Si vous pensez qu’une attaque par ransomware est la pire chose qui puisse arriver à votre entreprise, je suis désolé de vous l’annoncer, mais ce n’est que le début.
Ne vous méprenez pas : une cyberattaque est une catastrophe. Mais après une telle attaque, vous êtes en quelque sorte une gazelle blessée autour de laquelle les prédateurs commencent à tourner. Même si vous n’êtes peut-être pas responsable de l’attaque elle-même, si vous gérez mal la reprise des activités, les exigences réglementaires et la communication, vous risquez de vous voir infliger des amendes et de faire l’objet de poursuites judiciaires. Et comme si cela ne suffisait pas : les attaquants, les concurrents, voire les acquéreurs potentiels et les activistes pourraient saisir cette occasion pour passer à l’attaque.
C’est pourquoi, en tant que directrice juridique et responsable de la conformité, ainsi que membre indépendante du conseil d’administration, je pense qu’il est indispensable de disposer d’un plan de protection des données éprouvé et bien rodé bien avant que vos données ne soient compromises. Pour vous aider dans cette démarche, voici les quatre étapes que je suivrais pour évaluer une attaque et y faire face :
#1 Sécurisez votre périmètre. Au premier signe d’une attaque, vous devez fermer la porte à double tour et endiguer la fuite. CrowdStrike a récemment estimé que la fenêtre d’attaque était de 84 minutes. C’est le temps dont vous disposez avant que les données ne soient corrompues, exfiltrées ou détruites. Vous n’avez pas le temps de tergiverser : dès l’instant où vous devez fermer tous les points d’entrée et d’accès à votre entreprise, une attaque par ransomware ne doit pas être l’occasion de réunir pour la première fois l’équipe interfonctionnelle composée des services informatiques, de la sécurité, du service juridique et autres. Vous devez fonctionner comme une machine bien huilée et agir rapidement. Entraînez-vous comme s’il s’agissait d’un exercice. Sachez de quels actifs vous disposez, à quoi ils donnent accès – et soyez prêt à tout mettre hors service.
#2 Évaluer les dégâts. Une fois le périmètre sécurisé, vous devez évaluer les dégâts. Quelles données ont été exposées ou volées ? Quels dommages ont été causés ? Quelle est votre obligation contractuelle en matière de maintenance et de protection des données des clients ou des utilisateurs ? Quel est l’impact de cette situation sur vous au regard des réglementations sectorielles, régionales, nationales et internationales ? De nouvelles obligations de divulgation se profilent à l’horizon et, comme l’a récemment souligné PwC dans son enquête « Global Digital Trust Insights 2023 », « seules 9 % des personnes interrogées se disent très confiantes dans leur capacité à respecter efficacement toutes les obligations de divulgation ». Plus tôt votre équipe s’engagera dans le processus de planification, d’évaluation et de remédiation, mieux ce sera.
#3 Avez-vous été victime d’une attaque ou avez-vous fait preuve de négligence ? Avez-vous laissé le périmètre non sécurisé ? Vos contrôles d’accès ou de sécurité étaient-ils insuffisants ? Disposez-vous d’un plan de protection des données ? À quand remonte votre dernier exercice de simulation ou vos derniers tests système ? Des contrôles appropriés étaient-ils en place pour prévenir (ou détecter rapidement) l’attaque ? Avez-vous mis en place une formation de sensibilisation à la cybersécurité pour vos employés afin qu’ils apprennent à identifier les tentatives de hameçonnage ? Les clients s’attendent à ce que vous protégiez leurs données lorsqu’ils vous les confient. Disposer d’un plan ou d’une solution de protection des données fait partie des coûts inhérents à l’activité. Sans cela, vous n’êtes pas une victime.
N° 4 : Communiquez. Communiquez. Communiquez. Faites preuve de transparence envers vos principales parties prenantes. Le moment choisi pour divulguer l’information peut être un équilibre délicat, car vous êtes encore en train d’évaluer l’impact, d’identifier la cause première et de mettre en place des mesures correctives. Il va de soi que votre PDG et les membres de la direction doivent être informés dès que possible, et que vous devrez alerter votre conseil d’administration. Mais les personnes avec lesquelles vous devez avant tout communiquer sont celles qui sont touchées par la violation, telles que vos clients, vos partenaires ou vos employés. Vous devez les informer dès que possible.
En résumé : les pirates se profilent à l’horizon, ils gagnent chaque jour en sophistication et le temps ne joue pas en votre faveur. Ces mesures vous aideront à détecter plus rapidement une attaque et à vous en remettre plus vite, tout en vous donnant l’assurance d’avoir pris des dispositions responsables et éclairées pour protéger vos données.
