Surveillance de la sécurité au Rwanda

Qu’est-ce que la surveillance de la sécurité, et qui en a besoin

Elle rassemble les journaux et alertes des connexions, des appareils, de la messagerie, des services cloud, des pare-feu et des serveurs, applique des règles de détection qui reconnaissent les schémas suspects, et confie à quelqu’un le tri de ce que ces règles signalent. Elle convient aux organisations qui détiennent des données sensibles ou réglementées, à celles qui ont déjà investi dans des outils de sécurité mais manquent de personnes pour les suivre, et à toute organisation incapable de dire aujourd’hui si quelqu’un s’est connecté la nuit dernière à la boîte d’un dirigeant depuis un autre pays.

Le problème qu’elle résout

Beaucoup d’attaques ne ressemblent à une attaque pour aucun outil pris isolément. Un mot de passe volé produit une connexion d’apparence normale ; une nouvelle règle de messagerie transfère discrètement les factures à un tiers ; un compte de la comptabilité télécharge des centaines de fichiers à 2 h du matin. Chaque événement seul peut ne déclencher aucune alarme. La surveillance les relie et transforme des signaux faibles en alerte précoce, réduisant le temps qu’un attaquant passe dans vos systèmes.

Pourquoi la rapidité de détection compte désormais juridiquement

La rapidité n’est pas qu’une question technique. Selon la loi rwandaise N° 058/2021 sur la protection des données personnelles, le responsable du traitement doit informer l’Autorité nationale de cybersécurité dans les 48 heures après avoir pris connaissance d’une violation de données personnelles (article 43). L’équipe nationale de réponse aux incidents de sécurité informatique du Rwanda, rw-CSIRT, créée en 2014, est le point de contact national pour coordonner la réponse aux incidents de sécurité. Les établissements supervisés par la Banque nationale du Rwanda ont aussi des obligations de signalement des incidents au titre de son règlement sur la cybersécurité.

Aucune de ces obligations ne peut être respectée sans savoir d’abord qu’il s’est passé quelque chose et ce que cela a touché. Une bonne surveillance, et des journaux conservés assez longtemps, rendent un signalement en 48 heures réaliste plutôt qu’approximatif.

Ce que nous surveillons

• La compromission de comptes : connexions depuis des lieux ou appareils inhabituels, échecs répétés et modifications de l’authentification multifacteur.
• Les changements de privilèges : nouveaux administrateurs ou modifications des paramètres de sécurité.
• Les abus de messagerie : règles de transfert vers des adresses externes et envois massifs.
• Les mouvements de données : téléchargements inhabituels ou partage d’un grand nombre de fichiers.
• L’activité des logiciels malveillants : détections sur les appareils et tentatives de désactivation de la protection.
• Les événements périmétriques : connexions VPN, détections de menaces du pare-feu et connexions vers des destinations malveillantes connues.

Équipements généralement utilisés

Une plateforme de surveillance centrale qui collecte journaux et alertes, souvent Microsoft Sentinel ou le portail Defender lorsque Microsoft 365 est utilisé, ou un outil équivalent de gestion des informations et des événements de sécurité. Des connecteurs pour votre pare-feu, votre VPN, vos serveurs et vos services cloud. Un stockage des journaux suffisant pour les conserver pendant la durée convenue, hors des systèmes surveillés. Rien de nouveau n’est nécessaire sur les appareils du personnel au-delà de la protection des postes qu’ils devraient déjà avoir.

Ce que comprend le travail

1. Convenir du périmètre : systèmes, sources de données et contacts d’escalade.
2. Connecter les sources de données à une plateforme de surveillance centrale, et fixer la conservation des journaux.
3. Configurer des règles de détection adaptées à votre environnement, puis les régler pour réduire les fausses alertes.
4. Définir des procédures : ce qui se passe pour chaque type d’alerte, qui est appelé et ce que nous pouvons faire en votre nom.
5. Exploiter : les alertes sont triées en continu pendant les heures convenues, avec des rapports mensuels sur ce qui a été observé et ce qu’il faut changer.

Ce qui est inclus et ce qui ne l’est pas

Délais habituels et ce qui détermine le coût

La mise en place initiale prend généralement deux à quatre jours, selon le nombre de sources de données, suivis de quelques semaines de réglage. Le coût continu est un abonnement qui dépend du nombre d’utilisateurs et d’appareils, des sources de données incluses, de la conservation des journaux, des heures couvertes (heures de bureau ou 24 h/24) et de l’étendue de la réponse que nous assurons en votre nom.

Les erreurs que nous voyons souvent

Des outils qui produisent des alertes que personne n’examine avant un incident. Des règles d’alerte laissées par défaut, qui génèrent tant de bruit que les vraies menaces sont ignorées. Une surveillance limitée au pare-feu alors que les connexions et la messagerie, où commencent aujourd’hui la plupart des attaques, ne sont pas suivies. Des journaux conservés trop peu de temps pour enquêter sur quoi que ce soit de plus ancien que quelques jours. Et aucune escalade convenue, si bien qu’une vraie alerte la nuit attend le lundi.