Le marché de la gestion de la surface d’attaque exposée est encore très jeune. Mais il commence déjà à être agité par des acquisitions.

Fin avril 2022, Tenable a annoncé l’acquisition de Bit Discovery. Dans un communiqué, l’éditeur, spécialisé dans la gestion des vulnérabilités, indique vouloir ainsi compléter son portefeuille pour offrir à ses clients « une vision différenciée à 360 degrés de la surface d’attaque moderne – de l’intérieur comme de l’extérieur ». identifier et éliminer les zones de risque de sécurité connues et inconnues.

Concrètement, Tenable souhaite intégrer les outils Bit Discovery « à l’ensemble de son portefeuille : de la gestion des vulnérabilités d’entreprise à Nessus, du cloud à la technologie opérationnelle (OT) et à l’identité. » De quoi permettre à ses clients d’avoir une vision complète de leur posture de sécurité et, en particulier , les vecteurs d’intrusion auxquels ils peuvent être exposés.

Cette approche s’inscrit dans la continuité d’autres acquisitions, à commencer par Alsid : cela permet à Tenable de prendre en compte les risques spécifiquement liés à l’environnement Active Directory. Mais il y a deux autres points à retenir : Indegy pour les systèmes opérationnels et l’industrie, et Accurics pour les déploiements d’infrastructure en tant que code (IaC).

Yaniv Bar-Dayan, co-fondateur et PDG de Vulcan Cyber, comprend la valeur de la perspective. Mais selon lui, Tenable « se concentre sur un problème d’infrastructure », tandis que sa startup gère les risques dans une perspective holistique de processus. Une approche plus complémentaire que concurrentielle.

À Lire  Journaliste d'un jour. Delphine Weiss, Engagement féminin

À certains égards, il a chevauché les domaines de la gestion de la surface d’attaque externe (EASM) avec la notation de la posture de sécurité, du moins pour les approches basées sur l’analyse, une technique que l’entreprise expose à Internet.

La jeune start-up française Stoïk, courtier en assurance, s’appuie sur un scan externe de ce que ses prospects affichent sur Internet : il s’agit de l’évaluer en externe et de la manière la plus automatisée possible. .

Cette approche se retrouve également chez Cyquant, fondée en 2018 par Thierry Murté à Zurich : Cyquant s’appuie sur une plateforme qui va permettre d’identifier les vulnérabilités. Il s’agit principalement de l’analyse des rapports de vulnérabilités par des outils Qualys ou un OpenVas. À partir de là, la collaboration avec des prestataires de services spécialisés devrait améliorer la posture de sécurité de l’entreprise. La plateforme Cyquant indique notamment comment la mise en place de mesures préventives supplémentaires peut affecter le montant de la prime d’assurance.

De son côté, Moody’s a mis un terme à son aventure avec Team8, débutée en 2019, en septembre 2021. Mais il n’était pas question de jeter le bébé avec l’eau du bain. Moody’s s’est associé à BitSight. Dans ce cadre, l’agence de notation a investi 250 millions de dollars dans une start-up spécialisée dans la quantification du risque cyber.

Cette certification a permis à BitSight d’acquérir VisibleRisk, une joint-venture Moody’s créée en 2019 avec le fonds d’investissement Team8, dans le but d’établir un standard international d’évaluation et de quantification du risque informatique. Moody’s et Team8 ont annoncé à la mi-mai 2021 avoir réalisé un investissement de 25 millions de dollars dans VisibleRisk.

Pour approfondir sur Gestion de la sécurité (SIEM, SOAR, SOC)

Tenable s’offre de quoi gérer pleinement la surface d’attaque exposée

Notation de la posture de sécurité : Moody’s se tourne vers BitSight

Achat d’Alsid par Tenable : une opération motivée par la nature critique d’Active Directory

À quel point la cyberassurance fait-elle le jeu du ransomware ?