41:02Cet enregistrement n'est pas encore disponible.
Gouvernance d’un programme de tests de sécurité en entreprise
Télécharger les ressourcesCatégories
Personnes, culture et carrièresCarrières et talentsGouvernance, risque et leadership (GRC)Programme et stratégie de sécuritéSécurité offensive et expositionTests d'intrusion et red teaming
Fournisseurs et outils abordés
Commandité par
À propos de cette session
Laurent Desaulniers, qui dirige les services de tests d'intrusion de GoSecure, explique comment gouverner un programme de tests de sécurité. D'abord la nomenclature : un test d'intrusion est manuel, porte sur un système et n'évalue que les contrôles préventifs (un balayage de vulnérabilités n'en est pas un); un red team émule des menaces multivecteurs et teste aussi la détection et la réaction; un purple team est un processus itératif dont le livrable est la liste des correctifs faits. Il décrit le parcours typique de trois ans d'un client, des quick wins à la défense en profondeur puis à la surveillance, puis les questions à régler d'avance : l'objectif (conformité, découverte ou risque), des délais de correction par sévérité approuvés par la direction avant le test, les périodes de gel face au budget de fin d'année, et un budget de correctifs de deux à dix fois le coût du test. Il déboulonne trois mythes (équipe interne, rotation annuelle du fournisseur, tout corriger), puis aborde le recrutement par promotion interne, la diversité, et la rétention par la formation, la qualité de vie, le temps de recherche et l'appui de la gestion.
La rareté des ressources est souvent un obstacle à la mise en place d’un programme complet de sécurité en entreprise. Cette présentation vise à expliquer comment construire un programme de test d’intrusion en entreprise, quels sont les défis pour recruter et conserver le talent, quelles sont le règles d’engagements à mettre en place et comment favoriser une culture organisationnelle de sécurité basée sur la confiance et la collaboration. À la fin de la présentation, l’audience devrait avoir une meilleure compréhension des stratégies de tests en entreprise, de la rétention et la mise en place d’une équipe de sécurité.
À retenir
- Choisir le test selon la maturité : appliquer les correctifs d'abord, puis un test d'intrusion par système, un red team quand les contrôles préventifs tiennent, un purple team seulement avec un SIEM et un SOC.
- Avant tout test, faire approuver par la direction des délais de correction par sévérité (par exemple critique en un mois, élevée en trois) et un budget de correctifs de deux à dix fois le coût du test.
- Planifier les tests autour des périodes de gel et de la fin d'année financière pour ne pas se retrouver avec un budget impossible à dépenser.
- Confier les tests à une équipe interne partout où la conformité n'exige pas l'indépendance; elle connaît la logique d'affaires et reste pour la remédiation.
- Retenir les testeurs par une formation annuelle qui vaut à peu près une augmentation, des horaires raisonnables, du temps de recherche et une gestion qui les protège de la culture du blâme.
Conférenciers
Laurent Desaulniers
Laurent Desaulniers le directeur des services d’intrusions chez GoSecure. Il possède plus de 15 ans d’expérience en sécurité offensive et simulation d’attaques. En plus de son expérience en intrusion, M. Desaulniers a eu la chance d’enseigner à… Lire la suiteRéduire
Laurent Desaulniers le directeur des services d’intrusions chez GoSecure. Il possède plus de 15 ans d’expérience en sécurité offensive et simulation d’attaques. En plus de son expérience en intrusion, M. Desaulniers a eu la chance d’enseigner à l’ÉTS, aux HEC ainsi qu’à l’école polytechnique de Montréal. Laurent a été conférencier à travers le monde, présentant à plusieurs conférences tel que RSA, Red Team Summit, NorthSec, NCFTA, CQSI, Hackfest et plusieurs autres. Dans ses passe-temps, M. Desaulniers s’intéresse aux techniques de crochetage, à la magie et au pickpocketing.
