants.

Plutôt que de se concentrer uniquement sur les erreurs de code, les spécialistes des tests d’intrusion remettent en question les hypothèses sur lesquelles reposent les contrôles de sécurité. Ils vérifient que les protections continuent de remplir leur rôle face à des données d’entrée inattendues, des données non fiables, des flux de travail anormaux ou une utilisation détournée de fonctionnalités légitimes. Cette approche offensive aide à mettre au jour des vulnérabilités et des lacunes de sécurité que les méthodes de test classiques risquent de ne pas déceler.

En résumé, la modélisation des menaces anticipe les façons dont un produit pourrait être attaqué, tandis que les spécialistes des tests d’intrusion vérifient si les défenses intégrées dès sa conception résistent en pratique.

Ensemble, ces deux démarches permettent de corriger les faiblesses avant qu’elles ne posent problème aux clients.

BLOG

  Ils diffusent les pratiques de cybersécurité au-delà de l’équipe centrale

La technologie, à elle seule, ne suffit pas à bâtir des programmes de sécurité matures. Les organisations matures font de la cybersécurité une responsabilité partagée : elle ne relève plus uniquement d’une équipe de sécurité dédiée, mais aussi des personnes qui conçoivent, développent et testent le produit. Cela signifie que la cybersécurité doit faire partie du développement des produits au quotidien, plutôt que de se limiter à une vérification finale avant leur sortie.

Un programme Security Champions est l’un des moyens d’y parvenir. Les Security Champions sont généralement des volontaires issus des équipes de développement, d’ingénierie ou d’assurance qualité, qui font le lien entre leur équipe et l’équipe centrale de sécurité applicative.

Au sein de leur équipe, ils deviennent les référents en cybersécurité : ils transmettent aux spécialistes les questions, préoccupations et autres besoins de leurs collègues. Ils peuvent aussi faire intervenir des experts en cybersécurité dans les projets qui exigent des compétences plus pointues, et partager avec leurs collègues les nouvelles bonnes pratiques, les menaces émergentes et les retours d’expérience.

Quels avantages un programme axé sur la cybersécurité apporte-t-il à vos opérations de sécurité physique ?

Davantage de personnes collaborent pour déceler les problèmes de sécurité et garder une longueur d’avance sur les menaces émergentes tout au long du cycle de vie du produit. Développeurs, testeurs et autres passionnés de cybersécurité issus de différentes équipes participent aux échanges et examinent les problèmes sous plusieurs angles. Ces regards complémentaires permettent de repérer des problèmes qu’un seul point de vue pourrait laisser passer et renforcent ainsi la sécurité du produit au fil du temps.

CENTRE DE RESSOURCES EN CYBERSÉCURITÉ

  Ils font de la transparence et de la confiance des priorités

Il faut remettre en question l’idée reçue selon laquelle les organisations matures n’auraient aucune vulnérabilité.

Tout éditeur de logiciels finit par découvrir des vulnérabilités. Ce qui distingue les organisations matures, c’est leur préparation : font-elles tout leur possible pour détecter les problèmes au plus tôt ? Et si un problème survient malgré tout, disposent-elles de processus pour le gérer et informer leurs clients ? Mieux encore, sont-elles capables de maintenir efficacement les systèmes de leurs clients à jour en y appliquant les correctifs de sécurité ?

La transparence est un élément essentiel de la maturité en cybersécurité.

Les organisations matures facilitent le signalement responsable des problèmes par leurs clients et par des experts externes en cybersécurité, en mettant en place des canaux officiels tels que des programmes de divulgation des vulnérabilités ou de récompenses pour la détection de bugs.

Participer à des dispositifs reconnus de divulgation des vulnérabilités, par exemple en devenant une autorité de numérotation CVE (CNA), est un autre signe de la volonté d’un fournisseur de communiquer ouvertement sur les vulnérabilités. La manière dont un fournisseur gère la découverte d’une vulnérabilité en dit davantage sur sa maturité en cybersécurité que la vulnérabilité elle-même.

Par exemple, un chercheur indépendant peut découvrir, dans l’installation du serveur principal d’une solution de sécurité physique, une vulnérabilité permettant à un attaquant disposant de privilèges locaux sur le système d’exploitation d’accéder à des informations d’identification sensibles.

Même sans preuve d’une exploitation active, un fournisseur mature ne dissimulera pas le problème pour protéger sa réputation. Ils analyseront le risque, identifieront les produits concernés, hiérarchiseront les mesures correctives, publieront un avis de sécurité détaillé, fourniront des recommandations et des correctifs pour aider les clients à atténuer ce risque, et reconnaîtront la contribution du chercheur.

La transparence n’est pas un signe de faiblesse. Le plus souvent, elle témoigne de la maturité et de l’assurance nécessaires pour traiter les problèmes de sécurité de manière responsable.

BLOG

Quelles questions les acheteurs devraient-ils poser ?

À mesure que les plateformes de sécurité physique sont de plus en plus connectées, les risques peuvent s’amplifier. C’est pourquoi la maturité en cybersécurité doit faire partie des critères d’évaluation d’un fournisseur.

Au-delà des certifications et des listes de contrôle de conformité, pensez à poser les questions suivantes :

• Comment la sécurité est-elle intégrée à l’architecture et à la conception du produit ?
• L’organisation recourt-elle à la modélisation des menaces ?
• Comment les pratiques de développement sécurisé sont-elles intégrées dans les équipes d’ingénierie ?
• Comment les vulnérabilités sont-elles signalées, analysées et divulguées ?
• Le fournisseur associe-t-il des chercheurs externes à ses programmes de tests ou de récompenses pour la détection de bugs ?
• Comment les vulnérabilités critiques sont-elles communiquées aux clients ?
• Avec quelle rapidité les vulnérabilités sont-elles examinées et corrigées ?
• L’organisation publie-t-elle des avis de sécurité ?
• Comment le fournisseur démontre-t-il l’amélioration continue de ses pratiques entre deux audits ou évaluations ?

Les réponses peuvent donner une idée plus juste de la manière dont un fournisseur aborde la cybersécurité au quotidien et vous aider à savoir s’il fera preuve de la franchise que vous êtes en droit d’attendre lorsque des problèmes surviennent.

Au-delà des listes de contrôle : une culture de la résilience

Les plateformes de sécurité physique font désormais partie du vaste écosystème technologique de l’entreprise. Elles aident chaque jour à contrôler les accès, à protéger les informations, à soutenir les activités de l’entreprise et à faire appliquer les décisions qui déterminent à qui ou à quoi accorder sa confiance.

C’est pourquoi évaluer la maturité en cybersécurité d’un fournisseur ne se limite plus à examiner les fonctionnalités de ses produits. C’est une question de confiance.

Vos fournisseurs de solutions de sécurité physique appliquent-ils systématiquement les principes de conception sécurisée et remettent-ils en question leurs propres produits et hypothèses ? Partagent-ils la responsabilité de la cybersécurité entre leurs équipes et s’engagent-ils en faveur de la transparence et de l’amélioration continue ?

La maturité en cybersécurité n’est pas un état que l’on atteint une fois pour toutes. C’est une culture d’entreprise, une façon de penser et de travailler qui place la cybersécurité au cœur des décisions quotidiennes.

En tant que spécialiste des tests d’intrusion, mon objectif est clair : faire tout mon possible pour repérer les vulnérabilités et travailler avec les autres équipes au renforcement de la résilience du produit, afin que ces faiblesses ne causent jamais de problèmes à nos clients.