Selon un rapport, les OSCI et d’autres professionnels de la cybersécurité se disent de plus en plus confiants dans leurs politiques et pratiques en matière d’identité à la suite des changements apportés pour soutenir le travail à distance en nuage pendant la pandémie de Covid-19.

L’étude, Gouvernance et administration de l’identité pour la nouvelle norme informatique, menée par Dimensional Research pour le compte d’une identité, a constaté que les équipes de sécurité ont mis une priorité accrue sur la demande d’accès, la gestion de l’identité et du cycle de vie d’accès, le processus d’identité et le flux de travail, et les technologies de gestion des rôles au cours des sept derniers mois. Un peu moins du tiers des 1 216 répondants ont déclaré que Covide-19 était directement derrière tout cela.

« Cette recherche montre clairement que l’informatique en nuage a été une bouée de sauvetage pour de nombreuses entreprises, car les équipes informatiques ont pivoté et soutenu le virage massif vers le travail loin des bureaux », a déclaré Darrell Long, président et directeur général de One Identity.

« Bien que nous savions que les changements provoqués par la pandémie étaient soudains, ce qui était particulièrement remarquable, c’est la force dont les résultats ont prouvé que les organisations devaient se concentrer sur les défis immédiats posés par le passage agressif à l’informatique en nuage, principalement en trouvant des solutions qui ont rationalisé l’administration et la sécurisation des personnes qui ont accès à quoi et comment. »

Le processus de transition vers le travail en toute sécurité n’a toutefois pas été sans défis. Au début de la pandémie, l’impact le plus important sur les praticiens de la gestion de l’identité aurait été des changements rapides causant des défis dans les environnements Active Directory et Azure Active Directory, cités par 37 %. Parmi les autres questions, mentionnons les contraintes budgétaires dues à la baisse soudaine, citée par 34 %, et le fait de ne pas être équipé pour faire face au volume et à la portée des changements apportés aux profils d’utilisateurs, cités par 30 %.

D’autres ont indiqué que leur stratégie cloud n’était pas en mesure de soutenir le changement rapide, et il y avait aussi des problèmes découlant de l’incapacité d’équiper un programme d’accès à distance pour les administrateurs ainsi que l’échec de la mise en œuvre de l’authentification multifacteur.

Le travail accompli depuis a donné lieu à un sentiment général de confiance parmi les personnes interrogées. Interrogés sur l’évolution de la confiance dans l’efficacité du programme de gestion de l’identité de l’organisation après Covide-19, 49% se sont dits un peu plus confiants et 17% beaucoup plus confiants. Interrogés sur l’évolution de la confiance dans la sécurité et la gestion des comptes privilégiés au cours de l’organisation, 42% se sont dits un peu plus confiants et 18% beaucoup plus confiants. La confiance tendait à être plus élevée chez ceux qui avaient accru la priorité des tâches de gestion de l’identité et de l’accès (IAM).

Cependant, malgré cela, il peut encore y avoir des barrages routiers à venir, a rapporté One Identity. Lorsqu’on leur a demandé dans quelle mesure l’organisation était prête à annuler les changements de compte lorsque les utilisateurs retournent dans un environnement de bureau, seulement 45 % ont répondu qu’ils étaient entièrement préparés, tandis que 9 % ont répondu qu’ils découvriraient quand ils le feraient réellement.

« Nous connaissons maintenant la vérité : la pandémie de Covid-19 n’a pas changé la nécessité d’être productive, ni n’a modifié les exigences réglementaires auxquel les entreprises sont confrontées, mais il est clair que les équipes informatiques et de sécurité se sont efforcées de déplacer leurs systèmes pour s’adapter au travail de la maison de manière sécurisée et contrôlée », a déclaré M. Long.

« Les entreprises et les organisations ont été aidées dans une certaine mesure par des investissements dans le cloud qui les ont préparées avant Covide. Toutefois, la plupart d’entre eux sont encore confrontés à de nouveaux défis à mesure que les employés s’adaptent, que les équipes de TI et de sécurité répondent efficacement au défi de fournir des processus efficaces pour accéder aux ressources nécessaires pour que la main-d’œuvre fasse son travail et que les défis en matière de sécurité associés à ce nouvel environnement de travail.

Dans cette vidéo tirée de la diversité annuelle et de l’inclusion d’Computer Weekly dans un événement technologique, en partenariat avec Spinks, Suzanne McGovern, responsable de la diversité, de l’équité et de l’inclusion chez Splunk, explique comment pratiquer une meilleure allyship, expliquant pourquoi il est important d’avoir un allié au sein d’une entreprise et donnant des conseils pratiques sur la façon dont les individus peuvent commencer à soutenir les groupes minoritaires sur le lieu de travail.

La diversité et l’inclusion sont un sujet très débattu dans le secteur de la technologie depuis un certain temps, les entreprises qui réalisent que la construction d’une culture interne inclusive n’est pas seulement une initiative de bien-être, mais elle est également logique sur le plan commercial.

McGovern explique : « Je crois sincèrement que la création d’un milieu de travail plus diversifié et inclusif est la bonne chose à faire, mais elle entraîne également des résultats commerciaux plus solides. »

Soulignant que le racisme et la discrimination sont « trop familiers » pour les groupes marginalisés, McGovern affirme également que la résurgence récente du mouvement Black Lives Matter (BLM) a maintenant laissé d’autres personnes se demander comment elles peuvent contribuer au changement.

Les gens sont maintenant « se réunir en nombre sans précédent » pour essayer de s’entraider, souvent en utilisant la technologie pour le faire, et McGovern dit « le monde regarde ».

Construire une culture inclusive ne peut se faire au sein d’une organisation sans mettre l’accent sur l’allyship, dit McGovern, qui affirme: « Il ya beaucoup d’endroits différents où nous pouvons pratiquer l’allyship au sein de l’industrie de la technologie, et au sein de votre organisation, comme l’utilisation de votre pouvoir pour soutenir ou défendre des collègues de couleur ou de groupes marginalisés.

Beaucoup de ceux qui ont pris part à l’événement 2020 Computer Weekly diversité et l’inclusion, y compris le gagnant de cette année de la femme la plus influente dans le Royaume-Uni Tech accolade, Stemettes PDG, Anne-Marie Imafidon, a souligné que l’allyship – prendre des mesures concertées pour faire avancer les choses et encourager le changement pour ceux qui sont dans une position moins privilégiée – est un « verbe », ce qui signifie parler n’est pas bon sans action.

McGovern dit: « L’allyship est un verbe, c’est un mot qui fait, et cela signifie que vous avez réellement à faire quelque chose. »

Brillant une lumière sur les propres groupes de ressources des employés (ERGs) de Splunk, McGovern dit à l’intérieur Splunk il ya un certain nombre de groupes offrant un soutien, le mentorat et le réseautage pour les groupes sous-représentés couvrant les communautés telles que les femmes dans la technologie, les personnes LGBTQ , les noirs, les personnes handicapées, ceux qui sont neurodivers ou les anciens combattants, pour n’en nommer que quelques-uns, qui ne seraient pas aussi réussi sans les alliés impliqués dans eux.

Lorsqu’il s’agit de favoriser l’ation dans une organisation, McGovern dit : « Cela commence par vous. »

Bien qu’il soit important de vérifier avec des collègues, ne leur donnez pas le devoir de vous renseigner sur la façon dont ils sont touchés.

McGovern explique : « Nous pouvons faire preuve d’allyship en apprenant, et en tant que membre d’un groupe majoritaire, en tant que personne blanche, il est de ma responsabilité d’éliminer le fardeau de nommer la question, l’injustice ou le problème. »

La pratique de l’allyship devrait faire partie de la composition d’une organisation, et les alliés devraient travailler avec les équipes de direction pour rendre l’organisation et eux-mêmes responsables.

Elle résume : « J’espère que les alliés pourront profiter de ce moment pour aider davantage, pour s’exprimer, parce que sans eux, nous ne pouvons pas faire les progrès que nous devons réaliser en ce moment. »

Voir toutes les vidéos

Vivida n’a jamais été destiné à être une entreprise de cybersécurité vraiment, dit le fondateur Simeon Quarrie. Conteur dans l’âme, Quarrie a fondé et construit sa jeune réalité virtuelle (VR) dans le but d’utiliser l’interactivité pour changer les cultures d’affaires.

Il a vu un certain succès précoce créer des scénarios qui mettent les employés dans des situations qui sont impossibles à reproduire dans la réalité, comme s’échapper d’un bâtiment en feu pour la formation en sécurité incendie, ou d’être mis dans la peau d’un homme noir dans un environnement d’entreprise pour la formation sur la diversité.

« Je n’y suis pas né, n’est-ce pas ? » dit-il. « Si je suis tout à fait honnête, le sujet de la cybersécurité ne signifiait pas grand-chose pour moi – jusqu’à ce que mon compte bancaire d’affaires soit vidé un jour. J’avais de l’argent dedans, ce qui était super, et puis il n’était pas là.

« À ce moment-là, je me disais : comment cela s’est-il produit, quelle était la motivation pour le faire, quelles étaient les techniques qui ont été utilisées ? »

Quarrie s’est rendu compte que, bien que la sécurité était un sujet qui ne signifiait pas grand-chose pour lui auparavant, c’était un sujet avec lequel l’entreprise existante de Vivida partageait un terrain d’entente en termes d’amélioration de la résilience de l’entreprise grâce à la formation.

Il décrit ce qu’il fait comme utilisant la narration et l’innovation pour recadrer un sujet et transformer quelque chose de banal, voire sec, en un sujet que les gens se soucient. Il attribue ses propres expériences comme un écolier qui a lutté avec des sujets qui n’ont pas résonné jusqu’à ce que le bon professeur est venu le long.

« Lorsque les gens ont pu prendre des sujets et les mélanger à une histoire, tout d’un coup, ils sont devenus compréhensibles et ils sont devenus importants pour moi », dit-il. « Et c’est essentiellement l’approche que nous adopterons. »

Comme la VR l’avait fait pour la formation en santé et sécurité ou en diversité, Quarrie a clairement compris que la technologie pouvait vraiment donner vie aux choses et faire ressortir le message de la masse de la formation PowerPoint et clip art encore favorisée par de nombreux leaders de la sécurité. Au mieux, ceux-ci sont ennuyeux âme-écrasement, et au pire, tout à fait inefficace et, dans certains cas, peut même augmenter le risque parce qu’ils sont un tel turn-off.

Date avec un cybercriminel

Vivida a créé sa première formation en sécurité VR en collaboration avec le géant des médias Sky. Dans l’expérience – décrite comme allant à une date avec un cybercriminel – les stagiaires se retrouvent face à face avec un acteur malveillant virtuel avec lequel ils commencent à s’engager. Au fur et à mesure que la date passe, le criminel commence à briser leur méthodologie, et leur identité, que vous allez plus loin dans leur monde.

« Nous saturer temporairement, ou détourner, les sens humains », dit Quarrie. « Ous sommes en mesure d’utiliser presque tous avec cette histoire. C’était vraiment puissant, et voir la réponse à elle était génial.

Un deuxième engagement avec Barclays a vu la création – loisirs, plutôt – du centre d’opérations de sécurité (SOC) du groupe bancaire dans lequel les stagiaires ont été placés pour trier un incident de cybersécurité de rupture, et finalement remettre les choses sous contrôle. Un autre engagement a vu l’équipe construire un centre de contrôle de mission web sombre, où les stagiaires jouent le rôle d’infiltrés « agents » infiltrer et perturber un groupe cybercriminel.

« Nous nous demandions : créons-nous quelque chose qui est basé sur la vie réelle ? » dit Quarrie. « ais alors nous étions comme, eh bien en fait, parce que c’est VR, nous allons donner aux gens une aventure – nous allons les envoyer dans un environnement si mémorable qu’ils n’ont pas connu avant. »

« onnons aux gens une aventure – nous allons les envoyer dans un environnement si mémorable qu’ils n’ont pas connu avant »

Siméon Quarrie(Vivida)

Selon Quarrie, ce genre d’exercice est plus efficace pour imprimer pourquoi la sécurité est importante pour les stagiaires, de sorte que même s’ils sont par la suite forcés de s’asseoir à travers un exercice de conformité PowerPoint horrible, le sujet semble alors plus immédiat.

Cette approche semble également coller, ainsi – un problème permanent avec la formation traditionnelle de sécurité, qui tend à dribbler hors de votre cerveau après quelques semaines, laissant votre employeur au même endroit qu’ils ont commencé. Ce n’est pas un problème ici, dit Quarrie.

« Après avoir parlé à certaines personnes, dans certains cas, un an après avoir vécu cette expérience, elles en parlent encore parce que c’est tellement mémorable », dit-il.

« e que nous avons fait avec l’expérience est en fait aider à visualiser l’autre côté [ie a cyber criminal’s point of view] et montrer ce qui se cache derrière l’e-mail de phishing, ce qui se passe, nous allons rencontrer les individus et de comprendre leur motivation.

« Par conséquent, lorsque vous passez par la vie quotidienne, vous avez maintenant un crochet mental auquel vous faites automatiquement référence. »

Pivot pandémique

Puis, en janvier et février 2020, les nouvelles ont commencé à filtrer hors de Chine d’une nouvelle souche de coronavirus qui se propage rapidement. En mars, le SRAS-Cov-2 et la maladie qu’il cause, Covide-19, étaient devenus une véritable urgence mondiale, et le 23 mars, le Royaume-Uni est entré dans un verrouillage complet pour contenir sa propagation.

La transition vers le travail à distance a été un problème pour Vivida, car il est clair que la VR est une technologie basée sur la présence. « Si je suis honnête, nous ne devrions presque plus être ici, parce que nous travaillons avec une technologie qui est presque un sport de contact », dit Quarrie. « Ce qui est brillant avec la VR, c’est que vous avez des gens dans la pièce et que vous avez tous des casques d’écoute.

« Maintenant, nous allons revenir à l’utilisation de cette technologie à pleine capacité, mais ce que nous devions faire très rapidement, c’était comprendre comment le monde avait changé et avec quoi les organisations allaient être aux prises – essentiellement, comment pouvons-nous obtenir des informations sur leurs appareils mobiles et leurs ordinateurs portables ? »

Plus important encore, cela devait être fait d’une manière qui n’a pas ajouté à la tension et la peur que les gens se sentent à travers une crise qui est sans précédent dans la mémoire vivante. Après tout, beaucoup de cybersécurité pourrait être appelé des choses assez effrayantes, et le déplacer au-delà des limites du réseau d’entreprise, où la plupart des gens pensent au cyber-risque comme le problème de quelqu’un d’autre (c’est à dire le département informatique), à leurs tables de cuisine ou chambres de rechange montre que la maison n’est pas un espace sûr non plus.

« Nous devons faire face à l’équilibre entre la santé mentale des gens, alors nous savions que nous devions faire passer ces choses aux gens d’une manière qu’ils apprécient, mais c’est toujours percutant et mémorable », dit Quarrie.

Le grand défi dans cet exercice a été de construire un sentiment d’immersion dans le récit, comme vous pourriez vous sentir dans un programme de VR.

« Cela peut se faire de plusieurs façons, dit M. Quarrie. « L’un d’eux est que vous pouvez être immersif avec le contenu pour que vous soyez attiré, et c’est là que la structure et la science de la narration entrent en jeu. L’autre façon est de faire en sorte que la technologie et d’avoir des interactions dans l’environnement.

Quarrie et son équipe ont abordé cette question en utilisant les mêmes ingrédients éprouvés qu’ils utilisaient dans leurs programmes de VR – contes, gamification et saupoudrage d’humour. Ils ont créé un simulateur de formation « holodeck » de style Star Trek qui charge différents scénarios pour les stagiaires. L’un de ces (photo ci-dessus), est une configuration de bureau à domicile pour explorer les nouveaux risques de travail à distance pendant la pandémie. Un autre est un simulateur de phishing.

Ils sont accessibles aux utilisateurs des clients non pas sur une plate-forme propriétaire appartenant à Vivida, mais via le système d’apprentissage préféré du client, et l’espoir est qu’ils seront tout aussi engageant que l’itération VR.

« L’une des choses les plus difficiles pour les organisations est d’amener les gens à s’engager dans le contenu », explique M. Quarrie. « Je pense que lorsque vous êtes dans un environnement d’entreprise, il y a une certaine éthique qui signifie que vous acceptez peut-être davantage le contenu sec. Mais quand vous êtes à la maison et que vous avez Netflix, vous avez votre PlayStation, tout d’un coup vous vous attendez à ce que la norme résonne avec cet environnement domestique, et c’est essentiellement ce que nous essayons maintenant de faire.

Collaboration et soutien

Au cours de l’année 2020, Vivida a été soutenue tout au long de son développement et pivot par le London Office of Rapid Cybersecurity Advancement (Lorca), un incubateur spécialisé en matière de sécurité, dont les diplômés ont obtenu des millions de dollars au cours des dernières années.

Les jeunes entreprises qui passent par le programme de 12 mois de Lorca, qui travaille actuellement avec sa cinquième cohorte de 17 entreprises, ont accès à des services de conseil en innovation et en commercialisation, à des services de développement de produits et à l’accès à l’industrie, ainsi qu’à des partenaires comme le Centre for Secure Information Technologies (CSIT) de l’Université Queen’s de Belfast et Deloitte.

C’est un collègue qui a d’abord porté le projet à l’attention de Quarrie, mais au début, dit-il, le scepticisme a commencé. Voudraient-ils un pourcentage de l’entreprise? Qu’est-ce qu’il y avait derrière tout ça ? Quels étaient leurs motifs ?

« En tant qu’entrepreneur noir, l’une des choses que j’ai vues, c’est que vous avez parfois du mal à accéder aux bons endroits, aux bonnes pièces, vous n’êtes même pas parfois au courant de certaines des pièces qui existent, ou d’une partie des connaissances qui sont là et dans lesquelles vous pouvez puiser », dit-il.

« culturellement, j’ai eu l’impression que personne n’est là pour vous aider. Vous avez juste besoin de greffer, et vous avez besoin de travailler à elle.

Quarrie a rencontré Lorca de toute façon, ce qui l’a mis en contact avec l’un de ses premiers clients, Lloyds Banking Group, pour qui il a créé l’un de ses scénarios originaux comme un exercice de preuve de concept. Vivida a fini par être invité à rejoindre ce qui était alors Lorca’s prochaine quatrième cohorte.

« J’ai réalisé que, non, en fait, ces gens sont là pour m’aider », dit-il. « t cela, pour moi personnellement, a été un changement d’esprit massif. Il a vraiment été bénéfique.

« Avant, tout était axé sur la technologie, mais maintenant nous avons aussi un œil sur l’échelle et l’évolutivité et être en mesure d’obtenir notre contenu là-bas, et quand la pandémie a frappé, d’être au milieu du programme et de pouvoir également tirer sur ces ressources comme Deloitte, pour obtenir leurs idées, comme nous le faisions, était fantastique. »

Revenant sur son parcours dans le monde de la cybersécurité, Quarrie dit avoir été particulièrement frappé par la nature collaborative du secteur. De par sa nature, dit-il, Vivida est une organisation collaborative elle-même – ses scénarios de formation ont été élaborés en travaillant aux côtés de chaque client, à un mémoire spécifique.

« C’est pourquoi j’ai une certaine affection pour ces marques avec lesquelles nous avons travaillé parce que chacune d’entre elles a contribué à notre parcours, et d’une certaine façon, ils ont laissé ce don derrière lui qui nous permet de continuer à croître et nous permet de profiter à d’autres personnes », dit-il.

« C’est ce que j’ai aimé dans l’industrie de la cybersécurité. On n’a pas l’impression qu’il y a des concurrents. On a l’impression que tout le monde se déplace ensemble pour trouver des choses à surmonter ces menaces communes. J’ai vraiment adoré ça. Je n’ai jamais emménagé dans un nouveau secteur industriel et j’ai été accueilli aussi chaleureusement.

La plate-forme de formation en ligne de Vivida a été lancée en septembre 2020, et les parties intéressées peuvent s’inscrire pour une démo complète en ligne.