7 aspects à considérer pour évaluer une solution SIEM - RSA

L'objectif d'une solution SIEM est de maximiser la productivité
des acteurs chargés de la sécurité.
Les solutions de gestion des informations et
événements de sécurité (SIEM) sont en passe de
devenir l'un des éléments incontournables de
l'infrastructure de sécurité de toute entreprise, jouant
un rôle important dans la détection des menaces, la
réponse aux incidents, l'investigation numérique
Quelle que soit l'abréviation retenue (SIEM, SEM ou SIM),
la gestion des informations et événements de sécurité est
une préoccupation clé pour beaucoup d'entreprises (voir
la brève description « Sécurité et solutions SIEM » en
page 2). Selon Forrester Research1 , à la fin du premier
semestre 2008, plus d'un tiers des entreprises étaient déjà
dans une phase d'adoption de la technologie SIM. Sur les
259 décideurs sécurité d'entreprises européennes et nord
américaines interrogés par Forrester, 32 % évoquent
l'optimisation du reporting et de la conformité comme
raison principale du déploiement d'une solution SIM et
l'identification des incidents de sécurité arrive en
deuxième position avec 20 % des réponses.
Une solution SIEM a pour vocation de surveiller le
moindre élément de l'entreprise et toucher l'ensemble de
votre infrastructure : c'est pourquoi le choix d'un
fournisseur est un engagement à long terme ayant un
impact extrêmement important. En outre, les technologies,
fonctionnalités et coûts totaux d'exploitation varient
considérablement en fonction des solutions - rendant le
choix d'autant plus complexe. Il est vrai que les
entreprises ayant « eu des remords » après avoir choisi
une solution qui n'était pas parfaitement adaptée à leurs
besoins sont légion…
Lorsque vous comparez les solutions, ne vous polarisez
pas trop sur des fonctions très spécifiques comme
l'interface utilisateur ou même les règles de corrélation.
Au contraire, comme nous le proposons dans les sept
recommandations que nous présentons ci-dessous,
élargissez votre champ d'investigation en examinant l'offre
de chaque fournisseur dans sa globalité, et notamment,
l'envergure de la collecte des données événementielles et
le degré d'intégration de la solution, à la fois interne et
avec l'infrastructure environnante. Évaluez également la
1 « Il faut s'attendre à de grands bouleversements dans le secteur des solutions SIM »,
Paul Stamp, Forrester Research, 27.02.08
légale (forensics) et la conformité aux standards de
sécurité. Fort de son expérience avec plus de 1 300
déploiements SIEM effectués avec succès à ce jour
dans des entreprises de toutes tailles, RSA propose
aux acheteurs potentiels sept critères d'évaluation
des solutions proposées sur le marché.
facilité de déploiement, l'évolutivité du produit et ses
coûts totaux d'exploitation pour votre entreprise. Sans
oublier bien entendu les points forts du fournisseur, et
notamment son expertise dans le domaine de la sécurité,
sa fiabilité financière, son implication dans la R&D et son
degré d'indépendance par rapport aux fournisseurs et aux
plates-formes. En choisissant une solution qui réponde à
vos besoins selon les critères évoqués ci-dessus, vous
augmentez grandement les chances d'être satisfait sur le
long terme.
Recommandation n°1 : Définir votre modèle
actuel de sécurité opérationnelle et l'utiliser
pour déterminer vos exigences solution
Les entreprises utilisent des modèles de sécurité
opérationnelle extrêmement divergents, et dans
l'évaluation d'une solution SIEM, il est important de
connaître clairement votre modèle afin de choisir une
solution qui corresponde exactement à vos besoins (et au
budget) actuels tout en offrant suffisamment de flexibilité
pour une évolution future.
Certaines entreprises parmi les plus évoluées disposent
d'un SOC (Security Office Center) centralisé où travaillent
de nombreux analystes de sécurité, chacun ayant un
secteur de responsabilité bien particulier (événements
serveur, par exemple). Mais il est beaucoup plus courant
d'avoir un petit groupe d'analystes, dont les rôles sont en
premier lieu les opérations réseau ou informatiques de
l'entreprise, et qui se partagent les responsabilités en
matière d'opérations de sécurité. Il existe également un
troisième modèle, le « SOC virtuel » dans lequel les
membres sont géographiquement dispersés.