La sélection d’un fournisseur de services managés (MSP) nécessite une certaine prudence

Dans un monde où les cyber-menaces sont en constante évolution, le choix du futur fournisseur de services IT peut être crucial pour l’entreprise

Vous arrivez au bureau un matin et votre patron vous arrête avant même que vous puissiez vous assoir et démarrer votre ordinateur. Un hacker a accédé aux données de votre entreprise et les retient en otage contre une rançon de bitcoin, et personne dans l’entreprise ne peut accéder aux fichiers dont il a besoin pour faire son travail.

Toute l’entreprise est à l’arrêt.

Comment est-ce possible? Votre entreprise a passé un contrat avec un fournisseur de services managés (MSP) qui vous fournit – en plus des services cloud et du support technique – des solutions de sécurité qui auraient dû empêcher cette attaque.

Cependant, après quelques recherches, il a été découvert que le MSP lui-même est à blâmer. D’une manière ou d’une autre, les hackers ont d’abord accédé au réseau du MSP, ce qui a donné accès aux criminels à des centaines de PME.

Alors comment savez-vous quel MSP vous protégera – non seulement des attaquants – mais aussi contre eux-mêmes?

Selon les experts de l’association professionnelle informatique CompTIA, les pratiques de cybersécurité devraient être la principale préoccupation lorsque les entreprises, peu importe leur taille, externalisent leurs opérations informatiques et de sécurité.

L’industrie informatique réagit á de nouveaux secteurs

Le taux d’attaques contre les MSP et d’autres acteurs clés de la technologie a tellement augmenté que l’industrie a répondu en nature et a donné naissance aux Managed Security Services Providers (MSSP), qui sont essentiellement des MSP axés sur la cybersécurité.

Selon Carolyn April, directrice principale de l’analyse chez CompTIA, les MSSP sont davantage une organisation pure play qui embauche un large éventail de spécialistes de la cybersécurité et exploite généralement leur propre centre d’opérations de sécurité (SOC).

«Ils prennent la cybersécurité un peu plus au sérieux que les MSP classiques», explique April.

De nombreux fournisseurs informatiques doublent leurs options de sécurité et deviennent des MSSP. En plus d’une bonne stratégie de marque pour l’entreprise, cela apporte plus d’outils de sécurité au-delà d’un pare-feu et d’un logiciel antivirus.

Cela comprend l’embauche de responsables et d’analystes de sécurité, d’ingénieurs, d’architectes et d’experts en tests de pénétration de haut niveau. En revanche, les MSP ordinaires ne comptent qu’un ou deux experts au sein du personnel.

« S’ils le prennent au sérieux, ils mettent la sécurité au premier plan de leurs clients », a déclaré April.

Renseignez-vous

Lors de réunions avec des MSP pour des contrats potentiels, les utilisateurs finaux devraient venir avec un certain niveau de connaissance et une liste de questions propre à leur activité, explique Seth Robinson, directeur principal de l’analyse technologique chez CompTIA.

S’ils ne le font pas, ils courent le risque de se noyer dans le jargon informatique.

«Cela peut sembler bon, mais cela pourrait ne pas répondre pleinement à la question», dit Robinson.

Les menaces évoluent constamment et malgré leur expertise en matière de sécurité réseau, les MSP et même les MSSP ne sont pas à l’abri. Il suffit d’une milliseconde de défaillance ou d’un écart par rapport aux pratiques de sécurité établies pour que des dizaines de clients soient compromis.

Il existe maintenant un certain nombre de façons et de méthodes que les pirates utiliseront pour infiltrer la base de clients d’un MSP, comme les attaques de phishing, les ransomwares et les applications de bureau à distance compromettantes.

L’utilisateur final doit être conscient de ces menaces et être armé de questions sur la façon dont son fournisseur potentiel combat ces attaques.

«Si les utilisateurs finaux veulent interroger leur MSP ou MSSP sur leurs pratiques, ils devront être formés eux-mêmes dans une certaine mesure», explique Robinson.

Testez votre fournisseur de sécurité potentiel

Une fois que l’utilisateur final a été éduqué, Robinson suggère de poser deux questions clés à son fournisseur de services potentiel:

• Que font-ils en matière de sécurité des données?

«S’ils sont un fournisseur de cloud et que les opérations sont réparties sur plusieurs sites, les questions doivent porter sur la sécurité des données et pas seulement sur la sécurité du réseau», explique Robinson.

• Que fait le MSP avec son propre personnel?

«L’un des principaux types d’attaques est le phishing», explique Robinson. L’utilisateur final devrait essayer d’avoir une idée de ce que fait le MSP pour éduquer son propre personnel sur les menaces de sécurité modernes afin qu’il ne soit pas victime de ce genre de choses.

Selon April, les utilisateurs finaux ne devraient pas tenir pour acquis la prétendue expertise des fournisseurs. Les questions doivent approfondir les activités, les offres et l’historique des violations du MSP:

Sont-ils passés par la rigueur de devenir un MSSP?

Quel pourcentage de leurs revenus totaux provient des services de sécurité ou des services de conformité par opposition à autre chose?

«Idéalement, ils sont tous axés sur la sécurité», explique April.

Source: « https://contr D/network-security/msp-cybersecurity/ »