Agnidipta Sarkar, Chief Evangelist, ColorTokens – Série d’interviews

Agnidipta Sarkar, Chief Evangelist, ColorTokens est un leader en cybersécurité et résilience numérique avec plus de trois décennies d’expérience couvrant la défense cybernétique, la gestion des risques, la continuité d’activité, la confidentialité et le Zero Trust. Chez ColorTokens, il travaille avec les conseils d’administration, les dirigeants de niveau C et les responsables de la sécurité pour renforcer la préparation aux violations et aligner les programmes de cybersécurité sur les priorités commerciales, tout en contribuant aux normes internationales et aux initiatives sectorielles via des organisations telles que l’ISO, la Cloud Security Alliance, le NIST et l’ISA. Avant de rejoindre ColorTokens, Sarkar a occupé le poste de Group CISO chez Biocon et a exercé des fonctions de direction en sécurité de l’information et gestion des risques dans des organisations comme DXC Technology, Hewlett Packard Enterprise et HP.

ColorTokens est une société de cybersécurité spécialisée dans la microsegmentation, le Zero Trust, et aide les entreprises à devenir plus résilientes lorsque les attaquants franchissent les défenses périmétriques traditionnelles. Sa plateforme phare, Xshield Enterprise Microsegmentation Platform, est conçue pour empêcher les attaquants et les logiciels malveillants de se déplacer latéralement au sein d’une organisation en créant des frontières de sécurité granulaire autour des charges de travail et des actifs couvrant les centres de données, l’infrastructure cloud, les points de terminaison, les environnements Kubernetes, la technologie opérationnelle (OT) et les appareils Internet des objets (IoT). La plateforme intègre également des flux de travail assistés par l’IA pour découvrir les environnements, créer des politiques de segmentation et accélérer le déploiement des politiques, dans le but plus large de réduire la surface d’attaque de l’organisation et de limiter l’impact potentiel, ou « rayon d’explosion », d’une violation réussie.

Vous avez passé plus de trois décennies à passer de rôles pratiques en réseau et sécurité chez HCL, Wipro, HP, HPE et DXC à celui de Group Chief Information Security Officer chez Biocon, tout en contribuant aux normes de sécurité internationales. Comment ces expériences de première ligne ont-elles façonné votre conviction que les organisations doivent se préparer à contenir les violations plutôt que de supposer qu’elles peuvent empêcher chaque intrusion ?

Au début de ma carrière chez HCL et Wipro, la cybersécurité ressemblait à la frontière sauvage : excitante, chaotique et pleine d’opportunités. Je me suis lancé, en expérimentant, en échouant, en apprenant et en réussissant tout ce que la technologie pouvait me proposer : pare-feux, IDS, MFA, chiffrement, audits, gouvernance. Mais la vraie leçon est venue lorsque j’ai observé mon premier incident de sécurité se dérouler. Soudain, toutes ces meilleures pratiques se sont effondrées sous la pression. Ce fut mon déclic.

Chez HP, j’ai eu une place au premier rang face au chaos, d’abord en tant qu’observateur, puis en tant que responsable opérationnel, voyant le chaos se dérouler de près. Chaque incident a renforcé la même leçon : l’informatique n’est jamais statique, et aucun investissement ne peut garantir la sécurité. Lorsque j’ai finalement pris les rênes en tant que Group CISO, j’ai compris que ma mission était de créer un manuel de gestion des violations, non seulement pour mes opérations de sécurité, mais pour l’ensemble de l’organisation. Un manuel qui soit reproductible, prévisible, et capable de maintenir l’activité lorsque la tempête survient, tout en améliorant continuellement les opérations de sécurité au fil du temps.

Sur le papier, les outils semblaient parfaits. En réalité, la gestion des services informatiques a révélé des fissures inattendues. La gestion des actifs, les correctifs, la configuration, les changements, les risques — tout était embrouillé par l’erreur humaine. C’est là que se cache la faiblesse numérique, et quand les alarmes sonnent, c’est un cauchemar de démêler le tout. Il n’existe aucun script pour la salle de crise lorsqu’une violation survient. Le chaos est la règle, non l’exception. C’est pourquoi j’ai consacré ma carrière à instaurer une structure au cœur de la tempête et à aider les dirigeants à percer le bruit et à gérer le risque, plutôt que d’être emportés par lui.

Avec le recul, je suis reconnaissant pour chaque leçon : observer depuis la périphérie, mettre les mains dans le cambouis au cœur des attaques, et enfin diriger depuis le front. C’est pourquoi je défends la préparation aux violations comme un art, et non seulement une science. On peut cartographier les schémas d’attaque toute la journée, mais ce qui compte, c’est ce qui se passe dans la salle de crise, lorsque les dirigeants doivent tenir la ligne. Cette clarté ne vient qu’en l’ayant vécue.

C’est pourquoi j’ai créé un cadre de préparation aux violations pour anticiper, résister et faire évoluer les capacités à affronter la prochaine cyberattaque. Ce cadre aide les organisations à évoluer avec la tempête, et non contre elle. L’objectif final est de concrétiser Koun Ryusui, qui dérive comme les nuages, coule comme l’eau, afin que, lorsque la prochaine attaque sans précédent survient, au lieu du chaos, les entreprises déploient une flexibilité et une résilience structurées, tirant parti de leurs investissements technologiques pour en sortir plus fortes et plus confiantes.

L’IA aide les attaquants à automatiser la reconnaissance, l’exploitation des vulnérabilités et le déplacement latéral, compressant potentiellement des activités qui prenaient autrefois des semaines en heures ou minutes. Quelles parties du modèle conventionnel de réponse aux incidents deviennent inefficaces lorsque les attaques fonctionnent à la vitesse d’une machine ?

Lorsque les attaques se déplacent à la vitesse d’une machine, les défenseurs qui survivent sont ceux qui peuvent analyser et agir plus rapidement que l’adversaire. Oui, l’IA fournit de nouveaux outils aux attaquants, mais elle renforce également les défenseurs. D’après mon expérience, il existe deux manières de gérer ces attaques sans précédent, alimentées par l’IA.

Premièrement, il faut repenser votre paysage numérique. Créez des zones prêtes à la violation et des microsegments qui séparent vos joyaux de la couronne du reste. Imaginez cela comme un labyrinthe : certains chemins sont ouverts, d’autres bloqués, rendant difficile le déplacement libre des identités non autorisées. C’est ainsi que vous maintenez les attaques alimentées par l’IA à distance en les ralentissant, car le labyrinthe évolue avec les changements des systèmes numériques.

Deuxièmement, vous avez besoin de modèles, de guides d’action et de rôles clairement définis prêts avant que l’alarme ne retentisse. Ainsi, lorsque cela se produit, chaque humain et chaque machine savent ce qui doit être fait et dans quel ordre de priorité. L’astuce consiste à gagner du temps et à ralentir l’IA, à la contraindre à travailler davantage et à lui refuser tout déplacement aisé. C’est ainsi que vous maintenez vos défenses en combat lorsque chaque milliseconde compte.

Demandez à n’importe quel marin qui a survécu à une brèche de sous-marin. Lorsque l’eau afflue, vous n’avez pas le temps de deviner son prochain mouvement. Vous devez avoir renforcé les bonnes portes à l’avance, en sachant ce que vous devez garder opérationnel et où la pression frappera. Lorsque la brèche se produit, tout ce que vous pouvez faire est de mettre en quarantaine le compartiment inondé et de maintenir le reste du navire en marche. C’est ainsi que vous protégez votre entreprise minimale viable. Dans le monde numérique, cela correspond à votre entreprise numérique minimale viable.

C’est là tout l’enjeu de la préparation aux violations. Si une attaque parvient à passer, vous isolez la zone affectée, déclenchez votre plan de continuité d’activité (BCP) et maintenez le cœur de l’entreprise non affecté en fonctionnement. Pas d’arrêt, pas de crise. Simplement une urgence d’incident.

Vous préconisez de discuter de la préparation aux violations en termes commerciaux et financiers plutôt que de la considérer uniquement comme une question technique. Quels indicateurs les conseils d’administration devraient-ils utiliser pour déterminer si l’organisation peut continuer à fonctionner pendant une cyberattaque grave ?

Les violations n’affectent pas seulement vos systèmes ; elles touchent tout et tous ceux qui en dépendent. Interrogez le patient refusé à l’hôpital, le voyageur bloqué à l’aéroport ou le concessionnaire automobile laissé endetté pendant des mois. C’est le véritable coût d’une cyberattaque. Ce n’est pas une question de « si », mais de « quand ». C’est pourquoi les conseils d’administration doivent considérer la préparation aux violations comme une nécessité commerciale et financière.

Il existe deux indicateurs que chaque conseil doit suivre.

Premièrement, définissez le niveau d’impact matériel que le conseil est prêt à accepter dans la poursuite des ambitions numériques et d’IA. Cela fixe la barre quant à la part de votre entreprise numérique qui doit rester opérationnelle pendant une violation. J’appelle ces indicateurs le Maximum Acceptable Material Impact (MAMI) et le Minimum Viable Digital Enterprise (MVDE).

Beaucoup confondent le MVDE avec la continuité d’activité, mais ce ne sont pas la même chose. Si vous estimez qu’un impact inférieur à 10 % est acceptable, alors 90 % de votre activité doit continuer à fonctionner même pendant une violation. La plupart des plans de continuité d’activité ne vous ramènent qu’à 30 % au mieux, laissant 60 % de votre activité numérique exposée. Ce paradoxe empêche les dirigeants de dormir.

Si vous fixez votre MVDE à 70 %, vous pouvez rassurer les parties prenantes que vous investissez dans des défenses qui maintiennent l’activité, même lorsque le pire se produit, en construisant un labyrinthe difficile à franchir pour les attaquants humains ou IA, et la capacité de mettre en quarantaine les attaques à la vitesse d’une machine. C’est là que la microsegmentation joue le rôle de brique fondamentale. Vous pouvez désormais intégrer la plupart de vos investissements en cybersécurité tels que l’EDR, les pare‑feux, le SASE, l’identité (humaine et non‑humaine), l’accès, l’autorisation et la cybersécurité OT dans un plan de signal unique et parfaitement connecté que votre SOC peut exploiter pendant les violations actives pour contenir les cyberattaques et isoler le MVDE.

Suivez le MAMI et le MVDE chaque trimestre, pour chaque nouvelle initiative numérique et IA, et vos investisseurs ainsi que vos parties prenantes ne chercheront que des preuves de la bonne gestion de la résilience.

Le « rayon d’explosion » est de plus en plus utilisé comme mesure de la résilience cybernétique. Comment une organisation peut‑elle calculer son rayon d’explosion potentiel avant qu’une attaque ne survienne, et quel niveau d’exposition serait considéré comme acceptable ?

Le rayon d’explosion compte. De manière significative.

Cependant, ce n’est pas le seul indicateur qui compte. Je préconise toujours d’évaluer votre rayon d’explosion actuel comme première étape pour construire une entreprise Zero Trust et prête aux violations. Tout ce dont vous avez besoin est une Breach Readiness Impact Assessment (BRIA), une analyse non intrusive, pilotée par API, utilisant votre EDR existant. Pour les OT et les mainframes, il peut être nécessaire d’utiliser des agents ou des appliances.

Tous les rayons d’explosion ne sont pas mauvais. Parfois, ils sont essentiels à la performance d’une application. Le diable se cache dans les détails. Prenez un service de cache qui accélère les recherches d’informations produit et les sessions utilisateur. Il nécessite une connectivité système‑à‑système pour faire fonctionner une plateforme e‑commerce avec de multiples microservices. Mais ce même rayon d’explosion devient une faille si des utilisateurs ou systèmes non autorisés peuvent y accéder.

On ne peut pas examiner le rayon d’explosion isolément. Il faut le combiner avec d’autres modèles de sécurité tels que les anomalies de comportement, les abus d’accès, la dérive de privilèges, les dépassements d’autorisation et les échecs d’authentification pour réellement comprendre votre exposition aux violations. Et rappelez‑vous, ce qui est acceptable dans une industrie peut être rédhibitoire dans une autre.

En quoi la préparation aux violations diffère‑t‑elle des réponses aux incidents traditionnelles, de la récupération après sinistre, de la continuité d’activité et des programmes Zero Trust, et où la responsabilité de la coordination de ces disciplines devrait‑elle résider ?

Ce ne sont pas des sujets séparés ; ce sont des disciplines interconnectées qui doivent être coordonnées autour d’un même résultat commercial.

Je définis la préparation aux violations comme une discipline de résilience d’entreprise : préparer, architecturer, exercer et gouverner continuellement l’organisation afin d’anticiper les attaques, de limiter le rayon d’explosion, de maintenir le Minimum Viable Digital Enterprise dans le cadre du Maximum Acceptable Material Impact pré‑défini, et de restaurer les capacités pendant que l’attaque est contenue. La préparation aux violations est la mise à l’arme de l’architecture Zero Trust et précise ce qui doit se produire avant, pendant et après une cyberattaque. Elle déplace la question de « Comment empêcher les attaquants d’entrer ? » à « Comment s’assurer qu’un incident ne puisse causer plus de dégâts que ce que nous sommes prêts à tolérer, et quelle part de l’entreprise peut rester opérationnelle pendant notre réponse ? ». La préparation aux violations concerne la survivabilité pendant que l’incident se déroule.

Le saut conceptuel est important. Les pratiques d’entreprise disparates de sauvegarde et de récupération, de réponse aux incidents, de récupération après sinistre et de continuité d’activité jouent tous un rôle crucial dans la préparation aux violations, car elles gèrent la perturbation. Elles débutent lorsque les systèmes sont attaqués. Les trois programmes de réponse aux incidents, de récupération après sinistre et de continuité d’activité se concentrent sur « À quelle vitesse pouvons‑nous restaurer ce qui a été perturbé ? ». La préparation aux violations se focalise sur « Quelle part de cela peut rester disponible dès le départ ? ».

La préparation aux violations démantèle les silos afin de garantir que les conséquences commerciales d’une compromission soient gérées, et les parties prenantes rassurées en se concentrant sur la manière de garder la majeure partie de l’entreprise « non affectée » et d’activer un plan de continuité/reprise (BC/DR) pour la partie affectée. La responsabilité et la propriété de la préparation aux violations incombent à la direction exécutive. Le PDG/le conseil d’administration détient l’appétit pour le risque et le résultat commercial acceptable. Le COO ou un exécutif équivalent de résilience d’entreprise doit coordonner la préparation aux violations à travers l’organisation, le CISO étant responsable de la dimension cybersécurité.

Pour les entreprises qui souhaitent atteindre un état de Kuon Ryushi, la participation organisationnelle complète, utilisant la technologie et l’IA pour gérer les effets d’une cyberattaque, est cruciale.

ColorTokens utilise l’IA pour aider les équipes de sécurité à analyser les environnements et à générer plus rapidement des politiques de microsegmentation. Jusqu’où les organisations devraient‑elles faire confiance à l’IA pour automatiser les décisions défensives, et quelles actions de confinement devraient rester soumises à l’approbation humaine ?

Absolument. Nous faisons exactement cela.

Mais soyons clairs : « utiliser l’IA pour aider les équipes de sécurité » n’est que la partie émergée de l’iceberg. Chez ColorTokens, nous croyons à l’utilisation responsable de l’IA pour rendre les entreprises réellement prêtes aux violations. Il y a une histoire bien plus vaste que « l’IA facilite la microsegmentation. »

Les incidents récents avec Anthropic, OpenAI, AISI, et même le cas de réservation de salle de sport en Australie sont des échecs d’architecture, pas de gouvernance. Lorsque l’IA autonome sort de son bac à sable, elle n’est pas toujours malveillante ou peu fiable. Tout dépend de la façon dont l’architecture a été construite. Les humains doivent définir clairement l’enveloppe opérationnelle, et l’IA doit y rester. C’est là que la gouvernance intervient.

Par exemple, vous pourriez autoriser l’IA à isoler tout point de terminaison signalé comme compromis avec un niveau de confiance supérieur à un certain seuil, sauf s’il s’agit d’un système de sécurité OT, d’un contrôleur de domaine, d’un système de paiement ou d’un actif de contrôle de production. C’est une autonomie limitée. Mais c’est plus facile à dire qu’à faire, car il faut que l’architecture soit spécifique au contexte et clairement définie par des experts métier.

À mon avis et d’après mon expérience, les entreprises doivent utiliser l’IA pour effectuer la découverte, la corrélation, la cartographie des dépendances, l’analyse des chemins d’attaque, l’analyse du rayon d’explosion, les recommandations de politiques, la synthèse de politiques, la simulation de politiques, l’optimisation de politiques à faible risque, le confinement pré‑autorisé et la vérification continue, tout en laissant aux humains la détermination de la criticité métier, de la perturbation acceptable, des limites de sécurité, des définitions des joyaux de la couronne, des contraintes de sécurité (dans l’OT), de l’impact maximal acceptable, des seuils d’autonomie, des approbations d’exception, l’isolation majeure de la production et les actions irréversibles.

En résumé, l’IA doit disposer d’une liberté suffisante pour accomplir sa tâche, mais sous des conditions explicites imposées par l’infrastructure en dehors de son périmètre de contrôle. L’IA doit proposer des actions, attendre l’approbation humaine, puis appliquer les changements à la vitesse d’une machine. L’objectif n’est pas de rendre l’IA autonome, mais de rendre l’autonomie défensive limitée.

Chez ColorTokens, nous utilisons l’IA pour rendre la boucle de contrôle du défenseur suffisamment rapide pour suivre les attaquants. La prise de décision centralisée en matière de politiques, les multiples mécanismes d’application, la télémétrie riche, la protection sans agent pour les systèmes qui ne peuvent pas exécuter d’agents, le support cloud et conteneur, ainsi que la découverte et la synthèse de politiques assistées par l’IA — tout cela fait partie de la préparation aux violations assistée par l’IA.

La microsegmentation existe comme concept depuis des années, mais les organisations l’associent souvent à des déploiements complexes et à des politiques rigides. Qu’est‑ce qui a changé technologiquement pour la rendre plus pratique sur les infrastructures cloud, les environnements Kubernetes, les points de terminaison, les systèmes hérités et la technologie opérationnelle ?

Plusieurs éléments.

Ce qui a commencé comme une façon sophistiquée de connecter et de contrôler les réseaux, en assurant une connectivité et une bande passante dédiées, est devenu une capacité fondamentale de cybersécurité. Aujourd’hui, la microsegmentation peut transformer les grandes entreprises en organisations prêtes aux violations, rapidement et en toute confiance. Les évolutions technologiques nous ont permis de dépasser les anciennes difficultés : cartographier les dépendances, redessiner les frontières réseau, configurer les VLAN et les pare‑feux, écrire les règles à la main et craindre de perturber le trafic métier. La segmentation était autrefois lente, coûteuse et limitée au centre de données. Ce n’est plus le cas.

Premièrement, l’identité est désormais le principal vecteur des cyberattaques. C’est pourquoi la gouvernance renforcée de l’identité est le premier principe du Zero Trust. Dans les environnements cloud modernes, les adresses IP sont dénuées de sens pour la sécurité. La microsegmentation moderne utilise l’identité, l’accès, la charge de travail, l’application, le service et le contexte, et non seulement la localisation réseau. La frontière de sécurité suit l’identité, l’accès et l’application, pas seulement l’infrastructure sous‑jacente.

Deuxièmement, la microsegmentation sans agent dépasse désormais les appliances. Elle étend la protection aux systèmes hérités, aux appareils IoT et à l’OT qui ne peuvent pas exécuter d’agents. La microsegmentation moderne s’intègre à l’EDR, élargissant la couverture et réduisant le temps de déploiement de mois à heures, car l’EDR possède déjà la télémétrie dont la microsegmentation a besoin.

Enfin, l’IA élimine le dernier gros goulot d’étranglement : l’ingénierie de politiques de préparation aux violations spécifiques au contexte. L’IA peut analyser de multiples points de données pour le contexte, cartographier les dépendances et les chemins d’attaque, recommander le zonage et les politiques de microsegmentation, et simuler leur impact avant l’application. La microsegmentation moderne applique les politiques directement aux points de terminaison et aux charges de travail en utilisant les contrôles natifs du système d’exploitation. Vous n’avez plus besoin de redessiner le réseau ; la microsegmentation est désormais transparente, et la politique suit la charge de travail où qu’elle aille.

L’objectif n’est pas seulement de bloquer chaque tentative de déplacement latéral, mais d’analyser suffisamment de signaux à la vitesse d’une machine pour garantir que, lorsqu’un attaquant pénètre, la charge de travail compromise ne devienne pas une autoroute vers le reste du système. La microsegmentation moderne ne consiste plus uniquement à diviser les réseaux, mais à contrôler et surveiller le rayon d’explosion.

Quelles preuves les dirigeants devraient‑ils exiger lorsqu’ils évaluent le cas financier de la microsegmentation, notamment en ce qui concerne les temps d’arrêt dus aux ransomware, les primes d’assurance cyber, l’exposition réglementaire et le coût de maintien des services critiques opérationnels pendant une attaque ?

La détermination financière de l’impact d’une violation et la corrélation d’un investissement en microsegmentation capable d’assurer des opérations non affectées pendant une violation obligent les dirigeants à prendre conscience que les cyberattaques réussiront, quel que soit l’investissement en cybersécurité. En 2025 et 2026, des organisations qui ont succombé à des cyberattaques et ont connu des temps d’arrêt imprévus comprennent de nombreuses entreprises financièrement solides comme JLR, Nike et Stryker. Ainsi, il ne s’agit pas de savoir si elles seront violées, mais quand.

Une fois cette réalité acceptée, investir dans une préparation fondamentale aux violations devient urgent et crucial pour la survie de l’entreprise. Pour investir judicieusement, comprenons plus en détail les deux indicateurs au niveau du conseil.

Le premier est une mesure de la survivabilité. Le Maximum Acceptable Material Impact (MAMI) que la direction et le conseil d’administration sont prêts à accepter pour les ambitions de transformation numérique ou d’adoption de l’IA. Il peut commencer comme un chiffre de revenu, mais doit s’étendre à la viabilité financière, la confiance des clients, la réputation ou la marque au fil des itérations.

Le second est un indicateur d’avantage concurrentiel. Le Minimum Viable Digital Enterprise (MVDE) qui doit rester opérationnel même lorsque les cyberattaques les plus inédites surviennent. Tous les cas d’affaires pour de nouvelles initiatives doivent prendre en compte ces deux facteurs. Le MVDE peut commencer à 70 % et augmenter en fonction du succès du programme d’identité et de microsegmentation sous‑jacent.

Voici ce que les dirigeants doivent rechercher lorsqu’ils évaluent la microsegmentation : des preuves qu’elle peut réduire les temps d’arrêt dus aux ransomware, diminuer les primes d’assurance cyber, réduire l’exposition réglementaire et maintenir les services critiques opérationnels pendant une attaque.

1. La plateforme de microsegmentation permet‑elle une plateforme unique couvrant les centres de données, les utilisateurs, les systèmes OT et le cloud ?
2. Quel pourcentage de notre entreprise est structuré en zones et microsegments en fonction de l’impact matériel sur l’activité par rapport à l’évaluation précédente ?
3. À quelle rapidité la solution de microsegmentation peut‑elle être opérationnelle avec des zones, des microsegments et des conduits contrôlés, conçus pour maintenir le MVDE opérationnel ?
4. La solution de microsegmentation peut‑elle s’intégrer à l’EDR et l’utiliser comme agent afin de réduire l’empreinte des agents ?
5. La plateforme de microsegmentation utilise‑elle une intelligence artificielle conversationnelle pour déterminer des règles et politiques spécifiques au contexte ?
6. Avons‑nous la capacité de surveiller les changements de comportement des utilisateurs valides dans les applications et de restreindre les utilisateurs déviants par identité ?
7. Le temps moyen de détection et de réponse en mettant en quarantaine le comportement malveillant peut‑il s’adapter à l’adoption croissante du numérique et de l’IA dans l’entreprise ?
8. La plateforme de microsegmentation peut‑elle simuler et modéliser des scénarios de défense cyber afin de réduire progressivement l’exposition aux violations des opérations ?

Bien que cela couvre la plupart des cas d’utilisation, la conformité nécessitera des déclarations d’applicabilité individuelles pour chaque réglementation, pouvant expliquer quelle partie de la réglementation peut être satisfaite directement par la plateforme ColorTokens, ce qui nécessite un processus entourant la technologie, et ce qui requiert des technologies et processus supplémentaires.

De nombreuses organisations réalisent des tests de pénétration et des exercices de réponse aux incidents, mais ceux‑ci ne révèlent pas toujours jusqu’où un attaquant peut se déplacer après avoir obtenu un accès. Comment les entreprises devraient‑elles tester le confinement et la survivabilité dans des conditions d’attaque réalistes accélérées par l’IA ?

Si les organisations souhaitent adopter l’essence du Koun Ryusui dans la construction de la préparation aux violations, elles doivent intégrer la microsegmentation aux opérations de cybersécurité existantes et la faire évoluer au fil du temps. Pour cela, la microsegmentation nécessite une intégration des signaux avec d’autres outils du centre des opérations de sécurité, tels que le SIEM, l’EDR, les pare‑feux de nouvelle génération, etc. Cela garantirait que la microsegmentation alimentée par l’IA puisse orchestrer le confinement lorsque nécessaire, en se basant sur les indicateurs d’attaque et les anomalies comportementales.

Ce dont vous avez besoin alors ne sont pas des tests individuels, mais des exercices qui aident à faire évoluer votre préparation aux violations.

Il y a trois aspects à exercer si votre microsegmentation et votre survivabilité sont réalistes. Le premier est l’état actuel de la préparation aux violations. Cela peut être réalisé avant le déploiement de ColorTokens, après l’application de vos politiques, et à chaque modification afin de déterminer si le changement a altéré la conception de votre LABYRINTHE, qui contient des zones prêtes aux violations basées sur l’impact matériel, des microsegments et des conduits contrôlés.

Le deuxième est la rapidité avec laquelle vous pouvez mettre en quarantaine les cyberattaques lorsqu’une véritable violation se produit. Les paramètres clés à tester sont la précision de la détection et la vitesse de confinement et d’isolation du MVDE à l’aide de l’IA. Cela peut être réalisé via des tests de pénétration