Le 9 mars 2022, la Commission des opérations de bourse (SEC) a mis en garde les PDG et les conseils d'administration des sociétés cotées en bourse. Selon ce rapport, les investisseurs ont le droit de savoir si les entreprises sont préparées à faire face à des cyberattaques.
À ce titre, l'agence a proposé des modifications réglementaires concernant la gestion des risques cybernétiques, la gouvernance cybernétique et le signalement des incidents cybernétiques. Les règles proposées renforceront la responsabilité des entreprises en matière de risques cybernétiques, depuis le conseil d'administration jusqu'aux cadres dirigeants et à l'ensemble du personnel. « Aujourd’hui, la cybersécurité constitue un risque émergent auquel les émetteurs publics doivent de plus en plus faire face », a déclaré Gary Gensler, président de la SEC. « Les investisseurs souhaitent en savoir davantage sur la manière dont les émetteurs gèrent ces risques croissants. »
Les cyberattaques menées par des États constituant une menace permanente et le ransomware « » faisant désormais partie du langage courant, les organisations du monde entier se préparent, à juste titre, au pire. Mais sont-ils prêts ?
Pour beaucoup, la réponse est clairement « non ». Seules 46 % des entreprises déclarent disposer d’un plan d’intervention en cas d’incident de cybersécurité (IRP) permettant d’identifier certains types de cyberattaques, d’y répondre et de s’en remettre, et seules 26 % d’entre elles disposent d’un IRP appliqué de manière cohérente à l’échelle de l’entreprise, selon un rapport intitulé « 2021 » publié par IBM Security.
« Les ransomwares et autres cyberattaques touchent aussi bien les petites que les grandes entreprises, et nous constatons une augmentation tant du nombre de ces cyberattaques que de leur ampleur », déclare Erin Bajema, associée directrice et responsable du secteur cyber chez Hagerty Consulting. « Les entreprises doivent partir du principe qu’elles seront touchées par une cyberattaque et s’assurer de disposer d’un plan d’urgence au cas où un incident se produirait. »
Si les équipes informatiques et de sécurité sont chargées des aspects techniques de la gestion des incidents , le PDG et les autres membres de la direction doivent quant à eux jouer un rôle actif. Le problème : selon Quentin Hodgson, chercheur senior spécialisé dans les affaires internationales et la défense, plus particulièrement dans les domaines de la cybersécurité et de la gestion des risques à la Rand Corporation, de nombreux dirigeants ne comprennent pas le rôle qu’ils devraient jouer.
« Les cadres supérieurs savent quelles sont leurs responsabilités au quotidien, mais ils ne comprennent pas forcément qui est chargé de prendre les décisions et les mesures nécessaires en cas de cyberincident », explique M. Hodgson. C'est pourquoi il est essentiel de mettre en place un plan d'intervention en cas d'incident — et d'en tenir la direction informée. « Lorsqu’il n’existe pas de plan éprouvé, vous allez être confronté à une grande confusion dans une situation déjà stressante. »
Un bon plan doit prendre en compte cinq éléments. Ces éléments s'inscrivent dans les grandes phases de la réponse aux incidents définies par l' , selon l'IEEE Computer Society : préparation, identification, confinement et éradication, rétablissement et enseignements tirés.
1. Préparez votre personnel et vos processus à la gestion des incidents
Selon l'IEEE, la préparation constitue la phase la plus cruciale de la gestion des incidents, car elle détermine la qualité de la réponse d'une organisation face à une crise. Afin de se préparer à une cyberattaque, l’équipe d’intervention en cas d’incident de sécurité informatique (CSIRT) — qui se compose généralement de membres du personnel chargés de la sécurité et de l’informatique, ainsi que de représentants des ressources humaines, des relations publiques, du service juridique et du conseil d’administration — doit passer en revue les politiques et outils de sécurité existants et réaliser une évaluation des risques « » afin de déterminer quelles vulnérabilités subsistent, la probabilité que celles-ci puissent être exploitées et la facilité avec laquelle elles peuvent être détectées.
«. En impliquant les parties prenantes dans la préparation, vous mettez toutes les chances de votre côté. »Erin Bajema, associée directrice et responsable du secteur de la cybersécurité chez Hagerty Consulting
Selon M. Hodgson, les PDG et les dirigeants devraient exposer leurs éventuelles préoccupations et remettre en question certaines des hypothèses sous-jacentes de leur plan d'intervention. Il pourrait notamment s'agir de se demander quelles ressources seraient réellement disponibles en cas de cyberattaque, ainsi que de s'interroger sur la capacité de l'organisation et de certaines personnes en particulier à mettre rapidement en œuvre les mesures nécessaires pour limiter les dégâts et procéder aux réparations.
Il se peut que tout le monde ne soit pas sur la même longueur d'onde ; il est donc essentiel que les membres de l'équipe aient un premier échange sur ce qu'ils prévoient de faire en cas d'incident potentiel, sur les types de mesures d' qu'ils souhaitent mettre en œuvre, ainsi que sur les conséquences qui les préoccupent le plus.
« Que se passe-t-il si Sally est en vacances lorsqu'un incident survient ? » demande Hodgson. « Qui est habilité à prendre des décisions ? » Ne ferions-nous pas des suppositions sur notre capacité à accomplir certaines tâches qui pourraient s'avérer infondées ? « Ce sont là de bonnes questions à poser et de bonnes discussions à mener pour définir les grandes lignes de cette planification. »
L'Agence américaine de cybersécurité et de sécurité des infrastructures ( , CISA) recommande aux PDG de veiller à ce que les plans d'intervention en cas d'urgence (IRP) tiennent compte des scénarios les plus pessimistes. Il peut s'avérer nécessaire de prendre des mesures extrêmes pour protéger les actifs les plus critiques d'une organisation en cas d'intrusion, comme par exemple la déconnexion de certaines parties du réseau présentant un risque élevé.
La CISA recommande aux entreprises de consulter les derniers guides du gouvernement américain intitulés « » () et «Incident and Vulnerability Response Playbooks» (), publiés par la CISA à la fin de l'année dernière. Les PDG et les cadres supérieurs devraient également participer à des exercices de simulation afin de s'assurer qu'ils connaissent bien la manière dont l'organisation gérera un incident cybernétique majeur. Ces exercices devraient être effectués au moins une fois par an, ajoute M. Hodgson.
« La gestion et la réponse aux incidents se déroulent bien lorsque les aspects liés à la coordination ont été mis en pratique au préalable », explique M. Bajema. « Cela vous offre l’occasion, dans un cadre exempt de tout jugement, d’identifier ce qui fonctionne bien dans les relations au sein de l’organisation, ce qui pose des difficultés et les points sur lesquels vous devez travailler. » « En veillant à ce que les parties prenantes restent impliquées dans la préparation, vous mettez toutes les chances de votre côté. »
2. Identifier les incidents de cybersécurité et les signaler
Au cours de la phase d'identification, les organisations déterminent à partir de quel moment un écart de sécurité doit être considéré comme un incident. L'identification d'un incident consiste à recueillir des éléments de preuve, à déterminer la priorité de l'incident et à consigner toutes les mesures prises. Le CSIRT doit déterminer le moment opportun pour contacter les parties prenantes et les acteurs externes concernés.
Selon M. Bajema, l'aspect le plus important de la planification de cette phase consiste à savoir comment classer la gravité d'un incident. « Tout comme les ouragans, les incidents informatiques peuvent présenter différents degrés de gravité, en fonction de l’ampleur de leur impact », explique-t-elle. « Les cyberattaques qui touchent un élément d’un système sont considérées comme moins graves que celles qui paralysent l’ensemble de l’infrastructure informatique. » « Les PDG doivent comprendre ce qui est actuellement affecté et ce qui pourrait l'être prochainement. »
Compte tenu des niveaux de menace élevés actuels, la CISA recommande aux PDG d'abaisser leurs seuils de signalement des incidents. Tout signe d'activité cybermalveillante — même si les mesures de sécurité bloquent une attaque — doit être signalé à la CISA. (Vous pouvez contacter le Centre des opérations 07/12 de la CISA par e-mail à l'adresse report@cisa.gov ou en composant le 888-282-0870 ; vous pouvez également appeler un bureau local du FBI.) « L'abaissement des seuils nous permettra d'identifier immédiatement un problème et contribuera à prévenir de nouvelles attaques ou à éviter de nouvelles victimes », indique l'agence.
Une fois que les responsables ont déterminé la gravité d’un incident, les dirigeants doivent être prêts à passer en revue les rôles et responsabilités du CSIRT, à identifier les s de surveillance de l’ qui doivent être mises en œuvre, à définir les mesures nécessaires pour contenir activement un incident, à recenser les aspects de la gestion de l’ à aborder, et à attribuer clairement les responsabilités pour chacun d’entre eux, explique M. Bajema.
Selon M. Bajema, la composition du noyau dur des personnes participant à la planification des échanges pour cette phase peut varier en fonction de l'organisation et du type d'attaque. En cas d'incident de moindre ampleur, les PDG devraient probablement associer le responsable informatique de haut niveau, ainsi qu'une personne chargée de superviser l'
s opérations commerciales essentielles, les ressources humaines, les relations publiques, le service juridique et le marketing.
[Lecture supplémentaire : Le besoin croissant d’unifier l’informatique et la sécurité]
Les PDG doivent être prêts à faciliter le dialogue entre les différents services de l’organisation : « En tant que dirigeant, vous ne serez pas chargé de réparer le logiciel, mais vous contribuerez à coordonner les différents volets de la réponse et à assurer la communication à tous les niveaux », explique
Bajema.
3. Contenir et éliminer les infections au sein du réseau
Une fois l'incident identifié, il convient de le maîtriser afin d'éviter tout dommage supplémentaire. Il faut alors l'éradiquer afin d'éliminer les infections existantes et tout intrus qui subsisterait dans le système. Cette phase consiste à isoler les parties affectées d'un réseau ou à mettre hors service les appareils infectés, à remplacer les systèmes ou appareils infectés par des versions saines, et à appliquer de manière les correctifs relatifs aux s exploitées et aux nouvelles vulnérabilités. Cette responsabilité incombe en grande partie aux équipes chargées de la cybersécurité et de l'informatique.
«Souvent, les plans sont simplement élaborés par des individus isolés, puis relégués au placard, où ils perdent de leur actualité et de leur pertinence. »Quentin Hodgson, chercheur senior spécialisé dans les affaires internationales et la défense, Rand Corporation
Au cours de cette période, les PDG devront se concentrer sur la continuité des activités, explique M. Bajema. « Si vous êtes une banque victime d’un incident informatique, par exemple, comment faites-vous pour maintenir vos agences ouvertes ? » demande-t-elle. Les PDG doivent également veiller à ce que les investissements en matière de sécurité et de résilience de l' se concentrent sur les systèmes qui soutiennent les fonctions métier essentielles de leur organisation.
M. Hodgson recommande que les PDG participent aux discussions concernant le coût de l'éradication totale du virus et du remplacement de l'infrastructure informatique afin de permettre à l'organisation de reprendre ses activités. « Le coût est un enjeu majeur que le PDG et ses collaborateurs devront comprendre et analyser en profondeur afin de prendre des décisions », déclare-t-il.
4. Restaurer et tester les systèmes et équipements réseau
Au cours de la phase de reprise, les systèmes et les appareils doivent être remis en service et testés afin de s'assurer qu'ils ne présentent plus de vulnérabilité. Le personnel informatique et de sécurité surveille ces systèmes pendant une période déterminée afin de s'assurer que les attaquants ont bien été éliminés et d'
, d'empêcher toute réinfection.
Au niveau de la direction, les PDG devraient participer aux discussions sur la manière de rétablir les services de façon à leur permettre de gérer les changements qu’ils ont connus. « Vous assistez au retour à une nouvelle normalité. » « Vous adaptez vos méthodes de travail — vous utilisez peut-être du nouveau matériel — et, surtout, vous examinez les fonctions et services essentiels, ainsi que la manière dont vous allez continuer à les proposer dans ce nouvel environnement », explique M. Bajema.
5. Rédigez un rapport d'analyse a posteriori afin d'identifier ce qui a fonctionné et ce qui n'a pas fonctionné
Une fois l'incident résolu, les organisations doivent prévoir de rédiger un rapport de bilan. Dans le cadre de ce rapport, les dirigeants élaborent un plan d'amélioration qui identifie à la fois les points forts et les points faibles de leur intervention, ainsi que les problèmes qui sont apparus en l'absence de protocoles, explique M. Bajema. Une fois le rapport rédigé, il est important de passer en revue les enseignements tirés et de mettre en œuvre des mesures correctives concrètes.
« On ne peut pas partir du principe que, simplement parce qu’on a déjà subi [une agression] une fois, cela ne se reproduira pas », déclare M. Hodgson. Selon lui, les PDG devraient mener des discussions sur la manière de mieux se préparer à l'avenir. « Les personnes devraient-elles suivre une formation complémentaire ? » Qu'est-ce que nous ignorions et qu'il aurait été utile de savoir à l'époque ? Comment pouvons-nous mieux communiquer ? « Le PDG ne répondra pas à ces questions, mais il devrait inciter son équipe à y apporter des réponses », déclare M. Hodgson.
« Plus un plan de reprise après sinistre (IRP) fait l'objet d'une réflexion approfondie, de tests et d'exercices, plus la reprise se déroule sans heurts », explique M. Hodgson. « Souvent, les plans sont simplement élaborés par des personnes isolées ou de petites équipes, puis relégués au fond d’un tiroir où ils finissent par devenir obsolètes et perdre toute pertinence », explique-t-il. « Bien sûr, il est impossible de prévoir comment un incident va se dérouler, mais plus votre planification sera minutieuse, mieux vous serez armé pour y faire face. »
En d'autres termes, les PDG qui participent activement à l'élaboration d'un plan d'intervention en cas d'incident peuvent avoir l'esprit plus tranquille, sachant que leur organisation a encore renforcé ses mesures de sécurité contre les attaques.
