La tendance à l’externalisation porte désormais sur des fonctions complexes de sécurité

Christophe Auberger, Directeur Technique France chez Fortinet

Alors que la sécurisation des entreprises face aux cyber-attaques gagne en complexité, une étude commanditée par Fortinet démontre que les décideurs informatiques, plutôt que de s’orienter vers une sécurisation réalisée en interne, privilégient plutôt les services de sécurité managés.

À l’occasion d’une étude menée par Fortinet auprès de plus de 1 600 décideurs informatiques au sein de grandes entreprises, ces derniers révèlent un appétit croissant pour les services de sécurité managés : un quart d’entre eux déclare que l’externalisation partielle ou totale de leur sécurité informatique auprès de fournisseurs de services managés constitue l’initiative la plus importante pour faire face aux menaces de plus en plus complexes et nombreuses qui pèsent sur leur organisation.

Plus de 75% des décideurs estiment que les fonctions de pare-feu, de prévention d’intrusions et de protection de leur email sont éligibles à l’externalisation. Ces fonctionnalités basiques, depuis longtemps considérées comme pouvant être déléguées à un partenaire externe de confiance, sont désormais rejointes par des fonctionnalités plus évoluées telles que l’authentification, les analyses en sandbox pour une protection de type ATP (Advanced Threat Protection), voire la protection contre les attaques DDoS. Aujourd’hui, les décideurs informatiques sont minoritaires à penser que les fonctions de sécurité les plus évoluées ne peuvent être externalisées auprès d’un MSSP (Managed Security Service Provider). Comment expliquer ce changement?

9 DSI interrogés sur 10 indiquent que les menaces actuelles, plus complexes et plus fréquentes, rendent leur mission de sécurité plus ardue qu’il y a 12 mois. Les attaques d’envergure et autres scandales de sécurité nationale, ont fait la une de nombreux médias dans le monde. Cette médiatisation a incité les directions générales à prendre davantage conscience des problématiques de sécurité informatique, avec comme conséquence, une implication plus forte de leur part dans cette discipline et une plus grande pression sur les décideurs informatiques.

Ainsi, selon ces mêmes décideurs, la pression des directions générales pour assurer la sécurité de leur entreprise a progressé de presque d’un tiers au cours des 12 derniers mois, rendant ainsi la sécurité primordiale et prioritaire par rapport aux nombreuses autres initiatives métier.

À cet état des lieux, s’ajoutent les exigences de sécuriser la mobilité des collaborateurs et de protéger le Big Data : on comprend mieux le poids qui pèse sur les professionnels informatiques, les incitant à réévaluer leurs objectifs pour atteindre cette résilience face aux cybermenaces particulièrement dynamiques.

90% des décideurs informatiques déclarent avoir été encouragés à étudier de nouveaux investissements en matière de sécurité et à repenser leur stratégie de sécurité, compte tenu des problématiques de confidentialité des données et des projets de sécurité autour du Big Data.

Il n’est donc guère surprenant que cette migration vers les services de sécurité managés soit moins justifiée par des critères financiers et de ressources, et davantage par le besoin d’une infrastructure de sécurité exhaustive, performante et hautement disponible.

La gestion des cybermenaces complexes et en augmentation constitue la principale raison qui encourage l’externalisation, pour la moitié des personnes interrogées. Parmi les autres raisons citées, viennent, de manière hiérarchique, les défis liés à la confidentialité des données, un modèle économique plus adapté pour la sécurité, et la carence de compétences et de ressources adéquates en interne.

Alors que les avantages de l’externalisation des infrastructures et des applications sont compris depuis longtemps, la migration vers des services de sécurité  managés a souvent été freinée compte tenu des craintes liées à la délégation de cette fonction critique. Cette inquiétude est surtout palpable au sein des grandes entreprises. Néanmoins, l’attitude des décideurs IT est en train d’évoluer, face à la réalité de devoir lutter contre des menaces toujours plus complexes et fréquentes.

Lorsque nous les avons interrogés sur leurs habitudes personnelles en matière sécurité, 56% des répondants s’estiment prêts à confier leurs propres données personnelles à un fournisseur de services qui externalise la sécurité informatique. Cet essor des offres “as-a-Service “ dans nos vies personnelles incite sans doute les décideurs informatiques à se sentir plus en confiance face à l’adoption des services cloud. Ils reconnaissent ainsi, qu’avec une stratégie d’externalisation pertinente et une prise de décision éclairée, la sécurité informatique peut également s’inscrire dans  un tel modèle.

Bien sûr, l’idée de confier la sécurité informatique, et notamment les fonctionnalités complexes, à un prestataire externe, nécessite un haut niveau de confiance et d’assurance. Pour les décideurs informatiques interrogés, c’est la réputation d’un MSSP sur le marché des grandes entreprises qui compte le plus dans la décision de le retenir.  

Au-delà de cette réputation, facteur décisionnel le plus important, d’autres critères sont pris en compte dans le choix d’un fournisseur : le panel de services offerts, suivi de l’envergure mondiale du fournisseur, et enfin les accords de niveau de services proposés.

Alors que les menaces ont continué à évoluer au cours des 12 derniers mois, il n’est guère surprenant que les entreprises de toutes tailles se penchent de plus en plus sur le modèle MSSP pour des solutions de sécurité économiques contre les menaces et peut-être le plus important pour une maîtrise des risques en 24/7.

Mais cette externalisation est également encouragées par d’autres besoins, parmi lesquels la volonté d’assurer la conformité réglementaire, une prise de conscience plus forte des dirigeants d’entreprise face aux risques informatiques, la prolifération des menaces APT (Advanced Persistant Threats), le besoin d’identifier les collaborateurs experts en sécurité et la nécessité d’une veille mondiale sur les menaces.

Avec une large majorité des décideurs informatiques qui, dans notre enquête, déclare constater davantage de pression sur eux et une complexité croissante de leur métier, l’essor des services de sécurité managés devient une tendance clairement orientée à la hausse et qu’il va falloir suivre de près.