Rapport sur l'état de la gestion des menaces : ce que révèlent 550 professionnels de la sécurité

Les équipes de sécurité disposent de plus d'outils, de plus de données et d'une meilleure visibilité sur leur surface d'attaque que jamais auparavant. Alors pourquoi 84 % d'entre elles sont-elles encore victimes d'attaques exploitant des risques qu'elles connaissaient déjà ?
C'est cette question qui nous a poussés à commander le rapport sur l'état de la gestion des menaces. Et les réponses, issues d'une enquête indépendante auprès de plus de 550 décideurs et praticiens de la sécurité dans neuf pays, méritent toute votre attention.

En résumé

• La visibilité n'est plus la principale contrainte. Le plus grand obstacle est de transformer les données de sécurité en décisions, puis en actions.
• Même avec de nombreux outils et flux, la plupart des organisations n'ont toujours pas une vue claire et consolidée de leur surface d'attaque, les signaux restent donc fragmentés.
• La priorisation est le goulet d'étranglement. Les risques connus ne sont pas traités assez rapidement, et le travail manuel ralentit la détection, la réponse et la remédiation.
• La tendance va vers une validation continue et fondée sur des preuves, l'IA apportant le plus de valeur lorsqu'elle soutient des workflows structurés (et non des outils dispersés).

Pourquoi nous avons commandé cette étude

Les rapports sur la threat intelligence ne manquent pas. Ni sur la gestion de l'exposition. Ni sur le GRC. Alors pourquoi en publier un de plus ? Eh bien, le secteur évolue rapidement, et les organisations ne traitent plus ces domaines comme des pratiques distinctes. Au contraire, le SOC moderne converge clairement vers une approche unifiée de la gestion des menaces.

La CTI sans validation de l'exposition n'est qu'une information. La gestion de l'exposition sans threat intelligence n'est qu'une liste de vulnérabilités et de tests statiques. Et la sécurité sans quantification des risques vous laissera coincé dans les détails techniques, invisible au niveau métier.

Cette convergence vers une gestion unifiée des menaces est la raison pour laquelle nous voulions avoir une vision d'ensemble : comment les organisations gèrent les menaces à travers l'intelligence, l'exposition, la validation et le risque, et si ces fonctions sont réellement connectées.

Cela signifiait également examiner de près CTEM pour comprendre s'il s'agit d'un cadre significatif ou d'un énième buzzword dans la sécurité.

Et oui, nous voulions également obtenir des insights sur l'IA et l'automatisation. On sait, pas vraiment une surprise. Mais les données racontent une histoire plus spécifique que le battage médiatique général, et elle vaut la peine d'être lue.

Read the report

Ce que le rapport a révélé

Le titre est simple : la visibilité n'est plus le problème. C'est l'opérationnalisation qui l'est.

Les équipes de sécurité ne manquent pas de données. Elles manquent de la capacité à transformer ces données en décisions, et ces décisions en actions, à la vitesse qu'exige le paysage des menaces. Et avec l'IA en tête de pratiquement toutes les actualités en cybersécurité, ce n'est pas vraiment surprenant.

Mais comment en est-on arrivé là ? Le rapport regroupe ses conclusions en 4 grands insights de haut niveau. Voici un aperçu rapide :

1. Le déficit d'exposition : plus de données, moins de clarté

Ce qui a immédiatement ressort est que, bien que les organisations déclarent avoir tous les outils et données en place qui sembleraient suffisants, la majorité rencontre toujours des problèmes de visibilité qui, à leur tour, laissent les organisations incapables de détecter, prioriser ou répondre efficacement aux menaces modernes.

93 % des organisations ont du mal à maintenir une vue précise et à jour de leur surface d'attaque, et seulement 41 % sont capables d'avoir une vue entièrement consolidée de leur exposition aux cyber-risques.

Le problème n'est donc pas un manque d'outils, mais la fragmentation des ressources qu'elles ont déjà pour gérer les menaces. La télémétrie interne, les données de menaces externes et les signaux de vulnérabilités se trouvent dans des silos plutôt que de nourrir une image unifiée. De plus, les organisations reçoivent en moyenne 14 flux de threat intelligence différents, mais moins de la moitié ont pleinement intégré cette intelligence dans leurs workflows.
En bref : plus d'entrées ne produisent pas nécessairement de meilleures sorties.

2. Le goulet d'étranglement de la priorisation : savoir ≠ agir

La prochaine découverte de haut niveau : la conscience des menaces ne se traduit pas par une protection contre celles-ci – il y en a tout simplement trop à suivre. Et passer au crible les menaces qui mettent réellement une organisation en danger nécessite plus que de simples outils.

84 % des répondants affirment que les attaques qu'ils subissent exploitent souvent des risques qui étaient déjà connus mais non priorisés.
82 % disent également que les processus manuels rendent plus difficile la détermination des risques nécessitant une attention immédiate.

La priorisation n'est pas un concept nouveau dans le domaine de la gestion des menaces, mais il semble que c'est plus facile à dire qu'à faire.

Lorsque la priorisation dépend de l'assemblage de données provenant d'outils déconnectés, tout ralentit. La plupart des organisations mettent plus d'un jour pour détecter (72 %), répondre (71 %) et remédier (83 %) aux incidents.

La conséquence ? 42 % du temps des analystes est perdu à enquêter sur des risques potentiels qui s'avèrent par la suite être de faible priorité ou non exploitables.

Défis rencontrés lors de la validation de l'exploitabilité réelle des risques de sécurité

Défis rencontrés lors de la validation de l'exploitabilité réelle des risques de sécurité

3. Valider pour évaluer la préparation : un instantané ne suffit pas

Même avec les bons outils et systèmes de priorisation en place, la validation des menaces reste un point précis. Avec l'augmentation de la fréquence, de la vitesse et de la sophistication des attaques, cela ne fait que sens – et ne fera qu'empirer.

Aujourd'hui, 97 % des organisations déclarent avoir des difficultés à confirmer si les expositions sont réellement exploitables. Et seulement 38 % utilisent la threat intelligence dans un processus de validation continu et entièrement automatisé.

Le marché sait où il doit aller : s'éloigner des instantanés périodiques et aller vers une validation continue et fondée sur des preuves. L'Adversarial Exposure Validation émerge comme la voie pratique pour y parvenir.

4. L'avenir de la gestion de l'exposition aux risques : l'IA accélère, mais la structure compte aussi

Seulement 37 % des processus de gestion de l'exposition sont actuellement pilotés par l'IA, ce chiffre devant atteindre 59 % d'ici deux ans.

Sans surprise, l'IA et l'automatisation seront essentielles dans la gestion des menaces et de l'exposition. Ce qui est intéressant, cependant, c'est comment et où l'IA peut être la plus bénéfique.

Les domaines où l'IA apporte le plus de valeur correspondent directement aux endroits où les processus manuels se sont historiquement effondrés : détection, validation et priorisation. Mais la technologie seule ne comble pas le fossé. Environ 75 % des organisations prévoient d'investir dans la quantification des cyber-risques et les capacités GRC au cours des 12 à 24 prochains mois, reconnaissant que les résultats techniques doivent se traduire en décisions de risque prêtes pour le métier.

Domaines de la gestion de l'exposition les plus susceptibles de bénéficier de l'IA et de l'automatisation

Domaines de la gestion de l'exposition les plus susceptibles de bénéficier de l'IA et de l'automatisation

Ce que cela signifie pour l'avenir de la gestion des menaces

Dans l'ensemble, la conclusion la plus importante de ce rapport n'est pas simplement ses insights individuels, mais plutôt les schémas et l'interconnexion de l'évaluation, de la validation et de la réduction des risques que les données ont révélés. Et au centre se trouve la threat intelligence qui s'étend à travers tout cela, agissant comme une fondation des programmes CTEM, mais sous-utilisée aujourd'hui.

Chaque défi révélé par les données – le déficit d'exposition, le goulet d'étranglement de la priorisation, le manque de validation, la poussée vers l'IA – correspond directement à ce qu'un processus de gestion des menaces mature et connecté est conçu pour traiter.

Les investissements futurs dans la gestion de l'exposition sont donc motivés non seulement par les facteurs externes évidents – augmentation des menaces, sophistication des attaques et réglementations – mais aussi par les processus internes qui doivent correspondre au paysage moderne des menaces.

En bref, les organisations savent qu'il y a un problème, mais il leur manque le processus continu et intégré pour agir en conséquence.

Facteurs les plus importants lors de l'évaluation de nouveaux outils ou capacités de gestion de l'exposition

Comment ces conclusions s'alignent avec CTEM

Alors où cela nous laisse-t-il avec CTEM ?

Le rapport est allé au-delà de la mesure de l'adoption et a en fait comparé comment les organisations se comportent à différents stades de maturité CTEM : celles qui « prévoient » de mettre en œuvre un cadre CTEM par rapport à celles ayant un programme pleinement établi.

Clairement, les données révèlent que la maturité CTEM a un impact sur la façon dont les équipes de sécurité opèrent. Par exemple, les organisations avec des programmes CTEM établis montrent une adoption GRC supérieure de 22 points et s'appuient 27 points de moins sur les tests de pénétration que celles encore en phase de planification, montrant un changement structurel clair. Même les schémas d'adoption de l'IA changent : les organisations en phase de planification veulent que l'IA révèle les menaces, les organisations matures veulent qu'elle les valide et les classe.

CTEM pourrait ne pas être qu'un buzzword de cybersécurité après tout, car il aide réellement à la transformer.

Comment utiliser ce rapport

Le rapport est avant tout une lecture instructive sur où en est l'industrie dans son évolution vers la gestion étendue des menaces. Mais il a également des implications pratiques pour les praticiens de la sécurité :

• Benchmarking : Où en êtes-vous ? Utilisez ces données pour comparer la maturité de votre organisation avec celle de plus de 550 pairs sur la visibilité, la priorisation, la validation et l'automatisation.
• Validez vos problèmes : Quelque chose vous parle trop ? Utilisez les insights pour valider les défis opérationnels que votre équipe rencontre déjà et donnez-leur un nom soutenu par des données indépendantes.
• Planifiez l'avenir : Où voulez-vous être ? Utilisez le rapport pour tracer un chemin vers l'avant et vous aligner sur les cadres et processus qui comptent pour vous, votre équipe et l'industrie (MITRE ATT&CK, CTEM, DORA…etc).

À qui s'adresse ce rapport

Ce rapport s'adresse à toute personne intéressée par une tendance industrielle en évolution rapide. Mais il a été écrit pour les personnes qui sont les plus proches du problème, qu'il s'agisse de gérer la stratégie, de faire le travail ou de prendre les décisions d'investissement. Par exemple :

• Les responsables et décideurs de la sécurité (CISO, VP, responsables des opérations de sécurité) qui ont besoin de preuves tierces de l'état de leurs programmes et du langage pour défendre le changement en interne.
• Les praticiens et analystes (threat intelligence, équipes red et purple, risque et conformité) qui font face à ces défis quotidiennement et veulent des données pour appuyer ce qu'ils savent déjà.
• Les dirigeants et parties prenantes du conseil (CFO, CRO, membres du conseil) qui ont besoin d'une vue pertinente pour le métier de la maturité des cyber-risques à travers l'industrie, sans le jargon technique.

Lisez le rapport complet dès aujourd'hui

Le rapport complet sur l'état de la gestion des menaces est disponible dès maintenant, gratuitement et sans restriction.

Read the report