Le 9 mars 2022, la Securities and Exchange Commission a averti les PDG et les conseils d’administration de sociétés cotées en bourse. Le public investisseur, a-t-il déclaré, a le droit de savoir si les entreprises sont préparées aux attaques de cybersécurité.
À ce titre, l’agence a proposé des modifications réglementaires à la gestion des cyber-risques, à la cyber-gouvernance et au signalement des incidents cyber. Les règles proposées augmenteront la responsabilité de l’entreprise en matière de cyber-risque, de la salle du conseil à la direction. « Aujourd’hui, la cybersécurité est un risque émergent auquel les émetteurs publics doivent de plus en plus faire face », a déclaré Gary Gensler, président de la SEC. « Les investisseurs veulent en savoir plus sur la manière dont les émetteurs gèrent ces risques croissants. »
Avec les cyberattaques nationales, une menace et un ransomware toujours présents, qui font désormais partie des conversations quotidiennes, les organisations du monde entier se sont naturellement efforcées de faire face au pire. Mais sont-ils préparés ?
Pour beaucoup, la réponse retentissante est non. Selon un rapport 2021 d’IBM Security, seulement 46 % des organisations déclarent disposer d’un plan de réponse aux incidents (IRP) de cybersécurité pour identifier, répondre et se rétablir de types spécifiques de cyberattaques, et seulement 26 % des organisations disposent d’un IRP appliqué de manière cohérente dans l’ensemble de l’entreprise.
« Les rançongiciels et autres cyberattaques ont un impact sur les industries de petite et grande taille, et nous constatons une augmentation du nombre et de l’impact que ces cyberattaques peuvent avoir », déclare Erin Bajema, responsable de la gestion des associés et du secteur cybernétique chez Hagerty Consulting. « Les entreprises doivent supposer qu’elles seront affectées par une cyberattaque et s’assurer qu’elles ont un plan en place si quelque chose se produit. »
Bien que les équipes informatiques et de sécurité soient responsables des détails techniques de la réponse aux incidents, le PDG et les autres cadres supérieurs doivent jouer un rôle actif. Le problème : de nombreux dirigeants ne comprennent pas le rôle qu’ils doivent jouer, selon Quentin Hodgson, chercheuse principale internationale et de défense, axée sur la cybersécurité et la gestion des risques chez Rand Corporation.
« Les dirigeants savent ce dont ils sont responsables au quotidien, mais ils ne comprennent peut-être pas qui est responsable de prendre des décisions et des mesures pendant un cyber-incident », déclare M. Hodgson. C’est pourquoi il est essentiel d’établir un plan de réponse aux incidents, et de tenir la direction informée à ce sujet. « Lorsqu’il n’y a pas de plan éprouvé en place, vous allez rencontrer beaucoup de chaos dans une situation déjà stressante. »
Un bon plan traite cinq éléments. Ces éléments s’alignent sur les phases majeures de la réponse aux incidents, selon l’IEEE Computer Society : préparation, identification, confinement et éradication, récupération et leçons apprises.
1. Préparer votre personnel et vos processus pour la réponse aux incidents
La préparation est la phase la plus cruciale de la réponse aux incidents, car elle donne le ton de la manière dont une organisation répond à une crise, selon l’IEEE. Pour se préparer à une cyberattaque, l’équipe de réponse aux incidents de sécurité informatique (CSIRT), qui est généralement composée de personnel de sécurité et informatique ainsi que de membres des ressources humaines, des relations publiques, du service juridique et du conseil d’administration, doit examiner les politiques et outils de sécurité existants et effectuer une évaluation des risques pour déterminer quelles vulnérabilités demeurent, la probabilité que ces vulnérabilités puissent être exploitées et la facilité avec laquelle les vulnérabilités peuvent être détectées.
« Maintenir les parties prenantes engagées dans la préparation vous prépare à la réussite. »Erin Bajema, responsable de la gestion des associés et du secteur cybernétique, Hagerty Consulting
Les PDG et les dirigeants exécutifs doivent décrire leurs préoccupations potentielles et remettre en question certaines des hypothèses sous-jacentes de leur plan de réponse, déclare M. Hodgson. Cela peut inclure de se demander quelles ressources peuvent être réellement disponibles en cas de cyberattaque et la capacité de l’organisation et de personnes spécifiques à effectuer rapidement le contrôle et la réparation des dommages nécessaires.
Les personnes peuvent ne pas être sur la même longueur d’onde, il est donc essentiel que les membres de l’équipe aient une conversation initiale sur ce qu’ils s’attendent à faire pendant un incident potentiel, les types d’ actions qu’ils souhaitent prendre et les conséquences qui les préoccupent le plus.
« Que se passe-t-il si Sally est en vacances lorsqu’un incident se produit ? » Hodgson demande. « Qui est habilité à prendre des décisions ? Faisons-nous des suppositions sur notre capacité à faire des choses qui pourraient ne pas tenir ? Il s’agit de bonnes questions à poser et de conversations à devoir formuler ce à quoi ressemble la planification. »
Les PDG doivent s’assurer que les IRP tiennent compte des pires scénarios, conseille la Cybersecurity and Infrastructure Security Agency (CISA). Des mesures extrêmes peuvent être prises pour protéger les actifs les plus critiques d’une organisation en cas d’intrusion, comme la déconnexion de certaines parties à fort impact du réseau.
La CISA recommande aux entreprises d’examiner les derniers Playbooks du gouvernement américain sur les incidents et les vulnérabilités, publiés par la CISA à la fin de l’année dernière. Les PDG et la haute direction doivent également participer à des exercices de table pour s’assurer qu’ils connaissent la manière dont l’organisation gérera un cyber-incident majeur. Ces exercices doivent être effectués chaque année, au minimum, ajoute Hodgson.
« La réponse et la gestion des incidents se passent bien lorsque des éléments de coordination ont été mis en pratique à l’avance », déclare Bajema. « Cela vous donne l’occasion, dans un environnement sans faute, de voir ce qui se passe bien dans les relations au sein de l’organisation, ce qui est difficile et ce sur quoi vous devez travailler. Maintenir les parties prenantes engagées dans la préparation vous prépare à la réussite. »
2. Identifier les cyber-incidents et les signaler
Pendant la phase d’identification, les organisations déterminent quand un écart de sécurité doit être considéré comme un incident. L’identification des incidents implique la collecte de preuves, la détermination de la priorité de l’incident et la documentation de toutes les mesures prises. La CSIRT doit identifier le moment approprié pour contacter les parties prenantes et les parties externes concernées.
L’aspect le plus important de la planification pour cette phase est de savoir comment classer la gravité d’un incident, explique Bajema. « Tout comme les ouragans, les cyber-incidents arrivent à toutes les gravités, en fonction de leur impact potentiel », déclare-t-elle. « Les cyberattaques qui ont un impact sur une seule pièce d’un système sont considérées comme moins graves que quelque chose qui détruit l’ensemble de la cyberinfrastructure. Les PDG doivent comprendre ce qui est impacté maintenant et ce qui a le potentiel d’être impacté ensuite. »
Étant donné les niveaux de menace élevés d’aujourd’hui, la CISA recommande aux PDG de réduire leurs seuils de signalement des incidents. Toute indication de cyberactivité malveillante, même si les contrôles de sécurité bloquent une attaque, doit être signalée à la CISA. (Le Centre d’opérations 07/12 du CISA peut être contacté par e-mail report@cisa.gov ou par téléphone au 888-282-0870 ; ou vous pouvez appeler un bureau local du FBI.) « L’abaissement des seuils nous permettra d’identifier immédiatement un problème et d’aider à nous protéger contre d’autres attaques ou victimes », déclare l’agence.
Une fois que les dirigeants ont déterminé la gravité d’un incident, les cadres doivent être prêts à passer en revue les rôles et responsabilités de la CSIRT, à identifier le suivi qui doit être effectué, à déterminer les étapes nécessaires pour contenir activement un incident, à identifier les éléments de gestion de l’information à discuter et à attribuer clairement la responsabilité de chacun de ces éléments, explique Bajema.
Le groupe principal de personnes impliquées dans la planification des conversations pour cette phase peut sembler différent en fonction de l’organisation et du type d’attaque, explique Bajema. Avec un incident plus faible, les PDG devraient probablement inclure le responsable informatique principal, quelqu’un supervisant les opérations commerciales
critiques, les ressources humaines, les relations publiques, le service juridique et le marketing.
[Lecture supplémentaire : Le besoin croissant d’unifier l’informatique et la sécurité]
Les PDG doivent être prêts à faciliter la conversation entre les groupes de l’organisation : « En tant que cadre, vous ne serez pas celui qui répare le logiciel, mais vous aiderez à coordonner les différents éléments de la réponse et à maintenir les communications à tous les niveaux »,
déclare Bajema.
3. Contenir et éradiquer les infections du réseau
Après avoir identifié l’incident, il doit être contenu pour éviter d’autres dommages. Ensuite, il doit être éradiqué pour éliminer les infections existantes et les attaquants qui restent dans le système. Cette phase implique d’isoler les parties affectées d’un réseau ou de désactiver les appareils infectés, de remplacer les systèmes ou appareils infectés par des versions propres, et de corriger les vulnérabilités exploitées et nouvelles. Les équipes de cybersécurité et informatiques ont en grande partie cette responsabilité.
« Souvent, les plans sont simplement élaborés par des personnes isolées et placés sur une étagère où ils deviennent obsolètes et perdent de leur pertinence. »Quentin Hodgson, chercheuse principale internationale et défense, Rand Corporation
Pendant cette période, les PDG devront se concentrer sur la continuité des opérations, déclare Bajema. « Si vous êtes une banque qui subit un cyber-incident, par exemple, comment continuez-vous à maintenir vos succursales bancaires ouvertes ? » demande-t-elle. Les PDG doivent également s’assurer que les investissements dans la sécurité et la résilience se concentrent sur les systèmes qui soutiennent les fonctions commerciales critiques de leur organisation.
Hodgson recommande que les PDG soient impliqués dans des conversations sur le coût de l’éradication complète et du remplacement de l’infrastructure informatique pour remettre l’organisation en marche. « Le coût est un problème important que le PDG et d’autres personnes devront comprendre et réfléchir afin de prendre des décisions », déclare-t-il.
4. Récupérer et tester les systèmes et appareils réseau
Pendant la phase de récupération, les systèmes et les appareils doivent être ramenés et testés pour s’assurer qu’ils ne sont plus vulnérables. Le personnel informatique et de sécurité surveille ces systèmes pendant une période établie pour s’assurer que les attaquants ont été éliminés et pour
empêcher la réinfection.
Au niveau exécutif, les PDG doivent être impliqués dans des conversations sur la manière de restaurer les services d’une manière qui leur permet de gérer les changements qu’ils ont vécus. « Vous envisagez un retour à une nouvelle normalité. Vous ajustez la façon dont vous travaillez, vous travaillez peut-être avec du nouveau matériel, et, plus important encore, vous examinez les fonctions et services essentiels et la manière dont vous continuerez à les offrir dans ce nouvel environnement », déclare Bajema.
5. Créez un rapport après action pour identifier ce qui a fonctionné et ce qui n’a pas fonctionné
Après la récupération d’un incident, les organisations doivent prévoir de créer un rapport après action. Dans le cadre de ce rapport, les dirigeants développent un plan d’amélioration qui identifie à la fois les forces et les faiblesses de leur réponse et les problèmes qui sont survenus lorsqu’ils n’avaient pas de protocoles, explique Bajema. Après avoir compilé le rapport, il est important de passer en revue les leçons apprises et d’effectuer un suivi avec des correctifs concrets.
« Vous ne pouvez pas supposer que, parce que vous avez subi [une attaque] une fois, cela ne se reproduira pas », déclare Hodgson. Les PDG doivent mener des conversations sur la manière d’être mieux préparés pour l’avenir, dit-il. « Les gens devraient-ils recevoir une formation supplémentaire ? Qu’avons-nous ignoré qui aurait été utile de savoir à l’époque ? Comment communiquons-nous mieux ? Le PDG ne répondra pas à ces questions, mais devrait pousser son équipe à y répondre », déclare M. Hodgson.
Plus il y a de réflexions, de tests et de pratiques qui entrent dans une IRP, plus la récupération est fluide, explique M. Hodgson. « Souvent, les plans sont simplement élaborés par des individus isolés ou de petites équipes et placés sur une étagère où ils deviennent obsolètes et perdent de leur pertinence », déclare-t-il. « Bien sûr, il est impossible de prédire comment se déroulera un incident, mais plus vous serez rigoureux dans la planification, mieux vous serez équipé pour le gérer. »
En d’autres termes, les PDG qui jouent un rôle actif dans la préparation d’un plan de réponse aux incidents, peuvent se reposer plus facilement en sachant que leur organisation a renforcé ses défenses de sécurité contre une attaque.
