35:14Cet enregistrement n'est pas encore disponible.
Using the Cyber Defence Matrix (CDM) to Understand Security
Télécharger les ressourcesCatégories
À propos de cette session
Guillaume Ross, CISO adjoint chez JupiterOne, présente en préenregistré la Cyber Defence Matrix de Sunil Yu, une grille cinq par cinq croisant des catégories d'actifs (appareils, applications, réseaux, données, utilisateurs) avec les fonctions du cadre NIST CSF (identifier, protéger, détecter, répondre, rétablir). Il explique la distinction entre « gauche du boum » et « droite du boum » : identifier et protéger se produisent peu importe qu'une attaque survienne, alors que détecter, répondre et rétablir ne s'appliquent qu'une fois qu'un incident réel s'est produit, et montre comment la dépendance à la technologie plutôt qu'aux personnes varie en conséquence, ce qui oriente les décisions d'embauche et d'automatisation. Il illustre comment cartographier des fournisseurs de sécurité, des processus internes comme l'enregistrement d'un nouvel appareil MFA, le signalement de clés API exposées et le partage de fichiers Google Drive, ainsi que des outils précis (HackerOne, Code42, Okta) sur la grille, avertissant que les fournisseurs prétendant tout couvrir ne remplissent généralement qu'une mince tranche verticale ou horizontale. Il termine avec une méthode pour évaluer la qualité des métriques, de la simple présence à la couverture, l'utilisation, l'efficacité et le rendement, puis un exemple bonus montrant comment cartographier le personnel et les dépenses en sécurité peut révéler une mauvaise répartition budgétaire, comme une entreprise logicielle qui surinvestit dans la protection des postes au détriment de la sécurité applicative.
À retenir
- Classer chaque outil, contrôle ou processus de sécurité sur l'axe identifier/protéger/détecter/répondre/rétablir avec le test « gauche du boum » : faut-il qu'un incident survienne d'abord pour que cela s'applique?
- Orienter les investissements technologiques vers la gauche de la matrice (identifier, protéger), où l'automatisation fonctionne bien, et le personnel vers la droite (détecter, répondre, rétablir), où l'humain reste essentiel.
- Lors de l'évaluation d'un fournisseur, demander directement où son produit se situe dans la matrice; prétendre « tout couvrir » signale souvent une couverture étroite, verticale ou horizontale, plutôt qu'une réelle largeur.
- Évaluer la qualité des métriques de sécurité, pas seulement leur existence : passer de la simple présence (« on a le MFA ») à la couverture, l'utilisation, l'efficacité puis le rendement avant de se fier au chiffre.
- Cartographier périodiquement les dépenses et le personnel de sécurité sur la matrice pour détecter un biais structurel, comme un fort investissement en protection des postes alors que le risque réel se situe dans les applications ou les données.
Conférenciers
Guillaume Ross
Guillaume has been working in IT and security for way too long by now. Having built security programs for companies of all sizes, worked in vendor organizations on the security and product management side and through years of consulting, he likes to… Lire la suiteRéduire
Guillaume has been working in IT and security for way too long by now. Having built security programs for companies of all sizes, worked in vendor organizations on the security and product management side and through years of consulting, he likes to keep it fresh by alternating between working internally, securing companies, and working for companies in the security industry. As the Head of Security for a brand new Fintech startup, he is currently learning a lot about managing security in an agile environment where security is an extremely high priority. Guillaume is a frequent conference speaker, alternating between technical/blue-team topics as well as security management topics. Guillaume is also a Pluralsight trainer, producing cyber security training around topics such as network security monitoring, SOC operations, osquery, cloud security and more.
