Dans le monde entier comme en France, la sécurité des systèmes d’information (SSI) voit la réglementation évoluer avec la technologie et la technologie évoluer avec la réglementation.
Le SIEM, évolutions réglementaires et technologiques
Parallèle réglementaire
En 2013, le Livre blanc sur la défense et la sécurité nationale plaçait la sécurité et la défense des systèmes d’information au cœur des priorités stratégiques de la France.
Sa première priorité est de renforcer le niveau de sécurité des systèmes d’information essentiels au bon fonctionnement des opérateurs d’importance vitale, et donc de la France, via :
–Le respect de référentiels de sécurité à appliquer par les opérateurs ;
–La mise en place de dispositifs de défense adaptés ;
–L’obligation de déclarer les incidents.
De plus en plus de dispositions législatives et réglementaires, notamment la LPM 2014 (Loi de Programmation Militaire) encadreront bientôt la mise en œuvre de ces mesures, tout en s’appliquant à un nombre croissant d’entreprises.
On peut penser aux PASSI (Prestataires d’Audit SSI), avec des exigences portant sur le prestataire lui-même, sur ses auditeurs, et sur le déroulement des audits, mais aussi aux récentes constructions du Référentiel d’exigences consacré aux Prestataires de Réponse aux Incidents de Sécurité et du Référentiel d’exigences consacré aux Prestataires de Détection des Incidents de Sécurité.
Par ce biais, l’ANSSI confirme que lorsqu’une concordance de signaux permet de soupçonner une activité malveillante au sein d’un système d’information, il convient de faire appel à un prestataire de réponse aux incidents de sécurité afin de :
–Définir une méthode de réponse aux incidents de sécurité adaptée au contexte ;
–Collecter et analyser des éléments issus du système d’information ;
–Identifier le mode opératoire de l’attaquant ;
–Qualifier l’étendue de la compromission ;
–Evaluer les risques et les impacts associés ;
–Préconiser des mesures de remédiation.
–Le SIEM, brique majeure de la supervision de sécurité
Un bon outil de supervision de sécurité se doit de pouvoir intervenir en amont pour surveiller et détecter puis en aval pour fournir tous les éléments nécessaires à la réponse.
La définition
Un SIEM (Security Information & Event Management) est un terme générique pour décrire un système de « supervision » de la sécurité.
On y trouve principalement deux fonctions complémentaires :
SEM : Security Event Management
Orienté temps-réel, ce sous-système permet d’être alerté et de réagir en temps-réel aux différents événements de sécurité.
SIM : Security Information Management
Orienté temps-différé, il permet d’indexer les traces (journaux) des systèmes d’informations surveillés.
La problématique SIEM mêle Evénement de sécurité (tout événement du système surveillé indiquant une faille possible), Alerte de sécurité (ensemble d’événements de sécurité notables) et Incident de sécurité (alerte de sécurité indiquée par un ou plusieurs événements, caractérisée et validée par un humain comme pouvant menacer la sécurité de l’information).
Téléchargez cette ressource
État des lieux de la réponse à incident de cybersécurité
Les experts de Palo Alto Networks, Unit 42 et Forrester Research livrent dans ce webinaire exclusif leurs éclairages et stratégies en matière de réponses aux incidents. Bénéficiez d'un panorama complet du paysage actuel de la réponse aux incidents et de sa relation avec la continuité de l'activité, des défis auxquels font face les entreprises et des tendances majeures qui modèlent ce domaine. Un état des lieux précieux pour les décideurs et professionnels IT.
Les articles les plus consultés
A travers cette chaîne
A travers ITPro
