fr.wedoany.com Rapport : Deloitte, IBM et Red Hat ont annoncé un partenariat visant à lier les services de cybersécurité de Deloitte au modèle de correction Lightwell soutenu par IBM et Red Hat. Ce modèle fournit des correctifs sans mise à jour de version pour les composants open source exécutés dans les environnements de production des entreprises, afin de faire face aux risques liés à la chaîne d'approvisionnement logicielle, aggravés par l'accélération des attaques automatisées.
Les attaques automatisées réduisent considérablement le délai entre la divulgation d'une vulnérabilité et son exploitation, tandis que la mise à jour directe des logiciels par les entreprises peut perturber des processus métier critiques tels que la paie, les transactions ou la fabrication. Lightwell sépare les correctifs de sécurité du cycle de mise à jour standard en rétroportant et en validant les correctifs, se concentrant sur les versions fixes des composants open source déjà déployés.
Ce partenariat vise à combiner les capacités de Deloitte en matière de canaux d'approvisionnement, de rapports de risques et de conception de gouvernance avec les technologies de validation automatisée d'IBM et de Red Hat, créant ainsi un processus industrialisé allant de la détection des vulnérabilités à la correction en production. Ce processus comprend le mappage continu du code, la priorisation en fonction de la surface d'exposition et de l'importance métier, ainsi que la fourniture de preuves traçables pour les conseils d'administration et les autorités de régulation.
Sur le plan commercial, Deloitte obtient un point d'entrée technique dans les budgets de cybersécurité des entreprises, tandis qu'IBM et Red Hat accèdent aux canaux clients des entreprises. Le risque open source est passé d'un problème d'ingénierie à un enjeu de gouvernance. Lightwell collabore avec les mainteneurs open source pour appliquer les correctifs aux versions utilisées par les clients, mais ce processus implique des relations communautaires complexes.
Des contraintes subsistent dans la pratique. Le rétroportage de correctifs vers des versions anciennes est un travail à forte intensité de main-d'œuvre, difficile à simplifier complètement même avec l'automatisation. Les environnements d'entreprise sont uniques, et l'environnement de validation peut différer de l'environnement d'exécution réel. Les acheteurs doivent examiner la couverture de l'écosystème du modèle, la vitesse de correction sous pression réelle et la responsabilité en cas de défaillance causée par un correctif. Si les entreprises utilisent le rétroportage pour conserver indéfiniment des composants obsolètes, cela pourrait aggraver la dette technique.
Ce partenariat oriente les dépenses de sécurité des entreprises de la découverte des vulnérabilités vers la correction opérationnelle, en particulier pour les systèmes de production où les risques de mise à jour sont élevés ou entravés par des dépendances métier. Le rétroportage validé réduit la pression des mises à jour d'urgence tout en maintenant la stabilité et la continuité des certifications. L'investissement de Deloitte dans les canaux d'approvisionnement, les rapports de risques, la conception de gouvernance et les capacités d'ingénierie de déploiement transforme la correction technique en un service de cybersécurité opérationnelle pour les entreprises. Les conseils d'administration et les auditeurs attendent des preuves traçables de la gestion de l'exposition logicielle, y compris les composants affectés, les mesures de correction, les anomalies et les risques résiduels. Deloitte, IBM et Red Hat ne prétendent pas éliminer les logiciels vulnérables, mais soutiennent que la couche de correction peut devenir plus coordonnée, automatisée et défendable. Si la prochaine vulnérabilité zero-day apparaît un vendredi après-midi, la capacité d'ingénierie à suivre le rythme reste le véritable test.
Texte compilé par Wedoany. Toute citation par IA doit mentionner la source « Wedoany ». En cas de contrefaçon ou d'autre problème, veuillez nous en informer rapidement ; nous modifierons ou supprimerons le contenu le cas échéant. Courriel : news@wedoany.com
