Se préparer à réagir en cas d’incident

Le comportement humain détermine souvent l’issue des situations de crise. Préparer les équipes à faire face au stress, à l’incertitude et à la prise de décision sous pression permet de réduire considérablement les risques. 

Le biais d’optimisme conduit de nombreuses équipes à penser que les attaques sont peu probables. En replaçant le risque cyber dans le contexte de l’activité et de la mission, on favorise la mise en place de mesures concrètes. 

Une culture d’entreprise solide favorise la confiance, une communication ouverte et une collaboration plus rapide, ce qui contribue à réduire la confusion et les angles morts en cas d’incident. 

Les cyberattaques endommagent souvent les systèmes et les identifiants. La reconstruction à partir de bases de référence vérifiées et saines permet d’éviter toute réinfection et renforce la confiance dans le processus de Recovery. 

Les exercices et les simulations permettent de développer la mémoire musculaire, de mettre en évidence les lacunes cachées et de réduire considérablement le temps de réaction lors d’attaques réelles. 

Veuillez regarder la vidéoicipour consulter la transcription avec les horodatages

00 h 08 – 00 h 10

Bienvenue à tous, merci encore.

00 h 10 – 00 h 11

Vous êtes vraiment nombreux.

00 h 11 – 00 h 14

Première session en petits groupes, après la séance plénière.

00 h 14 – 00 h 19

Euh… Vous êtes ici, au bon endroit, pour vous équiper en vue de la gestion des incidents.

00 h 19 – 00 h 24

Nous allons aborder les personnes, les processus, les outils et la technologie.

00 h 24 – 00 h 26

Et je serai votre animateur, Chris Mierzwa.

00 h 26 – 00 h 31

Je suis directeur senior chez Commvault, en charge de nos programmes mondiaux de résilience.

00 h 31 – 00 h 41

Et bien sûr, je ne suis pas tout à fait impartial puisqu’il s’agit de notre table ronde, mais c’est une session sans précédent de six heures sans pause toilettes.

00 h 41 – 00 h 46

Et je dois vous avouer que nous nous sommes demandé si nous devions le faire ou non.

00 h 46 – 00 h 49

C’est peut-être contraire au règlement, mais on va tenter le coup.

00 h 49 – 00 h 49

Non, je plaisante.

00 h 49 – 00 h 53

Une heure à noter dans vos agendas, mais c’est l’une des rares.

00 h 53 – 00 h 53

Alors merci.

00 h 53 – 00 h 58

Je sais que rester ici pendant 60 minutes représente un engagement important, mais je vous promets que cela en vaudra la peine.

01 h 00 – 01 h 08

Nous avons réuni trois personnes exceptionnelles, et je vais vous les présenter brièvement, car je peux le faire avec moins de modestie qu’elles.

01 h 08 – 01 h 14

Mais je tiens à ce que vous preniez conscience, au cours de l’heure qui va suivre, du niveau de talent qui règne ici.

01 h 14 – 01 h 16

Et j’espère que vous partagez notre enthousiasme.

01 h 16 – 01 h 27

Nous essayons d’aborder et de faire le lien entre trois domaines distincts qui, à ma connaissance du moins, n’ont peut-être pas encore été abordés lorsqu’il s’agit de déterminer comment nous devons réfléchir et nous préparer

01 h 27 – 01 h 30

à la gestion des incidents d’une manière nouvelle et originale.

01 h 30 – 01 h 32

Et c’est donc ce que nous espérons aborder.

01 h 33 – 01 h 36

Sans plus attendre, je vais commencer par la personne à ma gauche.

01 h 36 – 01 h 36

Dr

01 h 36 – 01 h 38

Jessica Barker.

01 h 38 – 01 h 40

J’ai eu l’occasion de faire un peu votre connaissance au cours des deux derniers mois.

01 h 40 – 01 h 44

Euh… C’est unique.

01 h 44 – 01 h 51

Elle nous apporte à la fois une solide expertise en cybersécurité et une approche centrée sur l’humain.

01 h 51 – 01 h 59

J’espère donc que nous avons tous quelque chose d’unique à offrir, mais je peux vous dire que vous n’avez probablement jamais entendu parler de ce qu’elle a accompli auparavant. Voici donc une petite présentation supplémentaire.

01 h 59 – 02 h 03

Deux livres, des conférences à l’échelle mondiale.

02 h 03 – 02 h 15

Elle passe son temps dans les avions, aux quatre coins du monde, à discuter avec des gens, à échanger avec des entreprises comme la vôtre sur la manière de préparer les collaborateurs à des situations auxquelles on n’est généralement pas…

02 h 15 – 02 h 15

.

02 h 15 – 02 h 18

Comment gèrent-ils concrètement ces situations, n’est-ce pas ?

02 h 18 – 02 h 20

Et nous allons approfondir le sujet et nous y plonger.

02 h 20 – 02 h 21

Merci d’être là.

02 h 21 – 02 h 22

Oui, tout à fait.

02 h 22 – 02 h 23

Très bien.

02 h 23 – 02 h 24

Encore un.

02 h 24 – 02 h 26

Passons à Ricky Mayer.

02 h 26 – 02 h 38

Euh, Ricky, tu viens de rejoindre Commvault, bienvenue parmi nous, n’est-ce pas ? Ça fait quelques mois que tu es là, tu as plus de 25 ans d’expérience dans l’informatique en tant que cadre supérieur, et tu es désormais notre vice-président de…

02 h 38 – 02 h 42

services mondiaux et professionnels chez Commvault.

02 h 42 – 02 h 43

Mais…

02 h 43 – 02 h 54

une longue carrière chez IBM, Kyndral, VMware, et vous savez, quand on travaille dans les services professionnels, ce n’est pas quand tout va bien qu’on est mis à l’épreuve.

02 h 54 – 02 h 56

C’est lorsque les défis se présentent que l’on est mis à l’épreuve.

02 h 56 – 03 h 02

Et il est évident que vous en avez traversé beaucoup, et qu’il va aujourd’hui nous faire profiter de toute cette magie ; alors merci d’être parmi nous.

03 h 02 – 03 h 04

Bon, ce grand bonhomme.

03 h 04 – 03 h 05

Au fait,

03 h 05 – 03 h 11

Originaire du Royaume-Uni, tu vis désormais aux États-Unis, à Dallas, près de Fort Worth, c’est bien ça ?

03 h 11 – 03 h 15

Zak vient de très loin, d’une petite ville appelée Le Cap, c’est ça ?

03 h 15 – 03 h 18

C’était donc un petit vol.

03 h 18 – 03 h 19

Un petit village.

03 h 19 – 03 h 20

Oui, un petit village.

03 h 21 – 03 h 24

Zak et moi, on travaille pas mal ensemble.

03 h 24 – 03 h 27

Euh… C’est une grande chance de l’avoir parmi nous.

03 h 27 – 03 h 34

Son parcours, très solide et technique sur le terrain… ah, c’est un véritable talent technique.

03 h 34 – 03 h 40

Au cours de ma carrière, j’ai eu le privilège de travailler avec de nombreuses personnes dotées d’une immense perspicacité technique.

03 h 41 – 03 h 54

Je ne veux pas en faire tout un plat, mais Zach est clairement au sommet de son art, et il va nous apporter aujourd’hui, vous savez, un véritable point de vue de terrain et nous expliquer comment aborder cela d’un

03 h 54 – 03 h 54

outils.

03 h 54 – 03 h 57

J’espère donc avoir rendu justice à tout cela.

03 h 57 – 03 h 59

Vous allez découvrir la magie ici aujourd’hui.

03 h 59 – 04 h 03

Cela dit, j’aimerais commencer par toi, Jessica.

04 h 03 – 04 h 11

Donc, pendant qu’on se préparait, tu as utilisé un terme qui mérite quelques explications, à savoir :

04 h 11 – 04 h 13

le biais d’optimisme.

04 h 13 – 04 h 18

Si tu pouvais nous expliquer ce concept, cela nous donnerait un excellent point de départ pour la séance.

04 h 18 – 04 h 19

Bien sûr.

04 h 19 – 04 h 31

Il y a donc une chose que je trouve vraiment utile en matière de cybersécurité : comme je m’intéresse toujours à l’aspect humain, je pense que nous avons énormément à apprendre des neurosciences, de la psychologie et de la sociologie.

04 h 31 – 04 h 41

de ces disciplines qui permettent de comprendre le comportement humain et les modes de pensée, ce qui nous pousse à agir et ce qui nous amène à faire ce que nous faisons. Parmi

04 h 41 – 04 h 48

Parmi les concepts et les nombreuses recherches en neurosciences, l’un des thèmes centraux est celui du biais d’optimisme.

04 h 48 – 04 h 55

Des études montrent que 80 % des personnes dans le monde ont naturellement tendance à être optimistes.

04 h 55 – 05 h 04

Et ce, quelles que soient notre origine, notre sexe, notre âge, notre appartenance ethnique ou notre milieu socio-économique.

05 h 06 – 05 h 10

Et pourtant, quand on observe le monde, ce vaste monde, on a l’impression que les choses vont de mal en pis.

05 h 10 – 05 h 17

Mais du point de vue de l’individu, de la famille ou de l’équipe, nous avons tendance à voir les choses sous un jour optimiste.

05 h 17 – 05 h 21

Nous pensons surtout que rien de grave ne nous arrivera.

05 h 21 – 05 h 26

Et les recherches… Il y a eu tellement de recherches menées sur ce sujet, dont beaucoup ont été menées à Londres par le Dr.

05 h 26 – 05 h 29

Tali Sharot ; si vous souhaitez vous y plonger, je vous le recommande vivement.

05 h 30 – 05 h 35

Ces recherches portent généralement sur des sujets tels que la santé ou le divorce,

05 h 36 – 05 h 38

ne pensent pas qu’il leur arrivera quelque chose de grave.

05 h 38 – 05 h 42

Je pense que cela s’applique tout à fait à la cybersécurité.

05 h 42 – 05 h 54

Quand j’ai commencé à m’y intéresser, je me suis dit que c’était pour ça que, lorsque nous présentons au conseil d’administration toutes les statistiques montrant qu’un incident est susceptible de se produire à un moment ou à un autre, pourquoi…

05 h 54 – 05 h 55

ils peuvent faire comme si de rien n’était.

05 h 55 – 05 h 58

Parce qu’ils pensent que ça n’arrive qu’aux autres.

05 h 58 – 05 h 59

Mais ça ne nous arrivera pas.

05 h 59 – 06 h 06

Et je pense que cela a un impact considérable sur tous les aspects de la cybersécurité.

06 h 06 – 06 h 08

notamment la gestion des incidents.

06 h 08 – 06 h 15

Et j’imagine que ce biais s’accentue vraiment lorsque des événements, des événements fâcheux, se produisent.

06 h 15 – 06 h 15

Oui.

06 h 15 – 06 h 19

Parce qu’ils se disent : « Ça va à l’encontre de tout ce que j’aurais pu imaginer. »

06 h 19 – 06 h 20

Oui, c’est ça.

06 h 20 – 06 h 30

Cela sape ce genre de mémoire musculaire, cette résilience, cette résilience individuelle, collective et même organisationnelle, parce qu’on se dit : « Eh bien, on ne pensait pas que ça allait… »

06 h 30 – 06 h 30

arriver.

06 h 30 – 06 h 35

Il y a donc un certain choc, et vous savez, les outils, les processus et les…

06 h 35 – 06 h 41

Les mesures relatives au facteur humain dans la gestion des incidents ne sont tout simplement pas en place, car on ne s’y attendait pas.

06 h 41 – 06 h 42

Je vois.

06 h 42 – 06 h 43

Juste une petite question, par simple curiosité.

06 h 43 – 06 h 48

On connaît sans doute tous, dans notre entourage, des gens qui voient le verre à moitié plein ou à moitié vide.

06 h 48 – 06 h 54

Pour reprendre vos chiffres, 80 % des gens, à cet égard, voient le verre à moitié plein.

06 h 54 – 06 h 55

Oui.

06 h 55 – 06 h 57

% à fond, pour reprendre l’analogie.

06 h 57 – 07 h 05

Mais on rencontre des gens, et certains d’entre eux ne fonctionnent qu’à moins de la moitié de leur potentiel, mais on se dit en soi que quand ils y réfléchissent, c’est…

07 h 05 – 07 h 07

là où ils en sont encore à ce niveau de 80.

07 h 07 – 07 h 15

Et puis il y a aussi cette différence entre un certain cynisme, peut-être répandu partout dans le monde, et le fait de réfléchir à la façon dont les choses vont se passer pour vous.

07 h 15 – 07 h 17

m

07 h 17 – 07 h 21

Et en interne, il faut connaître ses attentes, et l’optimisme est une bonne chose.

07 h 21 – 07 h 25

Je ne dis pas qu’il faille essayer d’éliminer l’optimisme de notre conception.

07 h 25 – 07 h 31

Je suis moi-même une personne optimiste et je reconnais souvent que le biais d’optimisme est à l’œuvre chez moi.

07 h 31 – 07 h 32

L’optimisme, c’est…

07 h 32 – 07 h 41

formidable. Nous ne serions pas arrivés là où nous en sommes en tant qu’êtres humains si nous n’étions pas optimistes et, franchement, nous aurions du mal à passer la journée si nous n’avions pas un peu d’

07 h 41 – 07 h 46

d’optimisme. Donc, au lieu d’essayer de, euh, l’imaginer…

07 h 47 – 07 h 51

C’est une chose de le reconnaître, mais c’en est une autre d’en tirer parti quand on le peut.

07 h 52 – 08 h 02

Donc, plutôt que, vous savez, de reprendre ce dicton du genre « la question n’est pas de savoir si, mais quand », et d’essayer d’effrayer les gens, on peut dire : « Vous savez quoi ? Un incident risque de se produire, mais on peut être… »

08 h 02 – 08 h 03

préparés.

08 h 03 – 08 h 05

Il y a des choses que nous pouvons faire pour avoir, euh…

08 h 05 – 08 h 12

mettre en place des outils et des procédures ; plus nous nous y préparons, plus nous serons résilients.

08 h 12 – 08 h 17

Il s’agit donc d’adopter une vision optimiste face à une situation difficile.

08 h 18 – 08 h 26

Et quand il s’agit de se battre pour les personnes qui font partie de ces 20 %, à quel point est-ce difficile ?

08 h 26 – 08 h 31

Ou dans quelle mesure sont-ils plus ou moins préparés, étant donné qu’ils ont un préjugé inverse ?

08 h 31 – 08 h 35

Avoir un préjugé contre l’optimisme peut alors représenter un défi en soi.

08 h 35 – 08 h 41

On peut se dire : « De toute façon, le pire finira toujours par arriver, alors à quoi bon faire des efforts ? »

08 h 41 – 08 h 48

Du coup, ce genre de message sur la nécessité d’être prêt, aussi drôle que cela puisse paraître, s’applique en fait aux deux camps, ce qui est plutôt utile.

08 h 48 – 08 h 53

Oui, Ricky, je suis sûr que c’est pareil pour les grands projets quand ils tournent mal, n’est-ce pas ?

08 h 53 – 08 h 55

Où as-tu vu cela se produire ?

08 h 55 – 09 h 09

En fait, en période de crise, on n’est souvent pas à la hauteur de nos plans de relations avec les investisseurs ni d’aucun autre plan. On en revient souvent à nos pratiques habituelles, n’est-ce pas ? Les comportements bien rodés l’emportent souvent sur…

09 h 09 – 09 h 18

les bonnes intentions. La gestion des incidents, ou comme je l’appelle, la résilience face aux incidents, c’est justement ça : c’est un objectif

09 h 19 – 09 h 25

mais sans entraînement ni répétition des gestes, sans ce modèle mental et cette mémoire musculaire.

09 h 27 – 09 h 35

Et si votre première catastrophe servait de prétexte à votre premier exercice, cela ne déboucherait pas sur de la résilience, mais sur une mauvaise presse.

09 h 36 – 09 h 50

Donc, pour faire écho à ce qu’a dit Jessica au sujet du biais d’optimisme, nous avons souvent tendance à oublier qu’en tant qu’êtres humains, nous devons ensuite examiner les processus et les outils à notre disposition, et les mettre

09 h 50 – 09 h 54

en un tout cohérent dans ce monde extrêmement complexe dans lequel nous vivons aujourd’hui.

09 h 55 – 10 h 01

Et nos principaux intervenants nous ont expliqué ce matin que la technologie, le contexte, tout ce qui nous entoure, devient de plus en plus complexe.

10 h 02 – 10 h 06

Et dans cet environnement diversifié et complexe,

10 h 06 – 10 h 17

Le fait d’avoir, d’une part, un biais d’optimisme et, d’autre part, cette fausse impression de sécurité – nous pensons avoir des plans, mais nous ne les avons pas vraiment mis au point ni testés – ne fait que nous exposer à davantage de

10 h 17 – 10 h 19

d’échecs et de succès.

10 h 20 – 10 h 30

Ça me fait penser à quelque chose : je suis sûr que si on faisait un vote à main levée ou si on discutait avec vous tous, beaucoup d’entre vous diraient : « Écoutez, je pourrais être aussi optimiste que je le souhaite, et je veux l’être. »

10 h 30 – 10 h 34

On est prêts, mais on n’a pas le budget, on n’a pas le temps, on n’a pas les ressources humaines nécessaires.

10 h 34 – 10 h 36

Je suppose donc que lorsque ces

10 h 36 – 10 h 41

Si certaines forces s’opposent à ce biais d’optimisme, ce sera aussi une force avec laquelle il faudra compter, n’est-ce pas ?

10 h 41 – 10 h 47

Du genre : « J’aimerais bien faire ça, mais l’institution pour laquelle je travaille n’en a pas les moyens, elle ne peut pas le faire. »

10 h 47 – 10 h 52

On pourrait peut-être approfondir un peu ce point au fur et à mesure, parce que tu le constates sans doute toi aussi, Zak, n’est-ce pas ?

10 h 52 – 10 h 58

Je veux dire, quand des événements difficiles surviennent, qu’est-ce qui arrive à ces personnes ?

10 h 58 – 11 h 04

Comment réagissent-ils au cœur de l’action, sous haute pression, pour ainsi dire ?

11 h 05 – 11 h 08

Parce qu’il faut comprendre que tout le monde reste humain.

11 h 08 – 11 h 11

Peu importe le nombre de fois où l’on s’est entraîné.

11 h 11 – 11 h 19

Même si l’entraînement et la pratique sont d’une grande aide, c’est avant tout ainsi que l’on développe sa résilience.

11 h 19 – 11 h 23

Mais les gens se cachent quand des incidents se produisent.

11 h 23 – 11 h 24

Ils vont se cacher.

11 h 24 – 11 h 27

Ils essaient d’effacer leurs traces.

11 h 28 – 11 h 33

et se demandent si ce n’était pas de leur faute, puis se mettent à se rejeter la responsabilité les uns sur les autres, et ainsi de suite.

11 h 33 – 11 h 40

Et cela tient essentiellement au fait que, dès le départ, les tests n’ont pas été suffisants.

11 h 41 – 11 h 46

Un plan de cyber-résilience ou de Recovery après sinistre informatique : vous disposez d’un plan, mais celui-ci n’a pas été suffisamment testé.

11 h 46 – 11 h 56

Et dès que vous avez assimilé cela, cela devient un réflexe et chacun sait exactement ce qu’il doit faire ensuite le moment venu,

11 h 56 – 12 h 00

alors ce genre de comportement disparaît.

12 h 00 – 12 h 06

Ce qui est d’ailleurs intéressant, car j’ai pris connaissance de vos statistiques et j’aurais aimé pouvoir vous présenter les miennes.

12 h 07 – 12 h 10

Mais quelle est la place de l’assurance dans tout cela ?

12 h 10 – 12 h 17

Ah, c’est vrai, comme vous l’avez dit, on ne veut pas payer d’assurance, n’est-ce pas ?

12 h 17 – 12 h 20

On en est à ce genre de dépenses.

12 h 20 – 12 h 23

Mais comment cela s’inscrit-il dans le biais d’optimisme ?

12 h 23 – 12 h 25

Parce que, euh…

12 h 25 – 12 h 28

Parce que nous continuons à payer notre assurance auto et notre assurance maladie.

12 h 29 – 12 h 30

C’est un point intéressant.

12 h 30 – 12 h 36

Quand on pense à l’assurance maladie ou à l’assurance vie, comment les conçoit-on ?

12 h 36 – 12 h 42

Elles ne sont pas présentées comme des assurances maladie ou des assurances décès.

12 h 42 – 12 h 49

Une fois encore, nous pouvons tirer des enseignements de ces secteurs, et du fait que cela ne s’est pas produit par hasard.

12 h 49 – 12 h 52

Il s’agit là d’un travail de cadrage.

12 h 52 – 12 h 54

Pour rendre le message plus attrayant aux yeux du public.

12 h 54 – 12 h 56

Au lieu de s’occuper de sa famille.

12 h 56 – 12 h 56

Exactement.

12 h 56 – 12 h 57

Peindre pour l’avenir.

12 h 57 – 12 h 58

C’est ça.

12 h 58 – 12 h 58

Oui.

12 h 58 – 12 h 59

Tu peux penser aux publicités que tu vois.

12 h 59 – 13 h 02

Vous pouvez réfléchir à la manière dont tout cela est présenté.

13 h 02 – 13 h 07

C’est une façon très optimiste et positive de présenter des choses qui sont, par nature, négatives.

13 h 07 – 13 h 08

Oui.

13 h 08 – 13 h 16

Je voudrais juste faire une petite pause pour vous dire que la climatisation a été mise en marche ici, car on perdait des livres à une vitesse folle.

13 h 16 – 13 h 17

Je peux en parler en mon nom propre.

13 h 17 – 13 h 20

C’était incroyable, quel miracle vient de se produire !

13 h 20 – 13 h 21

D’accord

13 h 23 – 13 h 28

Tu te rends compte, State Farm, tu devrais souscrire une assurance décès ?

13 h 28 – 13 h 29

Comme un bon voisin.

13 h 29 – 13 h 36

Mon Dieu, ça roule tout seul sur la langue.

13 h 36 – 13 h 39

Mais dans le domaine de la cybersécurité, on présente souvent les choses différemment.

13 h 39 – 13 h 39

C’est vrai.

13 h 39 – 13 h 40

Oui.

13 h 40 – 13 h 44

On ne s’inspire pas d’un modèle bien établi.

13 h 44 – 13 h 44

Oui.

13 h 44 – 13 h 46

Et ce n’est pas un secret pour moi.

13 h 46 – 13 h 52

Beaucoup de ce que j’apporte à la cybersécurité, je ne l’invente pas et je ne réinvente pas la roue.

13 h 53 – 14 h 04

Je m’appuie sur des connaissances existantes, vous savez, des travaux de recherche déjà publiés auxquels tout le monde peut avoir accès, même dans des domaines autres que la cybersécurité, et je les adapte à ce contexte.

14 h 04 – 14 h 09

Et nous pourrions faire d’énormes progrès si nous nous intéressions davantage à ces domaines.

14 h 09 – 14 h 14

Et je pense que nous y parviendrons, mais qu’il y a tant à apprendre des neurosciences, de la psychologie, de la sociologie, du marketing…

14 h 14 – 14 h 23

Donc, dans cette optique, je ne vous demande pas de tout dévoiler, car je sais que cela vous rapporte une petite fortune, mais s’il y avait quelques…

14 h 23 – 14 h 34

Points à retenir : si vous deviez résumer l’essentiel lors d’une intervention, quelles sont les quelques idées clés que vous aimeriez que vos collaborateurs retiennent lorsque vous menez l’une de vos

14 h 34 – 14 h 35

Ces interventions ?

14 h 35 – 14 h 46

Oui, cela varie, mais en ce qui concerne cette conversation en particulier, je pense qu’il faut retenir que, dans le domaine de la cybersécurité, on joue souvent sur la peur, n’est-ce pas, pour essayer de faire passer notre message.

14 h 46 – 14 h 50

Et je comprends que les gens pensent qu’on peut faire peur.

14 h 51 – 14 h 53

que quelqu’un adopte un certain comportement.

14 h 53 – 14 h 55

Ça ne marche pas vraiment comme ça.

14 h 55 – 14 h 58

Utiliser la peur pour tenter de modifier un comportement, c’est très compliqué.

14 h 58 – 15 h 01

Et nous…

15 h 01 – 15 h 04

Nous l’utilisons comme une sorte de marteau.

15 h 04 – 15 h 09

Ce sur quoi nous pouvons plutôt nous pencher, c’est la manière dont nous pouvons formuler notre message.

15 h 09 – 15 h 12

Nous pouvons envisager de tirer parti des biais humains.

15 h 12 – 15 h 14

Car ces biais existent bel et bien.

15 h 14 – 15 h 16

Alors, comment pouvons-nous formuler notre message ?

15 h 16 – 15 h 28

Par exemple, si nous voulons qu’un conseil d’administration ou une équipe s’entraîne à la gestion des incidents, plutôt que d’essayer de leur faire peur en leur faisant croire que c’est important, nous pouvons leur présenter les choses de manière réaliste.

15 h 28 – 15 h 29

de la menace.

15 h 29 – 15 h 31

Mais si nous nous entraînons, cela nous rend plus

15 h 31 – 15 h 33

résilients.

15 h 33 – 15 h 35

Cette résilience est le fruit de la répétition.

15 h 35 – 15 h 37

Réfléchissons donc à cette approche plus optimiste.

15 h 37 – 15 h 42

D’accord, et nous en avons un peu parlé, si je me souviens bien, quand nous étions à Las Vegas.

15 h 43 – 15 h 51

Tu fais quelque chose de tellement unique que si quelqu’un se dit : « Waouh, il faut que je fasse appel à Jessica ou à quelqu’un d’autre. »

15 h 51 – 15 h 53

Comment présentes-tu ça en interne ?

15 h 53 – 15 h 55

C’est un concept vraiment unique.

15 h 55 – 16 h 02

Ça ne fait pas partie de… Tout le monde ici se dit sûrement : « Waouh, je ne savais pas que quelqu’un faisait ça », n’est-ce pas ?

16 h 02 – 16 h 12

Lorsque l’on découvre des méthodes efficaces pour vendre ses services et se faire entendre par la direction, quels sont les moyens d’y parvenir ?

16 h 12 – 16 h 16

Oui, ça fait 15 ans que je fais ça.

16 h 16 – 16 h 20

Au début, j’ai vraiment eu beaucoup plus de mal avec ça.

16 h 21 – 16 h 31

Et je pense que l’une des raisons, c’est qu’on constate une prise de conscience croissante dans le secteur de la cybersécurité : les personnes sont au cœur de la cybersécurité tout autant que les outils ou…

16 h 31 – 16 h 33

les processus.

16 h 33 – 16 h 39

Mais, en substance, cela nécessite souvent un certain niveau de maturité culturelle au sein d’une organisation.

16 h 39 – 16 h 50

Et malheureusement, il faut souvent qu’un incident se produise, soit directement, soit qu’une organisation en soit témoin chez l’une de ses homologues, car cela permet de briser le

16 h 50 – 16 h 51

biais d’optimisme.

16 h 53 – 16 h 55

Je suppose qu’on pourrait y voir une arme à double tranchant.

16 h 55 – 17 h 03

C’est à la fois regrettable que ce soit la seule solution, mais c’est aussi le cas si cela doit servir de catalyseur, et ce n’est ni vous ni peut-être un collègue, alors allez-y.

17 h 03 – 17 h 04

Exactement.

17 h 04 – 17 h 05

Fantastique.

17 h 05 – 17 h 06

Merci de votre attention.

17 h 08 – 17 h 13

Je n’ai pas demandé à Jessica : « Hé, résume-moi tout ça en détail, parce que c’est fascinant. »

17 h 13 – 17 h 17

Je pense que pour nous tous qui venons d’un milieu technique, c’est vraiment très intéressant.

17 h 17 – 17 h 19

Alors oui, tout à fait.

17 h 20 – 17 h 21

Très bien.

17 h 21 – 17 h 27

Alors Ricky, quand on s’est parlé, tu parlais de « minimum viable ».

17 h 27 – 17 h 35

C’est intéressant, on en a beaucoup entendu parler lors du discours d’ouverture ce matin, mais ce terme n’a pas été supprimé intentionnellement ; il est en quelque sorte intégré dans le concept de « niveau supérieur ».

17 h 35 – 17 h 38

Tu veux nous en dire un peu plus à ce sujet ?

17 h 38 – 17 h 38

Bien sûr.

17 h 38 – 17 h 42

Donc, pour en revenir à l’idée selon laquelle c’est en forgeant qu’on devient forgeron, c’est bien ça ?

17 h 42 – 17 h 44

Mais comment s’entraîne-t-on et sur quoi s’entraîne-t-on ?

17 h 44 – 17 h 57

Si l’on considère un vaste écosystème, on se retrouve face à un ensemble extrêmement hétérogène de technologies qui permettent à votre entreprise de fonctionner. Comment savoir par où commencer pour se former ?

17 h 57 – 17 h 59

et à quelle fréquence s’entraîner, n’est-ce pas ?

17 h 59 – 18 h 08

Chez Commvault, nous avons donc abordé la notion de « minimum viable », qui consiste en réalité à tirer parti d’outils tels que l’évaluation BIA (analyse d’impact sur les activités), que nous réalisons depuis de nombreuses années.

18 h 08 – 18 h 09

rép.

18 h 09 – 18 h 11

On commence par définir ce qui est essentiel à la mission de votre entreprise.

18 h 11 – 18 h 16

Ainsi, Active Directory pourrait être essentiel à la mission, tout comme un système de gestion des soins aux patients.

18 h 16 – 18 h 26

Et vous définissez cela en vous disant : « Vous savez quoi ? C’est par là que je vais commencer, car s’il y a une intrusion et que je suis mis hors service, c’est ce que je veux remettre en service en premier. »

18 h 26 – 18 h 35

Ensuite, on passe des systèmes critiques pour la mission aux systèmes critiques pour l’activité : cela peut concerner vos e-mails, vos communications, vos autres applications et vos charges de travail.

18 h 35 – 18 h 38

Ensuite, vous définissez les applications auxiliaires

18 h 38 – 18 h 45

une fois qu’elles sont opérationnelles. Avec les applications critiques pour la mission, celles critiques pour l’activité et les applications de soutien, votre environnement est désormais pleinement opérationnel.

18 h 45 – 18 h 50

N’oubliez pas que lorsqu’on parle de gestion des incidents, on pense souvent à la sécurité.

18 h 50 – 18 h 58

La gestion des incidents est nécessaire en tant que processus ou savoir-faire institutionnel, et pas uniquement pour les incidents liés à la sécurité.

18 h 58 – 19 h 01

Vous pourriez être victime d’un logiciel malveillant capable de vous mettre hors service.

19 h 01 – 19 h 08

Vous pourriez vous retrouver face à une IA, un logiciel d’IA autonome, susceptible d’agir de manière imprévisible, voire de provoquer des incidents.

19 h 08 – 19 h 10

et rendre votre environnement inopérant.

19 h 10 – 19 h 13

Pour moi, la gestion des incidents va au-delà de la simple sécurité.

19 h 13 – 19 h 17

Cela vous aide vraiment à déterminer la capacité opérationnelle de votre entreprise, n’est-ce pas ?

19 h 17 – 19 h 27

Et c’est pourquoi la notion de protocole de mission ou de « minimum viable » intervient pour vous aider à définir concrètement vos applications et vos charges de travail, puis à commencer à mettre en place des tests et

19 h 27 – 19 h 28

les procédures qui s’y rapportent.

19 h 28 – 19 h 37

L’autre point que je voudrais rapidement souligner, c’est que si vous examinez le cadre du NIST pour la gestion des incidents, la publication spéciale n° 861,

19 h 38 – 19 h 51

On distingue souvent quatre phases bien définies dans la gestion des incidents : la préparation, la détection, puis le confinement, l’éradication, la Recovery, et enfin la réévaluation, c’est-à-dire refaire votre

19 h 51 – 19 h 52

état de référence.

19 h 52 – 19 h 58

Eh bien, le problème avec toute cette notion de « reprise », comme nous l’avons entendu plus tôt dans la journée, c’est qu’elle crée des angles morts.

19 h 58 – 19 h 59

Mais qu’est-ce qu’on récupère réellement ?

19 h 59 – 20 h 01

Dans quelle mesure faites-vous confiance à ce que vous récupérez ?

20 h 01 – 20 h 04

Ces données sont-elles tout à fait fiables ?

20 h 04 – 20 h 07

Ont-elles fait l’objet de contrôles d’intégrité ?

20 h 07 – 20 h 13

Et je pense que c’est pour cette raison que le NIST doit réexaminer ce qu’il entend par « récupération » et peut-être envisager une « reconstruction ».

20 h 13 – 20 h 19

Parce que, vous savez, pour moi, la « récupération », c’est en gros comme réparer un mur abîmé.

20 h 19 – 20 h 22

Bon, ce n’est pas très élégant : on colmate le mur.

20 h 22 – 20 h 25

La reconstruction consiste essentiellement à reconstruire ce mur à partir d’un plan connu.

20 h 26 – 20 h 37

Et c’est pourquoi, si vous examinez nos solutions telles que Cloud Rewind et d’autres, nous vous aidons en fait à reconstruire l’ensemble de la pile applicative, n’est-ce pas, à partir de données connues et fiables.

20 h 37 – 20 h 42

Grâce à cette méthode qui a fait ses preuves, vous pouvez désormais avoir pleinement confiance en votre processus de Recovery.

20 h 42 – 20 h 50

En fin de compte, il ne faut donc pas considérer la gestion des incidents comme une simple question de sécurité.

20 h 50 – 20 h 53

Il s’agit de tout ce qui peut entraîner l’interruption de l’activité de votre entreprise.

20 h 53 – 20 h 57

On ne peut pas tout remettre en marche dès la première minute, n’est-ce pas ?

20 h 57 – 21 h 05

L’objectif de la gestion des incidents consiste essentiellement à détecter les incidents en quelques secondes, à en atténuer les effets en quelques minutes et à garantir la résilience à long terme.

21 h 05 – 21 h 09

Et pour cela, vous devez déterminer ce qui constitue le minimum viable pour votre entreprise.

21 h 09 – 21 h 12

Donc, dans ce contexte…

21 h 12 – 21 h 14

Je voudrais simplement procéder à un vote à main levée.

21 h 14 – 21 h 17

Remontons le temps, choisissons n’importe quelle année au hasard, disons il y a 10 ans.

21 h 17 – 21 h 23

Et on se promenait partout en disant à tout le monde : « Hé, on a ce service incroyable », pas nous, Commvault, mais le secteur.

21 h 23 – 21 h 25

On va faire du mappage d’applications.

21 h 25 – 21 h 32

Mais avant même de pouvoir passer à un niveau supérieur pour aborder ce sujet de manière plus approfondie, il faut d’abord comprendre le niveau d’interconnectivité.

21 h 33 – 21 h 34

Et je suis…

21 h 34 – 21 h 38

Pour dire que je suis du genre à voir le verre à moitié plein, je tenais juste à le préciser à Jessica.

21 h 39 – 21 h 45

Mais nous avons tant essayé, en tant que secteur, d’y parvenir, et nous avons échoué avec tant d’entreprises.

21 h 45 – 21 h 53

Si vous voulez mon avis… En fait, je ne vais même pas poser la question, car tout le monde va vouloir lever la main : « Tiens, avez-vous une liste complète des applications ? »

21 h 53 – 21 h 56

Je parierais qu’il n’y aura pas beaucoup de mains levées.

21 h 56 – 22 h 04

Et ce n’est peut-être pas grave, car maintenant que nous avons abordé ce sujet, nous pouvons y revenir à un autre niveau d’abstraction.

22 h 04 – 22 h 09

Mais je suis juste curieux de savoir ce que tu en penses, car tu es sans doute déjà passé par là, n’est-ce pas, pendant ce premier cycle ?

22 h 09 – 22 h 10

Est-ce que ça t’aide ?

22 h 11 – 22 h 17

Il reste encore à définir ce qu’est une version minimale viable, mais le fait d’avoir fait l’impasse sur cette cartographie plus détaillée de l’application vous aide-t-il ?

22 h 17 – 22 h 20

Il ne s’agit pas seulement de cartographier les applications, mais aussi les données.

22 h 20 – 22 h 23

Vos applications sont principalement gourmandes en données.

22 h 23 – 22 h 31

Et au final, un rançongiciel ou tout autre adversaire qui tente de compromettre votre système ne le fait pas parce qu’il adore votre application.

22 h 31 – 22 h 34

C’est là qu’interviennent les « Power Tools », c’est-à-dire les données, n’est-ce pas ?

22 h 34 – 22 h 39

Il est donc hors de question que ce soient vos données qui prennent les décisions, et nos services de protection contre les attaques ne sont pas hors de contrôle.

22 h 39 – 22 h 43

Et vous nous demandez si nous avons jamais su où se trouvait notre application.

22 h 44 – 22 h 51

Peut-être dans les années 70 et 80, à l’époque où l’on utilisait des applications client-serveur ou où un terminal était connecté à un ordinateur central.

22 h 51 – 22 h 55

Aujourd’hui, on développe l’une de ces applications, on passe de la création

22 h 57 – 22 h 59

vous lancez des machines virtuelles.

22 h 59 – 23 h 06

Vous disposez de l’ensemble du processus DevSecOps qui déploie des applications à la volée, et les données sont réparties un peu partout.

23 h 06 – 23 h 15

Et je pense que c’est pour cette raison qu’il est essentiel de disposer d’une visibilité de bout en bout : qui détient les données, qui y a accès, où se situent les contrôles.

23 h 15 – 23 h 19

Et ces principes fondamentaux consistant à « manger ses légumes de sécurité » ont bien évolué.

23 h 19 – 23 h 22

Il faut toujours veiller à bien « manger ses légumes de sécurité ».

23 h 22 – 23 h 26

Le contrôle d’accès issu de la gestion des identités,

23 h 26 – 23 h 32

a démontré qu’il est impossible d’être certain que tous ces mouvements latéraux entre les points de données soient sécurisés.

23 h 32 – 23 h 43

Car votre capacité à réagir aux incidents, ou comme je l’appelle, la résilience face aux incidents, qui englobe la réaction, la reprise et l’intégration dans le cadre de la résilience face aux incidents, repose sur la manière dont

23 h 43 – 23 h 44

votre volonté d’adapter l’environnement.

23 h 45 – 23 h 48

Bon, Zach, j’ai une question à te poser.

23 h 49 – 23 h 51

Tout le monde est débordé, n’est-ce pas ?

23 h 51 – 23 h 58

Tous tes collègues, et quand tu arrives, tu apportes en plus ton incroyable éventail de compétences, des compétences qu’ils n’ont pas.

23 h 58 – 00 h 00

Les gens n’ont-ils pas le temps de faire ça ?

24 h 00 – 24 h 10

Je veux dire, ce sont des choses importantes, comme le souligne Ricky, mais quand on se retrouve sur le terrain, que se passe-t-il exactement ? Pourquoi n’arrivons-nous pas à mettre certaines de ces choses en pratique ?

24 h 10 – 24 h 13

Qu’est-ce qui empêche les gens de définir cela ?

24 h 13 – 24 h 16

Eh bien, parce qu’il y a en fait tout un tas de raisons.

24 h 16 – 24 h 20

Je dirais tout d’abord la culture.

24 h 21 – 24 h 32

Il existe ces services, surtout dans les entreprises plus anciennes, et je tiens à souligner la question de la cartographie des applications : si votre application a deux mois,

24 h 32 – 24 h 34

vous savez exactement de quoi il s’agit.

24 h 34 – 24 h 42

Mais dès qu’elle atteint l’âge de deux ans et qu’elle a des ramifications partout, vous n’avez plus la moindre idée de ce qui se passe.

24 h 42 – 24 h 47

Et c’est ainsi que, dans les entreprises plus anciennes, ces cultures s’installent.

24 h 48 – 24 h 53

Le responsable de la sécurité, celui des sauvegardes, celui des terminaux… et ils ne se mélangent pas.

24 h 53 – 24 h 57

On ne fréquente que ses propres collègues, n’est-ce pas ?

24 h 57 – 25 h 05

Hier, j’ai dit à quelqu’un que j’avais 30 ans d’expérience dans l’informatique, dont 17 consacrés à la sécurité.

25 h 06 – 25 h 18

Pas un seul jour au cours de ces 17 années je n’ai jamais rencontré mes collègues de la sécurité, ce qui est dingue parce qu’au final, si on y réfléchit bien, qu’est-ce que je fais en tant que responsable de la sécurité ?

25:18 – 25:23

Je ne protège ni les personnes, ni leurs voitures.

25:23 – 25:27

Je protège également les données, tout comme les techniciens chargés des sauvegardes.

25:29 – 25:38

Je pense que, dans les entreprises et au sein de nos cultures d’entreprise, nous devons changer notre façon de percevoir les rôles de chacun et ce que nous faisons réellement au sein de celles-ci.

25 h 38 – 25 h 49

Je suis là pour mettre en place un pare-feu, un IPS, un SIM, un SOC, toutes ces belles choses, et pour m’occuper de l’analyse forensic, des tests de vulnérabilité et de l’architecture.

25 h 49 – 25 h 54

La raison de tout cela tient simplement à ce que chacun fait au sein de l’entreprise.

25 h 54 – 26 h 04

Et cela consiste à collecter ces données, à développer les applications et à fournir le service aux utilisateurs, ou à l’extérieur, au grand public,

26 h 05 – 26 h 08

Jessica, je sentais que tu étais sur le bord de ta chaise.

26 h 08 – 26 h 10

Comment faire pour surmonter cela ?

26:10 – 26:17

Je veux dire, encore une fois, il faut vendre ça à un tout autre niveau pour changer cette mentalité.

26, 17 – 26, 19

J’adore que Sark ait parlé de culture.

26:20 – 26:28

Je partage également l’avis de Ricky selon lequel, lorsqu’un incident se produit ou qu’il s’agit de s’y préparer, cela va bien au-delà de la simple sécurité.

26 h 28 – 26 h 35

Et bien sûr, nous parlons d’infrastructure, nous parlons de sauvegardes, mais nous pensons aussi à l’organisation dans son ensemble.

26 h 37 – 26 h 40

Nous réfléchissons à la culture d’entreprise et à la manière dont chacun peut en être affecté.

26 h 40 – 26 h 46

Donc, pendant que Ricky parlait, je repensais à ce qui s’est passé au Royaume-Uni cette année.

26:46 – 26:56

Je suis originaire du Royaume-Uni, je vis désormais à Las Vegas, mais j’ai passé beaucoup de temps au Royaume-Uni cette année, et l’un de mes endroits préférés est Marks & Spencer.

26 h 57 – 27 h 03

Comme tout le monde le sait, les magasins Marks & Spencer sont immenses, vraiment immenses et très longs.

27 h 03 – 27 h 14

Il y a eu un incident cette année : j’étais là-bas le premier jour, j’essayais de faire quelques courses avec ma carte, mais elle ne fonctionnait pas. Je me disais : « Mais qu’est-ce qui se passe ici ? » Et il s’est avéré que c’était le jour…

27:14 – 27:20

du premier jour d’une cyberattaque qui a rendu leur site web inaccessible. J’ai perdu le compte du temps que cela a duré, mais on parle de plusieurs mois.

27 h 20 – 27 h 23

Chaîne d’approvisionnement : les rayons étaient vides.

27:23 – 27:31

Je suis entré chez Marks & Spencer et les rayons étaient vides, ou alors il n’y avait qu’un seul produit qui occupait tout un rayon.

27 h 31 – 27 h 35

Il y avait donc, par exemple, une centaine de bouteilles de Coca-Cola au lieu de l’assortiment habituel.

27 h 35 – 27 h 39

Je discutais donc avec tout le monde dans le magasin.

27 h 39 – 27 h 42

Je vais au café et je discute avec les personnes qui y travaillent.

27 h 42 – 27 h 46

Je ne leur dis pas que je travaille dans la cybersécurité, mais je leur dis simplement : « Oh… »

27 h 46 – 27 h 47

« Vous n’avez pas d’avocats. »

27 h 47 – 27 h 50

Est-ce que cela a un rapport avec l’incident informatique ?

27 h 50 – 27 h 53

Et j’ai trouvé leur réponse vraiment intéressante.

27 h 54 – 28 h 00

Tout d’abord, et cela a été le cas pour toutes les personnes à qui j’ai parlé, elles ont tout de suite reconnu à quel point c’était difficile pour elles.

28 h 00 – 28 h 02

Et ils ont dit : « On vient tous les jours. »

28:02 – 28:04

On ne sait pas à quoi s’attendre.

28 h 04 – 28 h 14

On ne sait pas si on va se retrouver sans stock à distribuer ou à fournir aux clients, ou si on va se retrouver dans la même situation que la semaine avant Noël et qu’on sera submergés par

28 h 14 – 28 h 15

marchandises.

28 h 15 – 28 h 21

Des clients nous demandent si nous avons tel ou tel article et nous ne pouvons pas vérifier dans nos systèmes ; nous n’en savons rien.

28:21 – 28:23

Ils se rendaient donc compte à quel point la situation était grave.

28 h 23 – 28 h 29

Et ensuite, ils disaient : « Mais on a vraiment de la chance, car on travaille tous très bien en équipe. »

28:29 – 28:31

On se soutient tous les uns les autres.

28:31 – 28:34

On a tout le temps des nouvelles du siège.

28 h 34 – 28 h 41

Et j’ai entendu à plusieurs reprises à quel point ils avaient du respect pour l’équipe de sécurité.

28 h 41 – 28 h 45

Ils disaient des choses comme : « L’équipe technique travaille d’arrache-pied pour que tout fonctionne correctement. »

28 h 45 – 28 h 47

Et ils travaillent sans relâche.

28 h 47 – 28 h 52

J’ai entendu dire qu’ils dormaient au bureau et qu’on leur livrait des pizzas.

28 h 52 – 28 h 54

Et tout ça, d’ailleurs, se passait à des kilomètres du siège social.

28 h 54 – 28 h 57

C’est tout au nord-est de l’Angleterre, par rapport à Londres.

28 h 57 – 28 h 59

Et je me suis dit qu’on pouvait en tirer de nombreux enseignements.

28 h 59 – 29 h 02

Et je n’ai cessé de penser à Wang.

29:02 – 29:03

Et je me suis dit : « Mais pourquoi est-ce que je… »

29:03 – 29:04

Pourquoi j’aime tant aller chez Marks & Spencer ?

29 h 04 – 29 h 10

C’est comme si cette enseigne inspirait confiance et avait une véritable personnalité.

29:10 – 29:17

Et je ne peux qu’en conclure que cela vient autant de l’intérieur que de l’extérieur.

29:17 – 29:20

La communication est donc un domaine dont nous pouvons tirer des enseignements.

29:20 – 29:27

Le respect qui émanait des plus hautes instances de l’organisation et se répercutait à tous les niveaux se retrouve alors en retour.

29 h 27 – 29 h 30

Et cela ne se fait pas du jour au lendemain.

29 h 30 – 29 h 33

Cela se construit au fil des années, au sein de la culture d’entreprise.

29:33 – 29:36

lorsque tout va bien, puis elle est mise à l’épreuve lorsque les choses tournent mal.

29:36 – 29:38

C’est intéressant.

29 h 38 – 29 h 44

Un autre facteur qui rend tout cela très compliqué, c’est qu’aujourd’hui, nous vivons dans un monde où la responsabilité est partagée, n’est-ce pas ?

29 h 44 – 29 h 54

Ainsi, aujourd’hui, les entreprises ne sont pas seulement confrontées aux cloisonnements qui existent au sein de leurs équipes informatiques, juridiques, d’assistance et de gestion des bases de données.

29 h 54 – 29 h 59

mais vous gérez désormais un environnement où les charges de travail sont liées aux coûts…

30 h 05 – 30 h 09

Et puis, il y a aussi des intégrateurs système qui vous aident à réaliser des intégrations sur mesure et ce genre de choses.

30:09 – 30:12

Alors, où commence réellement la responsabilité ?

30:12 – 30:23

Car il faut tenir compte du modèle de responsabilité partagée dans lequel nous nous sommes volontairement engagés, et dans le cadre duquel nous assurons la sécurité de l’infrastructure, celle des clouds, ainsi que celle des…

30:23 – 30:25

applications et environnements sur site.

30 h 25 – 30 h 35

Et dans ce modèle de responsabilité partagée, même si tout le monde comprend la nécessité de mettre en place une culture de la sécurité, c’est là que réside le problème.

30 h 35 – 30 h 41

Et cela empêche les gens d’élaborer véritablement ces plans d’intervention en cas d’incident et de les tester.

30:41 – 30:47

Et je pense que les entreprises qui sortiront vainqueurs de cette bataille sont celles qui s’efforcent délibérément de créer un public commun.

30:47 – 30:54

Vous savez quoi ? Il est important que tous nos partenaires collaborent avec nous pour élaborer ces plans, puis les mettre en œuvre.

30 h 54 – 30 h 59

Car en cas de crise, vous devrez vous appuyer sur la matrice de responsabilité partagée.

30:59 – 31:03

Et à tous ceux qui se sont mobilisés pour vous aider à vous remettre sur pied.

31:04 – 31:09

Oui, c’est un point intéressant, et Zach, quand tu as dit : « Hé, je ne leur ai pas parlé. »

31:09 – 31:11

Ce n’est pas que tu ne les aimais pas.

31:11 – 31:14

Ce n’est pas comme si tu avais un préjugé négatif ou quoi que ce soit à leur égard.

31:14 – 31:16

Tu te disais simplement : « J’ai beaucoup de travail à faire. »

31:16 – 31:19

C’est mon métier.

31:19 – 31:25

Et cela doit s’étendre à un domaine bien plus vaste au sein même de l’organisation.

31:25 – 31:26

Les gars, nous, les responsables de la sécurité.

31:26 – 31:30

On pense beaucoup à soi-même, n’est-ce pas ?

31:30 – 31:30

Oui.

31:33 – 31:33

la limite.

31:33 – 31:35

Le haut de gamme.

31:35 – 31:35

Exact.

31:35 – 31:39

Et je me demande aussi s’il y avait des éléments prévus pour vous inciter à prendre la parole.

31:39 – 31:40

Pas du tout.

31:40 – 31:42

Ou pour apprendre ensemble.

31:42 – 31:47

On peut dire qu’on peut considérer que c’est comme si on ne l’avait pas fait.

31:47 – 31:49

Mais est-ce que l’organisation a facilité les choses ?

31:49 – 31:53

Était-ce une mesure qui avait été prévue pour favoriser cela ?

31:53 – 31:55

Oui, c’est… pas du tout.

31:55 – 32:01

Et c’est pour ça que je dis aux gens qu’il faut…

32:01 – 32:07

emmener vos collaborateurs clés, à tous les niveaux de l’entreprise, boire une bière chaque semaine.

32:07 – 32:10

Ils doivent échanger entre eux.

32:10 – 32:19

Même s’il ne s’agit pas d’une collaboration à proprement parler, ils doivent connaître le nom, le numéro de téléphone et la fonction de chacun au sein de l’organisation pour que tout se passe sans accroc.

32:19 – 32:30

Parce que vous créez des cloisonnements, sans vous en rendre compte, vous cloisonnez toute votre organisation de l’intérieur vers l’extérieur et il n’y a aucun moyen, il n’y a aucun…

32:30 – 32:34

de véritables liens de communication ouverte entre eux.

32:34 – 32:45

Je me souviens d’une organisation qui, pendant le confinement, avait vraiment du mal à faire interagir ses équipes entre elles, surtout maintenant qu’elles n’étaient plus dans le

32:45 – 32:48

au bureau, vous voyez, et ils ont fait des constructions en Lego.

32:48 – 32:59

Ils ont envoyé un petit kit de Lego à chacun individuellement, les ont réunis sur Zoom, Teams ou une autre plateforme, et ils ont tous construit des Lego chez eux, chacun de son côté, mais

32:59 – 33:00

ensemble.

33:00 – 33:01

Et ça a marché.

33:01 – 33:04

C’est simple, le prix est raisonnable, et cela permet de renforcer l’esprit d’équipe.

33:04 – 33:05

Quelle ironie.

33:05 – 33:06

Nous sommes en plein discours d’ouverture.

33:06 – 33:09

Les agents effectuent certaines tâches de manière automatique.

33:09 – 33:11

Il y aura des gens sur Mars.

33:11 – 33:16

Et nous, on est littéralement en train de parler de Lego, de pizza et de comment gagner du temps.

33:16 – 33:18

Mais c’est vrai, non ?

33:18 – 33:24

On a tendance à voir les choses à un niveau plus élevé, mais il y a simplement des éléments fondamentaux auxquels il faut revenir.

33:24 – 33:28

Alors, Zach, à ce sujet, euh, on a entendu parler des « res ops ».

33:28 – 33:30

C’est un sujet très en vogue.

33:30 – 33:32

sur Twitter ou X.

33:32 – 33:34

Pardonne-moi, mon Dieu, j’ai utilisé un terme désuet.

33:34 – 33:35

Bon.

33:35 – 33:37

Parlez-nous de ça.

33:37 – 33:44

Je veux dire, je sais que c’est une tendance que nous essayons de lancer, mais il y a quand même une part de réalité derrière tout ça, n’est-ce pas ?

33:44 – 33:54

Car les outils, l’interconnexion, quel que soit le nom qu’on leur donne, il y a toujours des éléments concrets qui permettent de concrétiser les opérations des ressources humaines.

33:54 – 34:03

Alors, peut-être que, du point de vue des outils et de la manière dont nous abordons ces opérations de résilience, pourriez-vous nous donner une idée de ce que cela signifie concrètement sur le terrain ?

34:06 – 34:09

Donc, les opérations de résilience, c’est…

34:10 – 34:17

Eh bien, vous disposez des outils, des personnes et des processus, mais si vous ne les testez pas… Je reviendrai sur cette question des tests, Chris.

34:17 – 34:24

Il faut continuer… Si vous ne les testez pas, vous vous retrouvez avec tous ces outils auxquels vous êtes abonné depuis des années et des années.

34:24 – 34:30

C’est comme mon… abonnement à un… practice de golf où…

34:30 – 34:31

euh

34:31 – 34:38

J’y suis allé deux fois en deux ans et ça m’a coûté des milliers à ces deux occasions.

34:38 – 34:47

Vous disposez donc de tous ces outils pour lesquels vous payez, auxquels vous vous abonnez, pour lesquels vous achetez des serveurs, et qui tournent là-bas en arrière-plan.

34:47 – 34:50

euh

34 min 50 s – 35 min 00 s

Si vous ne savez pas comment les utiliser et que vous êtes confronté à un incident, ils ne feront que vous ralentir dans la remise en état.

35:00 – 35:08

Franchement, ces outils, c’est aussi quelque chose qu’il faut remettre en état quand ça a mal tourné, n’est-ce pas ?

35:08 – 35:16

Euh… Bon, ces outils ne sont pas vraiment… Franchement, je conseillerais aux entreprises de ne même pas s’en préoccuper pour l’instant, parce que…

35:17 – 35:24

Car si vous ne le faites pas, si vos collaborateurs ne savent pas comment réagir, par exemple si vous êtes confrontés à un incident en ce moment même, que ferez-vous ?

35:24 – 35:25

Comment réagissez-vous ?

35:25 – 35:27

Quelle est la prochaine chose que vous allez faire ?

35:27 – 35:30

Bon, je comprends ce qu’est l’optimisme.

35 h 30 – 35 h 40

C’est juste qu’il faut en quelque sorte amener le client à adopter cet état d’esprit, on ne peut pas se contenter de dire que tout est juste…

35:40 – 35:41

euh

35:42 – 35:44

des roses et de la crème, n’est-ce pas ?

35:44 – 35:46

Tu dois dire ce qui va se passer.

35:46 – 35:54

Sinon, si tu continues à faire preuve d’optimisme, ils diront simplement : « Bon, on dirait qu’on n’a pas besoin de tout ça, n’est-ce pas ? »

35:54 – 35:56

Oui, je suis d’accord.

35:56 – 35:59

Il ne s’agit pas de nier qu’un événement grave va se produire.

35:59 – 36:06

Il s’agit plutôt de savoir comment aborder un sujet négatif de manière à ce que les gens continuent à vous suivre.

36:06 – 36:08

C’est la même chose lorsque je sensibilise aux menaces.

36:08 – 36:10

Vous savez, je me rends sur le terrain et je mène des actions de sensibilisation.

36:10 – 36:12

Je crée du matériel de sensibilisation.

36:13 – 36:13

et

36:13 – 36:16

Et bien sûr, je parle des aspects négatifs.

36:16 – 36:20

Je ne peux pas sensibiliser le public à la cybersécurité sans évoquer la menace.

36:20 – 36:27

Mais il faut le faire avec modération, pour que les gens ne pensent pas que vous exagérez pour servir vos propres intérêts.

36:27 – 36:37

Et ensuite, il faut réfléchir à la manière dont on peut responsabiliser les gens et leur donner les moyens d’agir, même lorsqu’on aborde un sujet négatif, afin qu’ils aient le sentiment de pouvoir s’impliquer malgré tout.

36:37 – 36:39

Et dès que vous…

36:39 – 36:41

Enfin, bien sûr, on ne va pas attendre que l’incident se produise.

36:41 – 36:43

Mais dès que vous faites quelque chose comme un…

36:43 – 36:55

une simulation d’incident virtuel comme celle dont nous disposons dans notre environnement de Recovery, alors vous comprendrez, vous verrez tous ces outils – 10, 20, voire 100 – et vous vous direz : « Bon, eh bien, nous… »

36:55 – 37:03

On n’en a même pas utilisé un seul pour restaurer notre environnement, n’est-ce pas ? Euh, si vous en arrivez là…

37:04 – 37:16

Vous pourrez alors bien sûr vous débarrasser de tout ce qui est superflu et finir par atteindre un niveau où vous serez un professionnel efficace, du genre MVC, capable de remettre facilement le système sur pied.

37:16 – 37:21

Eh bien, vous savez ce que vous voulez faire et vous avez suffisamment bien formé vos collaborateurs.

37:21 – 37:27

C’est impossible ; vous ne pouvez donc pas mener à bien ces exercices sans une bonne communication entre ces équipes.

37:27 – 37:28

Et voilà, c’est ça, le terme.

37:28 – 37:28

Donc.

37:29 – 37:33

Si vous ne voulez pas les envoyer chercher de la bière, veillez au moins à ce qu’ils soient dans la pièce.

37:33 – 37:42

Commence par ces exercices où tu simules des situations d’échec dans ton environnement.

37:42 – 37:44

Puis demandez : « Que comptez-vous faire ? »

37:44 – 37:45

Qu’est-ce que tu vas faire ?

37:45 – 37:49

Et voilà encore un autre exercice qui consiste à pointer du doigt.

37:49 – 37:51

C’est comme si on devait mettre les choses au clair, n’est-ce pas ?

37:52 – 37:56

Il faut amener les gens à sortir de leur zone de confort de manière appropriée.

37:56 – 37:59

Ils doivent comprendre à quoi servent les tables de jeu dans le parc.

37:59 – 38:03

Ce que je veux dire, c’est que les « tabletops » ne sont qu’un élément parmi d’autres qu’il faut également savoir utiliser.

38:04 – 38:05

Il y a les exercices à faire sur la table.

38:05 – 38:07

Il y a les exercices de déplacement.

38:07 – 38:10

Vous avez aussi les exercices « clé rouge » et « clé violette », n’est-ce pas ?

38:10 – 38:12

Et chacun a sa place au sein d’une organisation.

38:12 – 38:20

Imaginons donc qu’une organisation soit majoritaire, qu’elle soit bien implantée, qu’elle sache à quoi doit ressembler son « minimum viable » d’entreprise, qu’elle dispose de tous ses processus, qu’elle…

38:20 – 38:27

ont mis en place un partage des responsabilités, et qu’elle a également compris que, vous savez, oui, il faut voir au-delà du corps humain.

38:27 – 38:30

Comment s’y prendre ?

38 h 30 – 38 h 31

Qu’est-ce qui vous aide à vous y préparer ?

38:31 – 38:37

Les exercices sur table sont donc essentiellement des exercices peu stressants.

38:37 – 38:38

Il ne s’agit pas de modules de formation.

38:38 – 38:48

Il s’agit de véritables sessions d’une demi-journée ou d’une journée entière au cours desquelles vous êtes censés vous réunir, avec pour mission commune de veiller à ce que les participants s’entraînent à l’un des scénarios les plus… que votre

38:48 – 38:51

que l’entreprise est la plus susceptible de rencontrer.

38:51 – 38:53

Et cela vous aide à y voir plus clair.

38:55 – 38:57

Les équipes rouges sont d’une nature totalement différente.

38:57 – 38:58

Ce sont des battants.

38:58 – 39:02

Et les équipes rouges vous aident avant tout à créer une communauté.

39:02 – 39:07

Il existe donc une réelle distinction entre ce qui apporte de la clarté et ce qui favorise l’humilité.

39:07 – 39:08

Ça me plaît bien.

39:08 – 39:11

Et puis, les exercices de reconstruction constituent avant tout une source de vérité.

39:11 – 39:16

C’est une réflexion qui vous amène à vous pencher sur vos évaluations de maturité en matière de cyber-résilience.

39:16 – 39:17

Et vous vous dites : « Vous savez quoi ? »

39:17 – 39:20

Nous avons tous ces projets que nous avons élaborés à partir de notre analyse.

39:20 – 39:23

Dans quelle mesure nos projets tombent-ils à l’eau ?

39:23 – 39:27

C’est là toute la différence que fait l’exercice de Weibull.

39:28 – 39:34

Tous ces éléments doivent être pris en compte pour vous donner une idée précise de votre niveau de préparation.

39:36 – 39:38

Donc, vous dites que c’est facile.

39:38 – 39:40

Laisse-moi noter ça.

39:40 – 39:42

D’une certaine manière, c’est le cas.

39:42 – 39:43

S’il te plaît, s’il te plaît.

39:43 – 39:44

Je t’interromps.

39:44 – 39:45

Non

39:51 – 39:52

Tout d’abord

40:03 – 40:09

Les deux autres fois par mois où nous nous réunissons, nous parlons affaires.

40:09 – 40:13

Ce qui pourrait arriver, ce qui se passe, qui est responsable, qui contacter.

40:13 – 40:19

Et j’ai mis en place une communication entre tous ces services afin que chacun ait exactement la même vision des choses.

40:19 – 40:25

Tout le monde savait, vous voyez, que ce n’était pas quelqu’un de si mauvais, même s’il travaillait là-bas ou si elle travaillait là-bas.

40:25 – 40:28

Maintenant, je sais que nous formons une famille, nous formons une entreprise.

40:28 – 40:29

Nous y sommes tous pour quelque chose.

40:29 – 40:31

Si quelque chose tourne mal…

40:31 – 40:33

Nous savons comment y remédier.

40:33 – 40:34

Nous nous faisons confiance.

40:34 – 40:39

Alors que j’ai travaillé dans des entreprises où les gens disaient : « C’est ton problème. »

40:39 – 40:40

Ce n’est pas le nôtre.

40 h 40 – 40 h 45

Et puis l’entreprise commence à se heurter à un mur. Tous les bénéfices s’effondrent.

40 h 45 – 40 h 46

Les liquidités diminuent.

40:46 – 40:52

Ensuite, s’il s’agit d’une cyberattaque, la compagnie d’assurance interviendra et dira : « Vous ne respectez pas la procédure. »

40:52 – 40:53

« On va vous retirer notre couverture. »

40 min 54 s – 41 min 00 s

J’ai conçu cela ainsi pour éviter que l’on s’égare à cause d’une bière, car je ne vais pas encourager la consommation d’alcool.

41:03 – 41:04

On va déjeuner.

41:04 – 41:05

Ne parlons pas affaires.

41:05 – 41:07

Apprenez simplement à vous connaître.

41:07 – 41:09

Restez sur le plan humain, d’accord ?

41:09 – 41:09

Exactement.

41:09 – 41:10

Rester à une échelle humaine.

41:10 – 41:13

Et quand on s’assoit, je leur dis…

41:15 – 41:15

service.

41:21 – 41:23

Donc, chacun est une personne à part.

41:23 – 41:25

Maintenant, vous parlez tous.

41:25 – 41:26

Tout le monde en parle.

41:26 – 41:27

Et vous apprenez à vous connaître.

41:27 – 41:31

La semaine prochaine, quand on aura la réunion, d’accord, bon, maintenant, on va s’asseoir.

41:31 – 41:32

On va en discuter.

41:36 – 41:40

Je lui ai dit : « C’était ça ? »

41:40 – 41:42

Et, euh, l’hôpital Lennox Hill.

41:42 – 41:43

Qu’en pensez-vous ?

41:43 – 41:48

Quelles sont les erreurs qu’ils ont commises et qui peuvent nous aider à nous améliorer, qui nous ont permis de progresser ?

41:48 – 41:55

Car aujourd’hui, nous nous servons d’une attaque extérieure pour mettre au point une méthode qui nous permettra de devenir plus forts.

41:56 – 41:58

Au cours des huit mois qui ont suivi cet événement…

42:04 – 42:06

Ils se sentent bien dans leur peau.

42:06 – 42:12

J’ai dit : « C’est tout… J’aurais aimé avoir lu le livre de Jessica à ce moment-là. »

42:12 – 42:14

Et je leur dis que tout repose sur la communication humaine.

42:14 – 42:18

Parce qu’ils communiquent tous entre eux désormais.

42:18 – 42:22

Est-ce que tout le monde a entendu ? Est-ce que tout le monde a entendu ça ?

42:22 – 42:24

Je veux dire, c’est simple.

42:24 – 42:26

applicable et reproductible, n’est-ce pas ?

42:26 – 42:29

Parce que tu l’as fait mois après mois après mois, c’est ça ?

42:29 – 42:30

Oui, c’est vrai.

42:31 – 42:32

Fantastique.

42:32 – 42:34

J’ai relevé quelques points vraiment essentiels à ce sujet.

42:34 – 42:42

Tout d’abord, vous utilisez le mot « confiance » : il s’agit d’instaurer la confiance dans ces relations, non seulement en tant que professionnels, mais aussi en tant que personnes.

42:42 – 42:43

Et puis ça…

42:43 – 42:52

cette culture d’apprentissage : une fois qu’on a en quelque sorte instauré une certaine confiance, qu’on a appris à se connaître et qu’on se sent à l’aise les uns avec les autres, alors on va s’asseoir et on va…

42:52 – 42:53

Allons parler d’un incident.

42:53 – 42:59

Nous allons discuter de ce qui a peut-être bien fonctionné, de ce qui n’a pas fonctionné, et nous allons mener une réflexion sur nous-mêmes et sur ce que nous pouvons faire différemment.

42 min 59 s – 43 min 05 s

Une fois que vous aurez établi ces relations de confiance, les gens se sentiront alors plus à l’aise pour le faire.

43:05 – 43:12

Il s’agit donc de confiance, d’apprentissage, de culture d’entreprise, et de développer véritablement cette culture de communication plus large.

43:12 – 43:13

Je pense que c’est vraiment important.

43:13 – 43:23

Et puis aussi, si quelque chose ne va pas et que, personnellement, vous ne savez pas vers qui vous tourner, mais que vous connaissez quelques personnes ici et là, vous pouvez aller leur dire : « Tiens, voilà ce qui s’est passé. »

43:23 – 43:24

Ça m’inquiète.

43:24 – 43:25

Que pouvons-nous faire ?

43:25 – 43:27

Et réfléchissez-y ensemble.

43:27 – 43:30

Mais tout cela dépend en grande partie de la culture et du sentiment de sécurité des gens.

43:30 – 43:34

euh

43:34 – 43:40

Je dois en attribuer le mérite à quelqu’un d’autre, car ce que je m’apprête à dire provient d’un podcast que j’ai enregistré un peu plus tôt ce matin.

43:40 – 43:49

Et ce monsieur était l’ingénieur chargé de la protection des données et de la résilience chez Blue Cross Blue Shield South Carolina Hillman.

43:49 – 43:49

Il est là.

43:49 – 43:51

C’est un type formidable.

43:51 – 43:58

Et alors que nous arrivions à la fin, je lui ai demandé : « Dis, y a-t-il une chose que tu aimerais que tout le monde retienne de ce podcast ? »

43:58 – 44:02

Parce qu’il possède 25 ans d’expérience dans le domaine de la protection des données.

44:02 – 44:04

euh

44:04 – 44:05

Il adore ce qu’il fait.

44:06 – 44:14

Et il a dit : « Tu sais, depuis mes débuts au service d’assistance, quand j’étais jeune diplômé, jusqu’à aujourd’hui. »

44:14 – 44:19

Faites un effort et plongez-vous au cœur de la situation.

44:20 – 44:24

N’ayez pas peur, car vous seriez surpris de voir qui vous suivra.

44:24 – 44:35

Et je me suis dit que, tu sais, ce n’est pas révolutionnaire, mais cette passion, cette capacité à ne pas avoir peur de se jeter dans la mêlée, et puis c’est incroyable de voir qui tu entraînes avec toi quand ça

44:35 – 44:36

se produit.

44:36 – 44:45

Et si vous ajoutez cela à ce que vous avez déjà accompli, quand ils se rencontrent et apprennent à se connaître, tout s’imbrique parfaitement

44 h 45 – 44 h 47

et il arrive de belles choses, n’est-ce pas ?

44:47 – 44:58

Je pense que ma seule réserve à ce sujet, et cela tient probablement en partie à la culture, c’est que cela dépend du contexte dans lequel on évolue : les gens suivront-ils ou…

44:58 – 45:09

Oui, et est-ce que les gens se sentiront à l’aise pour s’impliquer pleinement dans cet environnement ou auront-ils l’impression, comme Zak l’a dit tout à l’heure, que les autres vont les pointer du doigt ?

45:09 – 45:13

Est-ce que je vais sortir du rang et devenir celui ou celle à qui on va faire porter le chapeau ?

45:13 – 45:14

Oh

45:14 – 45:19

Et cela peut également entraîner des problèmes d’épuisement professionnel.

45:19 – 45:24

Si c’est toujours moi qui dois courir partout pour régler les problèmes, quand est-ce que ça va commencer à me peser ?

45:24 – 45:27

Il faut un peu de camaraderie sur le terrain.

45:28 – 45:32

Et si vous disposez d’une culture d’entreprise adaptée qui vous soutient, alors je suis tout à fait d’accord.

45:32 – 45:43

Mais dans les organisations où cette construction de relations fait défaut, où l’empathie et la confiance sont absentes, et où il n’y a pas cette sécurité psychologique qui permet de ne pas s’inquiéter de…

45:43 – 45:44

se faire reprocher,

45:44 – 45:47

Je pense que c’est un scénario très différent.

45:47 – 45:49

C’est un excellent argument.

45:49 – 45:52

Cela nécessite plusieurs niveaux dans la pyramide.

45:52 – 45:55

Je ne veux pas paraître négatif, je parle simplement du biais d’optimisme.

45:55 – 45:58

Mon Dieu, qu’est-il advenu de ces 80 % ?

45:58 – 45:59

Vous vous en souvenez ?

46:07 – 46:08

un environnement stabilisé.

46:10 – 46:15

des technologies de l’information relevant de l’équipe centrale et des responsables des unités opérationnelles.

46:17 – 46:21

services ou domaines présentant des recoupements.

46:21 – 46:25

Il s’agit donc simplement de déterminer, avec une marge très, très fine, jusqu’où on souhaite regrouper ces éléments.

46:28 – 46:31

faire la distinction entre les choses, car c’est une question très délicate.

46:31 – 46:36

On est presque comme huit entités commerciales distinctes, chacune ayant ses propres objectifs et ses propres priorités.

46:36 – 46:39

Votre marché d’entreprise centralisé, vous savez, c’est une chose.

46:43 – 46:50

Il suffit d’un seul changement pour que tout parte en vrille, et tout le monde, réparti en petits groupes, est prêt à vous sauter à la gorge sur-le-champ.

46:50 – 46:54

La frontière est très ténue en matière de réponses partagées, notamment en ce qui concerne le cloud et tout le reste.

46:54 – 46:58

Par exemple, si vous avez un locataire disposant de plusieurs abonnements sur Azure.

47:01 – 47:03

Et vous devez séparer ces éléments, n’est-ce pas ?

47:08 – 47:18

C’est pourquoi j’ai évoqué la notion de responsabilité partagée, car c’est là que réside le nœud du problème qui nous fait trébucher en tant que secteur, et je pense que c’est la raison pour laquelle nous rencontrons tant de difficultés…

47:18 – 47:23

les réglementations dont on parle actuellement, comme la loi DORA en Europe et tout le reste.

47:25 – 47:38

qui obligent les conseils d’administration à prendre au sérieux la résilience et à mettre en place des indicateurs vérifiables pour démontrer que, oui, en tant qu’organisation, nous agissons correctement

47:38 – 47:45

en matière de sécurité des données et que nous sommes capables de faire preuve de résilience en cas de violation.

47:45 – 47:58

Et je pense qu’à mesure que les réglementations se durcissent et que les sanctions deviennent plus sévères, une partie de cette population interorganisationnelle, indésirable mais pourtant indispensable, ainsi que

48:03 – 48:16

Et peut-être pas pour insister, vous voyez, sans vouloir forcer le terme « IA », mais si l’on se concentre sur les aspects positifs, il faut libérer du temps pour que les gens puissent s’en occuper.

48:16 – 48:17

C’est là le véritable problème.

48:17 – 48:24

Je veux dire, j’ai l’impression, en lisant entre les lignes, que non seulement ça pourrait dégénérer, mais qu’il faut simplement répartir le temps entre ces équipes.

48:41 – 48:41

Autre chose ?

48:41 – 48:43

Merci à vous deux d’avoir lancé la discussion.

48:43 – 48:45

On allait justement aborder ce sujet, c’est parfait.

48:45 – 48:47

D’autres questions ?

48:47 – 48:48

Oui ?

49:14 – 49:15

sujet.

49:18 – 49:18

Bon.

49:31 – 49:32

Je peux le voir ?

49:32 – 49:41

Bon, alors, qu’est-ce qui se passe quand on fait ces exercices avec toute l’équipe, c’est ça ?

49:41 – 49:50

La confiance que vous instaurez ainsi n’est pas une confiance qui puisse être ébranlée par un incident, car c’est justement ce que vous testez.

49:50 – 49:54

Vous testez la réaction face à un incident qui se produira à l’avenir.

49:54 – 49:58

Donc, en partant de ce principe, alors…

49:58 – 50:15

Pourquoi, enfin, c’est juste une question que je me pose : pourquoi un membre de l’équipe soupçonnerait-il un autre membre de l’équipe si vous faites deux de ces exercices par an et qu’on ne leur en dit pas plus que

50:15 – 50:16

ça.

50:16 – 50:21

Ils se rassemblent tous et assistent à l’incident.

50:22 – 50:33

On organise une sorte de réunion virtuelle où l’on discute de ce qui s’est passé, de la manière dont les choses se sont déroulées, des règles qui ont été enfreintes et de la façon dont cela s’est produit.

50:33 – 50:35

Et vous passez tout cela en revue avec l’ensemble de l’équipe.

50 h 35 – 50 h 40

Ainsi, chacun d’entre eux perçoit concrètement l’attaque, d’où qu’elle vienne.

50:40 – 50:52

Donc, quand cela arrive, quand cela se produit réellement, je doute fortement que cette confiance soit ébranlée à cause de cet incident.

50:55 – 50:56

Oui, c’est vrai.

50:56 – 51:01

Oh, mais si tu n’as pas encore réussi à instaurer cette confiance.

51:01 – 51:02

C’est sûr.

51:02 – 51:05

C’est en effet un très bon argument.

51:05 – 51:13

C’est tout à fait vrai : si vous n’avez pas établi de relation de confiance au préalable, la situation sera en réalité bien pire.

51:13 – 51:14

Un problème qui prend des proportions exponentielles.

51:14 – 51:21

Parce que, lorsque nous en parlions, j’ai appris, grâce à l’une des entreprises avec lesquelles j’ai travaillé…

51:21 – 51:30

En Afrique du Sud, il existait toute une branche de l’entreprise qui comptait environ quatre mille cinq cents employés sur un seul site.

51:30 – 51:44

Toute cette aile avait été coupée de tout réseau et le responsable de la sécurité – je n’étais pas le responsable de la sécurité à l’époque –, mais il désignait le responsable du réseau, et ce dernier, le responsable du réseau, était simplement…

51:44 – 51:45

me montrait à son tour.

51:45 – 51:49

Pendant quelques jours, toute cette aile est restée hors service, car ils n’y parvenaient pas.

51:50 – 51:53

Ils n’arrêtent pas de se disputer pour savoir à qui incombe la responsabilité.

51 h 53 – 52 h 00

Et il s’agit là du réseau et de la sécurité, deux domaines que l’on pourrait croire assez étroitement liés.

52:00 – 52:01

Oui.

52:10 – 52:15

C’est sans doute une bonne idée de réfléchir à une solution, et je pense que cela doit venir d’en haut.

52:15 – 52:21

Ainsi, lorsque les plus hauts responsables de la direction vous apportent leur soutien pour vous aider à sortir de cette situation.

52:30 – 52:34

La direction générale nous soutient et nous accompagne dans cette démarche.

52:34 – 52:37

Je veux dire, c’était clairement un problème de sécurité du réseau.

52:37 – 52:42

Il s’agissait de deux entreprises distinctes, mais qui étaient en quelque sorte des filiales au sein du même groupe.

52:43 – 52:44

Elles disposaient d’un tunnel de communication direct entre elles.

52:45 – 52:49

Toute connexion entre les réseaux des deux entreprises passait par le VPN.

52:49 – 52:53

La société sœur n’avait besoin d’un accès que pour quelques applications.

53:00 – 53:04

Les membres de l’équipe réseau font partie de l’équipe de sécurité.

53:04 – 53:06

Exactement la même situation.

53:10 – 53:21

Oh, et c’est là l’idée d’une culture juste, qui peut être soit réparatrice, soit punitive.

53:21 – 53:26

Alors, quand quelque chose tourne mal, est-ce qu’on analyse ce qui s’est passé ou est-ce qu’on cherche à savoir qui est responsable ?

53:30 – 53:34

Euh… bonne, bonne question.

53:34 – 53:36

Je trouve que c’est une bonne question.

53:36 – 53:37

Je pense que c’est une bonne question.

53:37 – 53:53

Je… je… je… je… je pense que c’est une bonne question, je pense que c’est une bonne question, je pense que c’est une bonne question, je pense que c’est une bonne question

53:57 – 54:00

Est-ce que vous pointez du doigt ou essayez-vous d’aller au fond du problème ?

54:00 – 54:05

Je pense que nous avons tous évoqué la défense et la profondeur.

54:05 – 54:15

Je pense que le moment est venu, puisque nous traversons une phase de CHANGEMENT, de faire évoluer notre état d’esprit pour passer de la défense et de la profondeur à la confiance et à la profondeur.

54:15 – 54:24

Ce que je veux dire par là, c’est que vous faites confiance à vos collaborateurs pour qu’ils agissent comme il se doit, vous faites confiance à vos processus pour qu’ils se renforcent, et vous faites également confiance aux outils technologiques dont vous disposez.

54:24 – 54:25

disposition.

54:25 – 54:28

Pour agir conformément à ce que vous aviez prévu.

54:28 – 54:35

Par exemple, vous êtes en train de récupérer des données, mais que se passe-t-il si l’attaque par ransomware ou par logiciel malveillant a en réalité mis hors service ou compromis votre plan de Recovery ?

54:37 – 54:42

Imaginons donc que vous ne disposiez pas d’une solution « air gap » et que votre environnement de Recovery soit désormais compromis.

54:42 – 54:45

Vous effectuez donc une restauration à partir d’un environnement infecté, ce qui vous expose à la fraude.

54:45 – 54:48

On ne peut donc pas vraiment se fier à ces données, n’est-ce pas ?

54:48 – 54:54

Et je pense que c’est pour cette raison que nous allons aborder ce sujet : d’accord, nous disposons de tous ces moyens de défense, mais il y a tout de même des failles.

54:54 – 55:00

Et si vous reprenez l’analyse de la faille, cela revient à dire : « Je vais tout considérer comme fiable, implicitement ou explicitement. »

55:00 – 55:06

Et ensuite, je dois graver dans mon esprit cette idée que je veux lui faire pleinement confiance, ce qui signifie que tout mon

55:06 – 55:11

Les processus sous-jacents doivent être fiables pour que je puisse atteindre un état de confiance.

55:12 – 55:16

Et ensuite, je pense que les dispositions préalables – excusez-moi – tout cela devrait disparaître.

55:16 – 55:18

Ça devrait disparaître, non ?

55:18 – 55:20

Eh bien, moi,

55:21 – 55:23

Il ne nous reste plus que quelques minutes.

55:23 – 55:24

Je vous remercie tous du fond du cœur.

55:24 – 55:25

Chantez.

55:25 – 55:26

J’apprécie vraiment vos questions.

55:26 – 55:32

On se disait : « Mon Dieu, après tous ces rouleaux de poulet, est-ce que les gens vont encore poser des questions ? »

55:32 – 55:33

Et voilà.

55:33 – 55:36

On n’aurait pas pu rêver d’une meilleure fin.

55:36 – 55:40

Mais je tiens à adresser un immense merci à deux groupes.

55:40 – 55:41

Tout d’abord, à Jessica.

55:41 – 55:43

Merci, Ricky, Zak.

55:43 – 55:45

Je veux dire, tous ces kilomètres que j’ai parcourus ici.

55:45 – 55:47

Incroyable, non ?

55:48 – 55:53

J’espère que vous nous avez bien compris, Ricky et moi, malgré nos accents.

55:53 – 55:55

Je veux dire, ce sont eux qui ont les meilleurs.

55:55 – 56:00

C’est juste que, vous savez, Dallas et Phoenix, franchement.

56:00 – 56:02

Mais surtout, je tiens à te remercier.

56:02 – 56:03

Merci d’avoir pris le temps.

56:03 – 56:07

Je sais que cette séance a été longue, surtout juste après le déjeuner.

56:07 – 56:12

Et surtout, merci d’être venus à SHIFT, d’être clients de Commvault et de nous accorder votre confiance.

56:12 – 56:14

Nous l’apprécions énormément.

56:14 – 56:15

Bon.

56:15 – 56:19

Profitez bien de la suite de vos ateliers et on se retrouve sur place.