Rueil-Malmaison, le 27 mai 2013 – Dans son rapport sur les vertus du Virtual Patching (« The Virtues of Virtual Patching »), le cabinet d’études Aberdeen Group souligne l’existence d’alternatives au cycle sans fin des « Patch Tuesdays », correctifs d’urgence, tests de régression et indisponibilités systèmes non planifiées. Pour Aberdeen, si la gestion des patchs est essentielle, son optimisation dépend avant tout des méthodes et processus qui encadrent le déploiement de ces correctifs de sécurité.

Les points marquants du rapport d’Aberdeen sont les suivants :

• Environ 75% des entreprises disposent d’une stratégie de gestion des patchs
• Les risques persistent, même si le déploiement des correctifs est effectué à 100%
• Face au nombre de vulnérabilités et menaces, les fournisseurs de systèmes et d’applications ne peuvent généralement pas tenir le rythme. En effet, d’après des spécialistes du secteur, seules 58% des vulnérabilités identifiées en 2011 ont bénéficié de correctifs le jour même de leur identification, et 36% d’entre elles n’avaient toujours pas été corrigées au premier trimestre 2012
• Selon Aberdeen, le coût total moyen d’un incident de sécurité s’élève à 130 000 dollars. Les incidents ayant entrainé une perte ou une divulgation de données sensibles ont vu ce coût moyen monté jusqu’à 640 000 dollars
• L’une des stratégies les plus pertinentes en matière de patching consiste à gagner du temps. Le Virtual Patching, par exemple, déploie des règles de sécurité qui préviennent toute tentative de tirer parti d’une vulnérabilité connue. Ce bouclier de protection permet aux organisations de disposer de davantage de temps pour évaluer, planifier et tester les correctifs, et ainsi remédier aux menaces et vulnérabilités selon un calendrier choisi et non imposé
• Le Virtual Patching est une des méthodes permettant de maîtriser les problématiques de sécurité des applications. L’étude d’Aberdeen souligne que les organisations les plus performantes en termes de sécurité informatique et de gouvernance, risques et conformité (GRC), sont deux fois plus susceptibles d’utiliser le Virtual Patching (57%) que celles étant classées parmi les moins performantes (26%)
  

Deep Security de Trend Micro est une plateforme de sécurité multifonctions, incluant un anti malware, des services de réputation Web, un pare-feu, une prévention des intrusions, un monitoring de l’intégrité ainsi que des technologies d’inspection des logs. Cette plateforme de sécurité serveur mise sur le Virtual Patching pour protéger les serveurs physiques, virtualisés et Cloud contre les vulnérabilités connues et de type zero-day, sans patching réalisé dans l’urgence, et donc coûteux. Deep Security utilise des mécanismes de protection avec et sans agent pour sécuriser automatiquement et efficacement les serveurs et postes de travail virtualisés, les clouds privés et publics, et ainsi optimiser le retour sur investissement.

« Le Virtual Patching est source d’avantages opérationnels et financiers », explique Derek Brink, Vice- président et chercheur en sécurité IT chez Aberdeen Group. « Avec le Virtual Patching, les entreprises peuvent déployer des correctifs à leur rythme, ce qui limite les coûts d’opportunité liés aux indisponibilités système non planifiées. Ces coûts se chiffrent en dizaines de milliers de dollars par heure pour certaines d’entre elles. Les organisations doivent considérer le Virtual Patching comme un levier permettant d’améliorer leur gestion classique des patchs, et de mieux prendre en charge les vulnérabilités et menaces qui pèsent sur leur infrastructure informatique ».

Lien vers le rapport d’Aberdeen Group - The Virtues of Virtual Patching