Partout dans le monde, les organisations ont aligné leurs stratégies de sécurité sur le cadre de cybersécurité du NIST (CSF), car celui-ci offre un bon moyen de décomposer les besoins tactiques des équipes de cybersécurité modernes. La dernière version, le CSF 2.0, a introduit une catégorie générale qui avait été cruellement négligée : la gouvernance.
Il est important de noter que le CSF n’est pas nécessairement conçu comme une approche de type « commencez par ici, terminez par là ». L’objectif est que les organisations investissent dans les personnes, les processus et les technologies à tous les niveaux du référentiel, de manière équilibrée et en tenant compte des risques opérationnels.
Les axes prioritaires du CCA
L’« identification » est un élément essentiel, car il est impossible de protéger vos actifs ou de hiérarchiser vos efforts si vous ne savez pas de quoi vous disposez. Qu’est-ce qui est essentiel ? Qu’est-ce qui est soumis à une réglementation ? Qu’est-ce qui est nécessaire au bon fonctionnement de notre entreprise et à la génération de revenus ?
La plupart des équipes ont du mal à maîtriser cet aspect, notamment en raison de la généralisation de l’informatique décentralisée et de l’informatique « fantôme ». Outre le CSF, la plupart des autres cadres de cybersécurité et directives réglementaires exigent que l’identification et l’inventaire des systèmes et des données constituent une étape fondamentale.
La « protection » désigne l’ensemble des technologies mises en œuvre pour empêcher d’emblée les attaquants d’accéder aux données. Cela couvre toute la gamme des technologies, des scanners de vulnérabilités à la gestion des identités et des accès, en passant par les antivirus et les logiciels anti-malware.
Ces outils doivent être correctement configurés et, surtout, déployés sur l’ensemble des appareils et des systèmes de l’entreprise. Or, ce n’est pas toujours le cas. Il arrive parfois que des achats soient effectués avec des cartes d’achat d’entreprise, sans passer par le service informatique. Parfois aussi, les systèmes ne se mettent tout simplement pas à jour correctement et fonctionnent donc avec des logiciels obsolètes et vulnérables.
La « détection » consiste à mettre en place des pièges et à s’assurer que les alertes se déclenchent lorsque des événements indiquent une situation inhabituelle. Malheureusement, de nombreuses organisations disposent de dizaines d’outils qui génèrent des millions d’alertes pour détecter les acteurs malveillants qui s’infiltrent dans leurs systèmes.
Cet afflux massif d’alertes, qui peuvent ou non correspondre à un véritable problème, peut entraîner une « fatigue des alertes » : on passe alors un temps considérable à rechercher des anomalies potentielles pour finalement se rendre compte qu’il s’agissait de faux positifs. Cela détourne également l’attention d’autres alertes, qui pourraient constituer de réelles menaces.
Viennent ensuite les deux « R » du cadre : « Réagir » et « Récupérer ». C’est dans ces deux domaines de la cybersécurité que votre capacité à faire face sera mise à l’épreuve. Les organisations feront l’objet de violations. La question n’est pas de savoir « si » cela arrivera, mais « quand » et « quelle en sera l’ampleur ? »
Pour exceller en matière de « réactivité », les équipes doivent être sur la même longueur d’onde à plusieurs niveaux : un bon leadership, une stratégie et des tactiques solides, une documentation et une planification de qualité, et surtout, de l’entraînement.
En matière de gestion des incidents, vous ne serez pas à la hauteur de la situation, mais vous vous limiterez plutôt au niveau de votre préparation. Sans entraînement ni tests des procédures que vous avez mises en place, vous vous exposez à un échec potentiel, ou tout au moins à un stress plus important que nécessaire lorsqu’un incident se produira réellement.
La « restauration » est le moment où les choses sérieuses commencent. Après une faille inévitable, il incombe à tous les membres des équipes de sécurité et informatiques de remettre les systèmes et les environnements en état de marche. Mais pour y parvenir, il faut prendre du recul et réfléchir à la manière de procéder en toute sécurité, efficacement et sans restaurer les éléments malveillants ni tout ce qu’ils ont corrompu.
Pour être efficaces, tous les éléments doivent faire l’objet du même niveau de rigueur et d’attention. Malheureusement, ce n’est pas toujours le cas. Historiquement, les organisations ont concentré l’essentiel de leurs efforts et de leurs investissements sur la prévention des incidents cybernétiques plutôt que sur la mise en place de technologies, de processus et de procédures strictes à respecter lorsqu’un incident de ce type se produit.
Les données étant dispersées dans des environnements hybrides, la prévention ne suffit plus. Les entreprises de toutes tailles recherchent la tranquillité d’esprit dans un monde hybride chaotique. Les responsables de la sécurité et les RSSI doivent adapter leurs stratégies pour garantir une Recovery sans heurts et la cyber-résilience, et mettre en œuvre des pratiques, des processus et des technologies axés sur la propreté et la récupérabilité des données.
Les ransomwares changent la donne en matière de Recovery. Face à la multiplication des cybermenaces, les responsables de la sécurité s’intéressent aux environnements de Recovery isolés (IRE), qui constituent des emplacements sains et non infectés vers lesquels effectuer la Recovery. Cependant, compte tenu de la complexité des attaques actuelles, ces IRE doivent être bien plus qu’un simple espace sécurisé. Ils font partie intégrante du processus de Recovery, mais ne le résument pas à eux seuls.
Commvault® Cloud Cleanroom™ Recovery est une solution complète de tests et de basculement, offrant un nouvel environnement d’exécution isolé (IRE) sécurisé qui facilite (1) le test des plans de reprise après incident informatique, (2) la réalisation d’analyses forensiques et (3) la continuité d’activité en cas de violation de sécurité.
Passer des mesures préventives aux mesures d’intervention et de Recovery
Que l’on considère le CSF comme une liste ou non, les organisations ont, pour le meilleur ou pour le pire, commencé par le haut ou par la droite. Le problème réside dans la nature séquentielle de ce travail. La plupart des organisations n’atteignent jamais les étapes « Réagir » ou « Rétablir », car elles ont consacré tout leur temps et tout leur budget aux étapes « Protéger » et « Détecter ».
Le fait que les organisations n’aient pas réparti leur budget et leurs ressources sur tous les volets du CSF a permis aux attaquants de conserver l’avantage. Lorsqu’ils parviennent à franchir vos défenses et à échapper à votre détection, la réponse aux incidents d’une équipe de cybersécurité classique peut s’avérer très efficace pour enquêter sur la violation, mais peu efficace pour y remédier.
On ne peut pas toujours compter sur les sauvegardes effectuées par l’équipe informatique
La durée moyenne de présence des attaquants au sein des organisations s’élevant à 204 jours, il y a de fortes chances qu’ils aient déjà repéré, infiltré et peut-être même corrompu vos sauvegardes. Nous aborderons ce sujet dans un prochain article de blog, mais cela mérite absolument d’être souligné ici. En cas de violation de sécurité, non seulement vos données de production risquent d’être altérées, mais de plus en plus d’acteurs malveillants cherchent activement à saboter et à compromettre certaines des mesures que vous avez mises en place pour garantir la restauration de copies fiables de vos données.
On ne peut pas se contenter de bloquer une adresse IP
De nombreux outils réagissent aux intrusions en bloquant des adresses IP afin d’expulser les attaquants du réseau. Cette méthode ne fonctionne plus dans le cloud. Les attaquants ont en effet trouvé ou acheté des identifiants légitimes et/ou ont infiltré vos systèmes de gestion des identités et des accès. Ils sont donc désormais devenus des utilisateurs légitimes.
En un mot, on ne peut se fier à rien
Dans un monde où l’expression « zero trust » est souvent brandie à la suite d’une faille de sécurité, il n’y a en réalité aucune confiance, et il ne devrait d’ailleurs pas y en avoir. Les données doivent être minutieusement examinées et vérifiées afin de détecter toute infection. L’infrastructure doit être repensée pour garantir que seules les personnes autorisées y aient accès.
Si vous cherchez des moyens d’améliorer la cyber-résilience de votre entreprise, n’hésitez pas à contacter notre équipe commerciale chez Commvault pour un entretien. Nous aborderons ensemble tous les éléments qui constituent une bonne stratégie de Recovery après incident informatique, afin de l’adapter sur mesure à votre entreprise.
