Par Xavier Gruau, CTO, Squad Cybersolutions

Les SOC se sont imposés comme le coeur de la cybersécurité. Pourtant, beaucoup d’entre eux sont submergés par le volume alertes. L’enjeu n’est plus de détecter davantage mais de voir mieux.Face à cette saturation, l’avenir du SOC repose sur trois leviers indissociables : le CTEM, l’IA et l’automatisation.En théorie, le Security Operations Center (SOC) est le bouclier de l’entreprise, toutefois, en pratique, il devient souvent son point de fragilité. Chaque jour, les équipes doivent traiter des milliers d’alertes. Résultat : la majorité du temps est consacrée à trier, pas à analyser.

Ce phénomène, l’alert fatigue, diminue drastiquement la réactivité des équipes et réduit leur capacité à identifier les signaux faibles. La technologie commence à apporter une réponse au travers de l’avènement de l’IA et de l’automatisation qui tendent à améliorer la situation. Néanmoins, tant que le SOC se concentrera sur la détection en aval, il continuera à subir le flot d’alertes.

Il faut passer d’une défense opérationnellement réactive à stratégiquement préventive.C’est précisément le rôle du CTEM (Continuous Threat Exposure Management). Son objectif est simple, transformer la cybersécurité en un processus continu qui mesure et réduit l’exposition au risque. Au lieu d’attendre qu’une menace déclenche une alerte, le CTEM permet d’identifier, valider et prioriser les vulnérabilités ou mauvaises configurations avant qu’elles ne soient exploitées.

Adossé à un VOC (Vulnerability Operating Center), ce modèle complète le SOC en le déchargeant préventivement d’une partie de la pression opérationnelle en surveillant en continu les surfaces d’exposition, en suivant les correctifs et en orchestrant les remédiations avec les équipes IT. Cette approche dynamique réduit mécaniquement le bruit de fond des alertes : moins de vulnérabilités actives qui sont exploitées en priorité par les attaquants, c’est moins d’événements déclenchés, et donc un SOC plus focalisé sur les vraies menaces.

Le dernier pilier de cette transformation, c’est l’automatisation. À mesure que les environnements se complexifient (cloud, IoT, identités multiples, chaînes logicielles étendues), la vitesse de propagation des attaques dépasse largement la capacité d’intervention humaine. L’automatisation, nourrie par la corrélation, la télémétrie et l’intelligence artificielle, permet de prioriser et d’enrichir les alertes avant qu’elles n’atteignent les analystes. Toutefois, elle pourrait générer des effets de bord dangereux. L’enjeu n’est donc pas d’automatiser plus, mais d’automatiser mieux, en associant l’expertise contextuelle des analystes à la puissance du machine learning pour créer un SOC augmenté.

En conclusion, le SOC de demain ne sera pas plus bruyant, il sera plus ciblé en réduisant l’exposition avant qu’elle ne devienne exploitable. Son objectif ne sera plus de détecter ce qui se passe mais d’empêcher ce qui pourrait arriver, se transformant ainsi en un centre de maîtrise des expositions.

La gestion des sujets ITSM et ITAM est au centre des processus de fonctionnement du SI et se doit d’être traitée avec attention pour permettre au parc IT de fonctionner dans les meilleures conditions et en toute sécurité. Au regard de ces éléments, il apparait donc que la notion de pilotage des aspects ITSM et ITAM nécessite d’être savamment pensée pour que la DSI puisse gérer ces aspects en toute agilité et de manière efficace. Mais comment faire et quelle approche privilégier ?

Un souhait de rationalisation de l’approche

Aligner les actifs et les services est une nécessité afin de traiter de bout en bout les sujets ITSM, ITAM et administration complète du parc. Les objectifs étant d’accéder à des gains opérationnels tels que la réduction des temps d’appel vers le support, une gestion des changements plus efficace, une automatisation des tâches à faible valeur ajoutée au travers de workflows, avoir une visibilité sur l’ensemble des endpoints, etc.

Des enjeux forts souhaités par les directions informatiques

De manière générale, force est de constater qu’il existe un manque de collaboration entre les pôles desk, la gestion de parcs et l’administration technique de parcs. Les différentes équipes travaillent chacune de leur côté, ce qui ne fluidifie pas la communication entre les parties prenantes.

Cela impacte également les aspects liés au reporting avec des données à récolter qui viennent de nombreuses sources et sont complexes à agréger correctement pour avoir une vue précise (création d’API spécifiques). Cela génère également des erreurs. Il s’agit donc d’un véritable défi technique en matière d’intégration et de pilotage de son parc de bout en bout : master, gestion des licences, support des assets, recyclage, etc. Travailler en mode silo ne génère donc pas d’avantage.

L’approche intégrée : un véritable game changer au service de la simplicité et de la productivité

Comme nous l’avons vu, accéder en un point unique aux données ITSM et ITAM répond à des besoins opérationnels concrets au service de l’expérience utilisateurs. En ce sens, s’appuyer sur un portail spécifique est un must have à prendre en compte. En effet, il sera alors possible de renforcer sa qualité de service en améliorant le support aux utilisateurs et en résolvant rapidement les demandes. Les autres bénéfices immédiats seront un gain de cohérence dans le pilotage de ses opérations,  l’accès à un réel ROI et  une vue d’ensemble précise au travers de reportings synthétiques et adaptés à son organisation.

La gestion intégrée et centralisée est alors un must have pour les ETI et grands comptes en quête d’agilité et de performance pour prendre en compte leurs opérations ITSM et ITAM.

Par Laurent Roussel chez IT-tude by Infodis

ittude.infodis.com