La surveillance continue en matière de cybersécurité est un modèle opérationnel permanent qui associe la visibilité en temps réel des actifs, la collecte de données télémétriques, le suivi des configurations et la génération automatisée de preuves. Elle permet aux responsables de la sécurité d’avoir une vision continue de leur posture de sécurité et de l’état des menaces, plutôt que de se fier à des analyses périodiques ou à des évaluations ponctuelles qui laissent subsister des failles exploitables entre deux contrôles.
- Que signifie réellement la « surveillance continue » en matière de cybersécurité ?
- Pourquoi la surveillance continue est plus importante que les évaluations périodiques
- Ce qu'un programme de surveillance continue devrait couvrir
- En quoi la surveillance continue se distingue-t-elle des solutions SIEM, EDR, XDR et de la surveillance continue des contrôles ?
- Comment la gestion centralisée de la sécurité d'OPSWAT’ permet une surveillance continue dans les environnements distribués
- Questions fréquemment posées
Principaux enseignements
- La surveillance continue est un modèle opérationnel, et non un produit. Plusieurs outils alimentent ce programme ; ce sont les références, la responsabilité, les tableaux de bord et les processus correctifs qui déterminent son bon fonctionnement.
- Les analyses périodiques laissent des failles de sécurité dont les pirates tirent parti. Selon le rapport 2025 d'IBM sur le coût des fuites de données, le délai moyen nécessaire pour identifier une fuite est de 207 jours. C'est précisément ce délai que la télémétrie continue est destinée à combler.
- La couverture doit s'étendre au-delà du cloud et des réseaux d'entreprise. Les environnements OT , ICS et « air-gapped » présentent des contraintes de surveillance que les outils natifs du cloud ne peuvent pas résoudre sans un soutien spécialement conçu à cet effet.
- Les solutions SIEM, EDR et XDR constituent des niveaux d'un programme de surveillance continue ; elles ne visent pas à le remplacer. Le modèle opérationnel définit la manière dont ces outils sont configurés, intégrés et exploités dans l'ensemble de l'environnement.
- My OPSWAT™ Central Management permet une surveillance continue de l'ensemble des déploiements d'MetaDefender , y compris les sites déconnectés et isolés physiquement. La visibilité , l'application des politiques et les rapports de conformité fonctionnent de la même manière, que le site soit connecté ou isolé.
Que signifie réellement la « surveillance continue » en matière de cybersécurité ?
La surveillance continue en matière de cybersécurité ne se résume pas à une catégorie de produits ou à une liste de fonctionnalités proposées par un fournisseur. Il s'agit d'un modèle opérationnel de sécurité qui combine l'inventaire des actifs, la détection des menaces, l'application des politiques et la correction automatisée au sein d'un programme continu, plutôt que d'une série d'actions programmées.
Aux États-Unis, dans le contexte fédéral, ce modèle est officiellement désigné sous le nom d’« Information Security Continuous Monitoring » (ISCM). La norme NIST SP 800-137 définit l’ISCM comme le maintien d’une veille permanente sur la sécurité de l’information, les vulnérabilités et les menaces, afin d’étayer les décisions de l’organisation en matière de gestion des risques. Ce cadre s’applique au-delà des agences fédérales, offrant à tout responsable de la sécurité une approche structurée pour déterminer les résultats attendus d’un programme de surveillance et la manière de le piloter.
Ce que dit la norme NIST SP 800-137 concernant la surveillance continue de la sécurité de l'information
La norme NIST SP 800-137 articule la gestion des risques liés à la sécurité de l'information (ISCM) en six composantes : définition de la stratégie, sélection des contrôles, mise en œuvre, collecte, analyse et compte rendu, et réponse aux conclusions. Chaque composante s'appuie sur la précédente, créant ainsi un circuit fermé entre les décisions stratégiques et les données opérationnelles.
Pour les RSSI, l’intérêt concret de la norme SP 800-137 réside dans la clarté qu’elle apporte en matière de gouvernance. Elle établit une distinction entre la structure du programme (qui définit la stratégie, qui donne suite aux constatations, à quelle fréquence les différents actifs sont évalués) et les outils utilisés pour collecter les données. Cette distinction permet d’éviter une erreur courante consistant à considérer la surveillance comme un simple déploiement d’outils plutôt que comme un modèle opérationnel impliquant une appropriation et une responsabilisation.
Pourquoi la surveillance continue est un modèle opérationnel plutôt qu'un simple outil ponctuel
Plusieurs outils alimentent un programme de surveillance continue : un système SIEM pour la corrélation des journaux, un solution EDR pour la télémétrie des terminaux, des scanners de vulnérabilités, des outils d’évaluation de la configuration et des collecteurs de données spécifiques à l’OT. Aucun outil ne constitue à lui seul l’ensemble du programme. Le modèle opérationnel est défini par ce qui régit ces outils : les références, les politiques, les tableaux de bord, les procédures d’escalade et les workflows d’actions correctives.
Les organisations qui acquièrent un outil dans l'espoir qu'il leur assure une surveillance continue se rendent généralement compte qu'elles disposent bien de données télémétriques, mais pas d'un véritable programme. Pour qu'un outil puisse déployer pleinement son potentiel, il est indispensable de définir clairement les responsabilités, d'établir des référentiels de sécurité approuvés, de mettre en place des processus d'intervention et de mettre en place un système de reporting à la direction.
À quoi ressemble une définition prête à être soumise au conseil d'administration ?
Pour les dirigeants et les membres du conseil d'administration, la surveillance continue se résume à trois résultats : savoir quand un changement survient dans l'environnement de sécurité, réduire le délai entre ce changement et sa prise de connaissance par l'organisation, et conserver des preuves solides de la surveillance continue de la sécurité.
Ce point de vue est important car, au sein des conseils d'administration, les discussions sur la surveillance continue confondent souvent le modèle opérationnel avec l'achat d'un produit. Les responsables de la sécurité qui sont capables de présenter la surveillance comme une capacité opérationnelle plutôt que comme un poste budgétaire sont mieux placés pour défendre les investissements dans ce programme et expliquer les lacunes en termes de risque organisationnel.
Pourquoi la surveillance continue est plus importante que les évaluations périodiques
Les évaluations de sécurité périodiques prennent généralement trois formes : des analyses trimestrielles de vulnérabilité, des tests d'intrusion annuels et des vérifications mensuelles de la configuration. Chacune d'entre elles fournit un instantané de la situation. C'est pendant l'intervalle entre ces instantanés que les attaques se produisent, que les erreurs de configuration passent inaperçues et que l'exposition aux failles s'aggrave.
Comment les analyses périodiques laissent des failles exploitables entre deux évaluations
Une analyse trimestrielle des vulnérabilités vous donne un aperçu de votre niveau d'exposition au moment où l'analyse a été effectuée. Un serveur nouvellement déployé, une règle de pare-feu modifiée ou une charge de travail dans le cloud mise en service trois jours après l'analyse resteront invisibles jusqu'à la prochaine vérification. Les environnements en constante évolution, tels que les infrastructures cloud, les terminaux distants et les sites OT distribués, rendent les évaluations périodiques insuffisantes d'un point de vue architectural.
La dérive de configuration aggrave le problème. Un serveur correctement configuré lors de la dernière analyse peut s'écarter de sa configuration de référence approuvée en l'espace de quelques heures seulement, à la suite d'un correctif, d'une mise à jour logicielle ou d'une modification effectuée par un administrateur. La surveillance continue de la configuration permet de détecter cette dérive en temps quasi réel, plutôt qu'au moment de la prochaine vérification programmée.
Comment la télémétrie en continu réduit la durée de présence des attaquants
Selon le rapport 2025 d'IBM sur le coût des violations de données, le délai moyen nécessaire pour identifier une faille de sécurité est de 207 jours. Ce délai s'explique en grande partie non pas par un manque de capacités des outils de détection, mais par la fragmentation des données de télémétrie, le manque de clarté quant à leur responsabilité et le fait que les alertes ne sont pas transmises aux équipes d'intervention appropriées.
La surveillance continue réduit le temps de séjour en associant la collecte de données à la responsabilité des processus. Lorsque les données télémétriques sont regroupées dans une vue centralisée, mises en corrélation avec les valeurs de référence et transmises aux responsables d'intervention désignés, le chemin menant de la détection à la maîtrise de l'incident s'en trouve raccourci. Dans la plupart des organisations, le goulot d'étranglement ne réside pas dans la technologie de détection, mais dans l'absence d'un programme permettant de relier la détection à l'action.
Pourquoi les RSSI ont recours à la surveillance continue pour prendre des décisions fondées sur les risques
Une visibilité centralisée et en continu modifie la manière dont les responsables de la sécurité établissent leurs priorités. Grâce à une vue en temps réel de l'état des actifs, de l'ancienneté des vulnérabilités, du statut des correctifs et de la conformité aux politiques dans l'ensemble de l'environnement, les RSSI peuvent passer d'une réaction aux alertes les plus récentes à une intervention ciblée sur les expositions présentant le plus grand risque.
La hiérarchisation des risques en fonction de leur gravité nécessite des données à jour. Une organisation qui s'appuie uniquement sur des rapports mensuels et des tableaux de bord trimestriels ne peut pas faire la distinction entre un problème de haute gravité corrigé la semaine dernière et un autre en suspens depuis six mois. La surveillance continue permet de mettre en évidence cette distinction et de prendre des mesures avant que le problème ne se transforme en violation de sécurité ou en constat d'audit.
Ce qu'un programme de surveillance continue devrait couvrir
Un programme complet de surveillance continue ne se limite pas au trafic réseau ou aux alertes provenant des terminaux. Il couvre tous les types d'actifs, tous les domaines de sécurité et tous les environnements dans lesquels un incident de sécurité peut se produire, et tient compte des contraintes spécifiques à chacun d'entre eux.
Quels actifs et domaines de sécurité nécessitent une surveillance continue ?
La surveillance continue couvre l'ensemble des terminaux, serveurs, machines virtuelles, charges de travail dans le cloud, infrastructures réseau, identités, applications, points de transfert de données, supports amovibles et contrôles de sécurité déployés. Chaque catégorie d'actifs génère des données télémétriques qui doivent être intégrées au programme de surveillance.
Les lacunes des programmes de surveillance continue proviennent le plus souvent d’actifs non gérés et d’inventaires incomplets. Un actif qui ne figure pas dans l’inventaire n’est pas surveillé, ce qui signifie qu’il ne contribue pas à la vision globale du niveau de sécurité de l’organisation. Un inventaire des actifs précis et régulièrement mis à jour constitue la base sur laquelle reposent le choix des indicateurs de télémétrie, les valeurs de référence et la mesure de la couverture.
Quelles données de télémétrie centraliser et à quelle fréquence ?
Les catégories de données télémétriques qu'un programme de surveillance continue doit centraliser comprennent les données relatives aux vulnérabilités, l'état de la configuration, les événements d'authentification, les résultats des analyses de logiciels malveillants, les données sur les flux réseau, l'état de santé des contrôles de sécurité et le niveau de conformité aux politiques. Toutes les données télémétriques ne nécessitent pas la même fréquence de collecte.
La fréquence de collecte doit être adaptée au niveau de criticité des actifs. Les actifs stratégiques (systèmes de contrôle de la production, infrastructure d'identité et passerelles de transfert de données) justifient une collecte plus fréquente et des seuils de référence plus stricts. Les actifs moins critiques peuvent être surveillés à une cadence moindre sans pour autant créer de lacunes significatives en matière de sécurité. Traiter toutes les données télémétriques à la même fréquence augmente le bruit de traitement sans améliorer les résultats de détection.
Quels changements observe-t-on lorsqu'on surveille les environnements OT et les environnements isolés ?
Les environnements OT et « air-gapped » imposent des contraintes de surveillance auxquelles les outils natifs du cloud et destinés aux entreprises ne sont pas conçus pour répondre. La connectivité est limitée, voire inexistante. Les processus de contrôle des changements sont, par nature, lents. Les exigences de sécurité limitent ce qui peut être déployé sur les systèmes opérationnels. Les flux de données entre les réseaux OT et IT sont délibérément contrôlés.
Ces contraintes n’éliminent pas la nécessité d’une surveillance centralisée ; elles modifient simplement la manière dont les données sont collectées et dont les mesures correctives sont mises en œuvre. La surveillance dans les environnements OT repose généralement sur la collecte passive de données, des agents d’interrogation ou des transferts de données programmés, plutôt que sur un flux continu. Les sites isolés (air-gapped) nécessitent des procédures de correction hors ligne, telles que le déploiement de correctifs via des outils de gestion hors connexion, plutôt que par le biais de pipelines de mise à jour basés sur le cloud.
En quoi la surveillance continue se distingue-t-elle des solutions SIEM, EDR, XDR et de la surveillance continue des contrôles ?
La gestion des informations et des événements de sécurité (SIEM), la détection et la réponse aux menaces Endpoint s (EDR), la détection et la réponse étendues (XDR) et la surveillance continue des contrôles (CCM) sont souvent confondues avec la surveillance continue ou présentées comme des alternatives à celle-ci. Chacune de ces fonctionnalités est distincte et s’inscrit dans le cadre d’un programme de surveillance plutôt que de le remplacer.
Outil / Catégorie | Fonction principale | Compétence clé | Rôle dans un programme de surveillance continue |
Programme de surveillance continue | Modèle opérationnel pour une sensibilisation continue à la sécurité | Gère l'inventaire des actifs, les états de référence, la télémétrie et la responsabilité des interventions dans tous les domaines | Le programme lui-même. Tous les autres outils lui fournissent des données. |
SIEM | Agrégation, corrélation et alertes des journaux | Normalise les événements provenant de plusieurs sources, applique des règles de détection et génère des alertes | Couche des journaux et des événements ; gère l'acheminement des alertes et le processus d'investigation |
EDR | Endpoint détection et réaction | Télémétrie approfondie des terminaux, détection des comportements suspects, mise en quarantaine et correction | Endpoint source de télémétrie ; ne concerne que les terminaux gérés |
XDR | Détection et réponse inter-domaines | Corrèle les données de télémétrie des terminaux, du réseau et du cloud pour une détection unifiée | Couche de détection plus étendue ; ne couvre pas les environnements OT ni les environnements isolés physiquement |
Surveillance continue des contrôles (CCM) | Vérification continue du bon fonctionnement des mesures de sécurité | Génération automatisée de preuves à des fins de conformité ; suivi de la conformité aux politiques | Couche de preuves relatives à la conformité et à la gouvernance ; recoupe la gestion de la configuration (CM) en matière de documentation d'audit |
La place de ces outils dans un programme de surveillance continue
Le SIEM constitue la couche de regroupement des journaux, de corrélation et d'alerte au sein du programme. Il gère la normalisation des événements, les règles de détection et les workflows d'investigation des analystes. Le SIEM ne gère pas l'inventaire des actifs, les profils de configuration de référence ni les mesures correctives.
Les solutions EDR et XDR prennent en charge la détection et la réponse au niveau des terminaux et du réseau. Elles offrent des capacités avancées de télémétrie et d’intervention pour les ressources qu’elles couvrent, mais ne s’étendent pas aux systèmes OT, aux environnements isolés physiquement, aux supports amovibles ni à l’ensemble des ressources qu’un programme de surveillance doit couvrir.
Le CCM permet de vérifier que les contrôles de sécurité fonctionnent correctement et que les politiques sont respectées. Il porte sur les éléments attestant de la gouvernance et de la conformité, ce qui recoupe la surveillance continue dans les rapports d'audit, mais ne traite pas de la détection des menaces, de la réduction du temps de présence des menaces ni des mesures correctives en dehors des contrôles qu'il suit.
Comment la gestion centralisée de la sécurité d'OPSWAT’ permet une surveillance continue dans les environnements distribués
La surveillance continue ne fonctionne que si l'équipe de sécurité peut visualiser d'un seul coup d'œil l'ensemble des déploiements, y compris ceux qui ne sont jamais connectés à Internet. Les environnements informatiques (IT), opérationnels (OT) et isolés (air-gapped) génèrent chacun leurs propres résultats d'analyse, indicateurs d'intégrité et états de conformité. En l'absence d'une console unique permettant de les regrouper, le responsable de la sécurité se retrouve contraint de vérifier plusieurs systèmes pour répondre à une seule question : y a-t-il un risque à l'heure actuelle ?
My OPSWAT™ Central Management est la plateforme de gestion centralisée de la sécurité d’ OPSWAT, conçue pour offrir une visibilité unifiée, une supervision centralisée et une correction rationalisée sur l’ensemble des déploiements d’MetaDefender dans les environnements informatiques (IT), opérationnels (OT), sur site et isolés (air-gapped).
Visibilité en temps réel des actifs sur tous les appareils et dans tous les environnements
Une surveillance continue commence par une connaissance précise de ce qui existe dans votre environnement. My OPSWAT Central Management fournit un inventaire centralisé de toutes les instances d'MetaDefender s enregistrées, qu'elles soient déployées dans le cloud, sur site ou en mode « air-gapped ».
Grâce à une source unique d'informations fiables, les équipes peuvent rapidement identifier les ressources protégées et celles qui ne sont pas gérées, détecter les appareils qui ne transmettent plus de données et mesurer avec précision la couverture sur des réseaux distribués ou segmentés, où le suivi manuel s'avère souvent impossible.
Sécurité unifiée des postes de travail d’ Endpoint
My OPSWAT Central Management offre aux administrateurs une vue d'ensemble de la sécurité des terminaux au sein de l'entreprise. Depuis un tableau de bord unique, les équipes peuvent vérifier l'état des terminaux, consulter les résultats des analyses et suivre le statut de conformité sans avoir à passer d'une console à l'autre.
La surveillance intégrée met en évidence les failles de sécurité et les écarts de configuration, ce qui permet d'identifier plus facilement les appareils qui ne respectent pas les normes de sécurité établies et de prendre des mesures correctives avant que les problèmes ne s'aggravent.
Surveillance des vulnérabilités et hiérarchisation des risques
Bénéficiez d'une vue d'ensemble constamment mise à jour des vulnérabilités présentes sur l'ensemble des appareils et applications gérés. Les équipes de sécurité peuvent ainsi identifier rapidement les terminaux concernés, déterminer quelles applications sont exposées et suivre l'évolution des risques au fil du temps. Les résultats sont classés par niveau de gravité, ce qui permet aux équipes de hiérarchiser les mesures correctives là où elles auront le plus d'impact et de suivre les progrès à mesure que leur surface d'attaque évolue.
Assurer une conformité prête pour les audits dans les environnements réglementés
Pour les organisations soumises à des exigences réglementaires, démontrer leur conformité peut s’avérer tout aussi important que de la maintenir. My OPSWAT Central Management évalue en permanence les appareils au regard des politiques de l’organisation, consigne les résultats dans des journaux centralisés et génère des rapports conformes à des référentiels tels que le NIST, la CISA et le RGPD. Les données de sécurité étant collectées en un seul et même endroit, les preuves sont facilement accessibles en cas d’audit, tandis que les appareils non conformes peuvent être identifiés et traités dès qu’ils s’écartent de la politique en vigueur.
Transformer les informations sur les menaces en indications exploitables
Pour que la surveillance en continu fonctionne dans des environnements distribués, les équipes de sécurité ont besoin d'une gestion centralisée de la sécurité qui regroupe tous les événements de sécurité en un seul endroit.
My OPSWAT Central Management regroupe les détections de logiciels malveillants, les fichiers bloqués, les événements de mise en quarantaine et d'autres informations provenant de l'ensemble de l'entreprise au sein d'une vue unifiée.
En analysant l'activité selon les sites et les types de déploiement, les équipes peuvent mettre en évidence des tendances récurrentes, identifier les menaces émergentes et déterminer si un problème est isolé ou s'il révèle un risque plus large.
Alertes proactives en cas d'événements critiques
Les équipes de sécurité ne devraient pas avoir à surveiller en permanence les tableaux de bord pour rester informées. My OPSWAT Central Management envoie des alertes en temps réel concernant les incidents de sécurité critiques, les détections de logiciels malveillants, les problèmes liés à l'état du système et toute autre situation nécessitant une intervention.
En alertant les personnes concernées lorsque des changements significatifs surviennent, la plateforme permet d'accélérer la réaction, de réduire les perturbations opérationnelles et d'empêcher que des problèmes mineurs ne se transforment en incidents majeurs liés à la sécurité ou à la conformité.
Discutez avec un OPSWAT ou rendez-vous sur la pageCentral Management My OPSWAT Central Management pour découvrir comment la gestion centralisée peut améliorer vos opérations de sécurité.
Questions fréquemment posées
Quelle est la différence entre la surveillance continue et l'analyse périodique ?
Les analyses périodiques fournissent des évaluations ponctuelles : un instantané de l'exposition au moment où l'analyse a été effectuée. La surveillance continue permet de suivre en temps réel l'état des actifs, les dérives de configuration, le statut des vulnérabilités et l'activité des menaces entre ces instantanés. La différence essentielle réside dans le temps. Une erreur de configuration survenue trois jours après la dernière analyse passe inaperçue dans un modèle périodique, mais est détectée en quelques heures dans un modèle continu.
Quelles données télémétriques faut-il centraliser pour assurer une surveillance continue efficace ?
Les principales catégories de données télémétriques sont les données relatives aux vulnérabilités, l'état de la configuration, les événements d'authentification, les résultats des analyses de logiciels malveillants, les données sur les flux réseau, l'état des contrôles de sécurité et le statut de conformité aux politiques. Pour les environnements OT, il convient d'y ajouter l'inventaire des actifs, l'activité des protocoles et l'état des correctifs pour les systèmes opérationnels. La fréquence de collecte doit être adaptée au niveau de criticité des actifs, plutôt que de traiter toutes les données télémétriques à la même fréquence.
Comment intégrer la surveillance continue aux solutions SIEM, SOAR et XDR existantes sans provoquer de « fatigue des alertes » ?
Définissez le rôle de chaque plateforme avant l’intégration : le SIEM gère la corrélation des journaux et les alertes, le SOAR gère l’orchestration des réponses, et le XDR gère la détection au niveau des terminaux et du réseau. La surveillance continue constitue la couche de gouvernance qui les chapeaute. Elle régit les flux de données vers chaque plateforme, définit les seuils de référence par rapport auxquels ces plateformes déclenchent des alertes et achemine les résultats vers les responsables de l’intervention concernés. La déduplication au niveau de la couche d’intégration, les seuils d’alerte basés sur les risques et des modèles de gravité clairs permettent d’éviter la prolifération des alertes.
La surveillance continue peut-elle fonctionner dans des environnements isolés physiquement ou dans des environnements OT ?
Oui, mais les méthodes de collecte et de correction diffèrent de celles utilisées dans les réseaux d'entreprise connectés. Les sites isolés (air-gapped) nécessitent une collecte passive des données, des agents d'interrogation ou des transferts de données programmés, plutôt qu'un flux continu. Les corrections (correctifs, mises à jour des politiques et modifications de configuration) doivent être déployées via des outils de gestion fonctionnant hors ligne, plutôt que par le biais de pipelines basés sur le cloud. Les plateformes de gestion de la sécurité prenant explicitement en charge l'enregistrement des sites isolés et l'application de correctifs hors ligne constituent une condition préalable à l'extension de la surveillance continue à ces environnements.
Comment la surveillance continue permet-elle de générer des preuves prêtes à être présentées lors d'un audit dans le cadre des normes NIST 800-53, NIST 800-137 et FedRAMP ?
La surveillance continue génère des preuves prêtes pour l’audit lorsqu’elle consigne les modifications de configuration, les résultats d’analyse, l’état des contrôles et les actions liées aux politiques, accompagnés d’horodatages, de l’attribution des rôles et d’une conservation dans un journal inviolable. La norme NIST 800-53 exige une évaluation continue de l’efficacité des contrôles. La surveillance continue fournit des preuves automatisées qui remplacent les attestations manuelles et les captures d’écran ponctuelles. Les exigences de surveillance continue du programme FedRAMP précisent les fréquences minimales d’évaluation et les durées de conservation des preuves ; un programme conçu autour de ces exigences génère une documentation conforme en tant que résultat naturel des opérations normales.
Quelles sont les lacunes courantes qui entraînent l'échec des programmes de surveillance continue ?
Les modes de défaillance les plus courants sont un inventaire des actifs incomplet (actifs non surveillés car non répertoriés), une responsabilité des interventions mal définie (alertes générées mais sans suite) et l'absence de niveaux de référence (données télémétriques collectées sans point de référence pour définir la situation normale). Les solutions les plus rapides sont, dans l’ordre : auditer l’inventaire des actifs et combler les lacunes concernant les actifs non gérés, désigner des responsables de l’intervention avec des délais d’escalade définis, et documenter les niveaux de référence approuvés en matière de sécurité pour les classes d’actifs présentant le risque le plus élevé. Ces trois étapes permettent d’obtenir une amélioration mesurable avant même l’ajout de tout nouvel outil.
