Wavestone accompagne de nombreuses victimes dans la gestion de leur crise déclenchée par des attaques de rançongiciel. Ces situations complexes et soudaines, entrainent souvent la prise de mauvaises décisions par des équipes informatiques et de Direction qui sont peu entrainées.

Ce top 10 des pièges à éviter en gestion de crise par rançongiciel est basé sur le retour terrain collecté depuis plus de 5 ans d’accompagnement des victimes.

#1 Penser que payer la rançon permettra de redémarrer plus vite

Bien que l’Agence Nationale de Sécurité des Systèmes d’Information (ANSSI) recommande[1] de ne jamais payer de rançon, cette question se posera toujours pour certaines parties prenantes, en particulier les décideurs, pas toujours suffisamment sensibilisés à ces sujets. Au-delà du fait que le paiement de rançon encourage les attaquants à poursuivre leurs activités, il convient de rappeler qu’il ne permet pas toujours d’obtenir la clé de déchiffrement.

Dans le cas où le paiement de la rançon permettrait d’obtenir la clé de déchiffrement, il est à noter que le temps de déchiffrement est souvent très long. En effet, en fonction de la taille des fichiers chiffrés, il faut parfois compter plusieurs heures voire dizaines d’heures par serveur ou par poste de travail. Lorsque le parc informatique est important, une coordination stricte est nécessaire pour traiter tous les systèmes. En comparaison, il sera plus rapide de restaurer les systèmes à partir des sauvegardes.

Au-delà du temps nécessaire, l’expérience montre qu’il existe aussi de nombreuses erreurs dans les processus de chiffrement ou déchiffrement. Ainsi, même avec la clé de déchiffrement, certains fichiers, en particulier les plus volumineux sont parfois altérés et ne peuvent pas être réutilisés en l’état.

En synthèse, nous sommes très loin de l’idée reçue qu’un simple clic permet de retrouver un système d’informations fonctionnel après le paiement de la rançon. S’il existe des sauvegardes saines et fonctionnelles, il n’y a aucun intérêt à réfléchir à un paiement de rançon pour redémarrer les services. Dans le cas de vol de données, la question est plus complexe.

#2 Rouvrir trop vite le système d’information

Pour limiter les pertes d’exploitation dues à l’inactivité, la cellule de crise est souvent pressée par les métiers pour redémarrer au plus vite le système d’information. Durant la phase de reconstruction à la suite d’une attaque cyber, il est nécessaire de maitriser les deux principaux risques suivants :

• Reprise par l’attaquant de son attaque et chiffrement à nouveau des systèmes reconstruits
• Vol de nouvelles informations par l’attaquant qui relance l’exfiltration de données

Pour réduire largement ces risques, la première mesure de sécurité à mettre en place est l’isolation du système d’informations par rapport à l’extérieur (accès Internet en entrée et sortie, liens avec les partenaires…). Cette mesure permet de couper les liens entre l’attaquant et ses outils malveillants et réduit ainsi drastiquement le risque de reprise de l’attaque. Pour les activités les plus critiques, certains flux vers l’extérieur peuvent être ouverts unitairement (depuis ou vers un serveur maitrisé, sur un port donné) mais la réouverture de large plage depuis ou vers l’extérieur augmente les risques.

La restauration des serveurs est la première étape du processus de reconstruction. Mais les serveurs n’étant pas toujours sauvegardés simultanément, une resynchronisation des applications et des données est souvent nécessaire avant la mise en service. A titre d’exemple, un redémarrage précipité d’une application de paiement en période de crise a déjà donné lieu à un double paiement de centaines de milliers d’euros, qui avait déjà été transmis à la banque avant l’attaque.

#3 Attendre un niveau de sécurité extrême avant de rouvrir

Les attaques cyber ayant un impact important, elles représentent parfois un traumatisme pour les équipes qui craignent que l’attaque se répète et s’impose un niveau de sécurité extrême avant le redémarrage. Il s’agit de trouver le bon équilibre entre sécurité et reprise rapide d’activité.

Pour la reconstruction des serveurs, deux stratégies sont possibles :

• La stratégie de la zone verte. Elle privilégie la sécurité à la rapidité de redémarrage. Elle consiste en la création d’une nouvelle zone réseau isolée dans laquelle seules les machines reconstruites sont hébergées. Les composants techniques (Active Directory, DHCP, DNS…) sont dédiés à cette zone sécurisée. Cependant, la modification du plan d’adressage peut avoir des effets de bord et ralentir le redémarrage.
• La stratégie de la zone grise. Elle privilégie la rapidité de redémarrage à la sécurité. Elle consiste en la reconstruction ou restauration des serveurs dans leur zone initiale. Les machines compromises peuvent côtoyer les machines restaurées. Cette stratégie représente un risque lorsque la propagation de l’attaque se fait de serveur à serveur.

Le choix de la stratégie doit se faire en considérant les investigations et les techniques utilisées par l’attaquant. Comme indiqué précédemment, l’isolation de l’extérieur reste une mesure clé permettant de réduire largement les risques.

#4 Refuser un redémarrage en mode dégradé

Dans la plupart des entreprises, l’informatique est devenue indispensable au fonctionnement de toutes les opérations. Dans la situation exceptionnelle d’arrêt total du SI, il est souvent inconcevable, au premier abord, de continuer à travailler sans informatique. C’est souvent le discours avancé par les Directions informatique et métiers durant les crises cyber.

Dans de nombreux cas, il est en fait possible de limiter les impacts en travaillant en mode dégradé. Il s’agit notamment d’appliquer certains plans de résilience ou de continuité d’activité déjà définis. Mais aussi d’y réfléchir pendant la crise, lorsque l’activité est arrêtée. Les dirigeants sous-estiment souvent la mobilisation et la créativité des équipes pour travailler différemment (débrayage de processus non essentiels, transfert vers un partenaire, opérations à réaliser manuellement…).

Il est essentiel de trouver un bon équilibre entre le redémarrage d’une première application en mode dégradé dans les deux jours qui suivent, plutôt que d’attendre deux semaines pour avoir la chaîne applicative complète.

#5 Vouloir tout redémarrer en même temps

Les grandes entreprises ont des systèmes d’informations complexes qui comptent parfois plusieurs centaines voire milliers d’applications. Dans les situations de crise cyber, il est impossible de consacrer autant de temps à toutes les applications. Il est essentiel de les prioriser en définissant un ordre de redémarrage.

Chaque Direction a souvent tendance à considérer que sa propre activité est la plus importante de l’entreprise. Un arbitrage de la Direction Générale est souvent nécessaire pour établir un plan de redémarrage qui sera appliqué par tous. Certaines branches, pays ou régions verront leurs applications démarrées plus tard que d’autres.

Il faut également noter qu’il existe de nombreuses dépendances entre les applications. Celles-ci ne sont pas toujours connues par les équipes informatiques mais doivent être prises en compte dans le plan de redémarrage.

#6 Mener des changements importants dans l’urgence

Il est parfois tentant de vouloir profiter de la situation d’arrêt des systèmes pour mener des changements importants dans le système d’informations.

Les équipes sécurité y voit une occasion de mener des chantiers qui ont toujours été refusés par la DSI car vus comme complexes et impactants : cloisonnement du réseau, montée de version de système d’exploitation, tiering de l’Active Directory, authentification multi-facteurs…

Si ces projets sont nécessaires pour renforcer le niveau de sécurité, il conviendra d’éviter d’engager des changements trop importants pendant la période de crise afin de concentrer les équipes sur les actions absolument nécessaires au redémarrage avec un niveau de sécurité maitrisé.

A titre d’exemple, cloisonner le réseau nécessite de revoir le plan d’adressage, d’ajouter des équipements réseaux, de modifier des configurations. Ces actions engendrent souvent des problèmes supplémentaires à traiter (IP enregistrée en dur dans l’application, blocage de flux nécessaires pour le bon fonctionnement de l’application…)

#7 Attendre la fin des investigations et le patient zéro et pour lancer la reconstruction

Les investigations sont essentielles pour comprendre les techniques de l’attaquant et ainsi retracer les vulnérabilités qu’il a exploitées pour réussir son attaque. Elles permettent ainsi de corriger ces vulnérabilités lors de la reconstruction pour éviter une nouvelle attaque. Cependant les investigations sont complexes et nécessitent du temps (parfois plusieurs semaines).

Une erreur standard consiste à attendre la fin des investigations pour lancer la reconstruction. En réalité, il est indispensable de commencer les opérations de reconstruction avant la fin des investigations. Le plan de reconstruction sécurisée sera alors alimenté en continu en fonction des découvertes des équipes d’investigation.

Dans de nombreux cas, il sera même impossible de déterminer le patient zéro ou de reconstituer la chronologie de l’attaque. En effet, les traces (log) conservées sur le système d’information ne sont pas toujours assez précises (verbosité) ou ne permettent pas de remonter assez loin (durée de rétention). Elles ont parfois été supprimées par l’attaquant qui a effacé ses traces.

Enfin, les décideurs demandent fréquemment si des données ont été exfiltrées du système d’information. Il faut noter qu’il est rarement possible de répondre précisément à cette question sauf si l’entreprise dispose de systèmes de sécurité avancés (DLP par exemple).

#8 Ne pas anticiper la gestion des ressources humaines

Les crises cyber sont des situations où les collaborateurs se mobilisent intensément. La motivation des équipes pour résoudre la situation est telle que certaines ne souhaitent pas s’arrêter. Ils enchainent les longues journées (voire nuits) et atteignent parfois de leurs limites. Il est courant de constater des cas de burnout, hospitalisation ou arrêt maladie durant les crises mal gérées.

Dans le cas d’une attaque par rançongiciel d’ampleur, il faudra compter au moins 3 semaines d’intense mobilisation des équipes. Il est essentiel d’organiser, dès le début de la crise des rotations d’équipes, pour permettre de conserver les ressources clé sur la durée.

Il est souvent opportun de faire appel à un renfort de prestataires externes pour des activités d’expertise (investigations numériques, reconstruction Active Directory, système de sauvegardes…) ou pour démultiplier les efforts (réinstallation de postes de travail, montée de version de système d’exploitation, coordination des tâches…).

#9 Cacher la situation aux collaborateurs, aux partenaires, aux clients

Il y a plus de 5 ans, les entreprises qui subissaient une attaque cyber voyaient leur grandement réputation entachée car elles n’avaient pas su se protéger. Avec la multiplication des attaques cyber, de nombreuses organisations sont victimes d’attaques cyber et les entreprises seront autant jugées sur le fait d’être victime que sur leur capacité à gérer leur crise.

Un des premiers réflexes des équipes dirigeantes est souvent de ne pas communiquer aux parties prenantes (collaborateurs, partenaires, clients) pour espérer que l’attaque passe inaperçue. Force est de constater qu’une attaque d’ampleur finit toujours par être communiquée. Dans ces situations, les réseaux sociaux et les médias communiqueront avant la victime qui devra ensuite adopter une posture défensive en réaction. Il est recommandé d’adopter une posture de transparence avec les parties prenantes qui seront rassurées de savoir que la situation est sous contrôle.

Enfin, les partenaires doivent bénéficier d’une communication adaptée. En effet, sans information spécifique, nombre d’entre eux vont couper tous les liens avec la victime et la réouverture sera longue et complexe. Ils seront plus enclins à rouvrir si la victime les a prévenus proactivement.

#10 Ne pas structurer le pilotage de la crise

Une attaque par rançongiciel ayant des impacts très importants sur les systèmes d’informations, elle crée nécessairement un désordre dans l’entreprise. Il n’est plus possible de compter sur les processus de communication et de prise de décision existants.

Certains pensent que la situation de crise autorise un pilotage approximatif : réunions improvisées, suivi d’actions perfectibles, absence de formalisation… Au contraire, les décisions doivent être précises et rapides, formalisées et communiquées à l’ensemble des parties prenantes. Cette discipline est la clé d’une gestion de crise réussie où chacun trouve sa place et est utilisé à bon escient.

Dans certaines crises d’ampleur comme dans les groupes internationaux, il n’est pas inutile de monter une cellule PMO de crise de plusieurs dizaines de personnes. Elle aura la charge de la consolidation d’un état des lieux précis, de l’organisation des comités de crise, de la communication et du suivi des décisions prises par la cellule de crise. Cette cellule constituée de professionnels de la gestion de crise est un atout indispensable pour une gestion de crise efficace.

Une attaque par rançongiciel est un événement soudain qui entraine des impacts très importants sur les activités de l’entreprise. La gestion de crise associée présente de nombreux pièges à éviter pour retrouver une situation fonctionnelle rapidement. Il est fortement recommandé de s’entourer de professionnels de la gestion de crise cyber pour optimiser les opérations et bénéficier de retours d’expériences.

[1] https://www.ssi.gouv.fr/uploads/2020/09/anssi-guide-attaques_par_rancongiciels_tous_concernes-v1.0.pdf

Cet article Top 10 des pièges à éviter pour une gestion de crise rançongiciel réussie est apparu en premier sur RiskInsight.

Depuis quelques années, les entreprises voient leur budget de cybersécurité exploser : il a augmenté de 51% depuis 2018, selon les rapports Gartner[1]. Il est maintenant demandé aux RSSI de maîtriser les coûts de cybersécurité et d’en rendre compte à la direction voire au régulateur.  

Or, cette hausse du budget consacré par les grandes entreprises à la sécurité des systèmes d’information ne s’est pas toujours accompagnée d’un pilotage budgétaire. Ainsi, certaines entreprises lancent des projets de suivi et de collecte des coûts cybersécurité, dans l’espoir de mieux comprendre leur évolution et de prendre les bonnes décisions stratégiques pour augmenter le niveau de sécurité tout en optimisant le budget. Mais la mise en place d’un pilotage budgétaire est un processus complexe qui doit répondre à des objectifs précis.  

Dans quelle mesure l’installation d’un pilotage budgétaire de la cybersécurité est un enjeu clé pour les RSSI des grandes entreprises ?  

Nos expériences auprès de nos clients révèlent qu’une collecte des budgets de cybersécurité et l’instanciation de leur pilotage sont souvent des exercices à la finalité utile ; un rapport issu d’un tel exercice est un outil de gouvernance précieux. Nous allons examiner dans ce premier volet les bénéfices qu’amène une collecte des coûts régulière et industrialisée et son utilité véritable.  

Prendre des décisions d’investissement pour piloter efficacement la cybersécurité  

Le rapport budgétaire final est un véritable outil de gouvernance menant vers l’excellence opérationnelle. En effet, il permet de répondre à la question suivante : le budget cybersécurité de l’entreprise est-il utilisé efficacement ?  

Le pilotage budgétaire permet donc de vérifier que les investissements sont alignés avec les risques principaux auxquels l’entreprise fait face. À titre d’exemple, une société pourrait se rendre compte que ses investissements dans une thématique du référentiel NIST sont particulièrement faibles. Si, de surcroît, des audits montrent que le niveau de sécurité est insuffisant sur cette thématique, alors le constat est clair : il est nécessaire de consacrer plus de budget à ce sujet. Dès lors, le rapport budgétaire est un des éléments qui permettent de prendre une décision d’investissement chiffrée sur cette thématique. 

Exemple d’un visuel d’un rapport budgétaire présentant les budgets par activités NIST. Dans cet exemple, le rapport budgétaire souligne de faibles investissements dans la thématique « Gestion des identités et des accès ». Si des indicateurs opérationnels montrent que le niveau de maturité du Groupe est faible sur ce thème NIST, alors il sera évident que l’entreprise a tout intérêt à faire des investissements plus importants sur ce sujet.  

De plus, le détail des chiffres du budget à l’échelle des entités du Groupe est précieux pour ces dernières lorsqu’il leur est partagé de manière transversale. En effet, il leur offre un véritable outil de benchmark interne qui leur permettra de se positionner par rapport à leurs semblables. Les RSSI des différentes entités concernées pourront échanger directement entre eux afin de partager des bonnes pratiques de cybersécurité et identifier les meilleurs exemples opérationnels implémentés par leurs pairs. 

Prendre des décisions d’optimisation pour atteindre l’excellence  

Le pilotage budgétaire permet d’identifier des opportunités d’optimisation au niveau des entités ou du Groupe, afin d’améliorer l’efficacité de la cybersécurité.  

Le rapport budgétaire est un atout pour mieux piloter les ressources humaines dédiées à la cybersécurité. Par exemple, il permet d’estimer les parts d’employés internes et des ressources externes et de procéder aux ajustements nécessaires. A la lecture du rapport budgétaire, la Direction pourrait lancer un programme d’internalisation si elle se rend compte que la part d’externes est trop importante. Elle peut aussi changer la répartition géographique des ressources humaines afin de mieux répondre aux exigences de sécurité des entités dans différents pays et de jauger la répartition onshore /offshore.  

Exemple d’un visuel d’un rapport budgétaire présentant le nombre d’employés en cybersécurité. Dans cet exemple, le graphique révèle un risque que la part d’internes soit trop faible pour maintenir l’expertise en interne. Il pourrait donc être intéressant de lancer un plan d’internalisation.  

La consolidation du budget de cybersécurité donne l’occasion de réaliser des économies et d’automatiser ou de mutualiser des activités. Le pilotage budgétaire peut alors se traduire par des décisions de massification de contrats, de rationalisation ou d’automatisation afin de garder la maîtrise des coûts de cybersécurité.  

Connaître son budget de cybersécurité pour répondre aux autorités et communiquer en externe  

Lorsque le budget cyber de l’entreprise fait l’objet de contrôle par des autorités régulatrices, il sera nécessaire de disposer d’un processus de collecte dédié afin d’être en mesure de fournir une décomposition fiable des coûts de sécurité informatique. Une collecte budgétaire bien menée permettra la création de données analytiques, puis de livrables qui serviront de base à des réponses précises et avisées. Par exemple, la Banque Centrale Européenne a notamment demandé à certaines organisations bancaires de présenter le détail des ressources humaines consacrées à la sécurité des systèmes d’information pour contrôler la préparation des banques européennes aux risques liés à la cybersécurité [2]. 

Aussi, une vision synthétique permettra de communiquer avec certitude sur l’état des budgets et des dépenses consacrées à la sécurité et ce auprès de tout tiers intéressé. A titre d’exemple, la banque américaine JP Morgan Chase a expliqué dans sa lettre aux actionnaires d’avril 2019 que la cybersécurité était une de ses préoccupations majeures. Elle a indiqué consacrer plus de 600 millions de dollars par an à la sécurité informatique et employer 3000 personnes qui travaillent sur le sujet [3].  

Enfin, la connaissance de son budget est également importante dans le cadre de la souscription d’une cyber assurance, pour prouver les moyens mis dans la cybersécurité. Par ailleurs, lors d’une fusion-acquisition, les ressources investies en cybersécurité sont souvent prises en compte dans la valorisation d’une entité. 

Ainsi, il apparaît particulièrement utile pour les grandes entreprises d’avoir un processus de collecte des coûts de cybersécurité. En effet, il permet aux décideurs de prendre connaissance des montants consacrés par le groupe à la sécurité des systèmes d’information et de piloter la stratégie. Cependant, la construction d’un rapport budgétaire pertinent repose sur la mise en place préalable d’un processus de collecte de données exhaustif, méthodique et standardisé. Le prochain volet de cette série détaillera le cadrage et la mise en place en place d’un processus de pilotage budgétaire.  

Références

[1] « Gartner Forecasts Worldwide Information Security Spending to Exceed $124 Billion in 2019 », août 2018, https://www.gartner.com/en/newsroom/press-releases/2018-08-15-gartner-forecasts-worldwide-information-security-spending-to-exceed-124-billion-in-2019

[1] « Cybersecurity spending trends for 2022: Investing in the future », décembre 2021, https://www.csoonline.com/article/3645091/cybersecurity-spending-trends-for-2022-investing-in-the-future.html

[2] « Cybersecurity for the financial sector », https://www.ecb.europa.eu/paym/pol/shared/pdf/qa_cybersecurity.pdf

[2] « Face au risque de cyberattaque, la BCE demande aux banques d’être prêtes», février 2022, https://www.latribune.fr/entreprises-finance/banques-finance/banque/face-au-risque-de-cyberattaque-la-bce-demande-aux-banques-d-etre-pretes-903841.html

[3] « CEO Letter to shareholders », août 2019, https://www.jpmorganchase.com/content/dam/jpmc/jpmorgan-chase-and-co/investor-relations/documents/ceo-letter-to-shareholders-2018.pdf

Cet article Excellence opérationnelle : l’enjeu d’organiser un pilotage budgétaire de la cybersécurité dans l’entreprise est apparu en premier sur RiskInsight.

A l’occasion du lancement du mois européen de la cybersécurité et pour les Assises de la Sécurité (du 13 au 16 octobre 2021), le cabinet Wavestone dévoile la nouvelle édition de son benchmark des incidents de cybersécurité. Pour cela, le cabinet a passé en revue les interventions de son équipe de gestion de crise le CERT-Wavestone entre septembre 2020 et octobre 2021.

Cela représente 60 incidents de sécurité majeurs ayant mené à l’interruption d’activités ou à une compromission avancée du SI et ce, dans des secteurs diversifiés : industrie, secteur public, agroalimentaire, technologies de l’information, finance, etc. L’objectif de ce benchmark est d’éclairer et de montrer l’évolution de l’état de la menace cyber en France, tout en partageant les clés pour une meilleure anticipation et réaction.

« Les groupes de cybercriminels ont réussi leur transformation numérique et leur organisation en plateforme a permis de massifier et rendre plus efficace et rapide leur attaque » Gérôme Billois, Partner Cybersécurité

Au-delà du simple blocage du SI, la combinaison avec un vol de données devient de plus en plus présente. En effet, 30% des attaques ransomwares observées combinent le blocage du SI et le vol de données, ce dernier constituant un levier supplémentaire pour obtenir des gains financiers.

Des attaques ransomwares plus rapides et plus ciblées

Nous constatons une réduction du temps moyen entre l’accès initial et le déploiement du ransomware dans le système avec un minimum de 3 jours pour l’attaque la plus rapide et une moyenne de 25 jours sur les cas gérés. Les attaquants sont de plus en plus déterminés à nuire à leurs victimes. En effet, ils vont maintenant jusqu’à cibler et détruire les mécanismes de sauvegarde pour forcer le paiement de la rançon (21% des cas).

Nous constatons également que dans 90% des cas des données ont été perdues irrémédiablement. A noter, nous observons une baisse significative du paiement des rançons cette année (de 20% l’année précédente à 5% des cas). De multiples facteurs peuvent expliquer cette baisse, entre la meilleure compréhension du faible intérêt à payer (le paiement de la rançon n’accélérant en rien le temps de résolution de la crise), les actions de sensibilisation et de pression sur les intermédiaires de paiements par les différentes autorités.

D’autres types d’attaques sévissent toujours en toile de fond

La menace ransomware ne doit pas faire oublier les attaques de vols de données, de fraude et le gain de capacité d’attaques qui restent bien présentes (25%) même si celles-ci sont moins fréquentes.

En ce qui concerne les canaux d’accès pour s’introduire dans les systèmes, les principales portes d’entrée restent l’utilisation de comptes valides (23%), les emails frauduleux, phishing pour obtenir des informations (20%) et les services d’accès distants en utilisant des failles de sécurité ou des défauts de configuration (18%).

Comment ne pas être une cible facile ? Quelques conseils du CERT-W

56% des victimes n’avaient pas anticipé être la cible potentielle d’une cyberattaque. Elles n’étaient ni dotées d’un contrat de réponse à incident ni d’une cyber assurance et 42% des victimes n’avaient pas réfléchi à leur résilience en cas d’attaque.

« Même si des actions diplomatiques et judiciaires ont permis d’affaiblir l’écosystème cybercriminels, il ne s’agit pas de stopper les efforts, il faut se préparer dès maintenant grâce à des actions simples à mettre en place. » Nicolas Gauchard, Responsable du CERT Wavestone

Les actions les plus importantes sont connues :

• Identifier et protéger les systèmes et les données les plus critiques sans oublier les systèmes techniques comme l’Active Directory
• Améliorer l’efficacité de la détection des attaques avec un service spécialisé 24/7
• Savoir gérer une crise majeure en s’entrainant grâce à des exercices de gestion de crise
• Renforcer la sécurité des sauvegardes et s’entrainer à reconstruire en urgence
• Souscrire à une cyberassurance et un contrat auprès de service spécialisé en cas de crise

Cet article Cyberattaques en France : le ransomware, menace numéro 1 est apparu en premier sur RiskInsight.