Veille sur les menaces : la structurer sans s’y noyer

La mesure 5.7 d’ISO/IEC 27002:2022 — veille sur les menaces — fait partie des nouveautés de la révision 2022. C’est aussi l’une des plus mal traitées, parce qu’elle est facile à simuler : s’abonner à quelques flux et déclarer la mesure en place.

Une veille utile se juge à une seule chose : combien de décisions elle a produites.

Les trois niveaux

Stratégique. Quelles menaces pèsent sur votre secteur, quelles évolutions réglementaires arrivent. Destinataire : la direction. Rythme : trimestriel.

Opérationnel. Quelles campagnes ciblent des organisations comme la vôtre, quels modes opératoires. Destinataire : le RSSI et les équipes. Rythme : mensuel.

Technique. Quelles vulnérabilités concernent vos produits, quels indicateurs de compromission. Destinataire : l’exploitation. Rythme : quotidien.

La confusion des trois est l’erreur habituelle : un bulletin technique envoyé à la direction n’est pas lu, et une synthèse stratégique n’aide pas l’équipe à corriger.

Les sources qui suffisent

Inutile de les multiplier. Quelques sources fiables couvrent l’essentiel :

• CERT-FR — avis et alertes, avec une vision française. La source de référence.
• Catalogue KEV de la CISA — vulnérabilités effectivement exploitées, base d’une priorisation réaliste.
• Les bulletins de vos éditeurs, pour les produits que vous exploitez réellement.
• ENISA — panorama européen des menaces, utile au niveau stratégique.
• Votre secteur : les dispositifs de partage sectoriels, encouragés par DORA et NIS 2, donnent l’information la plus pertinente.

Ajouter vingt flux supplémentaires augmente le volume, pas la pertinence.

Le filtre qui rend la veille exploitable

Une information n’est pertinente que si elle concerne quelque chose que vous possédez ou que vous êtes.

Cela suppose deux prérequis, et c’est là que la plupart des dispositifs échouent :

1. Un inventaire des produits et versions réellement exploités. Sans lui, un avis est ininterprétable.
2. Un profil de menace issu de votre analyse de risques : qui a intérêt à vous viser.

Avec ces deux éléments, l’essentiel du flux entrant se filtre. Sans eux, tout paraît important, donc rien ne l’est.

Transformer l’information en action

Une veille qui ne débouche sur rien est un abonnement, pas un dispositif. Trois sorties possibles pour chaque élément retenu :

• Une action immédiate : correctif hors cycle, règle de détection à ajouter.
• Une entrée au plan d’action : sujet à traiter au prochain cycle.
• Une information tracée sans action, avec la raison — non applicable, ou risque accepté.

Cette troisième catégorie est la plus importante en audit : elle prouve que l’information a été examinée et arbitrée, pas ignorée.

Le format qui fonctionne

Un point hebdomadaire de quinze minutes, avec une liste courte : ce qui est arrivé, ce qui nous concerne, ce qu’on fait.

Un bulletin de dix pages envoyé par courriel n’est pas lu. Une réunion de quinze minutes où trois éléments sont arbitrés produit des décisions.

Ce que cherche un auditeur

Pas la liste de vos abonnements. Il cherche la trace du traitement : telle vulnérabilité publiée à telle date, examinée à telle date, applicable ou non, action décidée, échéance.

Sans cette traçabilité, la mesure 5.7 est déclarée mais non démontrée — et c’est exactement le type d’écart que produit un audit de transition vers la version 2022.

L’erreur de dimensionnement

Une organisation de deux cents personnes n’a pas besoin d’une cellule de renseignement sur la menace. Elle a besoin de quelqu’un qui consacre deux heures par semaine à filtrer trois sources et à décider.

Vouloir reproduire les dispositifs des grands groupes conduit à ne rien mettre en place du tout.

Sources

• ISO/IEC 27002:2022, mesure 5.7 — veille sur les menaces
• CERT-FR
• ENISA — Threat Landscape
• MITRE ATT&CK

Aller plus loin

La veille alimente directement la détection : c’est un volet de notre infogérance SOC. Sa structuration relève de la gouvernance, risques et conformité.