Pourquoi cette question ?

• Il existe encore de trop nombreux cas où l’attaquant modifie les politiques de sauvegardes avant de lancer l’attaque
  • Récemment dans le domaine de la santé, l’attaquant a désactivé la réalisation de nouvelles sauvegardes ainsi que le système d’alerte. Il a alors attendu un dizaine de jours pour déclencher son attaque s’assurant que la société ne disposait plus de sauvegarde récente pour reconstruire son SI (source Wavestone 2024)

Pourquoi cette question ?

• En utilisant des copies de sauvegarde stockées hors site, vous pouvez réaliser des tests de sécurité sans impacter l'environnement de production.
  •  En effet, en cas d'attaque cyber, il sera nécessaire de remonter les serveurs dans un environnement étanches puis de les faire analyser individuellement pour savoir s’ils sont compromis ou non, puis de mettre en œuvre les mécanismes de remédiation si besoin, ….

Pourquoi cette question ?

• Dans un contexte d’attaque cyber, l’ensemble du SI n’est peut-être pas compromis. Il faut donc identifier des groupes d’application à analyser en priorité d’un point de vue sécurité
• La classification peut amener à des ordres de redémarrage des groupes applicatifs différents que celui dans un scénario de risque traditionnel

Pourquoi cette question ?

• Le RTO dans un contexte de crise cyber n’a pas de commune mesure avec le RTO traditionnel d’un scénario de risque classique.
  • Typiquement il est complètement illusoire de parler de RTO de 4h dans ce contexte mais plutôt de RTO de 96 heures au minimum.
  •  En effet, il sera nécessaire de remonter les serveurs dans un environnement étanches puis de les faire analyser individuellement pour savoir s’ils sont compromis ou non, puis de mettre en œuvre les mécanismes de remédiation si besoin, ….

Pourquoi cette question ?

• La réactivité des équipes et leur organisation est prépondérante dans une crise cyber   
• Les exercices de crise favorisent une meilleure coordination entre les différentes équipes, clarifiant les rôles et responsabilités de chacun lors d'une cyberattaque.
  • Les exercices de gestion de crise permettent de simuler des scénarios réalistes, confrontant les équipes à des situations critiques potentielles.

Pourquoi cette question ?

• Il est nécessaire d'établir de tels partenariats pour permettre de répondre efficacement à des incidents cyber majeurs. Une collaboration avec des experts externes offre :

  • Expertise spécialisée : Accès à des compétences pointues et à jour sur les menaces actuelles.

  • Réactivité accrue : Intervention rapide pour contenir et remédier aux incidents.

  • Conformité réglementaire : Assistance pour respecter les normes et réglementations en vigueur.

Pourquoi cette question ?

• Il est nécessaire, dès la détection d'une attaque, de mobiliser une cellule de crise composée de membres clés de l'organisation pour coordonner la réponse et assurer une communication fluide entre les départements concernés.

  • Communiquer rapidement et clairement avec l'ensemble du personnel sur la nature de l'incident, les mesures prises et les consignes à suivre. 

  • Solliciter les experts externes .

• Communication externe :

  • Information des clients et partenaires : communiquer vers les clients, partenaires et autres parties prenantes de l'incident, des données potentiellement affectées et des actions entreprises pour résoudre la situation. La transparence renforce la confiance et démontre la responsabilité de l'organisation.