Lorsqu’un incident cybernétique survient, que récupéreriez-vous en premier?

Imaginez que c’est un lundi matin. Une attaque par rançongiciel a perturbé des services d’affaires essentiels. La menace immédiate est maintenant maîtrisée, mais les opérations auprès des clients restent affectées, les employés n’ont pas accès aux systèmes critiques et la direction veut savoir une chose : Que doit-on récupérer en premier et à quelle vitesse peut-on le faire en toute sécurité?

Les finances veulent retrouver leurs systèmes. Les équipes en contact avec la clientèle ont besoin de leurs plateformes. Les opérations ont des processus critiques à remettre en marche. De son côté, le service TI évalue quels systèmes peuvent être récupérés en premier.

Le problème, c’est que les priorités en matière de rétablissement se discutent dans la crise, au lieu d’être établies à l’avance.

Pour les RSSI, il est essentiel d’avoir des contrôles de sécurité, des sauvegardes et des plans de reprise après sinistre, mais ces seules capacités ne garantissent pas une récupération efficace. Les organisations doivent comprendre quels sont les services d’affaires les plus importants, quelles technologies les soutiennent et quelles conditions doivent être réunies avant de faire à nouveau confiance aux systèmes.

C’est ici qu’une évaluation des joyaux de la couronne, soutenue par une analyse d’impact cybernétique sur les affaires (Cyber BIA), devient essentielle.

Les priorités de rétablissement ne devraient pas être négociées pendant un incident. Elles doivent être établies, validées et acceptées bien avant qu’un incident survienne.

Pourquoi l’analyse d’impact traditionnelle a besoin d’une perspective cyber

Business Impact Analysis (BIA) aide depuis longtemps les organisations à identifier les processus d’affaires critiques, à évaluer les conséquences d’une interruption et à définir les objectifs de temps de reprise (RTO) et de point de reprise (RPO).

Cependant, les incidents cyber entraînent des défis qui exigent une approche davantage axée sur la sécurité.

Lors d’une attaque par rançongiciel, les systèmes d’identité peuvent être compromis, les attaquants peuvent conserver un accès à l’environnement et les sauvegardes peuvent contenir un code malveillant ou refléter un état déjà compromis. Restaurer une application ne signifie pas nécessairement qu’il est sécuritaire de la reconnecter.

Les RSSI doivent donc aller au-delà de la disponibilité et considérer l’intégrité et la sécurité du processus de rétablissement.

Les questions clés incluent :

• Quels services d’affaires subiraient l’impact le plus important en cas d’interruption ?
• Quelles applications, données, infrastructures et identités soutiennent ces services ?
• Quels actifs sont les plus attrayants pour les attaquants ou pourraient permettre une compromission à grande échelle ?
• Quels systèmes et dépendances doivent être rétablis en priorité ?
• Comment valider les points de reprise et les environnements restaurés ?
• Qui détient la décision sur la reprise et l’autorité d’accepter le risque résiduel ?

Une BIA traditionnelle constitue la base pour comprendre les priorités d’affaires. Une Cyber BIA étend cette compréhension en y intégrant les menaces cyber, les dépendances techniques, la séquence de récupération et la validation de la sécurité.

L’objectif n’est pas simplement de rétablir rapidement les services, mais de les restaurer en toute sécurité, dans la bonne séquence et avec un niveau de risque d’affaires acceptable.

Joyaux de la couronne : identifier ce que l’organisation ne peut pas se permettre de perdre

Les joyaux de la couronne sont les services d’affaires, actifs informationnels et capacités technologiques dont la compromission ou l’indisponibilité prolongée aurait le plus grand impact sur l’organisation.

Il ne s’agit pas nécessairement des plus grandes applications ou des systèmes les plus coûteux. Leur importance réside dans les conséquences de leur interruption.

Selon l’organisation, les joyaux de la couronne peuvent inclure :

• Services d’affaires critiques : plateformes clients, traitement des paiements et prestation de services essentiels.
• Informations sensibles : propriété intellectuelle, dossiers clients et données réglementées.
• Applications d’entreprise : progiciels de gestion (ERP), systèmes financiers et plateformes soutenant les opérations principales.
• Gestion des identités et des accès : fournisseurs d’identité, services d’annuaire et systèmes d’accès privilégié.
• Technologies opérationnelles : systèmes de production et infrastructures soutenant les activités essentielles.
• Technologies fondamentales : DNS, connectivité réseau et services partagés infonuagiques qui permettent aux applications critiques de fonctionner.

L’identification des joyaux de la couronne demande plus que le maintien d’un inventaire des systèmes importants. Il faut relier les priorités d’affaires aux technologies et aux données qui les soutiennent.

Considérons les infrastructures d’identité. Elles ne génèrent peut-être pas directement des revenus, mais leur compromission peut perturber l’accès à l’échelle de l’organisation et rendre la reprise elle-même impossible. Ces dépendances peuvent être aussi critiques que les applications d’affaires qu’elles soutiennent.

L’objectif est d’obtenir une vision claire de ce qui importe le plus, pourquoi cela importe et ce qui doit être protégé et restauré en premier.

La reprise dépend d’une compréhension claire des dépendances

Prenons une plateforme numérique destinée à la clientèle identifiée comme une priorité de récupération. Restaurer l’application peut paraître simple, mais cela peut dépendre de services d’identité, de bases de données, de DNS, de la connectivité réseau, de certificats et de l’infrastructure infonuagique.

Si ces dépendances restent indisponibles ou compromises, l’application ne peut livrer de valeur d’affaires. La reconnecter à un environnement non fiable pourrait aussi l’exposer à une nouvelle compromission.

Cela montre une distinction importante : les priorités de récupération d’affaires et les séquences de récupération techniques ne sont pas toujours les mêmes.

L’organisation peut avoir besoin qu’un service soit restauré en priorité, alors que les technologies sous-jacentes nécessitent une récupération dans un ordre différent.

La cartographie des dépendances aide les organisations à déterminer quels services fondamentaux doivent être rétablis en premier, là où les dépendances partagées créent un risque de concentration et quelles failles pourraient retarder la reprise.

Pour les RSSI, cela constitue une base concrète pour la planification de la reprise, la priorisation des investissements en sécurité et la collaboration entre la cybersécurité, les TI, la continuité des affaires et les opérations.

L’accent passe du rétablissement de systèmes individuels à la restauration des services d’affaires qui comptent le plus.

Un rétablissement rapide n’est pas toujours synonyme de reprise fiable

Durant un incident cybernétique, chaque heure d’interruption peut se traduire par des pertes de revenus, des délais opérationnels et de l’insatisfaction chez la clientèle. La vitesse est importante, mais rétablir des systèmes sans validation suffisante peut provoquer de nouveaux problèmes.

Une sauvegarde peut exister mais être compromise. Un serveur peut être opérationnel mais toujours vulnérable à la même attaque. Une application restaurée peut être propre isolément mais dépendre d’une infrastructure d’identité elle-même compromise.

Les RSSI doivent donc trouver un équilibre entre la rapidité de la reprise et le niveau de confiance envers l’intégrité de l’environnement restauré.

Cela exige que l’organisation définisse des critères clairs de validation du rétablissement, notamment :

• Valider l’intégrité et l’adéquation des points de reprise.
• Enquêter sur l’incident pour en comprendre l’ampleur et la persistance.
• Traiter les identifiants compromis et les accès privilégiés.
• Corriger les vulnérabilités qui ont permis l’attaque.
• Valider les dépendances et les contrôles de sécurité avant de reconnecter les systèmes.
• Définir des processus d’approbation pour la restauration des services et l’acceptation du risque résiduel.

Le niveau d’assurance nécessaire doit refléter l’incident et l’importance du service touché. Toutefois, chaque service critique a besoin de critères définis pour savoir quand il est sécuritaire de reprendre ses activités.

La réussite de la reprise ne dépend pas seulement de la rapidité de remise en ligne : il s’agit de restaurer les services critiques sans réintroduire de risque inacceptable.

Transformer les constats sur les joyaux de la couronne en résultats d’affaires

Une évaluation des joyaux de la couronne et une Cyber BIA procurent une valeur qui dépasse la seule réponse aux incidents. Ensemble, elles aident les RSSI à établir une vision axée sur les affaires de la résilience cyber et à prendre des décisions plus éclairées quant à la gestion du risque et à la préparation à la reprise.

Ces constats peuvent permettre aux organisations de :

• Prioriser les investissements : Concentrer les dépenses en sécurité sur les actifs et dépendances ayant l’impact d’affaires le plus important.
• Repérer les lacunes en matière de rétablissement : Évaluer les faiblesses dans la couverture des sauvegardes, la séquence de récupération, les contrôles d’accès et la validation du rétablissement.
• Renforcer la responsabilisation : Établir clairement la propriété des services, les responsabilités de reprise et l'autorité décisionnelle.
• Valider la résilience : Tester si les services d’affaires critiques peuvent être restaurés selon les objectifs de reprise convenus.
• Améliorer l’alignement du leadership : Communiquer le risque cyber en termes de perturbation des affaires, de préparation au rétablissement et d’impact opérationnel.

Cela modifie également le dialogue avec la direction. Plutôt que de demander si des sauvegardes existent ou si les procédures de reprise sont documentées, les organisations peuvent évaluer leur capacité à restaurer les services critiques dans les délais et selon le niveau de risque acceptable.

C’est une mesure plus significative de la résilience cybernétique.

La vraie mise à l’épreuve du RSSI : savoir ce qui vient en premier

La résilience cybernétique ne s’obtient pas uniquement par la technologie. Elle exige que l’organisation relie ses priorités d’affaires, ses risques cyber, ses dépendances techniques et ses décisions de reprise dans une stratégie cohérente.

Une évaluation des joyaux de la couronne, combinée à une Cyber BIA, aide à bâtir ce socle. Elle permet aux RSSI de comprendre ce qui doit être protégé, récupéré en priorité et les conditions à remplir avant de considérer le rétablissement comme réussi.

Ce travail doit s’effectuer avant un incident, pendant que les parties prenantes ont le temps d’aligner les priorités, de traiter les dépendances et de valider les plans de reprise.

Lorsqu’un incident cyber frappe, la direction ne demandera pas seulement si les systèmes peuvent être rétablis. Elle demandera si l’organisation est capable de continuer à servir ses clients, de protéger l’information critique et d’assurer la continuité des opérations essentielles.

Vous ne pouvez pas restaurer ce que vous n’avez pas priorisé. Et vous ne pouvez pas restaurer avec confiance ce qui n’inspire pas confiance.

Pour les RSSI, la résilience cyber commence par savoir ce qui importe le plus—et par s’assurer que l’organisation est prête à le récupérer lorsque ça compte vraiment.