Analyse MDSec de Bank of America : maîtrisez l’expertise

Toutes les histoires de sécurité ne commencent pas, heureusement, par des mots de passe volés et une déclaration affirmant que l’on prend les choses au sérieux. Parfois, la partie intéressante se déroule avant le rapport d’incident, lorsqu’une entreprise décide qu’un certain type d’expertise est trop important pour rester entièrement à l’extérieur de ses murs. Le projet d’acquisition de MDSec par Bank of America relève de ce type d’histoire : moins une salle des serveurs en flammes, davantage un conseil d’administration décidant que le travail de sécurité spécialisé doit se rapprocher du cœur de l’activité. Ce n’est pas aussi cinématographique qu’une faille zero day avec un score CVE qui entre dans la pièce en portant une cape, mais cela pourrait compter davantage avec le temps. Les banques vivent dans cette partie d’internet où les erreurs se transforment en pertes liées à la fraude, en discussions avec les régulateurs et en conférences téléphoniques très coûteuses. Acheter un cabinet de conseil, ce n’est pas seulement de l’approvisionnement. Cela peut être le signe que la capacité de sécurité devient une infrastructure, comme les rails de paiement ou les systèmes de gestion des risques, mais avec plus de captures de paquets et moins de week-ends reposants.

Ce qui s’est passé, selon Morningstar

Morningstar, relayant un reportage de Dow Jones signé Anvee Bhutani, a rapporté que Bank of America prévoit d’acquérir MDSec Consulting Limited, un cabinet de conseil en sécurité de l’information basé à Macclesfield, en Angleterre. Les entreprises ont indiqué que la transaction devrait être finalisée au quatrième trimestre, sous réserve des approbations réglementaires, et les conditions financières n’ont pas été divulguées. Morningstar a également rapporté que MDSec emploie environ 65 professionnels de la cybersécurité et fournit des services de conseil technique en sécurité de l’information. En langage simple, Bank of America n’achète pas seulement un autre tableau de bord destiné à luire de façon inquiétante dans un centre d’opérations de sécurité. Elle se dirige vers la possession d’une équipe dont le travail consiste à comprendre comment les systèmes échouent, comment les acteurs de la menace enchaînent les faiblesses, et comment des constats inconfortables se transforment en correctifs pratiques. C’est la différence entre louer une expertise pour une fenêtre de test et intégrer cette expertise à la mémoire musculaire de l’institution.

L’exposition est stratégique, selon SecurityWeek

SecurityWeek a rapporté que l’acquisition ajoutera environ 65 professionnels de la cybersécurité aux opérations de Bank of America au Royaume-Uni. Le média a également noté que la banque compte déjà plus de 1 400 employés à Chester, en Angleterre, à proximité, où elle exploite un centre d’opérations contre les cybermenaces. Cette géographie compte, car le conseil technique et les opérations de renseignement sur les menaces sont particulièrement utiles lorsqu’ils peuvent s’informer mutuellement rapidement, au lieu de communiquer au moyen de présentations trimestrielles et d’un désespoir ritualisé. SecurityWeek a également cité Kris Fador, directeur de la sécurité des systèmes d’information de Bank of America, déclarant : « Nous admirons depuis longtemps les capacités exceptionnelles de l’équipe MDSec et sommes ravis que Bank of America et ses clients puissent désormais bénéficier davantage de leur travail ». Dit avec moins de communiqué de presse et plus de café d’équipe de réponse à incident : la banque semble accorder de la valeur aux personnes, pas seulement au logo sur la facture. En sécurité, cette distinction n’a rien de cosmétique. Les outils vieillissent, les fournisseurs changent de cap, et les acteurs de la menace continuent de développer de nouveaux passe-temps.

La cause profonde est construire ou acheter, selon Morningstar

Morningstar a rapporté que Bank of America a déclaré que l’expertise de MDSec renforcera ses capacités de cybersécurité au Royaume-Uni et dans le monde. C’est le centre de gravité stratégique ici. Les grandes entreprises achètent généralement des produits de sécurité, font appel à des consultants et externalisent des tests spécialisés parce que c’est flexible et souvent judicieux. Mais certaines capacités deviennent si liées au modèle de risque de l’organisation que les maintenir à distance commence à ressembler à une fausse économie. C’est la leçon commerciale cachée sous les documents d’acquisition. Si une banque estime qu’un conseil en sécurité très technique contribue à protéger ses opérations mondiales, alors posséder cette capacité peut réduire la perte de traduction entre les constats externes et l’action interne. Cela peut aussi rendre l’expertise plus continue, ce qui compte parce que les acteurs de la menace n’attendent pas poliment la signature du prochain cahier des charges.

Plan de confinement, selon SecurityWeek La conclusion n’est pas que chaque

entreprise devrait partir acheter un cabinet de conseil en cybersécurité comme si elle ajoutait des chaises de bureau. Le reportage de SecurityWeek présente cette opération comme un ajout spécifique aux activités britanniques de Bank of America, et non comme une recette universelle. La question utile pour les autres organisations est plus étroite et plus inconfortable : quelles compétences de sécurité sont si centrales pour votre risque que les louer indéfiniment crée une lacune ? Ce que cela signifie concrètement pour vous : si vous dirigez la sécurité, le produit ou les risques, cartographiez les capacités que vous externalisez et demandez-vous quelles connaissances reviennent à l’intérieur. L’expertise externe est précieuse, mais les constats ne devraient pas disparaître dans un mausolée de PDF. Si vous êtes investisseur ou dirigeant et que vous observez les institutions financières, surveillez si davantage de banques traitent les talents spécialisés en sécurité comme une capacité détenue en interne plutôt que comme une ligne fournisseur dans un budget. La prochaine chose à suivre est le parcours d’approbation réglementaire et la question de savoir si l’accord sera conclu au quatrième trimestre, comme l’ont rapporté Morningstar et SecurityWeek. Si c’est le cas, l’indicateur intéressant ne sera pas le prix non divulgué. Ce sera de savoir si Bank of America transforme les connaissances spécialisées de MDSec en apprentissage plus rapide dans l’ensemble de ses opérations de sécurité, parce qu’internet reste maintenu par des correctifs, des processus et l’optimisme sombre de personnes qui lisent des journaux système pour gagner leur vie.