if ( !emtpy($headline_subheadline ) ) : ?>
La plupart des plans d’intervention supposent un endroit sûr pour la coordination. Décider quand cela a disparu est une question de jugement, peu d’équipes répètent, et ce qui a été dit auparavant reste enregistré.
endif; ?>
Les premières heures qui suivent un cyberincident grave sont riches en activité. La sécurité commence à enquêter, le service informatique s’efforce de contenir l’impact, le service juridique commence à évaluer les obligations potentielles et les dirigeants veulent savoir ce qui s’est passé et ce que l’entreprise fait à ce sujet. La plupart des équipes s’appuient sur les mêmes outils qu’elles utilisent quotidiennement pour coordonner ce travail, ce qui signifie généralement le courrier électronique, Slack, Teams, les documents partagés et les appels vidéo.
La coordination devient beaucoup plus compliquée lorsque l’environnement de messagerie ou de collaboration de l’entreprise est impliqué dans l’incident. Le courrier électronique peut toujours fonctionner, les employés peuvent toujours participer à des réunions et rien à première vue ne peut suggérer que l’organisation a perdu le contrôle de ses communications. Pendant ce temps, un attaquant ayant accès aux comptes utilisés par les intervenants peut lire les messages de l’équipe, surveiller les plans de confinement ou se faire passer pour une personne impliquée dans l’intervention.
Lorsque cela se produit, l’entreprise est confrontée à une deuxième crise au sein de la première. Les systèmes dont dépendent les gens pour gérer l’incident ne sont plus fiables.
Après plus de deux décennies passées dans le domaine de la confidentialité et des violations, et dans mes conversations hebdomadaires avec les équipes de sécurité et juridiques, je constate la même tendance. La plupart des plans de réponse aux incidents tiennent compte de l’indisponibilité des outils de messagerie ou de collaboration. Les équipes disposent d’arborescences téléphoniques, d’informations de contact personnelles et de lignes de conférence de secours. Ils savent qui ils doivent appeler. Ce qui leur manque souvent, c’est une approche systématique pour les cas les plus difficiles. Beaucoup moins de projets abordent la situation plus ambiguë dans laquelle ces systèmes restent fonctionnels alors que l’organisation ne peut plus savoir avec certitude qui lit, envoie ou modifie les messages qu’ils contiennent.
Ce scénario nécessite une méthode planifiée pour déplacer la réponse hors de la bande pendant que les enquêteurs déterminent ce qui a été compromis.
Quand l’attaquant peut être à l’intérieur de la réponse
Ce problème est facile à constater lors d’un ransomware. Les systèmes tombent en panne, les employés perdent l’accès et le besoin de communications alternatives devient évident. Les communications compromises rendent le jugement plus difficile, car l’environnement affecté peut sembler tout à fait normal.
Supposons que l’équipe de sécurité découvre qu’un attaquant a accédé aux comptes de messagerie et de collaboration utilisés par les membres de l’équipe de réponse aux incidents. L’équipe doit déterminer l’étendue de cet accès, éliminer l’attaquant et contenir l’intrusion, mais discuter de ces actions dans le canal habituel des incidents pourrait indiquer à l’attaquant exactement ce qui s’en vient. Le service juridique a besoin des faits les plus récents pour évaluer les exigences en matière de notification, l’équipe de communication se prépare aux questions des clients et la direction attend des mises à jour régulières. Chacune de ces conversations peut révéler quelque chose de précieux pour la personne que l’entreprise tente de supprimer. L’attaquant est dans la réunion.
Les intervenants doivent alors répondre à une question fondamentale avant de pouvoir coordonner quoi que ce soit d’autre en toute sécurité : qui peut voir ce que nous disons ?
D’innombrables entreprises s’appuient sur Teams ou Slack lors d’incidents, car ce sont les systèmes que leurs employés utilisent déjà. Le compromis est que la réponse reste dans un environnement auquel l’attaquant peut déjà accéder et qu’il a toutes les raisons de surveiller. Je connais plusieurs cas où des attaquants ont rejoint ou enregistré des ponts Zoom et Teams utilisés pour des réunions incidentes.
Ce qui a déjà été dit
Planifiez comme si l’entreprise allait se retrouver devant les tribunaux. Le canal hors bande devrait permettre aux équipes de séparer la coordination opérationnelle de l’analyse juridique, de limiter la participation et de commencer à constituer un dossier que les régulateurs et les plaignants pourront examiner plus tard : ce qui a été décidé, par qui, sur quels faits et pourquoi. Le service juridique devrait concevoir cette structure avant l’incident. Essayer de le créer pendant un canal que l’attaquant est susceptible de lire, aggrave le problème.
Ce qu’un plan hors bande doit résoudre
L’erreur que je vois est de commencer par une application de sauvegarde. Commencez par le scénario de défaillance et cartographiez toutes les dépendances partagées par les environnements de communication principaux et d’urgence, y compris les services d’identité, les appareils gérés, la gestion des appareils mobiles, les informations d’identification administratives et les annuaires des employés. Si les deux canaux dépendent du même composant sous-jacent, ce composant reste un point de défaillance unique.
Décidez ensuite de la manière dont les participants prouveront qui ils sont. Un attaquant ayant accès aux e-mails ou aux calendriers peut savoir qu’une réunion d’urgence a lieu et disposer de suffisamment de contexte pour se faire passer pour un cadre ou un intervenant. Le processus de vérification ne peut pas dépendre des comptes faisant l’objet d’une enquête.
La même préparation devrait couvrir les avocats externes, les enquêteurs légistes, les assureurs et les conseillers en communication. Maintenez les informations de contact à jour, définissez qui peut autoriser leur participation et établissez comment l’équipe les vérifiera avant le début d’un incident.
Les appareils comptent également. Un canal alternatif n’apporte que peu de valeur si les intervenants ne peuvent y accéder que via les ordinateurs portables de l’entreprise qu’ils ont été invités à déconnecter. Le plan doit préciser quels appareils les intervenants peuvent utiliser et à quelles informations ils peuvent accéder via ceux-ci.
L’approche spécifique dépendra de la taille de l’entreprise, de son profil de risque et des systèmes existants. Le test est de savoir si la réponse peut se poursuivre sans dépendre de l’environnement étudié.
Entraînez-vous à déplacer la réponse
La plupart des organisations qui testent les communications de secours se concentrent sur le fonctionnement du canal. Ils devraient également répéter l’appel au jugement qui l’active. Les participants doivent reconnaître quand l’environnement principal n’est plus fiable, alerter l’équipe d’intervention sans révéler le mouvement et continuer à opérer sur le canal alternatif.
Un exercice de simulation peut commencer par la preuve qu’un attaquant a accédé aux comptes de messagerie et de collaboration utilisés par plusieurs intervenants, même si les deux services semblent toujours fonctionner normalement. L’équipe doit décider quelles preuves sont suffisantes pour déclencher le déménagement, qui a le pouvoir de passer cet appel et comment l’identité de chacun sera vérifiée après son arrivée.
L’exercice devrait faire appel à des partenaires sécuritaires, juridiques, exécutifs et extérieurs essentiels. Ajoutez à cela les complications qui rendent les incidents réels difficiles, comme un cadre qui envoie des instructions contradictoires par courrier électronique professionnel, une personne rejoignant une réunion à partir d’un compte inconnu, un contact d’urgence obsolète ou un tiers incapable de s’authentifier.
Ces moments révèlent si l’entreprise dispose d’une capacité de travail ou seulement un document la décrivant. Je mesurerais le temps qu’il faut pour reconnaître la nécessité d’agir, d’activer les parties prenantes essentielles, d’établir un groupe d’intervention vérifié et d’informer brièvement le leadership. Chaque moment où les participants se tournent vers l’environnement affecté révèle une dépendance que le plan écrit a manquée.
La plupart des plans de réponse aux incidents supposent que l’entreprise disposera d’un endroit sûr où se coordonner. Cette hypothèse mérite le même examen minutieux que les sauvegardes, les procédures de récupération et les playbooks de confinement. La décision de quitter les systèmes familiers devrait avoir des déclencheurs définis, un propriétaire clair et une destination que tout le monde a déjà utilisé.
Lorsque l’environnement de communication devient partie intégrante de la violation, les délais légaux, les décisions commerciales, les clients et les employés n’attendent pas. L’entreprise doit savoir quand déménager, où aller et comment continuer à fonctionner une fois sur place.
