De la NIS2 au SASE : la nouvelle carte de la cybersécurité d'entreprise

La cybersécurité d'entreprise n'est plus compréhensible comme un ensemble d'outils isolés. L'arrivée de la directive NIS2, l'augmentation du travail hybride, la dépendance à l'égard du nuage et la professionnalisation de la cybercriminalité ont transformé l'approche de sécurité dans les entreprises. Aujourd'hui, protéger une entreprise exige une vision stratégique, une conformité réglementaire et des architectures capables de sécuriser les utilisateurs, les données, les applications et les réseaux depuis n'importe où.

Dans ce nouveau scénario, des concepts tels que NIS2, SASE, Confiance zéro, SD-WAN o gestion des risques ne sont plus des termes techniques réservés au département informatique. Ils font désormais partie de la continuité des activités, de la confiance des clients et de la responsabilité de la direction.

NIS2 : bien plus qu'une obligation normative

La Directive NIS2 créée pour élever le niveau de cybersécurité dans l'Union européenne. Elle remplace l'ancienne directive NIS1 et élargit son champ d'application avec un cadre plus exigeant, une supervision accrue et des obligations renforcées pour de nombreuses organisations considérées comme essentielles ou importantes.

Cela signifie que la cybersécurité passe d'une recommandation à une exigence organisationnelle. Les entreprises concernées doivent adopter des mesures techniques, opérationnelles et de gestion pour réduire les risques, prévenir les incidents et réagir de manière appropriée s'ils surviennent.

La directive NIS2 couvre un large éventail de secteurs considérés comme essentiels pour le fonctionnement de la société et de l'économie. Voici les principaux domaines : **Secteurs Clés (Essentiels) :** * **Énergie :** Électricité, pétrole, gaz. * **Transport :** Aérien, ferroviaire, maritime, routier. * **Banque :** Établissements de crédit. * **Marchés financiers :** Systèmes de négociation, dépositaires centraux de titres, chambres de compensation. * **Santé :** Établissements de santé, laboratoires de sécurité biologique, centres de recherche et développement de produits médicaux. * **Eau :** Eau potable, eaux usées. * **Infrastructures numériques :** Fournisseurs de réseaux de communications électroniques, fournisseurs de services d'informatique en nuage, centres de données, réseaux de diffusion de contenu (CDN), fournisseurs de services de DNS. * **Administration publique :** Administration centrale, administration régionale (lorsqu'elle fournit des services essentiels). * **Espace :** Opérateurs de stations terrestres fournissant des services liés aux engins spatiaux. **Secteurs Importants :** * **Services postaux et d'expédition.** * **Gestion des déchets.** * **Fabrication :** Produits chimiques, produits alimentaires, dispositifs médicaux, produits informatiques, électroniques et optiques, machines et équipements, véhicules automobiles et autres matériels de transport. * **Producteurs de biens essentiels :** Production et distribution de biens essentiels (par exemple, produits pharmaceutiques, substances actives au sens des bonnes pratiques de fabrication, dispositifs médicaux, produits de santé). * **Services numériques :** Marchés en ligne, moteurs de recherche en ligne, plateformes de médias sociaux. * **Recherche :** Entités de recherche. Il est important de noter que la directive NIS2 applique une approche basée sur le risque. Les entités les plus critiques (secteurs clés) sont soumises à des exigences plus strictes. De plus, l'application peut varier en fonction de la taille et de la nature des entités au sein de ces secteurs.

La NIS2 ne se contente pas de demander plus de technologie. Son approche est beaucoup plus large. Parmi leurs points, selon le type d'entité et son niveau d'incidence clé, on trouve:

• Évaluer et gérer les risques de cybersécurité.
• Protéger les réseaux, les systèmes et les services essentiels.
• Améliorer la réponse aux incidents.
• Renforcer la sécurité de la chaîne d'approvisionnement.
• Mettre en œuvre des politiques de continuité d'activité.
• Impliquer les organes de direction dans la prise de décision.
• Signaler les incidents pertinents conformément aux procédures établies.

L'INCIBE signale que la Directive rassemble un ensemble minimum de mesures techniques, opérationnelles et organisationnelles pour gérer les risques de sécurité des systèmes et réseaux d'information.

Par conséquent, se conformer à la NIS2 ne consiste pas seulement à “ réussir un audit ”. Il s'agit de démontrer que l'entreprise comprend ses risques, les contrôle et dispose d'une stratégie pour protéger son activité.

Le problème du modèle de sécurité traditionnel

Pendant des années, de nombreuses organisations ont protégé leur infrastructure avec une approche périmétrique : un siège social, des utilisateurs connectés depuis l'intérieur et des outils de sécurité autour du réseau d'entreprise.

Ce modèle ne répond plus aussi bien à la réalité actuelle.

Aujourd'hui, les employés accèdent depuis leur domicile, depuis différents sites, depuis des appareils mobiles et depuis des réseaux externes. Les applications ne se trouvent plus uniquement sur des serveurs internes ; beaucoup vivent dans des environnements cloud, des plateformes SaaS ou des infrastructures hybrides.

Le résultat est clair : Le périmètre classique s'est dilué.

Nouveaux risques pour les entreprises modernes

Ce changement a ouvert nouvelles brèches:

• Manque de protection dans les accès distants.
• Utilisation d'applications nuage sans visibilité.
• Dispositifs et emplacements hors du périmètre traditionnel.
• Prestataires externes ayant accès aux systèmes internes.
• Politiques de sécurité différentes selon le siège, l'utilisateur ou l'outil.
• Difficulté à détecter les comportements anormaux en temps réel.

C'est là que ça intervient SASE.

Qu'est-ce que le SASE et pourquoi gagne-t-il en importance ?

SASE, acrónimos de Service d'Accès Sécurisé Edge, est un modèle qui combine des fonctions réseau et de sécurité dans une architecture cloud unifiée. Il intègre des capacités de connectivité, accès sécurisé, protection web, contrôle du nuage y pare-feu dans le cloud pour sécuriser l'accès des utilisateurs, des sites, des appareils et des applications depuis n'importe quel emplacement.

Au lieu de forcer tout le trafic à passer par un bureau central ou un centre de données, le SASE rapproche la sécurité de l'utilisateur et de l'application. Ceci permet une connexion plus efficace, flexible et sécurisée.

Composants principaux d'une architecture SASE

Une Stratégie SASE comprend généralement :

1. SD-WAN. Optimisez la connectivité entre les sites, les utilisateurs et les applications, en privilégiant la performance, la disponibilité et l'efficacité.
2. ZTNA. Remplacez l'accès étendu des VPN traditionnelles par un modèle basé sur l'identité, le contexte et le privilège minimum.
3. SWG. Protège la navigation web contre les menaces, les téléchargements dangereux, le phishing et le contenu non autorisé.
4. CASB. Apporte de la visibilité et du contrôle sur l'utilisation des applications nuage et plateformes SaaS.
5. Pare-feu en tant que service. Transférer les capacités de pare-feu avancé à un modèle nuage, plus évolutif et centralisé.
6. Gestion unifiée. Permet d'appliquer des politiques cohérentes aux utilisateurs, sites, appareils et environnements nuage.

NIS2 et SASE : deux pièces du même puzzle

Bien que NIS2 et SASE appartiennent à des plans différents, ils sont étroitement liés. Le premier établit un cadre de responsabilité et de conformité. Le second offre une architecture technologique qui aide à mieux répondre à ces défis.

La NIS2 exige une gestion des risques plus mature. SASE peut aider à progresser vers cette maturité en centralisant les politiques, en améliorant la visibilité et en protégeant les accès dans des environnements distribués.

SASE peut aider dans une stratégie alignée sur la NIS2

Une architecture SASE peut contribuer à :

• Contrôler qui accède à quelles ressources.
• Réduire l'exposition des applications internes.
• Appliquer des politiques de sécurité homogènes.
• Améliorer la traçabilité des connexions et des accès.
• Renforcer la protection contre les menaces web.
• Protéger les utilisateurs distants et les sites distribués.
• Simplifier la gestion des fournisseurs et des tiers.
• Améliorer la capacité de détection et de réponse.

Cela ne signifie pas que le SASE garantisse à lui seul la conformité à la NIS2. La réglementation exige une gouvernance, des processus, une documentation, une formation, une évaluation des risques et une réponse organisée. Cependant, le SASE peut devenir une base technologique solide pour évoluer vers ce modèle.

De la conformité réactive à la sécurité stratégique

L'un des risques les plus courants est aborder la NIS2 comme une obligation ponctuelle. La cybersécurité ne doit pas être activée uniquement lorsqu'un audit arrive ou qu'une menace apparaît.

Ce nouveau contexte impose de passer d'une sécurité réactive à une sécurité stratégique.

Cela implique :

• Connaître les actifs critiques de l'organisation.
• Identifier les vulnérabilités et les dépendances.
• Prioriser les risques selon l'impact réel.
• Concevoir une feuille de route progressive.
• Intégrer la sécurité, la connectivité et la conformité.
• Sensibiliser les équipes techniques et de direction.
• Réviser continuellement les politiques et les contrôles.

La clé n'est pas d'avoir plus d'outils, mais de construire un écosystème cohérent.

Que devraient faire les entreprises maintenant

Pour s'adapter à ce nouvel environnement, les organisations devraient commencer par une évaluation réaliste de leur situation actuelle.

Premiers pas recommandés

1. Analyser si l'organisation se situe dans le champ d'application de NIS2. Déterminer si l'entreprise relève du champ d'application et quels sont les exigences à prendre en compte.
2. Auditer les accès, les réseaux et les applications. Examiner comment les utilisateurs, les sites, les fournisseurs et les appareils se connectent.
3. Identifier les failles de sécurité. Détecter les points faibles dans un VPN, pare-feux, permis, environnements nuage capacité de surveillance.
4. Définir une stratégie Zero Trust. Appliquer le principe du moindre privilège et valider chaque accès en fonction de l'identité et du contexte.
5. Évaluer une évolution vers SASE lorsque cela a du sens pour la structure, les sites, les utilisateurs ou les applications. Intégrer la connectivité et la sécurité dans un modèle plus évolutif, centralisé et prêt pour l'avenir.

Conclusion : la cybersécurité est déjà une décision commerciale

La NIS2 marque un tournant dans la manière dont les entreprises doivent comprendre la cybersécurité d'entreprise. Il ne suffit plus de protéger le périmètre ni de réagir lorsqu'un incident survient. Il faut désormais anticiper, faire preuve de contrôle, protéger toute la chaîne numérique et sécuriser l'accès depuis n'importe où.

Dans ce contexte, SASE se positionne comme une architecture de plus en plus pertinente pour les organisations qui ont besoin de sécurité, de connectivité, de flexibilité et de conformité au sein d'un même modèle.

Si votre entreprise souhaite se préparer à ce nouveau scénario, IPVIP peut vous aider à analyser votre situation actuelle, à identifier les risques et à concevoir une stratégie de cybersécurité alignée sur la directive NIS 2, SASE et les besoins réels de votre entreprise.

Chez IPVIP, nous pouvons vous aider analyser votre situation actuelle, identifier les risques et définir une feuille de route alignée sur vos besoins en matière de sécurité, de connectivité et de conformité.