Pour les organisations dont le SOC est surchargé et ne peut pas se prononcer sur son efficacité
Un directeur des opérations de sécurité qui évalue le confinement, et non le nombre d’alertes
Un centre d’opérations de sécurité peut disposer d’un effectif complet, être équipé jusqu’au plafond et traiter des milliers de tickets par mois, tout en passant à côté de la seule intrusion qui compte. J’ai observé ce schéma suffisamment souvent pour l’avoir décrit : le SOC qui est très actif mais inefficace. Bien diriger les opérations de sécurité signifie ne pas se contenter de se demander "how many alerts have we handled?", mais organiser les opérations de manière à ce que la réponse à la véritable question, "would we detect it and could we stop it?", soit « yes », with evidence.
Ce que je mettrais en œuvre, et comment
Le SOC et son personnel : recruter en privilégiant la capacité à mener des enquêtes plutôt que celle à clôturer des tickets, et proposer un parcours professionnel permettant de fidéliser les meilleurs éléments. Ingénierie de détection : chaque détection doit avoir un responsable, une raison d’être documentée, un taux de faux positifs prévu et un test prouvant son déclenchement ; les détections qui ne justifient pas leur existence sont supprimées. Réponse : des guides d’intervention précisant qui peut faire quoi sans réunion, testés en conditions réelles, y compris dans les cas où l’entreprise n’est pas d’accord. Télémétrie : savoir ce que nous pouvons voir et, plus important encore, ce que nous ne pouvons pas voir, afin que les lacunes relèvent de décisions délibérées plutôt que de surprises. Et les indicateurs : délai de détection, délai de confinement, couverture face aux attaques qui nous concernent, et le taux réel de franchissement des intrusions, communiqué à la hiérarchie même lorsque les chiffres sont mauvais.
Travailler avec un prestataire de services gérés
De nombreuses organisations externalisent tout ou partie de leur SOC. J’ai géré ces deux modèles, ainsi qu’une combinaison des deux. Si vous faites appel à un MSSP, ma mission consiste à m’assurer que le contrat prend en compte les éléments essentiels, que nos données télémétriques leur parviennent bel et bien, que la procédure d’escalade fonctionne à 2 h du matin et pas uniquement lors de la revue des services, et que nous puissions prouver que les détections du prestataire fonctionnent dans notre environnement et non pas seulement dans le cadre de son argumentaire commercial.
L’adéquation honnête
Cela fonctionne lorsque l’organisation souhaite mettre en place une opération capable de faire ses preuves et qu’elle est prête à accepter que certains des outils qu’elle a achetés ne servent à rien. Cela ne fonctionne pas lorsque le SOC existe uniquement pour produire un artefact de conformité, ou lorsque le directeur n’a aucune autorité sur les outils et la télémétrie. Je demanderais à consulter les indicateurs du dernier trimestre avant que nous discutions ; ceux que vous choisirez de me montrer m’en diront long sur ce que j’ai besoin de savoir.
D'où cela vient-il ?
Une vingtaine d’années d’expérience pratique dans la réponse aux incidents et les opérations de sécurité, ainsi que trente ans à la tête de services de sécurité, notamment en mettant en place des opérations à partir de zéro et en restructurant celles qui semblaient pourtant fonctionner correctement. La plupart des détails sont couverts par un accord de confidentialité. Ce que je peux dire ici, je le dis.
Ce que j’ai écrit à ce sujet.
Lisez-les avant notre entretien, si vous le souhaitez. Il s’agit de la version détaillée de l’argumentation.
- Recherche : Comment savoir si votre SOC est réellement efficace ?
- Recherche : Comment savoir si un contrôle de sécurité fonctionne toujours après une modification ?
- Recherche : Quels journaux de cloud devez-vous conserver avant un incident ?
- En bref : À quel moment peut-on affirmer sans risque que l’incident est terminé ?
- Court Un ransomware est en cours d’exécution. Débranchez-vous la prise ou le câble réseau ?
Travaux connexes.
Autres façons dont je travaille avec moi-même sur ces mêmes problématiques.
- Recrutez un directeur de la cybersécurité qui met en place les opérations, et non pas celui qui se contente de créer des diapositives à ce sujetUn leadership de niveau directionnel pour les opérations de sécurité, l’ingénierie ou les programmes, assuré par une personne ayant déjà exercé les mêmes fonctions que l’équipe.
- Recrutez un RSSI qui a dirigé la réponse, et pas seulement rendu compte de celle-ci. Un responsable de la sécurité qui a géré des incidents de violation, mis en place des opérations de sécurité et effectué des briefings pour les conseils d’administration. Voici ce que j’apporterais à ce poste et les situations dans lesquelles je ne serais pas à ma place.
- Un conseiller auprès du dirigeant chargé de prendre les décisions, et non de l’équipe chargée de la mise en œuvre. Un jugement indépendant pour la personne qui signe : que demander, que croire, que décider et que dire au conseil d’administration.
- À l’attention des recruteurs et des cabinets de recrutement : les postes pour lesquels je suis le profil recherché, et ceux pour lesquels je ne le suis pas. Une réponse claire à l’intention des cabinets de recrutement : postes, adéquation, inadéquation, et comment obtenir rapidement une réponse positive ou négative de ma part.
Discutez d’un poste de direction.
Parlez-moi du poste, de l’organisation et de ce que la première année doit apporter. Je vous dirai rapidement si cela me convient.
Une grande partie de ce que j’ai accompli ne peut être décrite en public, et j’ai entretenu une relation étroite avec les accords de confidentialité pendant la majeure partie de ma vie d’adulte. Ce que je peux dire ici, je le dis ; le reste, nous en discutons en toute confidentialité.
- Les RSSI qui ont besoin d’un directeur chargé de superviser la détection et la réponse, et d’en rendre compte en toute honnêteté.
- Les organisations disposant d’un MSSP qui ne sont pas en mesure de déterminer si le contrat est efficace.
- Recruteurs chargés du recrutement d’un responsable de centre de sécurité des opérations (SOC) ou d’un directeur des opérations.