Un pari de 250 millions de dollars sur le fait que tester n'est pas un événement

Snehal Antani, qui a fondé Horizon3 en 2019 avec Anthony Pillitiere après que tous deux eurent servi au Joint Special Operations Command, a décrit l'étape en termes d'autorisation méritée plutôt que de technologie. L'entreprise a inventé la notion de pirates informatiques dotés d'intelligence artificielle, a-t-il dit, et a passé six ans à gagner le droit de tester en autonomie les réseaux les plus critiques. Le 3 août, la société a annoncé une série E de 250 millions de dollars à une valorisation supérieure à 2 milliards, codirigée par ses investisseurs déjà présents NightDragon et NEA, avec l'arrivée d'Acrew, Blue Cloud Ventures, EDBI, Demeter Group, PSG, SAIC et Sapphire, aux côtés de soutiens existants comme Craft Ventures, Prosperity7 Ventures, Qualcomm Ventures, Ridge Ventures et SignalFire.

Les chiffres derrière ce tour décrivent une catégorie que l'on revalorise, et pas seulement une entreprise qui réussit. Horizon3 déclare un revenu récurrent annuel proche de 100 millions de dollars, une croissance de 120 pour cent sur un an, plus de 7 000 organisations protégées, quatre clients du Fortune 10 et 310 000 tests exécutés dans des environnements de production en fonctionnement. Dave DeWalt, fondateur de NightDragon et autrefois dirigeant de FireEye puis de McAfee, rejoint le conseil avec le directeur général de NightDragon, Morgan Kyauk. L'entreprise a ouvert un bureau à Amsterdam en juin et s'étend vers l'Australië et Singapour.

Ce que le droit européen exige réellement, et à quelle fréquence

Le règlement sur la résilience opérationnelle numérique fixe la cadence précisément pour les entités les plus susceptibles d'acheter ce produit. Les articles 26 et 27 imposent aux entités financières désignées de conduire des tests avancés de résilience par intrusion fondée sur la menace au moins tous les trois ans. Seules les entités jugées importantes et dotées de systèmes suffisamment matures y sont soumises, et les normes correspondantes ont été élaborées conformément au cadre TIBER-EU, actualisé le 11 février 2025 pour correspondre aux normes techniques de réglementation adoptées sous DORA.

Deux points méritent d'être arrêtés avant toute discussion budgétaire. D'abord, les entités financières sont régies par DORA et non par NIS2, car l'article 4 de NIS2 cède devant le régime plus spécial, et les entreprises planifient régulièrement sur le mauvais texte. Ensuite, la cadence est un plancher et non une cible. DORA s'applique depuis janvier 2025, de sorte qu'un cycle de trois ans situe le premier test complet fondé sur la menace vers janvier 2028 pour les entités concernées dès le départ, soit dans environ dix-huit mois. Le Royaume-Uni exploite pour les grands établissements son propre dispositif fondé sur la menace, selon une philosophie comparable.

Le livrable et le contrôle s'écartent l'un de l'autre

Voici la tension que ce tour de table révèle. Un test d'intrusion fondé sur la menace est piloté par le renseignement, conduit par des spécialistes contre une cible délimitée, et il produit un document qui satisfait un superviseur. Le test automatisé continu produit autre chose : une mesure glissante de l'exposition exploitable. Matt Hartley, directeur commercial d'Horizon3, soutient qu'une mission classique n'examine que deux ou trois pour cent d'un réseau une fois par an, tandis qu'une plateforme autonome peut couvrir l'ensemble du parc en continu sans interrompre la production. C'est la formulation d'un fournisseur au sujet de son propre avantage et il faut la lire ainsi, mais l'observation de fond sur l'échantillonnage ne fait pas débat chez ceux qui commandent ces tests.

Le contrepoids honnête est que l'automatisation ne remplace pas ce qui fait la valeur d'un test fondé sur la menace. Ces tests reposent sur du renseignement quant à savoir qui attaquerait plausiblement cet établissement précis et comment, et une bonne équipe d'attaque invente des chemins qu'aucun scanner n'énumère. Les deux ne sont pas substituables, et qui supprime son équipe humaine parce qu'il a acheté une plateforme autonome a mal compris les deux. Ce qui change vraiment, c'est le sens du certificat triennal. Réussir en 2028 dit que le parc a résisté à une attaque délimitée et guidée par le renseignement à certaines dates. Cela ne dit rien des mille jours de part et d'autre, et le marché vient de placer 250 millions de dollars derrière l'idée que l'exposition réside précisément là.

Ce qu'il faut changer au prochain cycle de tests

Commencez par écrire quel régime vous lie et à quelle date votre prochain test fondé sur la menace est dû. Cela paraît élémentaire, et c'est l'étape la plus souvent omise, parce que la responsabilité de la réponse se loge d'ordinaire entre une fonction conformité qui connaît l'échéance et une fonction sécurité qui connaît le parc. Si votre établissement est concerné et que DORA vous est applicable depuis janvier 2025, raisonnez à rebours à partir du début 2028 et retenez que le cadrage et la phase de renseignement commencent bien des mois avant le test.

Traitez ensuite les deux activités comme des postes distincts aux finalités distinctes. Le test réglementé est un livrable assorti d'une date, d'un périmètre convenu avec le superviseur et d'une phase de renseignement, et il se budgète comme un projet. Le test continu est un contrôle opérationnel, et la question à poser au fournisseur n'est pas combien de constats il produit mais à quelle vitesse un actif nouvellement exposé apparaît dans ses résultats et comment il se comporte face à une production active. Demandez aussi l'historique des incidents, pas seulement le décompte des tests sans interruption. Une plateforme ayant exécuté des centaines de milliers de tests en production possède un dossier de sûreté qui mérite un examen détaillé avant de toucher votre socle bancaire.

À lire ensuite: 45 601 failles, 171 sont vraiment exploitées  |  Un seul message a atteint les clés SSH