Le SOC managé comme outil de cyberrésilience

Dans ce contexte, en quoi consiste la cyberrésilience ? La cyberrésilience, c’est la capacité d’un système d’information à résister aux cyberattaques et aux pannes accidentelles, puis à revenir à un état de fonctionnement et de sécurité satisfaisant. « Dans le secteur de la santé, cela se traduit par la capacité de prise en charge du patient en cas de cyberattaques, détaille Paul Milon, directeur adjoint chargé du SI convergent du GHT du Var et DSI des Centres Hospitaliers de Toulon et de Hyères. Augmenter notre cyberrésilience, c’est augmenter la continuité de notre service. » Et Xavier Stoppini, RSSI du Groupement Hospitalier du Territoire des Alpes Maritimes (GHT 06), d’ajouter : « C’est aussi l’aptitude à limiter la perte de données et le maintien en activité opérationnelle de nos services. » Pour ce faire, le préventif est à la base de la protection. Plusieurs étapes doivent être validées : débloquer des budgets, évaluer le niveau de maturité des systèmes, établir des plans de remédiation, mettre en place un plan d'assurance sécurité dans les établissements, applicable aux prestataires et aux éditeurs, établir un contrat de maintenance et en faire une pièce incontournable au même titre que le contrat RGPD... « Le plan de remédiation et l’attention qui sera donnée à sa mise en oeuvre, c’est ce qui peut empêcher l’attaquant de passer à l’action et lui fera détourner le regard », analyse Xavier Stoppini. La prévention passe également par la mise en place d’un SOC (Security Operations System). Les firewalls filtrent la plupart des tentatives d’intrusion mais laisse passer certains signaux faibles. Il s’agit d’analyser le « bruit de fond » pour déceler en continu ce qui sort de l’ordinaire. « Avec des attaques qui vont de plus en plus vite, il est indispensable d’avoir une écoute 24h/, 7j/7, constate Paul Milon. Or nous n’avons pas les effectifs pour cela ». D’où la nécessité d’un SOC managé (SOC externalisé auprès d'un partenaire spécialisé en matière de cybersurveillance) qui apporte selon Xavier Stoppini « une connaissance plus fine ». Et c’est là qu’intervient BECYCURE. « Notre rôle est, dans un premier temps, de proposer aux établissements un outillage adapté à la détection des menaces : EDR, SIEM, NDR (sonde réseau), scanner de vulnérabilité, décrit Jérôme Lanniaux. L’outillage SOC alors mis en place vise à superviser et analyser le SI, les objets connectés et les équipements biomédicaux pour alerter en cas de comportements anormaux. Puis, en mode routine, des experts sont à disposition des établissements pour traiter, analyser et investiguer les alertes de cybersécurité. » « A ce niveau, précise Xavier Stoppini, le challenge est de parvenir à contextualiser les alertes par rapport au périmètre ciblé. Ces experts, de par leur compétences, leur intuition, sont capables de déterminer si l’anomalie est avérée ou pas, en fonction des habitudes et des usages en cours dans chaque structure. » Ce service managé respecte l’outillage existant des clients. « Nous ne faisons pas de vente de service en mode boîte noire, insiste le commercial. Notre client reste propriétaire de ses produits et de ses données et nous venons en complément de ses besoins ». « Avant toute mise en place d’un SOC, un travail préliminaire d’identification de la surface d’attaque et du durcissement de l’existant est indispensable. Le SOC et le SOAR (Security Orchestration, Automation and Response) représentent les dispositifs de prévention et remédiation permanents qui interviennent dans la continuité. C’est la promesse que nous portons au sein des équipes animées par Fabien SWIERGIEL notre directeur SCC Hyperscale », souligne Agnès SAUTEL, directrice du Pôle Santé SCC France.

Une protection sur divers volets