Les EDR, la poule et le cochon

Je me suis déjà ouvert dans ces mêmes colonnes[1] des réserves sur les technologies d’EDR, et je vais en rajouter une couche. En blindant les accès extérieurs, c’est-à-dire :

– MFA généralisée pour tous les agents ;

– enrôlement des terminaux mobiles pour accéder à des ressources publiées telle la messagerie ;

– sécurisation des accès VPN fournisseurs (voir cet autre article[2]),

il est facile de compter le nombre d’attaques cyber (hôpitaux ou pas) qui n’auraient pas eu lieu (les attaques en Supply Chain par exemple auraient toutes été déjouées). De plus, les moyens financiers et en RH sont faciles à estimer et paradoxalement très faibles. Pour la sécurisation des accès VPN fournisseurs, cela ne coûte pas un radis, seulement des heures de travail en interne et de la procédure. Pour la MFA, la plupart des briques techniques existent déjà sur le marché à coût raisonnable, le reste, c’est de la conduite du changement. Je passe d’ailleurs sur le fait qu’au dernier congrès de l’Apssis le trublion Charles Blanc Rolin a montré comment on pouvait assez facilement passer sous le radar d’un EDR…

Par contre, pour les EDR, à part les incantations zorglubiennes et des techniques marketing qui datent manifestement du précambrien, j’attends toujours des études objectives (et pas par des organismes exotiques), des bancs d’essai rigoureux (et pas des magic quadrants sortis d’un dessin animé de Disney) et, please, merci d’éviter les poncifs dans le genre « l’application bidule détient le plus haut niveau de prévention du marché comme le confirment les analyses du Forrrrrrester et Zorglab qui ont établi une efficacité de 100 % sur l’application On Premise, comme vous pouvez le constater sur la copie écran ci-dessous » (authentique). Conseil personnel aux dircoms des éditeurs : si vous en êtes encore au stade de la réclame télévisuelle des années 1950, remplacez vos commerciaux de terrain par ChatGPT et retirez la masse salariale du prix des licences, on ne pourra que mieux faire. Parce qu’au cas où vous ne l’auriez pas remarqué, en 2023, l’époque est à la démonstration ou au moins à l’évaluation de l’efficacité des dispositifs tous secteurs confondus.

En fait, je suggère de changer radicalement de paradigme, et que les fournisseurs ne s’engagent plus, mais s’impliquent. La différence ? Dans les œufs au bacon, la poule s’engage et le cochon s’implique.

Et si on disait qu’après avoir signé le chèque des licences EDR sur tout mon parc au tarif catalogue (je suis bon prince, gardez les réduc) le fournisseur (dont le produit est manifestement parfait, cf. l’allégorie zorglubienne du dessus) s’implique et consente à des pénalités calculées de la sorte :
Pénalité mensuelle = CA mensuel de l’établissement x taux d’asset IP hors service.
Pour ordre de grandeur, si 10 % de mon parc était touché, cela coûterait environ 10 millions d’euros par mois de pénalités. Si les produits sont si parfaits, aucun problème, n’est-ce pas ?

On joue ?

[1]   /article/5208/les-edr-ou-le-debat-conceptuel.html 

[2]   /article/5196/la-cyber-confrontee-a-la-question-des-acces-fournisseurs.html 

L'auteur 

Responsable Sécurité des systèmes d’information et correspondant Informatique et Libertés au CHU de Nantes, Cédric Cartau est également chargé de cours à l’École des hautes études en santé publique (EHESP). On lui doit aussi plusieurs ouvrages spécialisés publiés par les Presses de l’EHESP, dont La Sécurité du système d’information des établissements de santé.