DSD Australien : le Top 35 des mesures d'atténuation des cyber-risques

Le Defence Signals Directorate (DSD) est à l'Australie ce que la NSA est aux États-Unis. Toutes proportions gardées et même si les liens fraternels voire consanguins ne sont pas dissimulés (1). Le DSD coordonne et mène l'ensemble des actions en lien avec les opérations de cyberdéfense, que ce soit l'évaluation de la menace comme la lutte contre les cyberattaques. C'est dans ce cadre qu'il a récemment mis à jour son excellent et didactique guide de 35 recommandations dont la première édition datait de février 2010 (2).

Excellent car basé sur une véritable expérience opérationnelle. Didactique car parmi les 35 mesures, il en existe 4 que l'on peut qualifier d'essentielles (3). Le DSD considère d'ailleurs que leur mise en place effective aurait sans doute permis d'atténuer voire d'empêcher 85% des intrusions pour lesquelles il est intervenu en 2011 ! Le côté pratique est également renforcé par l'utilisation de différents critères comme le niveau d'efficacité de la mesure, son coût (en back-office comme en maintenance) ou le niveau de résistance des utilisateurs (aux changements induits).

Ce guide est évidemment à rapprocher au "guide d'hygiène en 40 mesures de l'ANSSI" même si celui du DSD est plus complet de par son antériorité mais surtout par l'utilisation réellement pratique de critères qualitatifs et quantitatifs. Enfin, il est l'un des éléments utilisé dans la campagne "Catch, Patch, Match" lancée à la fin octobre 2012 et qui pour ambition de vulgariser comment les organisations peuvent atténuer les risques liés aux cybermenaces.

Source :

http://www.dsd.gov.au/infosec/top-mitigations/top35mitigationstrategies-list.htm

(1) on se référera à mon article de juillet 2011 intitulé "Australie, cybersécurité et enjeux mondiaux"

(2) un trait qui souligne l'évolution rapide et avérée de l'intensité des menaces durant ce - court - laps de temps 
(3) liste blanche des applications et des programmes autorisés à s'exécuter, patching des applications "génériquement" vulnérables (Adobe, Java, Flash, Office), patching des systèmes d'exploitation, limitation drastiques des privilèges des droits d'administrateur