Joshua Corman est le jeune génie de la sécurité d'IBM. Agé de 33 ans, il cultive le parler vrai quand il s'agit de son secteur. Il était de passage à Paris le jeudi 12 février. Il avait fait sensation il y a un an avec une conférence où il dévoilait les 7 vérités sur la sécurité des réseaux d'entreprise.

Réseaux et télécoms : La sécurité coûte cher, et elle fait partie des budgets dans lesquels les entreprises taillent actuellement. Comment sauver son budget sécurité quand on est RSSI ?
Joshua Corman : Certains projets doivent être maintenus : il s'agit de ceux liés à la conformité réglementaire, tels que PCI DSS. Mais attention, si vous préparez uniquement l'audit réglementaire, vous allez jeter l'argent par les fenêtres. Il vaut mieux débuter par du Risk Management, ce qui vous permettra d'évaluer vos risques avec les méthodes les plus récentes et de vous orienter vers des solutions modernes. Et ensuite seulement, vous passerez l'audit de conformité. Le cadre de conformité est le minimum qu'il faut mettre en place. Cela ne suffit pas.

Réseaux et télécoms : comment s'y prend-on afin d'évaluer ses risques ?
Joshua Corman : On peut prendre Cobit comme méthode, mais ce n'est pas la seule. Elle présente la sécurité en cinq ensembles : sécurité liée aux personnes (droits d'accès, ...), sécurité des données et de l'information, sécurité des applications, sécurité des infrastructures, et sécurité physique (vidéo surveillance, par exemple). Ceci dit, aujourd'hui, ces cinq ensembles sont traités comme des silos séparés et font l'objet d'offres de différents fournisseurs. Ce qui fait que l'on aboutit à des solutions coûteuses. Aujourd'hui, le marché de la sécurité est trop complexe et trop cher. Par exemple, si vous voulez assurer vous-même la conformité à PCI, il vous faut assembler les produits de 12 vendeurs avec 12 consoles de supervision différentes. C'est comme si on vous demandait de bâtir votre voiture vous-même. C'est d'ailleurs la même chose, si vous voulez combattre les menaces.

. Web-profils.com, la place de marché du conseil et de l'ingénierie