Quelle prévention face aux ransomwares ?

Différents types d’éléments de maîtrise fondés sur la prévention des risques sont envisageables.

• Le Centre opérationnel de sécurité. Mise en œuvre d’un dispositif de type SOC (Security Operations Center ou Centre opérationnel de sécurité) avec un service managé 24 heures sur 24, 7 jours sur 7. Il permet une veille sur le risque d’intrusion, de fuite de données, et ce en continu, avec un dispositif d’escalade permettant de mener des mesures d’urgence de type coupure des accès réseaux, sites et serveurs en urgence. Ce type de dispositif peut s’appuyer sur un tableau de bord d’indicateurs de sécurité en vue de renforcer les éléments d’analyse (nombre d’attaques, nombre d’alertes de sécurité, nombre de vulnérabilités identifiées, etc.).

• Le plan d’audit. Définir un plan d’audit avec différentes missions orientées sur la prévention des menaces et vulnérabilités : audit d’intrusion, audit des serveurs, audit des sites et informations exposées sur le web.

• La sensibilisation. Mettre en place un programme de sensibilisation auprès de tous les collaborateurs afin de limiter les effets de risque liés au facteur humain : sous-estimation des risques, biais d’ancrage, « surcroyance » dans les dispositifs techniques¹. Ce type de plan de sensibilisation peut prendre plusieurs formes : e-learning, formations présentielles ciblées sur les équipes très impactées, campagnes test de phishing auprès des collaborateurs…

• Les solutions technologiques. Utiliser des solutions de type antivirus intelligents (logiciel EDR – détection et réponse des terminaux) avec recours aux technologies d’intelligence artificielle.

• Le cloisonnement des serveurs. Cloisonner serveurs et applications permet de limiter de manière préventive les données impactées en cas de survenance. Par exemple, cloisonner les applications avec les données les plus sensibles de type RH, base fournisseurs, base clients, base RIB…

• La politique générale SI. Définir une politique de sécurité du système d’information (SI), une charte d’utilisation des TIC (technologies de l’information et de la communication) et des usages proscrits, une politique de gestion des comportements sur les réseaux sociaux (limitation de l’information en vue d’éviter les situations d’ingénierie sociale permettant de pratiquer des attaques de type phishing plus ciblées et plus crédibles²), une politique du Byod (Bring your own device) qui correspond à l’usage fait par les collaborateurs de leurs équipements personnels dans le cadre professionnel (tablettes tactiles, montres connectées…).

• Le pare-feu. Mettre en place un pare-feu efficace, régulièrement audité.

• La politique des logs. Définir une politique de journalisation et d’archivage des logs (fichiers stockant un historique d’événements) en vue d’avoir une traçabilité suffisante en cas d’alerte de sécurité.

• La correction des vulnérabilités. Corriger les vulnérabilités (patch management) avec une fréquence suffisamment resserrée (type hebdomadaire) et des revues de corrections formalisées.

• La détection de « shadow IT ». Détecter les pratiques de « shadow IT » (utilisation de technologies matérielles et logicielles par les employés sans l’accord de l’entreprise) : recensement préventif et réactif régulier des applications définies par des métiers divers sans information préalable des équipes informatiques et sécurité SI, ce en vue de s’assurer du respect par ces applications des critères de sécurité.

• Les exercices de gestion de crise. Organiser fréquemment des exercices de préparation à la gestion d’une crise cyber permet d’acquérir des réflexes, d’affiner le rôle des acteurs internes et externes, de se préparer³. Ces actions permettent à la fois d’adapter le dispositif organisationnel (comme l’identification préventive des interconnexions entre applications avec risque de contagion) mais aussi technique de l’entreprise (plan de secours informatique, politique de sauvegarde, politique de purge de données).

• L’assurance. Disposer enfin d’un programme d’assurance intégrant une garantie contre les rançongiciels. C’est l’un des instruments de la réaction face aux rançongiciels (accompagnement de crise, expertise technique et investigation mise à disposition). Notons que les mesures de prévention précitées permettront aussi à la fois de disposer d’un accès facilité à l’assurance cyber⁴ mais aussi de conditions tarifaires et de couverture du risque par les garanties plus intéressantes (garantie cyber extorsion, garantie perte d’exploitation consécutive à une interruption d’activité post rançongiciel par exemple).