Crise imminente externe à l’entreprise - Les actions pratiques du RSSI

16 décembre 2022

La crise du Covid 19, le conflit russo-ukrainien, la publication de la vulnérabilité Log4J, n’ont pas eu le même impact à l’instant T pour les organisations. Les crises peuvent toucher les organisations dans une temporalité différente selon le secteur d’activité, la localisation, les typologies de crise, etc. Pour la pandémie du COVID-19, certaines activités ont dû s’arrêter sur le champ (restauration sur place), d’autres ont dû continuer en s’adaptant (santé), quand d’autres encore ont vu leur activité bondir (logistique, livraison à domicile).

Cette temporalité constitue une vraie opportunité qui doit être exploitée par les entreprises qui n’ont pas encore été touchées par la crise. Lors de l’apparition de ces évènements, les RSSI doivent renforcer leur vigilance, se mobiliser et anticiper les impacts éventuels de ces évènements sur leur entreprise. Si dans certains cas les effets d’une crise sont inévitables, les conséquences sur l’organisation pourront souvent être limitées voire maîtrisées, car anticipées et gérées.

Cet article propose des pistes de réflexion et des recommandations synthétisées en cinq points sur la manière de préparer son organisation et son Système d’Information à une crise imminente. Les actions réalisées par et pour nos clients au début du conflit UKR/RUS permettront d’illustrer le point 4 sur l’ajustement de la sécurité opérationnelle face à l’évolution de la menace.

Activer son dispositif de crise

Préparer ou vérifier la logistique de(s) cellule(s) de crise. Toute cellule de crise dispose de sa propre logistique : plans de gestion de crise, espace(s) dédié(s), agencement de l’espace, accès à cet espace, matériel (ordinateur, imprimante, écran, paper board, pieuvre, eau, nourriture, etc.). Si la logistique n’a pas été testée récemment ou si elle n’est pas pleinement en place, il faut vérifier que tout est opérationnel. Vérifier par exemple que les dispositifs, normalement indépendants des systèmes réguliers, sont fonctionnels, à jour des contacts et que la mallette de crise est bien accessible et activable. En profiter aussi pour préparer la salle de crise en cas de déclenchement imminent, c’est-à-dire installer le matériel dédié à la crise, dans le cas où il serait stocké dans une armoire dédiée.

Activer les canaux de communication. Il est essentiel à ce stade de s’assurer que les canaux d’activation de la cellule ainsi que les canaux de communication entre les parties prenantes, soient fonctionnels. Il faut vérifier que techniquement les moyens choisis fonctionnent, que les contacts soient à jour et stockés sur des dispositifs isolés du SI, qu’ils soient diffusés aux parties prenantes. Dépendre de dispositifs fiables aide à dérouler une cellule de crise sereinement plutôt que d’avoir des personnes agacées par leurs déboires techniques.

Mobiliser les membres des cellules de crise. Il est pertinent d’informer les membres des cellules de crise de la situation et de leur rappeler l’organisation de crise en place. Une note écrite et/ou une première séance courte expliquant les motivations et les craintes permettra de sensibiliser tous les acteurs aux évènements redoutés et auxquels il faudra peut-être faire face dans les heures ou jours à venir. Chaque membre étant conditionné à une éventuelle conséquence sur la sécurité informatique deviendra naturellement plus vigilant. Cette mobilisation est également une opportunité pour rappeler les outils à disposition de la cellule de crise, les rôles et responsabilités de chaque membre de la cellule et pour rassurer les acteurs de la crise.

Organiser une veille active

Identifier les canaux de veille. Durant la période pendant laquelle l’entreprise n’est encore qu’observatrice et pendant laquelle elle se prépare, de nombreux articles seront publiés avec beaucoup d’informations et de scénarios imaginés et conséquences déjà constatées. Il peut s’agir de presse généraliste, spécialisée sur la thématique de la crise, des canaux spécialisés en sécurité informatique, des forums de discussions. Quand la crise concerne un autre secteur d’activité ou concerne un autre pays, il convient de consulter les informations communiquées par les officines spécialisées (ministères, agences locales, régulateurs européens, etc.). Ces informations devront être triées et parmi celles-ci, certaines pourront être exploitées pour préparer au mieux l’organisation dans le but de réduire les impacts de la crise.

Déterminer la régularité de votre veille. Le temps de recherche et d’analyse de l’information devra être accru par rapport au temps habituellement attribué à cette tâche. Pour ne pas y consacrer un temps trop important et continu, il est conseillé de fixer une régularité adaptée à la situation. Il peut s’agir de 1 ou 2 sessions réservées chaque jour, d’abonnement avec notifications. Il faut également suivre l’évolution de la situation et ajuster votre fréquence de veille à la hausse ou à la baisse en fonction des faits dont vous avez connaissance.

Activer des canaux d’information interne pour partager l’essentiel aux membres de la cellule. L’information traitée devra dans certains cas être partagée en interne pour action et dans d’autres cas pour information. Pour ce faire, il est recommandé de créer des canaux de communication dédiés au partage de l’information assortie d’une analyse contextualisée et au suivi des actions. Il est essentiel que toute l’information que vous traitez soit recommuniquée en interne. L’objectif n’est pas de reporter les éléments dans le détail mais de restituer succinctement des faits constatés et la vraisemblance que vous estimez sur la capacité de la situation à vous impacter.

Privilégier les retours d’expérience et suivre l’évolution de la situation. En termes de contenu, il faut concentrer les travaux de veille et d’analyse sur ce qui apporte des informations pour gérer la crise. Il faut saisir cette opportunité temporelle pour collecter les retours d’expérience des entreprises touchées en premier lieu et qui ont dû réagir dans l’urgence.

Identifier les nouvelles menaces, évaluer les risques

Evaluer son patrimoine informationnel

Une crise externe fait bouger les centres d’intérêt de nombreux acteurs, bienveillants ou malveillants. Dans l’exemple de la crise sanitaire du COVID-19, la production de masques est devenue un sujet national à partir de 2020. La valeur des informations manipulées par une entreprise peut ainsi évoluer et attirer des acteurs malveillants. Il est donc primordial de réévaluer son patrimoine informationnel en fonction de la crise en cours et potentiellement considérer certaines informations comme désormais stratégiques.

Evaluer l’exposition de son écosystème, déterminer la vulnérabilité des actifs, identifier les nouveaux risques

La crise peut bouleverser la cartographie des risques existante et ce à plusieurs niveaux. Les scénarios doivent parfois être réévalués. Par exemple :

Des vulnérabilités techniques connues ou récemment découvertes peuvent être sujettes à une exploitation plus rapide. Dans le cas du conflit UKR/RUS, des questions se sont posées sur l’usage de solutions de sécurité de Kaspersky car l’exploitation de vulnérabilités dans les produits pouvait devenir un levier d’intrusion (par exemple) et ainsi augmenter l’exposition des clients de ces solutions.

Les fournisseurs peuvent aussi être compromis. En fonction de leur activité et de leurs clients, ils peuvent être exposés et par conséquent perturber les prestations qu’ils s’engagent à fournir. Il est essentiel d’étendre le radar de renseignements en prenant contact directement avec les RSSI des principaux fournisseurs, sans attendre qu’ils fassent le premier pas. Il faut également vérifier la capacité du SI d’être isolé des tiers pour ne pas subir une attaque par latéralisation.

Des risques peuvent peser sur les métiers de l’entreprise. Certains secteurs d’activité ont des obligations imposées par les régulateurs. Le problème est métier, mais la réponse peut venir d’une mesure de sécurité à positionner sur les systèmes informatiques, sécurité qu’il faudra maintenir pour maîtriser le risque métier.

Les risques peuvent aussi être relatifs aux ressources humaines. Qu’il s’agisse de raisons sanitaires (personnel atteint par la COVID-19), militaires (personnel ressortissant ukrainien ou russe mobilisé par son pays), le SI de l’entreprise peut être détourné par des personnes aux profits d’une cause qui dépasse le cadre de l’entreprise. Un collaborateur pourrait participer à sa manière aux efforts d’une guerre en utilisant les infrastructures de l’entreprise (messagerie, partages de fichiers), divulguer des informations liées à des mouvements financiers pouvant porter préjudice à l’image de l’entreprise, etc.

Analyser ses risques, ajuster le traitement des risques

Une fois l’analyse des risques mise à jour, des risques précédemment identifiés comme acceptables, peuvent devenir inacceptables. Un nouveau plan de traitement devra alors être établi et mis en œuvre pour maîtriser le risque. D’autres risques seront réévalués à la baisse et les plans de traitement en cours de mise en œuvre seront peut-être dépriorisés. De nouveaux scénarios apparaîtront et seront qualifiés en vraisemblance et impact.

De manière générale, il faut rafraichir la cartographie des risques et ajuster les plans de traitement pour qu’ils répondent aux nouveaux risques valorisés.

Ajuster la sécurité opérationnelle aux nouvelles menaces

Une fois les plans de traitement des risques établis, il faut les mettre en œuvre et tracer dans les plans de traitement, ce qui est actif de ce qui ne l’est pas.

A titre d’exemple sur le conflit UKR/RUS, nous avons constaté les mesures suivantes qui découlaient d’analyses des risques que nous pouvons présenter sous 4 thèmes :

Le renforcement de la surveillance et filtrage des communications et échanges

Mise en œuvre forcée du passage par le relais (proxy) des flux internet depuis les serveurs
Renforcement du filtrage des communications sur les relais (proxys) depuis / vers les territoires en conflit
Activation de fonctionnalités complémentaires d’analyse de sécurité (type sandboxing) impliquant une rétention des fichiers le temps de l’analyse
Restriction des accès Internet des serveurs vers les zones, via un filtrage URL renforcé
Blocage de l’accès Internet des utilisateurs à certains sites considérés maintenant malveillants ou dangereux
Analyse et restriction/suppression des flux sensibles liés à l’identification et l’authentification des utilisateurs (Kerberos, LDAP, AD, etc.)

La désactivation des accès et liaisons inutiles avec des tiers

Revue et certification des liaisons actuellement ouvertes
Suppression des accès inutilisés ou inactifs depuis trop longtemps / une période estimée anormalement longue
Identification des flux partenaires vers les zones sensibles, vérification de la légitimité de ces flux, limitation des ports ouverts, suppression des flux non sécurisés (Telnet, FTP, SMB, etc.)

L’ajustement des priorités de déploiement

Suspension ou abandon des solutions d’origine russe
Accélération du déploiement du MFA
Accélération du déploiement d’un EDR en remplacement d’un antivirus traditionnel
Augmentation de la vigilance sur l’application des correctifs des serveurs

Ressources humaines

Intégration de personnel complémentaire aux équipes actuelles pour gérer les demandes additionnelles et les activités de veille et d’analyse de la situation nécessaire aux décisions du moment

Vérifier et préparer les procédures d’urgence opérationnelles

Comme pour toute crise, il est nécessaire d’avoir des mécanismes de défense du SI prêt à l’emploi pour savoir réagir rapidement à tout évènement.

Les fiches réflexes sont des outils efficaces pour réagir à des cas d’usage précis. Il est essentiel de s’assurer que les procédures d’urgence de mécanismes de réponse globale, sont connues par le personnel et qu’elles sont à jour des évolutions du SI et donc toujours applicables.

Procéder à une revue des procédures existantes est une première étape, qui peut être complétée par l’organisation de courtes séances de sensibilisation / communication auprès des équipes opérationnelles pour leur rappeler qu’elles pourraient être utilisées.

Il est également pertinent de préparer des règles de filtrage sur certains points stratégiques du SI, afin d’avoir la capacité d’isoler rapidement certaines zones, comme l’accès à Internet ou les zones réseaux pilotant les équipements industriels

Préparer des règles permettant le blocage d’adresses IP publiques venant de territoires en conflit.

De nombreuses actions peuvent être déclenchées dans un temps relativement court pour se préparer à faire face à une situation de crise imminente dont l’origine est extérieure à l’entreprise. Ces actions s’opèrent tant sur le plan organisationnel que sur le plan de sécurité opérationnelle des systèmes informatiques.

Le RSSI est le garant de la maîtrise des risques de sécurité informatique de l’entreprise. Il se doit de prendre en compte les nouvelles menaces et d’ajuster les mesures de sécurité pour prévenir les risques qui se présentent. Il doit surtout s’assurer des capacités de réaction de l’entreprise en termes de sécurité, qu’il s’agisse de défendre le SI à travers des mécanismes de préservation du SI ou de vérifier que les dispositifs de crises d’origine cyber seront opérationnels quand la situation requerra leur déploiement.