Les responsables sécurité doivent connaître 7 vérités sur la protection de leurs réseaux, affirme Joshua Corman, stratège principal en sécurité pour IBM-ISS. Il n'hésite pas à jouer contre son camp - celui des vendeurs - lors de sa conférence durant le salon Interop de Las Vegas.

3. L'analyse de risques et les vendeurs de sécurité ne font pas bon ménage.
Les vendeurs de sécurité veulent que les entreprises achètent ce qu'ils vendent, ils poussent donc des produits qui bloquent des menaces spécifiques. Le NAC (Network Access Control) par exemple, peut résoudre un vrai problème. Mais si ce problème n'a qu'un impact mineur sur les priorités métiers de l'entreprise, il est probablement inutile de le résoudre. La gestion de risques peut décider qu'il suffit d'améliorer les processus métiers ou de durcir les configurations des équipements existants. « Il faut comprendre le contexte, et les priorités de l'entreprise, résume Joshua Corman.

4. Il y a plus risqué que les failles logicielles.
Les vendeurs de sécurité poussent à se protéger contre les vulnérabilités logicielles, mais ces défauts ne constituent pas le coeur des attaques réussies. Des mots de passe insuffisamment complexes, des équipements dont le paramétrage n'est pas assez durci (conservation des configurations par défaut), ou des personnels trop naïfs (facilement victimes de « social engineering ») sont les principaux problèmes, déclare Joshua Corman. « Si les logiciels étaient parfaits, nous aurions de toute façon des virus ou des chevaux de troie, qui n'ont pas besoin de vulnérabilités pour leurs attaques, résume-t-il.

5. La conformité réglementaire menace la sécurité.
Si la conformité en soi n'est pas une mauvaise chose, se conformer aux standards de sécurité qu'ils soient établis par le gouvernement (HIPAA, ...) ou par des industries (PCI, ...) ne suffit pas à sécuriser les réseaux. Pire, les réglementations créent des conflits sur les budgets et les ressources, entre ce que la mise en conformité exige et ce que les responsables du réseau estiment être nécessaire pour réellement sécuriser l'activité de l'entreprise. En outre, respecter ces standards, indique aux hackers potentiels ce à quoi ils doivent s'attendre comme type de défense.

. Web-profils.com, la place de marché du conseil et de l'ingénierie