Les experts en TI exigent davantage que des mises à jour contre les failles de sécurité de PHP

Au-delà des mises à jour logicielles

Un autre aspect essentiel consiste à raccourcir les cycles de correction. Les mises à jour logicielles seules ne suffisent donc pas lorsque les vulnérabilités mettent trop de temps à être corrigées. Les experts exigent que les mises à jour soient fournies plus rapidement et intégrées à la planification continue de la sécurité.

Les institutions financières devraient notamment protéger tout particulièrement leurs processus commerciaux critiques. La citation présentée désigne trois mesures : une automatisation renforcée des systèmes de sécurité, des cycles de correction plus courts et l’intégration de prestataires externes de services informatiques à la surveillance de la sécurité. Ces éléments devraient contribuer à maintenir la capacité opérationnelle, y compris en cas de crise.

Une protection particulière pour les institutions financières

L’intégration de prestataires externes est décrite comme un complément aux processus de sécurité internes. Les prestataires externes de services informatiques peuvent apporter une surveillance supplémentaire et un savoir-faire spécialisé. Les informations disponibles ne précisent pas la manière dont cela doit être organisé dans chaque cas.

Les rapports mentionnent, outre les exigences techniques, le moment de la découverte des vulnérabilités. Les failles de sécurité avaient été découvertes mardi dernier. La réaction des experts en TI a donc suivi immédiatement leur découverte.

Les experts réclament ainsi une stratégie de sécurité plus large. Les mises à jour logicielles restent un élément important, mais ne sont pas présentées comme une réponse suffisante à elles seules. L’automatisation, des cycles de correction plus courts et une surveillance supplémentaire constituent le cadre proposé.

Une stratégie de sécurité plus large

Les informations vérifiées ne donnent pas davantage de détails sur les failles techniques précis de la technologie PHP. Aucune information n’est également fournie sur les versions concernées ou sur les attaques qui auraient déjà été exploitées. Le message porte donc sur le modèle général de prévention des attaques et de maintien de la continuité des processus critiques.