Budgéter votre SSI, l’essentiel à savoir !

Comme nous vous l’avons évoqué juste avant, les sujets SSI à budgéter dépendent grandement de votre niveau de maturité et de votre schéma directeur SSI.  Nous pouvons néanmoins évoquer certains sujets SSI qu’il ne faut pas négliger : 

• Avant toute chose, pour mettre en place et piloter la sécurité, il faut du personnel. Le manque de ressources SSI est un problème récurrent pour de nombreuses structures. Il ne faut pas hésiter à intégrer dans son budget l’embauche de personnes qualifiées ou l’appel à des experts en cybersécurité. 
• Pour que les ressources SSI soient le plus efficaces possible, il ne faut pas hésiter à prévoir un budget pour la formation afin de les aider à atteindre leur potentiel maximum ! 
• Attaques ciblées, défaillances humaines, mauvais réflexes, etc. les utilisateurs du SI sont souvent une source d’incidents malgré eux. Consacrer une partie de son budget à la sensibilisation des salariés est essentiel. Il faut sensibiliser vos collaborateurs aux risques et aux bonnes pratiques de sécurité à respecter. Cela peut prendre plusieurs forme : affiches, newsletter, faux mail de phishing, cours en e-learning ou en présentiel, mini série mettant en scène des scénarios… Les possibilités ne manquent pas.
• Sécuriser les actifs de l’entreprise en amont constitue un bon réflexe, moins coûteux que de réparer les dommages liés à une attaque. C’est pourquoi, il convient de ne pas négliger le budget lié à l’intégration de la sécurité dans les projets (ISP).
• Faire face à un sinistre ou un incident majeur est le cauchemar de tout dirigeant et RSSI. Afin de limiter l’impact d’un éventuel sinistre, il est essentiel de définir son plan de continuité et de reprise d’activité (PCA et PRA). Mais pas seulement ! Ils doivent être testés, à minima deux fois par an, afin de vérifier que les dispositifs techniques et les procédures correspondantes répondent aux objectifs de continuité défini. Les tests permettent également aux acteurs de s’approprier les gestes techniques dont ils auront la responsabilité en cas d’activation du plan de continuité. 
• “La meilleure défense, c’est l’attaque !”. Et oui, le meilleur moyen de vérifier la robustesse de son infrastructure est de réaliser des tests qui s’apparentent à de vraies attaques informatiques. N’oubliez pas d’intégrer des tests d’intrusion dans votre budget. 
• Les journaux d’événements constituent une brique technique indispensable à la gestion de la sécurité des systèmes d’information, quelles que soient la nature et la taille de ces derniers. Les journaux sont une source d’information riche qui peut être utilisée a priori pour détecter des incidents de sécurité. Certains attaquants ont pu s’introduire sur les SI de leurs victimes plus de six mois avant que celles-ci ne s’en aperçoivent. Avoir les journaux permet alors d’investiguer et de comprendre le chemin d’attaque. C’est pourquoi, mettre en place un système centralisé de la journalisation est nécessaire pour toute société. Autre avantage, ce système peut aussi aider les équipes de production lorsqu’elles rencontrent un problème. Les frais peuvent donc être partagés avec eux !
• Détecter les signaux des attaques est l’un des meilleurs moyens de pouvoir la contrer à temps. C’est pourquoi il ne faut pas hésiter à prendre en compte dans le budget, la gestion du SIEM (Security Information and Event Management, « Gestion de l’information et des événements de sécurité »). Le SIEM analysera en temps réel les journaux pour obtenir les alertes vous permettant d’agir au plus vite vite avant qu’une attaque ne devienne irrémédiable.
• Il également important d’avoir une partie du budget consacré au système de gestion des actifs, permettant de s’assurer que l’entièreté de votre parc informatique est à jour. Beaucoup de sociétés oublient de mettre en place un tel système et finissent par oublier une machine ou une partie de leur cloud… qui devient alors une porte d’entrée pour les attaquants ! 
• En outres, d’autres sujets doivent également faire partie de votre budget : audit de sécurité, analyse de risque, solutions de sécurité, licences Antivirus, réponse aux incidents, … la liste peut être très longue.

Pour certaines solutions de sécurité, le coût de l’investissement est à budgéter, mais pas seulement. Il ne faut surtout pas omettre les coûts liés à l’exploitation de ces outils ! 

Si vous avez des difficultés à définir votre budget SSI, n’hésitez pas à faire appel à Allistic, nous serons ravis de vous aider !