Vous êtes victime d’un incident de sécurité ? Contactez notre CERT

16/12/2022

Cybersecurity Insights

Crise imminente externe à l’entreprise – Les actions pratiques du RSSI

La crise du Covid 19, le conflit russo-ukrainien, la publication de la vulnérabilité Log4J, n’ont pas eu le même impact à l’instant T pour les organisations. Les crises peuvent toucher les organisations dans une temporalité différente selon le secteur d’activité, la localisation, les typologies de crise, etc. Pour la pandémie du COVID-19, certaines activités ont dû s’arrêter sur le champ (restauration sur place), d’autres ont dû continuer en s’adaptant (santé), quand d’autres encore ont vu leur activité bondir (logistique, livraison à domicile).

Cette temporalité constitue une vraie opportunité qui doit être exploitée par les entreprises qui n’ont pas encore été touchées par la crise. Lors de l’apparition de ces évènements, les RSSI doivent renforcer leur vigilance, se mobiliser et anticiper les impacts éventuels de ces évènements sur leur entreprise. Si dans certains cas les effets d’une crise sont inévitables, les conséquences sur l’organisation pourront souvent être limitées voire maîtrisées, car anticipées et gérées.

Cet article propose des pistes de réflexion et des recommandations synthétisées en cinq points sur la manière de préparer son organisation et son Système d’Information à une crise imminente. Les actions réalisées par et pour nos clients au début du conflit UKR/RUS permettront d’illustrer le point 4 sur l’ajustement de la sécurité opérationnelle face à l’évolution de la menace.

Activer son dispositif de crise

Préparer ou vérifier la logistique de(s) cellule(s) de crise. Toute cellule de crise dispose de sa propre logistique : plans de gestion de crise, espace(s) dédié(s), agencement de l’espace, accès à cet espace, matériel (ordinateur, imprimante, écran, paper board, pieuvre, eau, nourriture, etc.).  Si la logistique n’a pas été testée récemment ou si elle n’est pas pleinement en place, il faut vérifier que tout est opérationnel. Vérifier par exemple que les dispositifs, normalement indépendants des systèmes réguliers, sont fonctionnels, à jour des contacts et que la mallette de crise est bien accessible et activable. En profiter aussi pour préparer la salle de crise en cas de déclenchement imminent, c’est-à-dire installer le matériel dédié à la crise, dans le cas où il serait stocké dans une armoire dédiée.  

Activer les canaux de communication. Il est essentiel à ce stade de s’assurer que les canaux d’activation de la cellule ainsi que les canaux de communication entre les parties prenantes, soient fonctionnels. Il faut vérifier que techniquement les moyens choisis fonctionnent, que les contacts soient à jour et stockés sur des dispositifs isolés du SI, qu’ils soient diffusés aux parties prenantes. Dépendre de dispositifs fiables aide à dérouler une cellule de crise sereinement plutôt que d’avoir des personnes agacées par leurs déboires techniques. 

Mobiliser les membres des cellules de crise. Il est pertinent d’informer les membres des cellules de crise de la situation et de leur rappeler l’organisation de crise en place. Une note écrite et/ou une première séance courte expliquant les motivations et les craintes permettra de sensibiliser tous les acteurs aux évènements redoutés et auxquels il faudra peut-être faire face dans les heures ou jours à venir. Chaque membre étant conditionné à une éventuelle conséquence sur la sécurité informatique deviendra naturellement plus vigilant. Cette mobilisation est également une opportunité pour rappeler les outils à disposition de la cellule de crise, les rôles et responsabilités de chaque membre de la cellule et pour rassurer les acteurs de la crise. 

Organiser une veille active

Identifier les canaux de veille. Durant la période pendant laquelle l’entreprise n’est encore qu’observatrice et pendant laquelle elle se prépare, de nombreux articles seront publiés avec beaucoup d’informations et de scénarios imaginés et conséquences déjà constatées. Il peut s’agir de presse généraliste, spécialisée sur la thématique de la crise, des canaux spécialisés en sécurité informatique, des forums de discussions. Quand la crise concerne un autre secteur d’activité ou concerne un autre pays, il convient de consulter les informations communiquées par les officines spécialisées (ministères, agences locales, régulateurs européens, etc.). Ces informations devront être triées et parmi celles-ci, certaines pourront être exploitées pour préparer au mieux l’organisation dans le but de réduire les impacts de la crise.  

Déterminer la régularité de votre veille. Le temps de recherche et d’analyse de l’information devra être accru par rapport au temps habituellement attribué à cette tâche. Pour ne pas y consacrer un temps trop important et continu, il est conseillé de fixer une régularité adaptée à la situation. Il peut s’agir de 1 ou 2 sessions réservées chaque jour, d’abonnement avec notifications. Il faut également suivre l’évolution de la situation et ajuster votre fréquence de veille à la hausse ou à la baisse en fonction des faits dont vous avez connaissance. 

Activer des canaux d’information interne pour partager l’essentiel aux membres de la cellule. L’information traitée devra dans certains cas être partagée en interne pour action et dans d’autres cas pour information. Pour ce faire, il est recommandé de créer des canaux de communication dédiés au partage de l’information assortie d’une analyse contextualisée et au suivi des actions. Il est essentiel que toute l’information que vous traitez soit recommuniquée en interne. L’objectif n’est pas de reporter les éléments dans le détail mais de restituer succinctement des faits constatés et la vraisemblance que vous estimez sur la capacité de la situation à vous impacter. 

Privilégier les retours d’expérience et suivre l’évolution de la situation. En termes de contenu, il faut concentrer les travaux de veille et d’analyse sur ce qui apporte des informations pour gérer la crise. Il faut saisir cette opportunité temporelle pour collecter les retours d’expérience des entreprises touchées en premier lieu et qui ont dû réagir dans l’urgence. 

Identifier les nouvelles menaces, évaluer les risques

Évaluer son patrimoine informationnel  

Une crise externe fait bouger les centres d’intérêt de nombreux acteurs, bienveillants ou malveillants. Dans l’exemple de la crise sanitaire du COVID-19, la production de masques est devenue un sujet national à partir de 2020. La valeur des informations manipulées par une entreprise peut ainsi évoluer et attirer des acteurs malveillants. Il est donc primordial de réévaluer son patrimoine informationnel en fonction de la crise en cours et potentiellement considérer certaines informations comme désormais stratégiques.

Évaluer l’exposition de son écosystème, déterminer la vulnérabilité des actifs, identifier les nouveaux risques 

La crise peut bouleverser la cartographie des risques existante et ce à plusieurs niveaux. Les scénarios doivent parfois être réévalués. Par exemple :

  • Des vulnérabilités techniques connues ou récemment découvertes peuvent être sujettes à une exploitation plus rapide. Dans le cas du conflit UKR/RUS, des questions se sont posées sur l’usage de solutions de sécurité de Kaspersky car l’exploitation de vulnérabilités dans les produits pouvait devenir un levier d’intrusion (par exemple) et ainsi augmenter l’exposition des clients de ces solutions.
  • Les fournisseurs peuvent aussi être compromis. En fonction de leur activité et de leurs clients, ils peuvent être exposés et par conséquent perturber les prestations qu’ils s’engagent à fournir. Il est essentiel d’étendre le radar de renseignements en prenant contact directement avec les RSSI des principaux fournisseurs, sans attendre qu’ils fassent le premier pas. Il faut également vérifier la capacité du SI d’être isolé des tiers pour ne pas subir une attaque par latéralisation.
  • Des risques peuvent peser sur les métiers de l’entreprise. Certains secteurs d’activité ont des obligations imposées par les régulateurs. Le problème est métier, mais la réponse peut venir d’une mesure de sécurité à positionner sur les systèmes informatiques, sécurité qu’il faudra maintenir pour maîtriser le risque métier.
  • Les risques peuvent aussi être relatifs aux ressources humaines. Qu’il s’agisse de raisons sanitaires (personnel atteint par la COVID-19), militaires (personnel ressortissant ukrainien ou russe mobilisé par son pays), le SI de l’entreprise peut être détourné par des personnes aux profits d’une cause qui dépasse le cadre de l’entreprise. Un collaborateur pourrait participer à sa manière aux efforts d’une guerre en utilisant les infrastructures de l’entreprise (messagerie, partages de fichiers), divulguer des informations liées à des mouvements financiers pouvant porter préjudice à l’image de l’entreprise, etc.

Analyser ses risques, ajuster le traitement des risques 

Une fois l’analyse des risques mise à jour, des risques précédemment identifiés comme acceptables, peuvent devenir inacceptables. Un nouveau plan de traitement devra alors être établi et mis en œuvre pour maîtriser le risque. D’autres risques seront réévalués à la baisse et les plans de traitement en cours de mise en œuvre seront peut-être dépriorisés. De nouveaux scénarios apparaîtront et seront qualifiés en vraisemblance et impact.

De manière générale, il faut rafraichir la cartographie des risques et ajuster les plans de traitement pour qu’ils répondent aux nouveaux risques valorisés.

Ajuster la sécurité opérationnelle aux nouvelles menaces

Une fois les plans de traitement des risques établis, il faut les mettre en œuvre et tracer dans les plans de traitement, ce qui est actif de ce qui ne l’est pas.

A titre d’exemple sur le conflit UKR/RUS, nous avons constaté les mesures suivantes qui découlaient d’analyses des risques que nous pouvons présenter sous 4 thèmes :

Le renforcement de la surveillance et filtrage des communications et échanges 

  • Mise en œuvre forcée du passage par le relais (proxy) des flux internet depuis les serveurs
  • Renforcement du filtrage des communications sur les relais (proxys) depuis / vers les territoires en conflit
  • Activation de fonctionnalités complémentaires d’analyse de sécurité (type sandboxing) impliquant une rétention des fichiers le temps de l’analyse
  • Restriction des accès Internet des serveurs vers les zones, via un filtrage URL renforcé
  • Blocage de l’accès Internet des utilisateurs à certains sites considérés maintenant malveillants ou dangereux
  • Analyse et restriction/suppression des flux sensibles liés à l’identification et l’authentification des utilisateurs (Kerberos, LDAP, AD, etc.)

La désactivation des accès et liaisons inutiles avec des tiers 

  • Revue et certification des liaisons actuellement ouvertes
  • Suppression des accès inutilisés ou inactifs depuis trop longtemps / une période estimée anormalement longue
  • Identification des flux partenaires vers les zones sensibles, vérification de la légitimité de ces flux, limitation des ports ouverts, suppression des flux non sécurisés (Telnet, FTP, SMB, etc.)

L’ajustement des priorités de déploiement 

  • Suspension ou abandon des solutions d’origine russe
  • Accélération du déploiement du MFA
  • Accélération du déploiement d’un EDR en remplacement d’un antivirus traditionnel
  • Augmentation de la vigilance sur l’application des correctifs des serveurs

Ressources humaines 

  • Intégration de personnel complémentaire aux équipes actuelles pour gérer les demandes additionnelles et les activités de veille et d’analyse de la situation nécessaire aux décisions du moment

Ajuster la sécurité opérationnelle aux nouvelles menaces

Comme pour toute crise, il est nécessaire d’avoir des mécanismes de défense du SI prêt à l’emploi pour savoir réagir rapidement à tout évènement. 

Les fiches réflexes sont des outils efficaces pour réagir à des cas d’usage précis. Il est essentiel de s’assurer que les procédures d’urgence de mécanismes de réponse globale, sont connues par le personnel et qu’elles sont à jour des évolutions du SI et donc toujours applicables. 

Procéder à une revue des procédures existantes est une première étape, qui peut être complétée par l’organisation de courtes séances de sensibilisation / communication auprès des équipes opérationnelles pour leur rappeler qu’elles pourraient être utilisées. 

Il est également pertinent de préparer des règles de filtrage sur certains points stratégiques du SI, afin d’avoir la capacité d’isoler rapidement certaines zones, comme l’accès à Internet ou les zones réseaux pilotant les équipements industriels 

Préparer des règles permettant le blocage d’adresses IP publiques venant de territoires en conflit. 

De nombreuses actions peuvent être déclenchées dans un temps relativement court pour se préparer à faire face à une situation de crise imminente dont l’origine est extérieure à l’entreprise. Ces actions s’opèrent tant sur le plan organisationnel que sur le plan de sécurité opérationnelle des systèmes informatiques.

Le RSSI est le garant de la maîtrise des risques de sécurité informatique de l’entreprise. Il se doit de prendre en compte les nouvelles menaces et d’ajuster les mesures de sécurité pour prévenir les risques qui se présentent. Il doit surtout s’assurer des capacités de réaction de l’entreprise en termes de sécurité, qu’il s’agisse de défendre le SI à travers des mécanismes de préservation du SI ou de vérifier que les dispositifs de crises d’origine cyber seront opérationnels quand la situation requerra leur déploiement.

Francesca SERIO

Manager Governance, Risks & Compliance

Sylvain STREIT

Manager Governance, Risks & Compliance

avec la contribution et retours d’expériences de :

Siham SAOUD

Consultante Governance, Risks & Compliance

Josselin ABADIE

Consultant Strategy, Governance & Transformation

Jean-François LA MANNA

Consultant Governance, Risks & Compliance

Voir les derniers témoignages et avis d'experts

13 novembre 2023
Version révisée (Edition 4) de la norme ISO/CEI 27005 : Almond vous propose un top 3 des changements normatifs et des précisions sur leurs implications directes dans les travaux des Risk Managers au sein des organisations.
19 octobre 2023
C’est ce que tente d’éclairer cet article en explorant les avantages d’une approche ISO 27001 pour structurer les réponses attendues par vos clients dans les questionnaires SSI qu’ils vous transmettent.
16 octobre 2023
L'authentification multi-facteurs, un sujet toujours d'actualité à ne pas négliger !
11 octobre 2023
Chez Almond, nous préconisons de parachever les pratiques de contrôle par une approche par les risques pour améliorer la qualité du portefeuille des fonds d’investissement.
5 octobre 2023
Did you ever imagine that you or your colleagues could be a serious threat to your company? Discover our study: Insider Threat !
29 septembre 2023
Découvrez la solution SASE de Zscaler avec Benoit Vérove, Partner et Lead Security Integration chez Almond et Reda Nedjar, Principal Sales Engineer chez Zscaler au travers d'une démonstration technique au cœur de l'outil Zscaler Zero Trust Exchange™!
16 juin 2023
Le SASE en 7 min chrono : décrypter le SASE, sa fonction et ses usages. Pour y voir plus clair, nous vous proposons d’entrer en immersion dans les plateformes SASE des experts du secteur. Découvrons ensemble, la solution SASE proposée par Cato Networks. Joseph Fernando, SE Manager South EMEA, chez Cato Networks réalise une démonstration technique de la solution Cato SASE Cloud, au côté de Benoit Vérove, Partner et Lead Security Integration chez Almond.
12 juin 2023
Comme chaque année, SWIFT met à jour son standard CSCF et apporte son lot de nouveautés. Nous vous proposons ici quelques clés de lecture associées aux changements fondamentaux apportés par le CSCF v2023
5 juin 2023
Depuis 2021, tous les clients SWIFT se trouvent dans l’obligation de réaliser une évaluation de conformité dans le cadre du Customer Security Program (CSP) de SWIFT.
2 juin 2023
Décryptez la technologie SASE, au travers d'une démonstration technique de la solution Harmony Connect proposée par Check Point.

Jour 4 : Quel type d'attaque peut être qualifié de "triple extorsion" ?

  • Réponse 1 : Une attaque par ransomware
  • Réponse 2 : Une attaque par hameçonnage
  • Réponse 3 : Une attaque par déni de service
  • Réponse 4 : Une attaque par empoisonnement du cache DNS

Pour y répondre, rendez-vous sur notre page Linkedin ! A vos votes !

Jour 3 : Parmi ces quatre choix, lequel définit le mieux ce qu’est l’ISO 27001 ?

  • Réponse 1 : Un standard listant un ensemble d’exigences relatives à la sécurité des systèmes informatiques d’une entreprise
  • Réponse 2 : Une norme listant un ensemble de bonnes pratiques permettant d’optimiser la cybersécurité au sein d’une l’entreprise
  • Réponse 3 : Une norme listant un ensemble d’exigences relatives à la sécurité des informations nécessaires à une entreprise
  • Réponse 4 : Un standard listant un ensemble de méthodes pour optimiser les pratiques relatives à la sécurité des informations utilisées par une entreprise

Laïus explicatif : L’ISO 27001 est une norme internationale, dont les entreprises peuvent se prévaloir en se faisant certifier par un organisme indépendant ; elle contient un ensemble d’exigences que chaque entreprise, quels que soient sa taille et son domaine d’activité, doit impérativement appliquer pour obtenir sa certification ; ses exigences constituent donc le référentiel des audits de certification. A ne pas confondre avec la norme ISO 27002 qui est constituée de recommandations, basées sur les bonnes pratiques internationales, permettant d’aider une entreprise à appliquer les exigences de la norme ISO 27001 (donc norme qui ne donne pas lieu à une certification).

Les exigences de la norme ISO 27001 portent sur les informations nécessaires à une entreprise, recueillies et/ou traitées, quel que soit son support, électronique, papier et oral.

Les trois critères de sécurité retenus par la norme ISO 27001 sont la confidentialité, l’intégrité et la disponibilité des informations. Tout événement, qu’il soit d’origine environnementale ou humaine, intentionnelle ou involontaire, impactant un de ces trois critères, relève de cette norme.

Jour 2 : Qu'est-ce qu'une attaque DDoS?

  • Réponse 1 : Un logiciel espion qui enregistre ce qu’écrit un utilisateur
  • Réponse 2 : Un procédé visant à perturber l’accès à un site ou une application
  • Réponse 3 : Un virus informatique qui chiffre l’OS de votre ordinateur en échange d’une rançon
  • Réponse 4 : Une attaque Informatique visant à détermine votre mot de passe en testant un grand nombre de possibilité

Laïus explicatif : Une attaque DDoS ou « Distributed Denial of Service » est une attaque visant à rendre indisponible un site en le submergeant de requêtes provenant de multiples sources. Dans le cas où toutes les requêtes proviennent de la même source, on parle simplement d’attaque DoS (« Denial of Service »), ou « par déni de service ».

Jour 1 : Qu'est-ce que DORA?

  • Réponse 1 : Une jeune exploratrice bilingue
  • Réponse 2 : Un protocole de communication décrit dans le RFC 9364
  • Réponse 3 : Une organisation internationale de régulation de la cybersécurité
  • Réponse 4 : Un règlement qui s’applique aux entités financières et aux tiers prestataires de services informatiques

Laïus explicatif : DORA ou Digital Operational Resilience Act est un règlement européen publié en 2022 et en vigueur depuis janvier 2023. Le règlement traite de la résilience opérationnelle numérique du secteur financier. Il est applicable aux entités financières comme les banques, assurances, entreprises d’investissement, les établissements de paiement, etc. mais également aux tiers prestataires de services informatiques. Les entreprises concernées ont deux ans pour se mettre en conformité. Ils devront donc l’être en 2025 !

Le pilier relatif à la gestion des risques liés aux prestataires tiers de services TIC apparait comme l’un des plus difficile à mettre en place et à maintenir dans le temps pour les entreprises concernées. En quelques mots, les entreprises devront considérer ces risques comme faisant partie intégrante du risque lié aux technologies de l’information et de la communication (TIC) et notamment le risque de concentration, au niveau de l’entreprise mais également au niveau de l’ensemble du secteur financier européen. En effet, les autorités devront analyser ce risque en analysant les registres tenus et communiqués par les entreprises concernées par DORA et qui recense notamment la liste des tiers prestataires de services TIC avec lesquelles les entités financières conclues des contrats.

Pour plus d’informations, consultez notre avis d’expert sur le sujet : https://almond.eu/cybersecurity-insights/explorons-dora/