Dans le troisième épisode de notre série de podcasts « Continuous Compliance »,intitulé « L’éthique du rançon : conformité ou conséquences», Darren Thompson, directeur technique sur le terrain de Commvault pour la région EMEA, et Jakub Lewandowski, directeur juridique adjoint pour la région EMEA, abordent en détail la question cruciale des ransomwares avec Danielle Sheer, responsable de la confiance.
An interesting discussion on the ethical, legal, and practical issues around ransomware payments and the importance of a strong cyber-resilience strategy; read on for a recap of their discussion.
La cyberattaque par ransomware contre Oracle : un signal d’alarme
Danielle a évoqué leAttaque par ransomware contre Oracledepuis le début de l’année. Bien que le volume de données compromises reste encore à déterminer, à la date d’enregistrement du podcast, Oracle n’avait pas accepté de payer de rançon.
Lorsque Danielle l’a interrogé sur cette décision, Darren a répondu : “Le conseil que je donne aux gens, c’est qu’il faut avoir un plan suffisamment bon, [pour] ne jamais avoir à envisager de payer une rançon”.
Un plan de reprise d’activité solide peut apporter la confiance nécessaire pour rétablir les opérations sans succomber aux exigences des cybercriminels. La décision serait certainement plus facile à prendre si vous disposiez d’un plan de cyber-résilience bien préparé et testé.
Considérations éthiques relatives au paiement d’une rançon aux auteurs de ransomware
Le paiement d’une rançon est une question controversée, et le podcast a exploré les implications éthiques de cette décision. Bien qu’il puisse sembler être une solution rapide, le paiement d’une rançon ne garantit souvent pas la récupération des données et peut alimenter d’autres attaques.
Jakub a souligné que le paiement d’une rançon ne répond pas aux obligations réglementaires et peut entraîner des risques juridiques et de réputation supplémentaires. Les intervenants ont insisté sur le fait que les organisations devraient se concentrer sur l’élaboration et le test de plans de reprise afin de restaurer rapidement leurs opérations et de protéger leurs données.
Une approche multidisciplinaire face aux ransomwares
Pour lutter efficacement contre les attaques par ransomware, une approche pluridisciplinaire s’impose. Nos intervenants ont abordé plusieurs points à prendre en compte face à une demande de rançon :
- Technique : Les organisations doivent disposer de solides capacités de cyber-résilience, notamment la capacité de restaurer les données et de se remettre des attaques.
- Juridique : Les processus décisionnels doivent être dûment documentés afin de pouvoir servir de preuve auprès des autorités de régulation et en cas de litiges éventuels. Le respect des lois relatives, notamment, à la lutte contre le blanchiment d’argent, aux régimes de sanctions et à la conformité des exportations est essentiel.
- L’aspect économique : Il convient d’évaluer l’impact financier du paiement d’une rançon par rapport aux coûts liés à la continuité et à la reprise des activités.
- La réputation : L’atteinte potentielle à la réputation d’une organisation et l’impact sur la confiance des clients, en particulier si des données sensibles sont menacées, sont des préoccupations importantes.
Proposition du gouvernement britannique visant à interdire le paiement de rançons aux auteurs de logiciels de rançon
Le podcast a également abordé la proposition du gouvernement britannique visant à étendre l’interdiction des paiements aux auteurs de rançongiciels à l’ensemble du secteur public et aux opérateurs d’infrastructures nationales essentielles. Cette proposition est considérée comme une approche de premier plan à l’échelle mondiale pour dissuader les attaques par rançongiciel en coupant les sources de financement des criminels.
Toutefois, nos intervenants ont mis en évidence certaines conséquences involontaires potentielles d’une telle interdiction, notamment le fait de punir les victimes et l’absence de plans de cyber-résilience solides dans le secteur public. Si l’interdiction est mise en œuvre, les organisations doivent s’appuyer sur leurs plans d’intervention en cas d’incident et sur leurs capacités de cyber-résilience pour se rétablir, plutôt que de payer la rançon.
Une étude récente de Censuswide, commandée par Commvault, a montré que 94 % des personnes interrogées sont favorables à une interdiction dans le secteur public et 99 % dans le secteur privé. Toutefois, 75 % d’entre eux ont admis qu’ils paieraient quand même une rançon si cela permettait de sauver leur entreprise.
Élaborer une stratégie globale de cyber-résilience
Pour éviter de devoir payer des rançons, nous revenons toujours à la même idée : Se préparer avec une stratégie complète de cyber-résilience. Voici quelques conseils de nos intervenants :
- Comprenez vos données : identifiez les données essentielles à votre entreprise et découvrez comment les protéger.
- Définir la viabilité minimale : identifier et comprendre les données et les systèmes essentiels à la continuité de l’activité.
- Tester les plans de reprise : Testez et vérifiez régulièrement les plans de reprise afin d’être sûr qu’ils fonctionnent efficacement dans une situation réelle.
- Chiffrement des données : mettre en place un chiffrement solide des données afin de renforcer la sécurité.
- Procédures claires de gestion des incidents : définir et documenter des procédures claires pour faire face aux attaques par ransomware.
Payer ou ne pas payer, telle est la question. Les attaques par ransomware constituent une menace importante et croissante, et la décision de payer une rançon soulève de nombreux défis d’ordre éthique, juridique et pratique.
Nous espérons que vous ne vous retrouverez jamais dans une situation où vous devrez payer une rançon, mais si c’est le cas, ce podcast vous aidera à mieux comprendre les facteurs à prendre en compte.Regardez-le dès aujourd’huipour écouter nos experts discuter des dernières tendances et faire le premier pas vers la sécurisation de l’avenir de votre organisation.
