L’approche "All inclusive" du Club Med dans la gestion des vulnérabilités

Place à une automatisation accrue du processus

Après avoir lancé ce processus de traitement des vulnérabilités de manière essentiellement manuelle et mené un premier grand nettoyage pour aboutir à une situation plus maîtrisée, le RSSI a entamé une automatisation Les tickets sont envoyés directement vers les bonnes équipes quand des alertes sont déclenchées : « nous en sommes à cette phase d'automatisation au travers de l'ITSM. La dernière étape est sans doute pour moi la plus importante, car c'est avec elle que nous arriverons à entrer dans une démarche proactive. Aujourd'hui, toutes nos configurations sont gérées en Terraform et sont poussées par notre chaîne CI/CD. Or, si on arrive à analyser nos configurations Terraform, on pourra bloquer des vulnérabilités avant qu'elles soient envoyées sur les Cloud ».

Pour le reporting lié aux vulnérabilités et à l’avancement dans leur traitement par les équipes IT, le RSSI a retenu trois approches : « la première approche est axée sur le risque. On est dans le concret, dans le dur. Le message qui est passé aux équipes, c'est que celui-ci doit être à zéro ».

Vient ensuite le volet conformité. Cédric Baillet a privilégié le CIS Control du Centre pour la sécurité Internet : « selon le profil de votre société, vous déciderez d'aller chercher le 100 % ou être un petit peu modeste et de rester sur des chiffres un peu plus bas. Nous n’allons pas aller chercher le 100 %, mais je demande de supprimer tout ce qui est critique, le statut High serait bien aussi, mais quand je vois tout ce qui sort en Médian et en Low dans ce référentiel, cela me paraît très ambitieux pour notre structure ».

Les difficultés posées par les vulnérabilités dans les applications

Le RSSI reconnaît que gérer les vulnérabilités découvertes dans les applications et dans les librairies applicatives reste une difficulté majeure : « pour moi, la première étape, c’est la veille. Je suis LinkedIn, j’ai un abonnement à un CERT, mais tout cela est très manuel et demande beaucoup de temps. On ne peut faire de la veille et être RSSI en même temps ».

Il s’appuie notamment sur le service Patrowl sur lequel il a enregistré toutes les applications du système d’information du Club Med. Chaque matin, le service lui envoie un email avec les nouvelles vulnérabilités, les campagnes qui sont en cours sur les vulnérabilités ou les mises à jour qui n'ont pu avoir lieu : « c'est austère, mais ça fait quand même gagner beaucoup de temps. La veille, pour moi, est un point essentiel et réussir à l'automatiser pour gagner en efficacité est intéressant ».

Autre caillou dans la chaussure du RSSI, Docker et la multitude de librairies embarquées par les développeurs dans les infrastructures de conteneurs. Sur ce plan, la crise Log4J a joué le rôle d’électrochoc et a poussé le RSSI à réagir : « nous n’étions pas équipés pour y faire face. C'est comme ça qu'on a installé un logiciel open source qui s'appelle Dependency Track, qui nous a permis d'avoir une vision claire de la situation et mettre les composants concernés à jour ». Cette crise a permis au Club de progresser dans sa gestion des vulnérabilités applicatives.

Enjeu n°1 : Par où commencer ?

Si le processus de gestion des vulnérabilités mis en place par le Club Med est très simple, l’enjeu numéro 1 reste à savoir quelles sont les vulnérabilités à corriger en priorité : « il n’y a pas de recette extraordinaire. Il faut faire le tri de ce qui est le plus impactant chez nous. Les recettes sont classiques. Quelles sont les applications critiques ? Les accès distants étaient très vulnérables et ont été très largement exploités ces dernières années. De même, il serait gênant que les EDR, les gestionnaires de mots de passe présentent des vulnérabilités. Viennent aussi les applications métiers ».

Dans cette hiérarchisation des vulnérabilités à traiter en priorité, le RSSI dispose évidemment du score CVSS de la vulnérabilité, mais pas seulement. Rapid7 lui délivre l’Active Risk Score qui mesure la popularité de la faille chez les attaquants, le fait qu'elle soit exploitée et sa facilité à l'être.

Ce score plus synthétique que le CVSS permet au Club Med de définir ses priorités et de faire passer une vulnérabilité dans les exceptions à traiter d’urgence ou laisser les équipes travailler normalement : « le Risk Score est un risque lié à ce qui se passe dans le monde extérieur alors que le CVSS est un score absolu. Il est intéressant d’avoir les deux parce que finalement, c'est quand même là où on a les risques d'exploitation ».

Autre KPI fétiche pour le RSSI, le MTTR (Mean Time to Remediate). Un MTTR qui augmente n’est pas forcément lié à une mauvaise performance des équipes IT, mais peut être le signe positif que celles-ci s’attaquent à de vieilles vulnérabilités et qu’elles sont en train de réduire leur stock de vulnérabilités…

Cédric Baillet conclut : « pour nous, il est réellement important de ne pas être en cellule de crise permanente pour pouvoir faire d'autres choses à côté. Avoir un outil qui nous permet de cerner facilement tous les aspect de la vulnérabilité pour prendre des décisions rapidement, a une vraie valeur ».