Enterprise Division

BitSight

Gérer la performance de la politique de Cyber Sécurité

Une grande entreprise française de services publics, présente à l’international, a décidé de mettre en place une mesure objective de ses cyber risques, à l’échelle du groupe et de toutes ses filiales. Elle a divisé son organisation en services commerciaux et en services opérationnels, avec pour objectif principal la diligence, l'analyse et la recherche de toutes les cyberinfections sur ses ‘endpoints’. Le résultat s’est traduit par une réduction de son exposition aux cyber risques et par l’amélioration de sa note passée de 580 à plus de 700 points.

Gestion des risques liés aux Tierces Parties et mise en conformité avec la directive de l’Autorité Bancaire Européenne (ABE – EBA)

Les règles dictées par l'Autorité bancaire européenne exigent que les banques et toutes les organisations financières (Fintechs) effectuent leur propre analyse des risques, y compris ceux de leurs fournisseurs importants ou bien ceux des prestataires d’externalisation. Ces règles prévoient une série de contrôles et d'évaluations destinés à déterminer le risque global de la banque. La solution BitSight est utilisée pour évaluer, analyser, contrôler et gérer la réduction des risques des fournisseurs concernés par les cyber risques, et pour entreprendre des mesures sérieuses de réduction des risques.

Process Unity

Dans le cadre des processus d'évaluation du risque fournisseur, le besoin est apparu de structurer, d'automatiser, de gérer et de contrôler l'ensemble du flux d'opérations afin d'évaluer tous les aspects de risque et de conformité.

Les principaux défis consistaient à suivre un flux opérationnel aussi proche que possible des processus commerciaux sans les perturber et à obtenir des résultats en termes d'efficacité et de mesure. Compte tenu du grand nombre de fournisseurs à analyser, il était nécessaire de structurer et de personnaliser tous les questionnaires relatifs à l'évaluation et à la diligence, de gérer la documentation de manière centralisée et surtout d'obtenir un résultat immédiat et concret des mesures de risque.

Compte tenu du grand nombre de fournisseurs et leur diversité d’activités, les anciens systèmes de questionnaires basés sur des feuilles Excel et des courriel sont obsolètes. Le processus doit être un cycle continu dans le temps et, par conséquent, tout le travail doit être automatisé avec un système d’information, les données recueillies doivent être analysées globalement, pour procéder à l'évaluation du risque global. 

Les défis ont été surmontés grâce à l'utilisation de ProcessUnity, une plate-forme qui a permis de gérer l'ensemble du cycle de vie des fournisseurs avec des évaluations dans différents domaines, mais surtout qui a permis d’optimiser les temps de travail et ainsi de réduire la charge de travail des différentes équipes : Achats, risques et sécurité informatique.

Picus

Dans le cadre de cette évolution des processus, la nécessité de valider la robustesse et la validité des politiques de certains services centraux est apparue concernant l’infrastructure :

Filtrage Web
Waf
E-mail
End Points
Navigation dans les domaines de serveurs
Vulnérabilités immédiates potentielles (ex : nouveaux playloads etc...)

Pour ce faire, nous devons constamment simuler les attaques sur ces systèmes sans interruption de service, mais surtout en essayant de rester dans le champ d'application de la conformité et des risques gérés ou connus.

Picus vous permet d'analyser et d'examiner vos risques en fonction de nouveaux modèles de configuration du périmètre et des systèmes de protection, ainsi que de la robustesse des endpoints  et de tous les systèmes qui y sont connectés. En outre, dans le contexte du RGPD, Picus est en mesure de vérifier l’exportation de données internes à l'entreprise via les canaux les plus populaires (e-mail, https, FTP ou autre) afin d'éviter toute fuite de données, volontaires ou involontaires.