Conseils à prendre en compte lors de l'expansion de la cybersécurité

Pour les PME, les besoins en cybersécurité augmentent rapidement. 43 % des violations de données ciblent les PME , la plupart d'entre elles ne pourront pas se remettre d'une cyberattaque et 60 % d'entre elles n'ont pas de politique de cybersécurité. Alors que des millions de personnes s'apprêtent à voyager pour les fêtes de fin d'année, la CISA et le FBI rappellent aux partenaires des infrastructures critiques que des cybercriminels cherchent à exploiter cette période pour perturber les réseaux et systèmes critiques. 

Pour de nombreux fournisseurs de services gérés (MSP), la cybersécurité représente une formidable opportunité d'apporter une valeur ajoutée à leurs clients et de diversifier leurs sources de revenus. Bonne nouvelle : nul besoin d'être un expert en cybersécurité pour proposer des solutions de pointe. Il suffit de connaître les bonnes pratiques, les produits et les stratégies adaptés pour une cybersécurité efficace, robuste et facile à gérer.

Pour les fournisseurs de services gérés qui envisagent de se développer dans le domaine de la cybersécurité, nous espérons que les informations, conseils et solutions suivants leur seront extrêmement utiles.

Ne faites pas par défaut

Faut-il opter pour une solution MDR (Managed Detection and Response) ? Si beaucoup considèrent la MDR comme une solution miracle en matière de sécurité, elle répond en réalité à un besoin spécifique : vous alerter lorsqu’un attaquant a contourné vos autres contrôles. Pour un fournisseur de services gérés (MSP) souhaitant se lancer dans la cybersécurité, ce n’est qu’un aspect du débat. Des outils RMM (Real Security Monitoring and Management) offrent une surveillance performante permettant de détecter les systèmes non patchés, les autorisations d’accès trop permissives, etc. La récupération est tout aussi importante que la détection. Bien qu’une solution MDR offre d’excellentes capacités de détection, elle n’est pas indispensable pour une entreprise qui débute dans la vente de solutions de cybersécurité.

Dans de nombreux cas, les fournisseurs de services gérés (MSP) proposent directement des produits, sans se soucier au préalable du processus. Si cette approche peut sembler judicieuse à court terme, elle risque de se révéler contre-productive à moyen et long terme. Pour mettre en place un processus et des pratiques commerciales robustes en matière de cybersécurité, vous pouvez vous inspirer du modèle de contrôles CIS . Il est conseillé de commencer par le groupe de mise en œuvre 1 (IG1).

Pour commencer : quel devrait être votre processus de réflexion ?

Un changement de perspective

En général, les fournisseurs de services gérés (MSP) vendent des solutions prêtes à l'emploi. Dans le domaine de la cybersécurité, il vous faudra être plus flexible et concevoir des offres personnalisées pour chaque client, afin de compléter leur infrastructure technologique existante. Par exemple, vous devrez proposer des solutions différentes à un client utilisant Microsoft 365 Business Standard par rapport à un client utilisant Microsoft 365 Business Premium.

Le processus de vente diffère légèrement de celui appliqué à la vente de solutions informatiques classiques. Il est recommandé de désigner un commercial ou un ingénieur commercial expert en cybersécurité, capable de répondre aux questions des clients et de formuler des recommandations. Si aucun membre de votre équipe ne possède ces connaissances, nous vous conseillons de former un collaborateur avant de commencer les ventes. Dans de nombreux cas, vos fournisseurs peuvent vous accompagner dans cette formation.

Expertise

Comme nous l'avons mentionné, posséder des connaissances ou une expertise de base en cybersécurité est essentiel à votre réussite sur ce marché, et il n'est pas forcément nécessaire d'embaucher une personne supplémentaire. Dans de nombreux cas, cette expertise se trouve au sein de votre équipe, ou vous pouvez former un collaborateur possédant ces connaissances et compétences. Vous pourrez ensuite développer ces compétences en fonction de vos besoins et de la croissance de votre activité de sécurité.

Il existe de nombreuses méthodes structurées pour former un membre de votre équipe. Les certifications telles que CISSP et CompTIA Security+ constituent un excellent point de départ et contribuent à renforcer votre réputation de fournisseur de services en cybersécurité.

De nombreux fournisseurs forment vos employés à l'utilisation de leurs solutions. Un bon fournisseur aidera également votre équipe commerciale à se préparer à positionner et à vendre ses solutions. Nous vous recommandons de nouer un partenariat avec de tels fournisseurs, au moins dans un premier temps. C'est un excellent moyen de développer les compétences de votre équipe, d'être opérationnel rapidement et de renforcer votre crédibilité, sans frais supplémentaires. Il est également important de vérifier le niveau de support proposé par chaque fournisseur de technologies, car celui-ci peut varier considérablement.

Pour disposer des compétences et de l'expertise nécessaires au sein de votre équipe, surtout si vous souhaitez les intégrer rapidement, l'externalisation est toujours une option. Un RSSI virtuel peut vous accompagner durant la phase de transition, par exemple pour le choix des premiers produits à proposer, la mise en place des processus, l'évaluation de votre offre, etc. Par ailleurs, si vous travaillez avec un prestataire de gestion des incidents, vous pouvez lui demander si votre contrat peut inclure des prestations de conseil, de formation et d'évaluation de votre offre. Ces prestataires seront généralement ravis de le faire, ce qui vous permettra de réaliser des économies.

Investir intelligemment

Se lancer dans la cybersécurité ne nécessite pas forcément un investissement initial colossal. Certes, si vous optez pour une solution MDR (Managed Response, Detection and Response), un certain investissement est nécessaire. Mais il existe de nombreuses autres façons de proposer des services de cybersécurité sans investir autant. En réalité, si vous examinez attentivement votre portefeuille actuel, il y a de fortes chances que vous proposiez déjà des solutions de cybersécurité, même si vous ne les commercialisez pas sous cette appellation. Par exemple, vous vendez probablement déjà des solutions BCDR (Continuity and Recovery, Recovery, and Commitment). Les repositionner comme un outil de sécurité peut vous aider à positionner votre entreprise comme un fournisseur de solutions de sécurité.

Pour minimiser votre investissement initial, privilégiez les solutions SaaS sans investissement initial important ni engagement à long terme. Cela vous permet également de démarrer modestement avec quelques clients pilotes et de vous développer progressivement.

Quels produits pour commencer

Choisir les produits par lesquels commencer représente un autre défi. Commencez par examiner votre portefeuille actuel et vérifiez si vous proposez déjà des produits pouvant être considérés comme des solutions de sécurité (la continuité d'activité et la reprise après sinistre, par exemple, comme nous l'avons mentionné précédemment).

Ensuite, nous vous recommandons de suivre le processus CIS . Cela vous donnera des indications de base sur la manière de commencer, vous permettant ainsi d'aborder la sécurité avec vos clients en toute confiance et de les aider à définir leur tolérance au risque.

Si vous souhaitez élargir l'offre de votre MSP à des produits supplémentaires, choisissez des produits relativement légers : faciles à installer, faciles à utiliser, dotés d'une gestion centralisée et utilisant un modèle SaaS.

Un autre point important est de choisir des produits qui minimisent l'intervention humaine. Idéalement, vous souhaitez que vos produits travaillent pour vous , et non l'inverse. Voici quelques exemples :

• Faites tester vos sauvegardes par une solution de continuité d'activité et de reprise après sinistre (BCDR) , plutôt que de laisser un membre de votre équipe s'en charger. Le déploiement d'une solution BCDR réduit la charge de travail manuelle et, par conséquent, vos coûts.
• Un produit comme Datto SaaS Defense protège automatiquement les outils de messagerie et de collaboration, sans intervention humaine ni frais d'installation ou de maintenance. Il permet également de gagner un temps précieux consacré à l'analyse des menaces : en un clic, vous obtenez les résultats d'une enquête approfondie, prêts à être partagés avec vos clients. Contrairement à d'autres solutions, SaaS Defense vous dispense donc d'embaucher un spécialiste SOC.
• Protection SaaS : La protection SaaS offre une approche multicouche pour se prémunir contre les ransomwares et autres cybermenaces. Grâce à trois sauvegardes quotidiennes et à la restauration à un point précis dans le temps, les fournisseurs de services gérés (MSP) peuvent récupérer des fichiers individuels ou les données complètes d'une application à partir d'un instantané de sauvegarde effectué avant une attaque, et ce, sans aucune intervention humaine.
• Avec RMM, vous pouvez tirer parti d'une vaste bibliothèque de scripts, de politiques et d'extensions préconfigurés, pris en charge par Datto, pour automatiser des tâches telles que la détection des ransomwares qui surveille et réduit l'impact des crypto-ransomwares.

Nous ne saurions trop insister sur ce point : quel que soit le produit choisi, assurez-vous que la formation, l’assistance et les services professionnels fournis correspondent à vos attentes. Pour les nouveaux venus dans le domaine de la cybersécurité, cela reste vrai même si cela implique de choisir un produit moins performant.

Pour réduire davantage les coûts, choisissez des produits compatibles avec votre système de sécurité des produits (PSA) actuel. Les solutions logicielles doivent générer des rapports vers le portail que vous utilisez déjà, celui avec lequel vos employés ont l'habitude de travailler. C'est infiniment plus pratique que de gérer plusieurs portails. Si vous optez pour un fournisseur unique pour l'ensemble de vos produits de cybersécurité, assurez-vous simplement que son programme de sécurité est robuste (et effectuez une vérification préalable par un tiers ).

Enfin, croyez-nous, ne cédez pas à la tentation d'utiliser des outils gratuits. La plupart des outils gratuits et open source vous coûteront des centaines d'heures de gestion, vous laisseront tomber au moment où vous en aurez le plus besoin et, souvent, leur sécurité est loin d'être optimale. Dans bien des cas, aussi tentant que cela puisse paraître, le jeu n'en vaut tout simplement pas la chandelle.

Protection juridique

C'est un élément essentiel du choix de votre gamme de produits et de votre stratégie. En matière de responsabilité juridique, il est crucial de ne prendre aucun risque, surtout dans le domaine de la sécurité. Définissez clairement vos responsabilités lors de la vente de produits et services de cybersécurité et assurez-vous de ne pas être tenu responsable en cas de problème de sécurité grave chez votre client.

Mes clients en auront-ils besoin ?

S'engager dans une nouvelle voie comporte toujours une part d'incertitude. Cependant, en matière de cybersécurité, la demande est forte et devrait encore croître. Compte tenu du contexte actuel – marqué par des révélations quotidiennes sur les violations de données, les rançongiciels, le phishing et autres menaces qui frappent les entreprises – il est évident que la cybersécurité est indispensable à tous, et particulièrement aux PME.

Bien sûr, pour les PME, le budget peut être un facteur limitant. Par le passé, de ce fait, les petites structures se voyaient proposer des solutions de cybersécurité moins performantes que les grandes entreprises. Aujourd'hui, il existe cependant des produits offrant des solutions de sécurité de niveau professionnel, conçus pour répondre aux besoins et aux budgets des PME.

En tant que fournisseur de services gérés (MSP), vous êtes idéalement placé pour proposer ces solutions aux PME.

Un dernier conseil pour réussir

Un dernier conseil : comme vous le savez sans doute déjà, chez Datto, nous encourageons nos partenaires MSP à examiner leur propre sécurité, à l’évaluer et à s’assurer que leur entreprise est protégée avant de proposer leurs services de sécurité à d’autres. Cela vous permettra d’aborder sereinement et en toute confiance le marché de la cybersécurité pour les PME.

Chez Datto, notre priorité est d'accompagner les fournisseurs de services gérés (MSP). Nous sommes là pour vous aider et vous pouvez consulter notre équipe, tester nos solutions, suivre une formation ou bénéficier de toute autre assistance. Cliquez ici pour en savoir plus sur les conseils de Datto en matière de cybersécurité.

Il y a des PME qui ont besoin de votre soutien – bonne chance !