Où se trouve l'équilibre entre cybersécurité, infrastructure informatique et mobilité ? Les réponses que vous obtiendrez dépendront peut-être de la personne à qui vous posez la question.

Équipe chargée de la cybersécurité : « Nous avons besoin d'une organisation protégée ! »

Équipe chargée des technologies d'infrastructure : « Nous avons besoin d'une organisation structurée et durable ! »

Équipe Mobilité : « Nous avons besoin d'une organisation flexible qui facilite le travail de nos employés ! »

Vous avez peut-être déjà entendu cet argument sous une forme ou une autre autour de la fameuse fontaine à eau, et il vaut la peine de l'approfondir afin de parvenir à un consensus plus satisfaisant. C'est précisément ce que nous ferons dans ce dernier volet de notre série d'entretiens podcast sur la mobilité d'entreprise, avec Alex Willis, vice-président des ventes mondiales chez BlackBerry, et Baldeep Dogra, directeur principal du marketing des solutions.

Nous avons articulé cette série de discussions — consacrées à la gestion unifiée des terminaux (UEM) et à la manière dont elle contribue à résoudre les problèmes de sécurité liés à la mobilité — autour des quatre piliers de l'informatique : les personnes, les processus, la technologie et la coopération. Les trois premiers piliers, que nous avons abordés dans les parties 1 à 3, sont bien établis. Cependant, le quatrième a attiré mon attention à la fin de l'année dernière lorsqu'il a été cité par Victor Zhora, directeur adjoint du Service national des communications spéciales et de la protection de l'information en Ukraine, lors de son intervention surprise en tant qu'invité du PDG de BlackBerry, John Chen, lors du sommet annuel BlackBerry Security Summit à New York.

Considérant la nécessité impérieuse de protéger les infrastructures de son pays contre des cyber-saboteurs hautement qualifiés et soutenus par des États, Zhora a souligné que les piliers largement reconnus que sont les personnes, les processus et la technologie ne peuvent fonctionner sans une base sous-jacente de coopération. « Dans un monde contemporain interconnecté, explique-t-il, il n'y a aucune chance de rester isolé. »

C'est ainsi que dans la quatrième partie de notre série UEM , nous nous concentrons sur la coopération comme fondement sur lequel doit reposer notre structure à trois piliers : les personnes, les processus et la technologie. Comme c'est souvent le cas, établir cette coopération implique d'abord de se plonger dans le bourbier des priorités conflictuelles qui entravent parfois la collaboration interdépartementale, et de trouver comment travailler efficacement ensemble pour obtenir un résultat qui serve toutes les parties de manière égale.

Pour en savoir plus, écoutez le podcast ou lisez l'extrait (ci-dessous).

Steve Kovsky :
Nous sommes ici pour parler des défis liés au déploiement de la mobilité et à la sécurisation des appareils mobiles sur le lieu de travail.

Reprenant là où nous en étions restés, nous en arrivons à la coopération, ce quatrième et dernier pilier que nous avons mentionné au début de cette série. Alex, vous avez évoqué les chaînes d'approvisionnement et la nécessité de collaborer et d'adopter une vision globale de nos activités. Je pense que certaines des choses décrites par Alex expliquent pourquoi les clients de BlackBerry pour UEM des organisations qui accordent une grande importance à la sécurité, aux certifications et qui prennent la réglementation très au sérieux. Il s'agit généralement d'organismes gouvernementaux, d'organismes militaires, ainsi que de grandes banques et institutions financières. Mais cela est en train de changer.

Bal, vous avez observé d'autres tendances qui influencent le marché. Pensez-vous que cette préoccupation pour la sécurité des appareils mobiles va diminuer ? Est-ce qu'elle s'étend à d'autres secteurs verticaux ?

Baldeep Dogra :
C'est une excellente question. Comme Alex l'a mentionné, nous nous intéressons aux chaînes d'approvisionnement, mais l'accent est actuellement mis sur les environnements hérités plus anciens et ceux basés sur les technologies opérationnelles (OT). Il existe une tendance Industrie 4.0 autour de la convergence des technologies de l'information (IT) et des technologies opérationnelles (OT). Quand on pense aux systèmes OT eux-mêmes, ceux-ci ont tendance à être basés sur des systèmes de contrôle industriel (ICS) et des systèmes de contrôle de supervision et d'acquisition de données (SCADA). Les systèmes de contrôle industriel, vous le savez, sont des monstres à part entière. Ils sont connectés à des interfaces homme-machine (IHM) basées sur les technologies de l'information, qui sont généralement héritées. Ce sont des systèmes d'exploitation plus anciens, dont beaucoup sont également isolés.

Et cela nous ramène à ce dont nous parlions tout à l'heure. Comment commencer à réfléchir au cloud et aux solutions sur site ? Comment construire quelque chose autour de cela pour nos clients ? C'est donc essentiel pour nous de comprendre cela et d'aider nos clients à le comprendre également.

Du point de vue de la coopération, nous devons réfléchir à qui est responsable. En matière de sécurité, vous avez vos équipes de gestion des terminaux : comment les amener à communiquer entre elles ? Nous ne voulons pas non plus laisser de côté les utilisateurs finaux, n'est-ce pas ? Pour les utilisateurs, le niveau de productivité dont ils bénéficient est essentiel. Nous devons donc également impliquer les équipes responsables de l'expérience utilisateur final. Cela permet d'offrir l'expérience client globale que nous voulons aider nos clients à atteindre avec leurs résultats.

Alex Willis :
Les normes industrielles constituent également un domaine important de collaboration. Nous, les grands fournisseurs, devons nous réunir et les élaborer ensemble. Ces normes se sont déjà révélées utiles dans des domaines tels que la chaîne d'approvisionnement. Elles ont permis de répondre à des questions telles que « Comment savoir si vous pouvez faire confiance à ce partenaire ? », « Devez-vous vraiment procéder à une évaluation de leur sécurité ? » ou « Comment obtiennent-ils une notation ? ».

C'est un domaine dans lequel nous travaillons également. L'assurance en est un exemple. Les compagnies d'assurance peuvent attribuer une « note », de sorte que si je souhaite travailler avec un fournisseur, je veux connaître son niveau de sécurité avant de lui accorder une connexion.

La méthode moderne pour y parvenir est le « zero trust ». Par exemple, vous ne devriez toujours pas donner à un partenaire une capacité VPN site à site sans avoir effectué une évaluation de sécurité. Mais même dans ce cas, cela ne suffit pas, car vous devriez effectuer des audits continus. Avec le « zero trust », vous disposez d'un point de connectivité beaucoup plus sûr, où tout est empêché ou bloqué, sauf en cas de besoin ponctuel et réel basé sur les ACL (listes de contrôle d'accès) — ce à quoi ils ont réellement besoin d'accéder —, ce qui constitue une autre grande différence entre des solutions telles que le VPN et notre produit d'accès réseau zéro confiance (ZTNA) appelé CylanceGATEWAY™, où je remplace un ancien type de protocole autour du VPN pour fournir une connectivité. C'est beaucoup plus facile pour les utilisateurs, car il n'y a pas de délai dans la connectivité. Ma posture de sécurité contextuelle est évaluée avant que l'accès ne me soit accordé, mais même une fois que j'ai accès à la porte d'entrée, pour passer derrière le pare-feu, je n'ai accès qu'aux terminaux dont j'ai besoin.

C'est une bonne solution pour les partenaires ou les fournisseurs, car si je peux limiter leur accès, cela constitue une politique de sécurité bien plus efficace que de simplement leur donner accès au VPN et de compter ensuite sur les serveurs backend pour l'authentification et la protection. Je préfère limiter les endroits où ils peuvent aller. Il peut s'agir d'une segmentation du réseau basée sur l'adresse IP via un réseau local virtuel (VLAN), mais aussi au niveau du protocole.

Ainsi, certains acteurs malveillants détournent désormais d'autres ports. Par exemple, un port standard autorisé sur un pare-feu est le DNS, comme le port 5350 DNS. Vous vous dites donc : « Très bien, je vais autoriser tout le monde à se connecter sur le port 53. » Ce que font certains acteurs malveillants, c'est modifier le protocole qu'ils utilisent pour se connecter à leurs serveurs de commande et de contrôle (C2) afin qu'il s'agisse uniquement du port 53. Ainsi, pour un pare-feu, cela peut ressembler à n'importe quel autre trafic DNS, et il le laissera simplement passer. Avec ZTNA dans CylanceGATEWAY, le trafic est examiné afin de s'assurer qu'il s'agit bien du type de trafic que vous autorisez à cette fin. C'est donc un autre élément à prendre en compte dans la chaîne d'approvisionnement et pour fournir à vos partenaires un accès à votre environnement.

Revenons à la collaboration dans la chaîne d'approvisionnement. Les grandes entreprises comme la nôtre doivent s'unir, ce que nous faisons, pour apporter leur contribution et leurs conseils, et pour influencer ces politiques afin qu'elles soient plus avantageuses pour tous les clients. Et nous le faisons beaucoup.  

Il y a ensuite l'autre collaboration dont Bal et moi avons parlé, qui consiste à faire travailler ensemble les équipes au sein de ces organisations. C'est l'un des aspects les plus intéressants de notre travail, car nous jouons le rôle d'intermédiaire, d'autant plus que nous fournissons des services à la fois en matière de cybersécurité et de gestion unifiée des terminaux. Nous sommes déjà en contact avec les équipes chargées de la mobilité et de la cybersécurité. Nous avons donc pu fournir à ces deux parties des éléments qui, en fin de compte, les ont rapprochées. Par exemple : signaler la posture de sécurité des appareils mobiles dans notre console à laquelle l'équipe de sécurité a accès.

C'est la première fois que nous voyons cela, au lieu que l'équipe de sécurité se contente de définir des politiques et que les équipes chargées de la mobilité et de l'informatique les mettent en œuvre en espérant que tout se passe bien. Nous pouvons le faire, mais ensuite, nous fournissons des fonctionnalités et des rapports au centre des opérations de sécurité (SOC), ce qui permet en fait de rassembler les équipes.

Steve Kovsky :
Considérons donc BlackBerry non seulement comme votre fournisseur de solutions de sécurité et de technologies, mais aussi comme un médiateur au sein de votre organisation.

Alex Willis :
Oui, vous savez, dans les grandes entreprises, on se retrouve souvent confronté à des problèmes de responsabilité et à des clans. Vous savez, « C'est mon domaine, c'est votre domaine, restez là-bas. » Mais en réalité, ils dépendent beaucoup les uns des autres. Donc, s'il y a un besoin, nous sommes certainement bien placés pour les aider à y répondre.

Steve Kovsky :
Bon, pour finir, parlons des prochaines étapes. Si quelqu'un écoute ce podcast et qu'il est intéressé, il se demande maintenant dans quelle mesure il est protégé. Certaines de ces lacunes existent-elles dans son organisation ? Doit-il s'inquiéter ? Vers qui doit-il se tourner pour obtenir plus d'informations et de conseils ?

Alex Willis:
S'ils sont déjà en relation avec nous, la première chose à faire est de procéder à une évaluation de la sécurité ou à une discussion sur la conception. Vous pouvez nous contacter par l'intermédiaire de votre équipe commerciale ou vous rendre sur BlackBerry.com et prendre contact avec l'un de nos experts. La page Web BlackBerry Security Summit est également une excellente source d'informations et permet de bien comprendre ce que nous faisons et comment nous aidons nos clients. Vous y trouverez certaines des sessions que nous avons organisées et certains des services que nous proposons.

Mais en tant que premier type d'engagement, je pense que vous obtiendrez les meilleurs résultats en disant simplement « Bonjour, discutons ensemble », ce qui nous permettra de comprendre où vous en êtes actuellement en matière de sécurité. Quels sont vos projets tant du point de vue de la sécurité que d'un point de vue commercial général ? Quel type d'organisation êtes-vous ? Quels sont les objectifs de votre entreprise ? Que fait votre organisation ? Comment travaillent vos employés et quels sont leurs points faibles ? Que pourrait-on améliorer si nous pouvions mobiliser votre organisation ?

Ensuite, nous pourrons discuter de la manière de procéder en toute sécurité. Sur le plan informatique, nous pouvons bien sûr parler de la mise en œuvre du modèle « zero trust » et de ce à quoi pourrait ressembler pour votre organisation le passage de votre personnel à un modèle de travail à domicile permanent ou de travail depuis n'importe où.

Nous devons simplement commencer par discuter afin de mieux comprendre vos objectifs, tant du point de vue technologique que stratégique. Nous pourrons ensuite déterminer comment aider votre organisation à atteindre ces objectifs, par exemple en améliorant le retour sur investissement tout en réduisant le coût total de possession.

Steve Kovsky:
Bal, avez-vous d'autres remarques ou un dernier mot ?

Baldeep Dogra:
Alex a tout à fait raison. Si je devais souligner ce qu'Alex a dit, je dirais à ceux qui écoutent et regardent : soyez mieux préparés.

Au début de cette série, vous avez mentionné l'approche de Victor Zhora, axée sur « les personnes, les processus et la technologie », et la manière dont il a intégré la coopération, ou la collaboration, selon votre préférence. Pour moi, il s'agit de relier les trois autres éléments entre eux. Et mon point de vue à ce sujet s'inscrit dans notre discours sur la capacité à se préparer, à prévenir, à détecter et à répondre aux menaces.

Vous pouvez y parvenir grâce à la collaboration des différentes équipes impliquées et en travaillant avec nous. Comme l'a dit Alex, organisons des séances de découverte, comprenons vos résultats et comprenons vos objectifs. Nous sommes là pour aider nos clients à atteindre leurs objectifs.

Si l'on peut retenir une chose importante de tout cela, c'est bien celle-ci : ne considérez pas la sécurité comme une réflexion après coup. Vous ne voulez pas avoir à penser sans cesse à ajouter des couches de sécurité par la suite. Ce n'est pas ainsi que fonctionne la sécurité. Elle doit être intégrée à tout ce que vous faites. C'est ce que je retiens.

Steve Kovsky:
Merci beaucoup à vous deux d'avoir passé ce moment avec nous et de nous avoir aidés à analyser certaines des vulnérabilités ou lacunes potentielles que les gens tentent de combler dans leur gestion de la mobilité et dans leur entreprise.