Les services managés de sécurité à l’age adulte

La récente offre de service de sécurité managée dédiée au NAC (Network Access Control) de Verizon Business, montre que, sur ce créneau de l’infogérance de sécurité, l’innovation est encore de mise. Cependant, les entreprises ne se pressent pas pour faire appel - sur de larges périmètres - aux MSSP (Managed Security Service Provider).  Ces prestataires spécialisés de l’infogérance de sécurité ont pourtant acquis une expérience certaine : ils existent depuis une dizaine d’années et pèsent 1 milliard d’euros sur le marché de la sécurité. Confier à ces spécialistes la supervision et l’administration de la sécurité, assurées 24 heures sur 24 et 365 jours par an, est une approche qui n’a rien de téméraire. La maturité de l’offre devrait conduire les entreprises à considérer la sécurité comme un service à souscrire, pour diverses problématiques.

Car certes, l’offre d’infogérance de sécurité s’est  longtemps limitée à la gestion des équipements périmétriques du réseau – gestion de DMZ, de firewall et sécurisation de la messagerie. Mais le marché répondait à la demande. Prendre en charge la sécurité au sein de l’entreprise était, et reste parfois encore, tabou chez les grands comptes. Les mentalités évoluant, les MSSP ont su s’adapter à la demande, voire l’anticiper. Désormais, l’infogérance de la sécurité inclut des services évoluées en matière d’interconnexion entre le réseau d’entreprise et le réseau Internet : filtrage d’url, services de proxy (optimisation de trafic, camouflage des transactions Internet), d’antispam, d’antivirus. Les services pénètrent plus loin encore dans le réseau interne de l’entreprise, jusqu’à englober la protection des utilisateurs finaux : sécurité du poste de travail, firewall personnel, gestion des correctifs, mise à jour de la conformité des postes, assistance à l’utilisateur. Ces services complètent la supervision et l’administration plus classique de la sécurité : firewalls, sondes IDS/IPS (Intrusion et Prévention d’intrusions).

A l’énumération des services que l’entreprise peut confier aux MSSP, on mesure la difficulté de la tâche d’administration des équipements, et celle de corrélation des événements et incidents de sécurité. D’une part, les entreprises se confrontent à une difficulté technique de formation continue des équipes afin de conserver la maîtrise des produits et solutions. D’autre part, le coût de ces tâches sur le budget de sécurité n’est pas négligeable. Pour preuve, les investissements et efforts consentis pas les différents MSSP ces dernières années pour arriver à maturité. Ainsi BT Global Services a hérité, suite au rachat de Counterpane en novembre 2006, de la console centrale de management de ce dernier et de Socrates, un outil de corrélation de logs. Le développement de l’ensemble s’était chiffré à 50 millions de dollars. Ubiqube a mis au point VSOC (pour Virtual SOC), et SECengine. VSOC est un portail web à travers lequel l’administrateur – et le client – accèdent au middleware propriétaire SECEngine qui se charge de communiquer avec les équipements des différents constructeurs. Plus de 5 années de développement ont été nécessaires à Ubiqube pour cet ensemble. La note a été de près de 18 millions d’euros. Ces investissements restent trop lourds pour être envisagé par des entreprises pour lesquelles la sécurité est une nécessité et non une fin en soi.