Conformité ou protection – et pourquoi la différence est importante pour votre cybersécurité

Par James Miller, chef de produit cybersécurité

Selon votre secteur d’activité et la nature de votre entreprise, il existe divers réglementations gouvernementales, normes de l’industrie et cadres de cybersécurité qui s’appliquent à vos opérations. Dans tous les cas, l’objectif est de créer des environnements TI sûrs et sécurisés qui protègent votre entreprise et les renseignements confidentiels de vos clients. Mais la conformité à elle seule ne suffit pas à atteindre cet objectif. 

Il y a une différence importante entre la conformité et la protection. Dans ce blogue, je décrirai ces différences et, à l’aide d’attaques par déni de service distribué (DDoS) comme exemple, j’expliquerai la nécessité de traiter la sécurité en ligne comme plus qu’une simple case à cocher. 

Dissocier la conformité de la protection 

Dans les contextes de cybersécurité, la conformité fait référence au respect des règlements et des normes qui s’appliquent à votre entreprise. Il peut s’agir d’un secteur d’activité particulier ou gouvernemental et peut relever d’une juridiction nationale ou internationale selon l’endroit où vous vendez vos produits ou services. Voici quelques exemples importants : 

• • • Normes de sécurité des données du secteur des cartes de paiements (PCI DSS) 
    • Loi sur la protection des renseignements personnels et les documents électroniques (PIPEDA) du Canada 
    • Règlement général sur la protection des données (GDPR) de l’Europe 
    • Health Insurance Portability and Accountability Act (HIPAA) des États-Unis 
    • ISO/IEC 27001 : Sécurité de l’information, cybersécurité et protection de la vie privée 
    • Certification du modèle de maturité de la cybersécurité (CMMC) 2.0 

La protection fait référence à la somme des technologies, du personnel et des processus en place pour la cybersécurité, et à l’efficacité avec laquelle ces éléments fonctionnent ensemble pour détecter et atténuer les attaques. 

La conformité et la protection peuvent varier selon la définition de vos exigences de conformité. Le problème est que les exigences énumérées dans les lois et les normes ne sont souvent pas suffisamment détaillées ou claires pour se traduire par une protection suffisamment étendue, même si elles sont suivies à la lettre. C’est pourquoi vous devez traiter la conformité et la protection comme des éléments distincts, et obtenir une meilleure compréhension de la nature des menaces auxquelles votre entreprise est confrontée et des solutions disponibles pour les combattre. 

Par exemple : maximisation de la protection contre les attaques DDoS 

Les attaques DDoS visent à perturber les entreprises en envoyant de grandes quantités de trafic malveillant, en même temps ou graduellement, pour ralentir ou surcharger le réseau d’entreprise ou l’infrastructure TI essentielle. Les attaques DDoS sont courantes et peuvent nuire considérablement à la réputation et à la rentabilité d’une entreprise. 

Certaines exigences de sécurité gouvernementales ou de l’ensemble de l’industrie s’appliquent probablement à votre entreprise en ce qui concerne les attaques DDoS. Cependant, une exigence peut être aussi vague que la simple nécessité d’une protection contre les attaques DDoS dans l’ensemble de vos sites. Vous pourriez mettre en place une solution DDoS qui protège contre les attaques massives : celles qui envoient d’énormes quantités de données en peu de temps pour utiliser toute votre largeur de bande disponible, ce qui empêche le trafic légitime de passer. Votre fournisseur de services en nuage pourrait même offrir une protection intégrée contre les attaques DDoS qui vous rendrait, en principe, conforme. 

Mais il existe plus de types d’attaques DDoS que des attaques massives, et la protection contre les attaques DDoS incluse dans votre service en nuage pourrait ne pas vous défendre adéquatement contre toutes celles-ci. Par exemple, il existe des attaques de plus en plus courantes contre la couche application, qui exploitent les vulnérabilités des protocoles comme HTTP et SQL pour ralentir ou fermer les sites Web et les services en ligne. Ces attaques peuvent avoir de graves répercussions sur votre entreprise. Si vous ne cherchez qu’à répondre à une exigence vague d’une réglementation ou d’une norme, vous pouvez demeurer vulnérable. 

Les attaques DDoS évoluent également constamment, devenant plus agressives et sophistiquées. Les règlements et les cadres ne peuvent pas suivre le rythme des plus récentes tactiques. C’est à votre entreprise de faire ce qu’il faut pour demeurer protégée. 

Pour maximiser votre protection et réduire les répercussions des attaques DDoS, vous devriez considérer vos défenses contre celles-ci de manière plus générale. Il s’agit donc de comprendre les différents types d’attaques et ce qu’il faut pour les atténuer et évaluer les solutions en conséquence. (Consultez notre blogue pour connaître les différences entre les solutions DDoS en périphérie, en réseau et en nuage.) Il faut également mettre en place la bonne technologie, les bonnes personnes et les bons processus et s’assurer qu’ils sont coordonnés pour contrer les attaques DDoS le plus rapidement et le plus efficacement possible. 

Protégez votre entreprise avec Bell 

Votre objectif devrait être d’aller au-delà de la protection et opter plutôt pour l’atténuation, qui consiste à empêcher les attaques DDoS d’atteindre votre réseau ou vos services en premier lieu. Pour ce faire, vous devez traiter la conformité et la protection comme des éléments distincts. Il est également utile d’avoir un partenaire qui offre les plus récents renseignements sur les menaces, les meilleures solutions de sécurité de leur catégorie et des services de bout en bout. 

La gamme de solutions de cybersécurité de Bell comprend une protection contre les attaques DDoS en réseau, en nuage et en périphérie qui offre une surveillance en tout temps, et qui peut atténuer rapidement les attaques DDoS pour maintenir votre entreprise en ligne. Pour en savoir plus, consultez notre page sur la sécurité contre les attaques DDoS ou communiquez avec un représentant de Bell pour savoir comment nous pouvons vous aider à répondre à vos besoins en matière de cybersécurité.