Guide pour une cyber-résilience d’entreprise efficace

Un arrêt de production causé par un rançongiciel, l’indisponibilité prolongée d’un système ERP ou la compromission d’un fournisseur essentiel ne sont plus des événements confinés au périmètre informatique. Ils peuvent perturber les livraisons, entraîner des pénalités contractuelles, avoir des répercussions sur les assurances et mettre la gouvernance d’entreprise sous pression. Un guide sur la cyber-résilience de l’entreprise doit donc partir d’un principe précis : protéger les systèmes est nécessaire, mais cela ne suffit pas. L’objectif est de maintenir ou de rétablir les activités prioritaires dans des délais compatibles avec les exigences opérationnelles, réglementaires et du marché.

La cyber-résilience est la capacité d’une organisation à prévenir, absorber, réagir et se remettre d’incidents cybernétiques, tout en préservant ses fonctions essentielles et en tirant les leçons de l’incident. Elle ne se limite pas à la seule cybersécurité, qui privilégie la protection des réseaux, des identités, des applications et des données. La résilience intègre ces défenses dans la continuité des activités, la gestion de crise, la reprise après sinistre, la chaîne d’approvisionnement et le transfert du risque par le biais de l’assurance.

Guide sur la cyber-résilience des entreprises : le périmètre adéquat

Un programme efficace ne se met pas en place simplement en acquérant une nouvelle technologie ou en élaborant un plan destiné à rester dans les tiroirs. Il nécessite un modèle de gouvernance qui relie les risques cybernétiques, les processus métier, les dépendances technologiques et les décisions de la direction.

La première étape consiste à déterminer quels services, processus et actifs sont réellement critiques. Dans une entreprise manufacturière, par exemple, la priorité peut porter sur la planification de la production, la supervision des opérations techniques (OT), la gestion de la logistique et la capacité à émettre des documents de transport. Dans une société de services financiers, l’accent est mis sur la continuité des services à la clientèle, l’intégrité des données et les obligations de communication. Les mêmes mesures techniques peuvent donc produire des résultats très différents selon le modèle opérationnel.

Cette approche nécessite un langage commun entre le RSSI, les responsables informatiques, les gestionnaires des risques, les responsables de la continuité des activités, les responsables d’usine, le service juridique et la direction générale. Le conseil d’administration et la direction générale ne doivent pas entrer dans les détails des configurations de sécurité, mais doivent approuver la tolérance au risque, les priorités de reprise d’activité, les niveaux d’investissement et les seuils d’escalade en cas de crise.

Distinguer la protection, la continuité et la reprise

La prévention réduit le risque d’attaque grâce au contrôle des accès, à la segmentation, à la gestion des vulnérabilités, à la protection des terminaux et à la surveillance. Cependant, aucune mesure de contrôle ne permet d’éliminer totalement le risque. C’est pourquoi une planification axée sur les conséquences s’impose.

La continuité des activités définit la manière de poursuivre les activités critiques lorsque les ressources habituelles ne sont pas disponibles. La reprise après sinistre définit la manière de restaurer les infrastructures, les applications et les données. La gestion de crise régit les décisions, la communication et la coordination dans des situations de pression. La cyber-résilience rassemble ces éléments et vérifie leur bon fonctionnement dans un scénario plausible, y compris en cas de compromission des outils habituellement utilisés pour gérer la situation d’urgence.

De l’évaluation des risques aux priorités de remise en état

Une évaluation des risques cybernétiques utile à la résilience ne peut se limiter à une simple liste de vulnérabilités. Elle doit établir des liens entre les menaces, les scénarios d’attaque, les expositions et les répercussions sur l’activité. Il est essentiel d’identifier les dépendances : une application apparemment secondaire peut bloquer un processus critique si elle gère l’authentification, l’échange de données, la planification ou les interfaces avec les fournisseurs.

L’analyse d’impact sur l’activité permet de traduire cette analyse en exigences opérationnelles. Pour chaque processus prioritaire, il convient de définir la durée maximale tolérable d’indisponibilité, l’objectif de temps de reprise (RTO) et l’objectif de point de reprise (RPO). Le RTO indique dans quel délai une fonction ou un système doit être rétabli ; le RPO fixe la quantité maximale de données que l’organisation peut accepter de perdre.

Ces paramètres ne sont pas des formules théoriques. Un RTO de quatre heures peut être adapté à un système de gestion des commandes, mais s’avérer insuffisant ou excessif pour une plateforme industrielle, en fonction de la sécurité physique, des coûts d’indisponibilité, des obligations contractuelles et de la possibilité de fonctionner en mode manuel. Fixer des objectifs irréalistes crée de fausses attentes vis-à-vis de la direction et conduit à des investissements inefficaces.

L’analyse devrait également prendre en compte des scénarios à haut niveau de gravité : ransomware avec exfiltration de données, indisponibilité du fournisseur de services cloud, compromission d’identifiants privilégiés, attaque contre des systèmes OT, panne électrique combinée à une indisponibilité des communications, incident chez un tiers stratégique. L’hypothèse d’une défaillance isolée est souvent trop peu contraignante pour évaluer la capacité de réaction effective.

Concevoir des capacités de résilience vérifiables

La disponibilité des sauvegardes ne signifie pas automatiquement qu’une restauration est possible. En cas d’attaque par ransomware, les copies peuvent être chiffrées, accessibles depuis les comptes compromis eux-mêmes ou non conformes aux exigences de restauration. Il convient d’élaborer une stratégie incluant la ségrégation, l’immuabilité lorsque cela est approprié, la protection des identifiants d’administration, la réplication contrôlée et des tests de restauration périodiques.

Le choix de l’architecture dépend des exigences mises en évidence par l’analyse. Haute disponibilité, site de secours, réplication géographique, reprise dans le cloud et procédures manuelles sont autant d’options présentant des coûts, des délais et des risques différents. Toutes les applications ne méritent pas la même solution. Le critère approprié est la cohérence entre l’impact attendu, les objectifs RTO/RPO, les dépendances techniques et le coût de la mesure.

Une attention particulière doit être accordée aux environnements industriels. Dans les systèmes OT, la disponibilité, la sécurité des personnes et la continuité de la production peuvent primer sur l’application immédiate de mises à jour ou sur des interventions invasives. La segmentation entre l’informatique (IT) et les technologies opérationnelles (OT), la gestion des accès à distance des techniciens de maintenance, l’inventaire des actifs et les procédures de reprise validées avec les équipes opérationnelles et les fournisseurs revêtent une importance déterminante.

Préparez votre réponse avant l’incident

Lors d’un incident cyber, le problème n’est pas uniquement d’ordre technique. Il faut décider rapidement s’il convient d’isoler des systèmes, d’arrêter des processus, de faire appel à des prestataires spécialisés, de préserver les preuves, d’informer les clients et de faire intervenir les assureurs. En l’absence de rôles prédéfinis, on perd du temps dans des réunions infructueuses et des autorisations tardives.

Un plan d’intervention en cas d’incident doit préciser les rôles, les pouvoirs décisionnels, les critères de classification, les canaux de communication alternatifs, les coordonnées à jour et les procédures d’escalade. Il doit également s’aligner sur les obligations applicables en matière de protection des données, de réglementation sectorielle et de sécurité des réseaux et des systèmes d’information. Le niveau de détail dépend de la taille de l’organisation, du secteur d’activité et de la juridiction, mais l’absence de structure décisionnelle constitue un risque transversal.

Il convient de prévoir des guides d’intervention pour les scénarios les plus plausibles et les plus préjudiciables. Un guide d’intervention en cas de rançongiciel, par exemple, devrait aborder les mesures de confinement, l’évaluation de l’exfiltration, les priorités de restauration, la gestion de la communication et les critères de reprise des activités. Il ne remplace pas le jugement de l’équipe de crise, mais réduit l’incertitude au cours des premières heures.

Mettre à l’épreuve ce que l’on prétend savoir faire

Les plans et les procédures ne prennent toute leur valeur que lorsqu’ils sont mis à l’épreuve. Ce test ne doit pas se limiter à un simple exercice documentaire visant à confirmer que tout fonctionne : il doit permettre de repérer les lacunes, les conflits de responsabilité, les dépendances non recensées et les hypothèses non validées.

Les exercices peuvent aller de tests techniques de restauration à des exercices sur table avec la direction, jusqu’à des simulations intégrées impliquant les services informatiques, les opérations, le service juridique, la communication et des tiers. Dans des environnements bien établis, il est également utile de tester la perte des principaux outils de collaboration, l’indisponibilité d’un fournisseur de services cloud et la nécessité de travailler avec des données incomplètes.

Chaque test devrait fournir des éléments probants : objectifs atteints ou non, délais réels, décisions critiques, mesures correctives, responsables et échéances. L’indicateur le plus utile n’est pas le nombre d’exercices réalisés, mais la réduction vérifiable des écarts par rapport aux objectifs définis.

Compétences, normes et amélioration continue

La cyber-résilience est une discipline organisationnelle avant d’être technologique. Elle exige des compétences certifiées, une capacité de dialogue entre les services et une connaissance des références internationales applicables. Une formation spécialisée, des évaluations indépendantes et des audits techniques permettent d’éviter la mise en place de programmes cloisonnés, dans lesquels la sécurité, la continuité et la gestion des risques reposent sur des critères incompatibles.

Continuitaly accompagne les organisations et les professionnels afin de rendre ces compétences mesurables et applicables, grâce à des parcours alliant des normes reconnues, des exercices pratiques et des évaluations opérationnelles. Pour les entreprises les plus exposées, l’intérêt ne réside pas dans le fait de disposer d’un plan supplémentaire, mais dans la capacité à savoir qui prend les décisions, ce qu’il faut restaurer, avec quelles ressources et dans quels délais lorsque l’incident se produit réellement.

La question pertinente à soulever lors de la prochaine réunion du comité des risques n’est pas de savoir si l’entreprise est protégée contre toute attaque. Il s’agit plutôt de déterminer si ses fonctions critiques sont en mesure de continuer à servir les clients, les collaborateurs et le marché, même après une attaque réussie.

This post is also available in: