Quand la prévention échoue : pourquoi la cyber-résilience est le prochain grand test de confiance

Imaginez que vous arrivez au travail un lundi matin et que vous constatez que les employés ne peuvent pas se connecter, que le service client n’est pas disponible et que les applications métier critiques ont cessé de fonctionner. Les alertes de sécurité clignotent. L’équipe informatique enquête. Les chefs d’entreprise veulent savoir quand les opérations reprendront.

Vient ensuite la question que tout le monde espère ne jamais avoir à se poser : pouvons-nous nous rétablir en toute sécurité et combien de temps cela prendra-t-il ?

La plupart des organisations ont investi dans la cybersécurité, des pare-feu aux contrôles d’identité en passant par les outils de surveillance et les systèmes de sauvegarde. Pourtant, une cyberattaque grave peut toujours perturber les opérations, nuire à la confiance des clients et laisser les équipes dans l’incertitude sur les systèmes et les données sur lesquels elles peuvent s’appuyer.

Cela entraîne un changement dans la cybersécurité, allant au-delà de la prévention des attaques pour construire des organisations capables de résister aux perturbations, de se rétablir en toute sécurité et de tirer les leçons des incidents. C’est l’essence même de la cyber-résilience.

Le National Institute of Standards and Technology (NIST), dans sa publication Developing Cyber-Resilient Systems: A Systems Security Engineering Approach, explique comment la résilience peut être intégrée aux systèmes plutôt que traitée après coup. La leçon est simple : la sécurité ne consiste pas seulement à empêcher les menaces d’entrer. Il s’agit également de s’assurer qu’une attaque réussie ne fasse pas tout détruire.

La cybersécurité n’est pas la même chose que la cyber-résilience

Les organisations s’efforcent de combler les vulnérabilités, de restreindre l’accès, de surveiller les activités suspectes et d’empêcher les utilisateurs non autorisés d’accéder aux systèmes sensibles. Ces contrôles restent essentiels, mais aucun contrôle n’est parfait.

Prenons l’exemple d’une entreprise qui protège sa base de données clients avec des contrôles d’accès stricts et sauvegarde régulièrement ses données. Cependant, son environnement de sauvegarde est accessible via le même compte administrateur utilisé pour gérer les systèmes de production.

Si un attaquant compromet ce compte, les systèmes actifs et les ressources de récupération pourraient être perturbés. L’organisation avait la sécurité. Il y avait des sauvegardes. Mais avait-il de la résilience ?

La cybersécurité contribue à réduire la probabilité et l’impact d’une attaque. La cyber-résilience vise à garantir que l’organisation peut poursuivre ses opérations essentielles, limiter les dommages, récupérer des systèmes fiables et s’adapter aux menaces futures.

Le NIST identifie quatre objectifs centraux pour la cyber-résilience :

• Anticiper: Comprenez les menaces, les faiblesses et les perturbations potentielles avant qu’elles ne surviennent.
• Résister à: Maintenez les fonctions essentielles, même lorsque certains systèmes sont compromis ou indisponibles.
• Récupérer: Restaurer les services de manière à rétablir la confiance dans les systèmes et les données
• Adapter: Tirez des leçons des incidents et améliorez les défenses et les capacités de récupération.

Ensemble, ces objectifs transforment la résilience d’un concept abstrait en questions commerciales pratiques : que se passe-t-il en cas de panne d’un système critique ? Peut-on récupérer sans réintroduire un attaquant ? Et allons-nous remédier aux faiblesses révélées par l’incident ?

La question de la sauvegarde : pouvons-nous restaurer ou pouvons-nous faire confiance à ce que nous restaurons ?

Pour de nombreuses organisations, les sauvegardes constituent la base de la restauration. Ils protègent contre la suppression accidentelle, les pannes matérielles et autres formes de perte de données. Mais une cyberattaque introduit un problème différent : l’organisation peut ne plus savoir à quels systèmes, informations d’identification ou copies de données on peut faire confiance.

Supposons qu’un détaillant soit victime d’une attaque de ransomware juste avant une période de soldes importante. Sa plateforme de commande est en panne, les entrepôts ne peuvent pas traiter les expéditions et les équipes du service client ne peuvent pas accéder à l’historique des commandes.

L’entreprise dispose de sauvegardes. C’est une bonne nouvelle, mais ce n’est qu’un début.

L’équipe de récupération doit déterminer quand l’attaquant est entré dans l’environnement, si les systèmes de sauvegarde ont été affectés et quel point de récupération peut être utilisé en toute sécurité. Il doit également déterminer si les systèmes d’identité et les informations d’identification de l’administrateur nécessaires à la restauration des opérations restent compromis.

La restauration des données d’un environnement infecté ou non fiable pourrait permettre à l’attaquant de retrouver l’accès. La mise en ligne des systèmes trop rapidement pourrait déclencher une autre panne. Cependant, attendre trop longtemps prolonge les perturbations pour les clients et les employés.

Le véritable défi n’est pas simplement la restauration des fichiers. Il s’agit de restaurer un environnement opérationnel digne de confiance.

Le guide CISA #StopRansomware recommande de conserver des sauvegardes cryptées hors ligne et de tester régulièrement leur intégrité et leurs procédures de récupération. Ces pratiques sont importantes car les sauvegardes auxquelles les attaquants peuvent accéder et détruire peuvent offrir peu de protection en cas d’incident.

Le succès d’une sauvegarde n’est pas automatiquement synonyme de reprise de l’activité. Un système techniquement disponible n’est pas nécessairement un système sûr.

Renforcer la résilience des systèmes connectés

Les entreprises modernes dépendent d’environnements interconnectés. Les applications s’appuient sur des services d’identité. L’infrastructure dépend des réseaux et des plateformes cloud. Les systèmes de protection des données doivent se connecter aux systèmes qu’ils protègent.

Ces connexions rendent les services numériques utiles, mais elles peuvent également fournir aux attaquants des itinéraires à travers une organisation. C’est là que la confiance zéro devient importante.

Souvent résumé par « ne jamais faire confiance, toujours vérifier », la confiance zéro exige que l’accès soit explicitement vérifié et limité à ce qui est nécessaire. Être au sein d’un réseau d’entreprise ne devrait pas automatiquement accorder un large accès à tout ce qui s’y trouve. Cependant, la confiance zéro et la cyber-résilience résolvent des problèmes liés mais différents.

Le NIST explique cette approche dans ses conseils sur l’architecture Zero Trust. La confiance zéro permet de limiter les possibilités pour les attaquants d’accéder à un environnement et de s’y déplacer, tandis que la cyber-résilience gère ce qui se passe lorsqu’un attaquant réussit quand même.

Les contrôles d’identité limitent l’accès. La segmentation du réseau aide à contenir un compromis. La protection des données protège les informations importantes. Les capacités de récupération indépendantes offrent un moyen de restaurer les opérations dans un environnement contrôlé.

Ces capacités doivent fonctionner ensemble.

Une sauvegarde protégée est moins utile si les systèmes de production compromis peuvent la supprimer. Un environnement de récupération peut ne pas être utile s’il s’appuie sur des informations d’identification d’administrateur déjà volées par un attaquant. Et une application hautement sécurisée offre une valeur commerciale limitée si l’organisation ne peut pas restaurer en toute sécurité les services d’identité dont elle dépend.

La résilience dépend des relations entre les mesures de protection, et pas simplement de la présence de contrôles individuels.

La question la plus difficile : à quoi pouvons-nous encore faire confiance ?

Lors d’un cyber-incident majeur, les organisations peuvent être amenées à isoler leurs réseaux, à désactiver des comptes privilégiés, à suspendre des services ou à déconnecter les systèmes des opérations normales. Ces décisions peuvent être perturbatrices, mais permettre à une attaque de se propager peut être bien plus dommageable.

Les équipes de récupération doivent identifier les services les plus importants pour l’entreprise, comprendre leurs dépendances, déterminer quelles données peuvent être restaurées en toute sécurité et établir un environnement dans lequel les systèmes peuvent être examinés et reconstruits.

Ils ont également besoin de réponses à des questions difficiles :

• Si le service d’identité principal est compromis, comment les équipes de récupération obtiendront-elles un accès sécurisé aux systèmes dont elles ont besoin ?
• Si un attaquant a atteint l’environnement de sauvegarde, quelles options de récupération indépendantes restent-elles ?
• Si l’organisation ne peut pas restaurer toutes les applications immédiatement, quels services doivent être rétablis en premier ?
• Qui a le pouvoir d’approuver la remise en production ?
• Comment l’organisation saura-t-elle que l’environnement restauré est suffisamment propre et digne de confiance ?

Ces questions relient l’architecture technique aux conséquences commerciales. Ils révèlent également des lacunes que les tests de disponibilité de routine peuvent manquer. Une organisation peut réussir à se remettre d’une panne de serveur sans jamais tester si elle peut récupérer après que les informations d’identification de l’administrateur ont été compromises.

Le Guide du NIST pour la récupération des événements de cybersécurité met l’accent sur la priorisation des ressources critiques, l’élaboration de plans de récupération, le test de scénarios réalistes et l’amélioration des capacités de récupération en fonction des enseignements tirés. Ces pratiques aident les organisations à réduire l’incertitude et à rétablir les services essentiels en cas de perturbation.

La résilience n’est pas une réussite ponctuelle. Les menaces évoluent, les systèmes changent et les organisations deviennent dépendantes des nouvelles technologies et des nouveaux fournisseurs de services. Chaque incident et chaque exercice doit révéler ce qui a échoué, quelles hypothèses se sont révélées incorrectes et ce qui doit être amélioré.

La reprise ne se limite pas à la technologie

Lorsqu’un cyberincident survient, les conséquences s’étendent au-delà des serveurs et des applications. Les clients peuvent perdre l’accès aux services. Les employés peuvent être incapables de travailler. Les partenaires peuvent attendre la fin des transactions. Les dirigeants doivent prendre des décisions avec des informations incomplètes lors de la communication avec les clients, les régulateurs et les autres parties prenantes.

La cyber-résilience ne peut donc pas relever de la seule responsabilité de l’équipe de sécurité.

Les équipes de sécurité réduisent la probabilité et l’impact des compromissions. Les architectes conçoivent des systèmes en gardant à l’esprit des scénarios de défaillance réalistes. Les équipes de récupération se préparent à restaurer les systèmes et les données lorsque les hypothèses de fonctionnement normales ne sont plus valables. Les chefs d’entreprise déterminent quels services doivent être prioritaires et quel degré de perturbation l’organisation peut tolérer.

Tous partagent un objectif : restaurer des opérations fiables tout en minimisant les dommages causés à l’entreprise et à ses clients.

Cela nécessite également de considérer la résilience comme une capacité organisationnelle continue, et non comme un document examiné une fois par an ou un investissement technologique réalisé de manière isolée.

La confiance zéro remet en question les hypothèses sur l’accès. La cyber-résilience étend cette réflexion à la perturbation et à la récupération : que se passe-t-il si un compte de confiance est compromis ? Que se passe-t-il si un service critique devient indisponible ? Et si les systèmes destinés à prendre en charge la récupération étaient également affectés ?

La réponse n’est pas de s’appuyer sur un seul produit de sécurité, une seule stratégie de sauvegarde ou un seul plan de réponse aux incidents. Il s’agit de construire un environnement dans lequel la prévention, le confinement, la protection des données, la récupération et l’apprentissage continu se renforcent mutuellement.

En fin de compte, la mesure la plus utile de la cyber-résilience n’est pas de savoir si une organisation s’est préparée sur papier à un incident. Il s’agit de savoir si, en cas de perturbation, elle peut protéger ce qui compte, prendre des décisions judicieuses, se rétablir en toute sécurité et en ressortir mieux préparée qu’auparavant.