Cybersécurité d’entreprise
La sécurité d’une organisation se mesure à ce qu’elle sait restaurer, pas à ce qu’elle a acheté.
- Métier de rattachement
- Sûreté physique et cybersécurité
Le problème
La dépense se porte sur les outils, alors que les incidents passent par les mêmes trois portes.
Les incidents qui immobilisent une organisation entrent presque toujours par un compte dont le mot de passe a fuité, par un service exposé sur internet qui n’aurait pas dû l’être, ou par une pièce jointe ouverte sur un poste qui pouvait atteindre le reste du réseau.
Aucune de ces trois portes ne se ferme par l’achat d’un produit. Elles se ferment par un inventaire tenu, une authentification à deux facteurs, une segmentation du réseau et des sauvegardes dont la restauration a été éprouvée.
La difficulté est l’ordre. Une organisation qui part de peu obtient davantage de sécurité en fiabilisant ses sauvegardes et ses accès qu’en installant un outil de détection qu’aucune équipe ne surveillera. Un outil sans exploitant produit des alertes que personne ne lit, et une facture annuelle.
L’ordre des mesures, schéma de principe
- 01Inventaire
- Sans lui, aucune mesure ne se vérifie et aucune exposition ne se mesure.
- 02Identités
- Second facteur, comptes d’administration séparés, retrait des comptes partagés.
- 03Segmentation
- Bureautique, industriel et sûreté séparés, flux autorisés énumérés un à un.
- 04Détection et journaux
- Peu de règles, toutes traitées, et une rétention qui permet de reconstituer.
- 05Sauvegarde hors ligne
- Hors d’atteinte du système qu’elle protège, faute de quoi elle est chiffrée avec lui.
- 06Restauration éprouvée
- Restaurée sur données réelles et chronométrée. Une sauvegarde jamais restaurée est une hypothèse.
Périmètre
Ce que la prestation recouvre
- Inventaire et exposition
- Recensement des équipements, des services et des comptes, relevé de ce qui est joignable depuis internet, identification des systèmes hors support et des dépendances non documentées.
- Identités et accès
- Authentification à deux facteurs, séparation des comptes d’administration, retrait des comptes partagés, cycle de vie des comptes, revue des droits privilégiés.
- Sauvegarde et restauration
- Sauvegardes hors ligne ou immuables, restauration éprouvée sur un jeu réel et chronométrée, délai et perte de données maximaux arrêtés avec la direction, pas avec l’équipe technique seule.
- Segmentation et durcissement
- Séparation des réseaux bureautique, industriel et de sûreté, filtrage entre segments, réduction des services exposés, configuration durcie des postes et des serveurs.
- Détection et journalisation
- Journaux centralisés, conservation suffisante pour reconstituer un incident, détection sur les postes, règles d’alerte peu nombreuses et réellement traitées.
- Conduite d’incident
- Procédure écrite, chaîne d’alerte nominative, décisions à prendre dans la première heure, exercice conduit au moins une fois, et communication préparée avant d’en avoir besoin.
Situations
Situations les plus fréquentes
- Organisation sans équipe de sécurité dédiée
- L’informatique est tenue par deux ou trois personnes qui font tout. La priorité est de fermer les portes structurelles et de rendre la restauration certaine, avant toute détection.
- Après un incident
- Le système est rétabli mais rien ne garantit que la cause soit traitée. La reprise passe par la reconstitution du chemin d’entrée, le renouvellement des secrets et la fermeture de ce qui a servi.
- Exigence contractuelle ou de tutelle
- Un bailleur, une administration de tutelle ou un client impose un niveau. Le travail consiste à documenter l’existant, combler les écarts et produire des preuves opposables.
- Environnement industriel
- Des automates et des supervisions qui ne se mettent pas à jour cohabitent avec la bureautique. La réponse est la segmentation et le contrôle des accès distants, non la mise à jour.
Exigences
Ce qu’il faut exiger, de nous comme d’un autre
Ces exigences valent quel que soit le prestataire retenu. Reprises dans une consultation, elles écartent les réponses qui ne tiennent pas.
- Un inventaire des systèmes et des comptes, tenu à jour, sans lequel aucune mesure ne peut être vérifiée.
- Une restauration éprouvée dans l’année, chronométrée, sur des données réelles et non sur un fichier d’essai.
- L’authentification à deux facteurs sur tous les accès distants et sur tous les comptes d’administration, sans exception tolérée.
- La liste des services joignables depuis internet, et la justification de chacun.
- Une conservation des journaux suffisante pour reconstituer un incident détecté tardivement.
- Une procédure d’incident nommant les personnes, pas les fonctions, et éprouvée par un exercice.
- Une clause de réversibilité : la capacité de reprendre l’exploitation sans le prestataire qui l’a mise en place.
Écueils
Erreurs fréquentes, et ce qu’elles coûtent
- Acheter la détection avant la sauvegarde
- La détection réduit le délai de découverte ; la sauvegarde décide si l’organisation redémarre. Une organisation qui détecte sans pouvoir restaurer constate l’incident sans pouvoir y répondre.
- Sauvegarder sur un support atteignable depuis le réseau
- Une sauvegarde joignable avec les mêmes identifiants que le système sauvegardé est chiffrée en même temps que lui. C’est le point de bascule le plus fréquent entre un incident coûteux et un arrêt définitif.
- Multiplier les règles d’alerte
- Une console qui produit des centaines d’alertes par jour n’est plus lue au bout d’un mois. Peu de règles, toutes traitées, valent mieux qu’une couverture théorique.
- Compter sur la sensibilisation seule
- La formation réduit la fréquence des erreurs, elle ne les supprime pas. Une architecture qui suppose qu’aucun utilisateur n’ouvrira jamais une pièce jointe est une architecture qui cédera.
Questions
Questions posées avant de consulter
Par où commencer avec un budget limité ?
Par l’inventaire, les sauvegardes hors ligne et l’authentification à deux facteurs. Ces trois chantiers coûtent peu, ne dépendent d’aucun produit particulier et traitent la majorité des scénarios qui immobilisent une organisation. La détection, la segmentation fine et la supervision continue viennent ensuite, quand une équipe peut les exploiter.
Une sauvegarde suffit-elle à se protéger d’un rançongiciel ?
Une sauvegarde dont la restauration a été éprouvée, conservée hors d’atteinte du système sauvegardé, et dont le délai de remise en service est connu : oui, pour l’essentiel. Une sauvegarde jamais restaurée n’est pas une sauvegarde, c’est une hypothèse. La divulgation des données reste un risque distinct, que la sauvegarde ne traite pas.
Faut-il un centre de supervision de sécurité ?
Il se justifie lorsque l’organisation dispose de quelqu’un pour traiter les alertes vingt-quatre heures sur vingt-quatre, ou qu’elle en délègue le traitement à un tiers avec un engagement de délai. Sans cela, il produit des journaux utiles après l’incident, ce qui a une valeur, mais pas celle qu’on lui prête.
Comment traiter des systèmes qui ne peuvent pas être mis à jour ?
En les isolant. Un automate industriel ou une supervision ancienne se traite par la segmentation, le filtrage des flux, le contrôle strict des accès distants et la journalisation des connexions. Le remplacement se planifie sur plusieurs exercices ; l’isolement, lui, se met en place en quelques semaines.
Que demander à un prestataire d’infogérance ?
Le détail de ses propres accès à votre système, la traçabilité de ses connexions, l’usage de comptes nominatifs plutôt que d’un compte partagé, ses engagements de délai en cas d’incident, et les conditions dans lesquelles vous reprenez la main. Un prestataire qui refuse la traçabilité de ses accès introduit un risque qu’aucun outil ne compense.
La certification vaut-elle la sécurité ?
Non. Une certification atteste qu’un système de management existe et qu’il est suivi. Elle ne dit rien de l’exposition réelle du système d’information un jour donné. Les deux sujets sont utiles et se conduisent en parallèle ; les confondre conduit à documenter des mesures que personne n’applique.
Consultations · Préqualifications · Partenariats
Parlons du cas réel.
Décrivez le site, la contrainte dominante et l’échéance. Nous indiquerons ce qui relève d’une étude préalable et ce qui peut être engagé directement.