FAQ du rapport sur la posture de sécurité

Propulsé par Beazley Security, le rapport sur la posture de sécurité est une évaluation personnalisée des cyberrisques qui offre aux organisations des renseignements utiles sur leur posture de cybersécurité externe. Le rapport met en évidence les zones de risque potentiel et fournit des recommandations personnalisées et concrètes pour renforcer leurs défenses, réduisant ainsi la probabilité d’une attaque.

Pourquoi Beazley Security fournit-elle ce rapport?

Dans le cadre d’un nouveau questionnaire d’assurance cyber et au nom de ses sociétés affiliées d’assurance Beazley (« Beazley »), Beazley Security effectue une analyse de l’infrastructure réseau de l’organisation cliente à l’aide d’une technologie exclusive appelée Karma afin d’identifier les vulnérabilités potentielles. Les principaux résultats de Karma sont présentés dans le rapport sur la posture de sécurité (SPR), qui permet aux organisations d’en apprendre davantage sur ces vulnérabilités, de comprendre dans quelle mesure un risque peut affecter leur posture de cybersécurité et de proposer des mesures correctives pour réduire le risque d’une cyberattaque.

À qui s’adresse ce rapport?

Le rapport sur la posture de sécurité offre des avantages concrets à plusieurs parties prenantes du processus d’achat d’assurance. Plus précisément, le rapport sur la posture de sécurité (SPR), fournit aux assurés et aux futurs assurés une meilleure compréhension de leurs vulnérabilités en matière de sécurité afin de réduire la probabilité de cyberattaques. Le rapport sur la posture de sécurité (SPR) permet également aux courtiers de mieux se positionner pour conseiller leurs clients sur leur posture de cybersécurité lors des discussions sur la couverture d’assurance.

Comment Beazley Security détecte-t-elle ces problèmes?

Beazley Security a conçu une solution permettant d’analyser automatiquement l’infrastructure réseau accessible au public d’une organisation afin d’y détecter des vulnérabilités. Karma commence par le domaine de l’organisation, tel que example.com, et utilise différentes sources pour découvrir les sous-domaines associés, comme forms.example.com ou store.example.com. Après avoir identifié les sous-domaines, Karma détermine quelles adresses IP hébergent le contenu de chaque domaine.

Après avoir identifié les adresses IP, Karma commence à identifier tous les ports ouverts et les logiciels hébergés sur chaque IP. La détection des ports ouverts est essentielle, car elle permet à Beazley Security de comprendre l’exposition d’une organisation et de recueillir plus de détails sur sa surface d’attaque. Karma utilise ces ports ouverts pour obtenir des renseignements clés sur les services et logiciels exécutés sur un port. Ces renseignements servent à repérer les logiciels à haut risque et d’autres vulnérabilités qui influent sur la posture de cybersécurité d’une organisation et à mettre en évidence les points faibles à améliorer dans le parcours de cybersécurité personnalisé du client.

Quels types de vulnérabilités l’analyse cherche-t-elle à découvrir?

Beazley Security recherche les ports ouverts, les services exposés, les vulnérabilités logicielles et d’autres facteurs de risque importants associés à une organisation. Ces facteurs de risque se répartissent dans les catégories suivantes :

• Surface d’attaque : noms d’hôtes, adresses IP et vulnérabilités connues exploitées‍
• Sécurité des courriels : clés DKIM, paramètres DMARC et paramètres SPF
• Certificats de sécurité : certificats expirés et actifs sans chiffrement
• Logiciels à haut risque : logiciels qui ne devraient pas être directement exposés à Internet

Ces types de vulnérabilités augmentent l’exposition aux cyberattaques et servent à évaluer la posture de cybersécurité d’une organisation.

Que sont les vulnérabilités connues exploitées (KEV)?

Les vulnérabilités connues exploitées (KEV) sont des faiblesses dans les logiciels, le matériel ou les applications qui sont activement exploitées par des cyber-attaquants. L’Agence américaine de cybersécurité et de sécurité des infrastructures (CISA) tient à jour un catalogue des vulnérabilités connues exploitées (KEV) afin d’informer les organisations des risques. Les vulnérabilités connues exploitées sont considérées comme les menaces les plus immédiates et doivent être traitées en priorité pour réduire les risques liés à la cybersécurité.​Si des vulnérabilités connues exploitées (KEV) sont identifiées, les résultats seront répertoriés dans la section Surface d’attaque du rapport sur la posture de sécurité.

Quel logiciel à haut risque nécessite une action?

Le tableau ci-dessous présente les logiciels à haut risque que Beazley exige de corriger avant de pouvoir établir une police d’assurance avec Beazley. Si l’analyse Karma détecte la présence de l’un de ces logiciels sur le périmètre Internet d’une organisation, il sera affiché dans la section « Logiciels à haut risque » du rapport sur la posture de sécurité, accompagné d’un indicateur « Action requise ». Les organisations pourront cliquer sur le bouton « Corriger » pour amorcer le processus de correction requis et demander un soutien supplémentaire par clavardage ou par téléphone au besoin.

Il peut exister d’autres logiciels à haut risque que Beazley Security a identifiés, mais les éléments ci-dessus sont les seuls que Beazley exige actuellement de corriger avant la conclusion du contrat.

Quelle action une organisation doit-elle entreprendre après avoir examiné les résultats du rapport?

Après avoir examiné les résultats du rapport, déterminez quels problèmes doivent être corrigés :

• Action requise : Il s’agit de problèmes de sécurité critiques que Beazley exige de corriger avant l’achat ou le renouvellement de votre police de cyber-assurance.
• Action recommandée : Il s’agit de problèmes de sécurité critiques que nous recommandons fortement de corriger dès que possible. Il n'est pas nécessaire de traiter ces points pour avancer dans le processus d'assurance, mais ils présentent toujours un risque considérable pour votre entreprise.
• Action suggérée : Il s’agit de problèmes présentant un risque modéré que nous recommandons de corriger lorsque possible. Le traitement de ces éléments améliorera votre stratégie de gestion des risques et réduira les risques pour votre entreprise.
• À examiner : Il s’agit de constats informatifs que vous devriez examiner plus en détail afin de déterminer s’ils correspondent à votre configuration prévue.‍
• Aucun problème : Ces sections ne présentent aucun problème à signaler. Aucune mesure n'est nécessaire.

Si le destinataire du rapport au sein de l’organisation ne possède pas les compétences techniques nécessaires pour corriger les problèmes, Beazley Security recommande de partager le rapport avec le fournisseur de services TI afin d’obtenir un soutien supplémentaire. En cas de questions techniques concernant le rapport, une organisation peut soumettre une demande de soutien au centre d’assistance de la gestion des surfaces d’attaque (ASM) à l’adresse [email protected], ou utiliser la fonction de clavardage directement accessible dans les guides « Corriger » correspondants. Pour assurer une réponse rapide, veuillez inclure la date de l’analyse, l’organisation pour laquelle le rapport a été préparé et le domaine de l’organisation lorsque vous communiquez avec le soutien à la clientèle.

Que sont les guides « Corriger »?

Les guides « Corriger » de Beazley Security sont conçus pour offrir aux organisations un soutien technique et des conseils sur la façon de résoudre les problèmes les plus courants. Ces guides sont accessibles directement à partir du rapport sur la posture de sécurité et comprennent une série interactive de questions visant à s’assurer que le contenu s’applique bien au logiciel ou à l’infrastructure de l’organisation.

De plus, Beazley Security a créé des guides « Corriger » liés à quatre principaux contrôles de souscription de Beazley. Ces contrôles représentent des mesures de sécurité essentielles qui devraient être mises en œuvre pour renforcer la résilience d’une organisation face aux cybermenaces. L’adoption de ces mesures constitue une approche proactive visant à atténuer les risques.

• Authentification multifacteur (AMF) sur les courriels Web
• Authentification multifacteur (AMF) sur les solutions d’accès à distance
• Sauvegardes des données essentielles
• Mise en œuvre d’un antivirus/EPP

Que faire si le rapport indique des vulnérabilités provenant d’un fournisseur tiers?

Le rapport sur la posture de sécurité peut indiquer des adresses IP, des noms d’hôtes ou des vulnérabilités associées à un tiers, comme un fournisseur de services gérés, un fournisseur de logiciels en tant que service (SaaS) ou un fournisseur de services TI. Les résultats associés à un tiers font tout de même partie de l’infrastructure réseau de l’organisation et contribuent à sa surface d’attaque globale. Comme ces problèmes peuvent servir de vecteur d’attaque vers le propre réseau de l’organisation, il demeure important de les corriger.

Dans ces cas, Beazley Security recommande que les organisations collaborent avec le fournisseur tiers afin de résoudre les problèmes identifiés dans le rapport sur la posture de sécurité (SPR).

Existe-t-il des vulnérabilités réseau potentielles que ce rapport pourrait ne pas détecter?

Oui. Le rapport sur la posture de sécurité fournit des renseignements utiles sur la sécurité réseau d’une organisation, mais Karma fonctionne de manière passive pour identifier les problèmes et ne constitue pas une solution d’« analyse de vulnérabilités ». En conséquence, Karma ne peut pas détecter toutes les vulnérabilités potentielles. Les menaces à la sécurité évoluent constamment; certains risques peuvent donc rester non détectés, et d’autres peuvent apparaître après la date de l’analyse. Même si aucune vulnérabilité n’est identifiée dans le rapport ou si tous les problèmes répertoriés sont corrigés, le paysage des risques continue d’évoluer, et il est important que l’organisation demeure consciente de sa posture de sécurité au-delà de ce rapport.

Quel niveau de soutien Beazley Security peut-elle offrir à une organisation?

Beazley Security soutient les organisations en répondant aux questions générales et techniques liées au rapport sur la posture de sécurité et aux guides « Corriger ». Toutefois, Beazley Security ne corrige pas directement les problèmes ni n’apporte de modifications au nom de l’organisation pour résoudre les risques identifiés dans le rapport. Les organisations doivent plutôt travailler directement avec leur fournisseur de services TI pour mettre en œuvre les changements nécessaires.

Si un soutien supplémentaire est nécessaire, il est possible de faire appel aux services professionnels de Beazley Security pour discuter des solutions potentielles. Pour en savoir plus sur les capacités de nos services professionnels et sur la façon dont Beazley Security peut vous aider à réduire les risques, veuillez nous contacter ou consulter notre brochure sur les capacités.

Pour des questions sur le contenu technique du rapport ou pour discuter de certains résultats, veuillez communiquer avec le centre d’assistance de la gestion des surfaces d’attaque (ASM) à l’adresse courriel suivante : [email protected]. Pour assurer une réponse rapide, veuillez inclure la date de l’analyse, l’organisation pour laquelle le rapport a été préparé et le domaine de l’organisation lorsque vous communiquez avec le soutien à la clientèle.

Pour toute question concernant votre police d’assurance ou tout autre sujet lié à l’assurance, veuillez communiquer avec votre courtier d’assurance autorisé.

Les normes et contrôles de souscription mentionnés dans cette communication sont déterminés par Beazley, et Beazley est seule responsable d’évaluer la conformité à ces normes ou contrôles.

‍Dernière mise à jour : avril 2025

‍