Les organisations utilisent des outils d’analyse des vulnérabilités et des services tiers pour identifier les zones à risque sur leurs réseaux. Comprendre le niveau de risque est un élément essentiel d’une solution de sécurité efficace.
Ces cinq études de cas présentent des exemples d’organisations de différents secteurs qui utilisent des services d’analyse des vulnérabilités fournis par des tiers.
Miles Technologies
Miles Technologies est un cabinet de conseil technologique spécialisé dans l’informatique, les logiciels, le marketing et la cybersécurité. L’un de ses services consiste à identifier les vulnérabilités liées à la cybersécurité pour le compte de ses clients.
L’entreprise cherchait une solution plus rationalisée que l’approche qu’elle employait pour analyser les vulnérabilités et créer des rapports d’avancement pour ses clients. Les outils qu’elle utilisait n’étaient pas intuitifs et mobilisaient énormément de temps.
Acunetix Premium, un outil de gestion des vulnérabilités, a amélioré la manière dont Miles Technologies réalisait les analyses de vulnérabilités pour ses clients. L’entreprise a pu réduire le temps consacré à ces projets, qui est passé de 10 jours maximum à moins de trois jours ouvrés.
Parmi les autres avantages figurent la personnalisation par les clients et des rapports comprenant des listes hiérarchisées de problèmes de vulnérabilité. En définitive, avec Acunetix, son fournisseur de solution unique, Miles Technologies peut produire de meilleurs rapports sur les vulnérabilités en moins de temps qu’avec son approche distribuée précédente.
« Acunetix est notre outil d’analyse des vulnérabilités de prédilection lorsque la sécurité de l’information constitue une véritable préoccupation et que la confiance dans la sécurité est essentielle », a déclaré JP Lessard, président de Software Services chez Miles Technologies.
Secteur : Conseil en technologies
Fournisseur d’analyse des vulnérabilités : Acunetix
Cas d’utilisation : Miles Technology a fait appel à Acunetix pour améliorer la manière dont elle fournissait des services d’analyse des vulnérabilités à ses clients du secteur du conseil.
Lire l’étude de cas de Miles Technology et Acunetix.
En savoir plus sur l’analyse des vulnérabilités et son importance.
ISACA
ISACA, anciennement connue sous le nom d’Information Systems Audit and Control Association, est une association internationale à but non lucratif qui se consacre à l’élaboration et à l’adoption de bonnes pratiques de référence pour la gouvernance informatique, la sécurité et les systèmes d’information. L’organisation est de grande envergure : elle compte plus de 140 000 membres et titulaires de certifications professionnelles ISACA dans plus de 180 pays. Ses membres sont principalement des consultants, des professionnels et des enseignants.
ISACA a rencontré une difficulté majeure lorsqu’il a fallu déterminer la meilleure façon de tester les vulnérabilités sur son vaste réseau, qui comprenait des applications web et des actifs tels que des formulaires de connexion, des formulaires d’inscription, des fonctionnalités de paiement en ligne, plusieurs portails utilisateurs et des dizaines de milliers de pages web. Bien que l’organisation suive la bonne pratique consistant à utiliser un environnement de préproduction pour tester tout le code avant son déploiement dans des environnements de production, l’équipe de sécurité a dû livrer un combat difficile pour préserver l’intégrité de chaque site web d’ISACA, chacun nécessitant une maintenance et des mises à jour régulières.
Auparavant, ISACA utilisait des outils open source et des services de conseil tiers, une solution relativement peu fiable et assez coûteuse. Pour examiner en profondeur chaque surface d’attaque potentielle, ISACA avait besoin d’une approche plus automatisée de l’analyse des vulnérabilités.
ISACA a choisi Invicti Web Application Security Scanner pour automatiser ses évaluations des vulnérabilités. ISACA a retenu Invicti parce que Security Scanner fournissait des explications claires sur les vulnérabilités imminentes, pouvait évaluer les vulnérabilités à différentes étapes du développement, offrait des fonctions de personnalisation et d’automatisation et était facile à utiliser.
« Invicti a permis de mieux définir et d’expliquer les problèmes spécifiques rencontrés », a déclaré un cadre supérieur de l’équipe de sécurité d’ISACA. « Il a également contribué à la démonstration de faisabilité des évaluations de vulnérabilités pendant le développement. Il est très facile à utiliser, ce qui permet à toute notre équipe de collaborer. Bien entendu, la possibilité de personnaliser, d’analyser et d’automatiser les tâches constituait un avantage considérable. Invicti nous a aidés à identifier les points à corriger avant de migrer le nouveau code vers l’environnement de production. »
Secteur : À but non lucratif
Fournisseur d’analyse des vulnérabilités : Invicti
Cas d’utilisation : ISACA s’est associée à Invicti pour rationaliser et centraliser l’évaluation des vulnérabilités de ses applications web, améliorant ainsi l’approche fragmentée et moins approfondie qu’elle employait auparavant.
Lire l’étude de cas d’ISACA et d’Invicti.
Highmark Health Solutions
Highmark Health Solutions est un fournisseur de technologies de gestion des soins de santé qui crée notamment des solutions telles qu’une plateforme d’administration intégrée de bout en bout destinée aux clients de régimes de santé et à leurs 10 millions de membres cumulés.
En tant que grande entreprise, la gestion des vulnérabilités représentait une tâche considérable pour l’équipe des opérations de sécurité de Highmark. Bien que l’entreprise ait établi des pratiques en matière de gestion des vulnérabilités, elle craignait de ne pas connaître son niveau réel de risque.
L’entreprise s’est associée à CyLumena pour évaluer ses processus et son niveau global de vulnérabilité. CyLumena a pu identifier les lacunes dans les processus et recommander des axes d’amélioration en s’appuyant à la fois sur la cybersécurité et sur l’approche Lean Six Sigma. En définitive, Highmark a renforcé son niveau de sécurité et mis en place une démarche d’amélioration continue de ses processus de gestion des vulnérabilités.
« Au vu de nos échanges avec CyLumena, j’ai constaté que son équipe était expérimentée et professionnelle, que ses conclusions étaient très pertinentes et que ses recommandations pouvaient être mises en œuvre », a déclaré Jason Martin, responsable de la gouvernance des vulnérabilités chez Highmark Health. « Le caractère approfondi de ses processus d’évaluation et de reporting nous a fourni une base pour mettre en œuvre des améliorations dans notre programme de sécurité des applications. Je peux affirmer avec confiance que les résultats ont été concluants. »
Secteur : Technologies de la santé
Fournisseur d’analyse des vulnérabilités : CyLumena
Cas d’utilisation : Pour améliorer son approche de la gestion des vulnérabilités, Highmark Health Solutions a chargé CyLumena d’examiner ses processus, ce qui lui a permis de renforcer sa sécurité et d’améliorer sa gestion des vulnérabilités.
Lire l’étude de cas de Highmark Health Solutions et de CyLumena.
ING Wholesale Banking Ukraine
ING Bank, dont le siège se trouve à Amsterdam, aux Pays-Bas, fait partie d’ING Group, un groupe financier international établi de longue date. ING Bank compte plus de 63 000 employés et fournit des services bancaires aux particuliers et aux entreprises à plus de 32 millions de clients privés, professionnels et institutionnels dans plus de 40 pays. ING Wholesale Banking Ukraine est une filiale d’ING Group.
ING Bank Ukraine devait protéger ses services en ligne contre les cyberattaques et souhaitait identifier ses faiblesses en matière de sécurité, notamment celles liées aux applications web. L’entreprise s’est associée au cabinet de conseil en sécurité Infopulse pour cette évaluation.
Infopulse a fourni un plan complet pour remédier au niveau de vulnérabilité de la sécurité d’ING Bank Ukraine. La solution comprenait l’analyse d’informations issues de ressources publiques, un audit des serveurs web et applicatifs ciblés afin de détecter les vulnérabilités, des tests d’intrusion en boîte noire et en boîte blanche, ainsi que le piratage contrôlé des systèmes ciblés par des professionnels de la sécurité de l’information afin de confirmer les vulnérabilités identifiées et de découvrir les risques non détectés.
ING Bank Ukraine s’est déclarée satisfaite des résultats. Alexander Matsera, responsable principal du département de la gestion des risques informationnels et opérationnels, a déclaré : « De nos jours, la majorité des processus du secteur bancaire sont informatisés, et le niveau de sécurité des systèmes d’information est un indicateur important de la fiabilité d’un établissement financier. Accordant une attention particulière à la protection des informations confidentielles de nos clients et partenaires, ING Bank Ukraine réalise régulièrement des audits de sécurité et choisit ses prestataires avec soin. Infopulse a fourni une évaluation des risques de sécurité et présenté des recommandations détaillées pour améliorer le niveau de sécurité de nos systèmes d’information. »
Secteur : Banque
Fournisseur d’analyse des vulnérabilités : Infopulse
Cas d’utilisation : Hagedorn a migré vers Azure avec le FWaaS de Barracuda en toute sécurité, en conservant des protocoles de sécurité rationalisés et centralisés sur tous les sites.
Lire l’étude de cas d’ING Bank et d’Infopulse.
Keesal, Young & Logan
Keesal, Young & Logan, un petit cabinet international d’avocats d’affaires proposant une gamme complète de services, est établi à Long Beach, en Californie.
Le cabinet doit se conformer aux réglementations relatives à la sécurité de l’information, notamment HIPAA, HITECH et aux normes ABAB en constante évolution. Il s’engage également à protéger les données sensibles contre les accès extérieurs. Avec une petite équipe informatique, le cabinet cherchait une solution de sécurité externalisée pour prendre en charge l’analyse des vulnérabilités.
Digital Defense a été retenu comme solution de sécurité externalisée. L’entreprise a fourni des services d’analyse des vulnérabilités et transmis un rapport contenant une liste hiérarchisée des vulnérabilités potentielles. La solution Digital Defense, appelée Vulnerability Lifecycle Management-Professional (VLM-Pro), a été utilisée pour effectuer la découverte des hôtes et analyser les systèmes et réseaux externes et internes fondés sur IP. Les analyses ont testé de manière proactive les vulnérabilités connues ainsi que les configurations de sécurité correspondant aux pratiques courantes du secteur.
Justin Hectus, directeur de l’information, a déclaré : « Nous étions déterminés à analyser les vulnérabilités et à sécuriser notre réseau, et nous avons consacré du temps à évaluer des outils d’analyse internes et des solutions gérées. La technologie d’analyse de DD a identifié dans notre réseau des vulnérabilités qui n’avaient pas été détectées par d’autres méthodes d’analyse. La solution gérée de DD n’a pas seulement identifié les faiblesses : elle nous a également aidés à les hiérarchiser afin que nous puissions gérer les risques plus efficacement. »
Secteur : Juridique
Fournisseur d’analyse des vulnérabilités : Digital Defense
Cas d’utilisation : Keesal, Young & Logan a choisi Digital Defense comme partenaire d’externalisation pour gérer son approche de l’analyse des vulnérabilités.
Lire l’étude de cas de Keesal, Young & Logan et de Digital Defense.
En savoir plus sur les principaux outils et logiciels d’analyse des vulnérabilités.