Quand l'ITSM rencontre la sécurité informatique: KIX et Greenbone comblent une faille de sécurité

Afin de combler cette lacune critique dans la gestion de la sécurité informatique, les deux pionniers de l'open source, KIX Service Software et Greenbone, ont conclu un partenariat technologique stratégique. Grâce à l'intégration approfondie de la technologie d'analyse des vulnérabilités OPENVAS dans le système ITSM KIX, les failles de sécurité détectées sont désormais automatiquement converties en tickets structurés. Il en résulte un processus continu et souverain sur le plan numérique, allant de l'analyse automatisée à la correction complète et vérifiable.

La sécurité informatique s'est-elle réellement détériorée aujourd'hui, ou en parle-t-on simplement davantage ?

Elmar Geese : Le principal problème, c’est que la surface d’attaque s’est considérablement élargie. Au début des années 2010, on comptait environ 10 000 nouvelles vulnérabilités par an ; aujourd’hui, on en est à plus de 50 000. Et les anciennes ne disparaissent pas comme par enchantement. C’est pourquoi leur nombre se chiffre probablement aujourd’hui en millions – avec un nombre important de cas non recensés. À cela s’ajoute le fait que les attaquants ont toujours l’avantage et bénéficient en outre d’une forte incitation économique. Une seule faille leur suffit, tandis que les défenseurs doivent tout couvrir à tout moment.

Rico Barth : Mais il est vrai aussi qu’on en parle davantage aujourd’hui. Après tout, le sujet est presque omniprésent et les dommages potentiels sont plus importants que jamais. Que ce soit par le biais de rançongiciels, où les auteurs exigent des sommes élevées pour débloquer les systèmes, ou en s’infiltrant dans des logiciels pour espionner autant que possible et frapper plus tard. Nous constatons l’importance de ce domaine lors de nos échanges avec nos partenaires et nos clients. Pour eux, il s’agit avant tout d’évaluation des risques, de planification et de processus durables – c’est-à-dire l’aspect administratif et stratégique de la sécurité informatique.

Est-ce dû aux développeurs ou à la complexité croissante des logiciels et du matériel informatique ?

Elmar Geese : Cela tient avant tout à cette complexité croissante. Et au fait que les logiciels s'immiscent dans de plus en plus de domaines de la vie quotidienne. À certains égards, les logiciels et le matériel informatique se recoupent, par exemple lors des mises à jour du micrologiciel. Mais la grande majorité des failles se trouve clairement dans les logiciels – dans les applications, les systèmes d’exploitation ou leurs configurations. Il s’agit souvent de contrôles d’accès insuffisants, de débordements de tampon ou de données d’entrée non valides. Mais d’autres facteurs jouent également un rôle. Une technologie obsolète, par exemple, ou le fait que la cybercriminalité soit aujourd’hui un modèle économique, en partie orchestré par des États.

Avec vos entreprises, vous vous engagez également en faveur des logiciels libres. Est-ce là une aubaine pour certains détracteurs du secteur de la sécurité ?

Rico Barth : C'est vrai, il n'y aura certainement jamais de consensus sur la question de savoir si les solutions ouvertes ou fermées offrent une plus grande sécurité. À première vue, les critiques à l'égard de l'open source sont compréhensibles, voire inhérentes à la nature même de ce concept : l'ouverture. Tous les utilisateurs peuvent consulter le code source ; théoriquement, des personnes mal intentionnées peuvent donc également repérer des failles. Mais c’est précisément cette ouverture qui fait toute la différence pour nous, chez KIX. En effet, grâce à la collaboration de la communauté, les failles de sécurité peuvent être identifiées et corrigées très rapidement.

Elmar Geese : Les logiciels sont toujours vulnérables, que leur code source soit public ou non. Ce qui aide nos clients, ce n’est pas de savoir ce qui est théoriquement plus ou moins sûr, mais comment ils peuvent se protéger de manière optimale dans leur utilisation des technologies de l’information. C’est pourquoi nous testons les solutions en conditions réelles d’exploitation, car c’est là que réside en fin de compte la vérité. Tout comme KIX, nous avons choisi d’offrir à nos clients les possibilités de l’open source en tant que valeur ajoutée, car nous pensons que l’ouverture constitue toujours un atout pour les clients. Même les offres propriétaires contiennent des composants open source, ce qui signifie qu’elles divulguent indirectement leurs sources – mais de manière plus sélective que nous ne le faisons. On ne peut toutefois pas en déduire quoi que ce soit concernant la sécurité du logiciel. C’est là qu’interviennent des produits comme les nôtres.

Comment expliqueriez-vous à des non-initiés l'interaction entre l'ITSM et la gestion des vulnérabilités, ainsi que la technologie qui les sous-tend ?

Elmar Geese : Notre objectif est de détecter les vulnérabilités avant que des pirates ne puissent en tirer parti. Pour cela, notre application OPENVAS analyse l'ensemble de l'environnement informatique, de tous les actifs, des logiciels au matériel. Vous pouvez vous l'imaginer ainsi : vous habitez dans une maison et disposez d'un essaim de robots chargés de la protéger contre les cambrioleurs. Les robots se dispersent, vérifient chaque porte, chaque fenêtre, chaque serrure. Et dès qu’ils ont détecté une vulnérabilité et l’ont jugée critique, ils donnent l’alerte et le service de sécurité vérifie s’il y a lieu d’intervenir et, le cas échéant, quelles mesures prendre. Dans notre cas, la maison correspond à l’environnement informatique d’une entreprise ou d’une administration.

Rico Barth : Et c’est là que nous intervenons, en quelque sorte en tant que propriétaire. Lorsqu’OPENVAS détecte une vulnérabilité, celle-ci est automatiquement signalée à notre logiciel de gestion des services informatiques. Un ticket y est créé et le workflow se déclenche automatiquement. Le processus est préclassé comme « incident de sécurité », associé à l’équipement informatique ou au logiciel concerné issu de la base de données des actifs propre à KIX, puis transmis à l’équipe compétente pour un examen et un traitement approfondis. Toutes les informations essentielles concernant la vulnérabilité détectée sont directement visibles sur le ticket : pas besoin de longues recherches ni de conjectures. Les administrateurs informatiques identifient immédiatement ce qui est concerné, qui doit être informé et quelle est la nature de la menace dans le contexte global de l’ensemble des actifs. Nous évitons ainsi à la fois l’informatique fantôme et la perte de visibilité.

Quelle est aujourd'hui l'ampleur du problème de ce qu'on appelle l'« informatique fantôme » ?

Rico Barth : Assez important, malheureusement. La base de données des actifs fait le lien entre l’état théorique et l’état réel de l’environnement informatique. Il y a parfois des lacunes, par exemple lorsqu’un service métier achète à la hâte un logiciel ou un équipement informatique sans passer par le processus d’autorisation centralisé. Un audit approfondi permet de corriger ces écarts dans l’inventaire des actifs et de les intégrer au processus normal de gestion informatique. C’est particulièrement utile compte tenu de la pénurie de personnel qualifié dans le secteur informatique, car cela permet de gagner beaucoup de temps en recherches manuelles et permet aux équipes de se concentrer sur leurs tâches principales.

Elmar Geese : Nos clients ont souvent de grandes surprises lorsque nous passons leur réseau au crible pour la première fois. L’informatique fantôme est tout simplement un problème de complexité : plus l’entreprise est grande, plus il est difficile d’y maintenir de l’ordre.

Rico Barth : Tous les secteurs réglementés, tels que les administrations communales, régionales et fédérales, les forces de sécurité, les hôpitaux, les services de secours et les banques. En principe, toutes les organisations et entreprises devraient toutefois élargir leur horizon tout en tenant compte des exigences liées, par exemple, à la directive NIS-2, à la loi sur la cyber-résilience ou à la protection de base du BSI. Cela permet de réduire considérablement la surface d'attaque pour les pirates informatiques.

Elmar Geese : Aujourd'hui, les cyberattaques exploitent plus souvent des failles logicielles que des identifiants volés. Nous constatons donc une demande croissante pour nos solutions, mais aussi pour de nouvelles fonctionnalités. Cette année, cela concerne principalement l’analyse des conteneurs, les agents et l’intégration plus poussée de l’IA. Et bien sûr, nous sommes très impatients de voir comment l’intégration avec KIX sera accueillie par le marché.

Rico Barth : Chez KIX, nous avons toujours pris en compte la sécurité, même si notre priorité reste l’ITSM. Notamment grâce à l’anonymisation des données, au chiffrement et à l’authentification sécurisée à deux facteurs. De même, l’intégration de logiciels SMSI (Système de gestion de la sécurité de l’information) constitue un pilier important de la sécurité informatique, tout comme la planification et la documentation entièrement intégrées pour les contrôles de conformité, afin de répondre, par exemple, aux exigences de la norme ISO 27001. Nous souhaitons poursuivre dans cette voie à l’avenir. Bien sûr, toujours avec l’open source. L’ouverture et la transparence sont importantes pour nous, car elles constituent à nos yeux un élément fondamental d’une relation de confiance avec nos clients.