Il est 9 h 15 un lundi matin.
Les employés ne peuvent pas ouvrir les fichiers partagés. Quelques ordinateurs affichent le même message. Le serveur est indisponible. Quelqu'un dit que le système de sauvegarde fonctionne, donc l'entreprise devrait s'en tirer.
Puis quelqu'un pose la question que personne n'a testée : Pouvons-nous réellement restaurer l'entreprise?
C'est là que la récupération après un rançongiciel devient différente de la simple sauvegarde.
Avoir une sauvegarde n'est pas la même chose que pouvoir récupérer
Les directives du Centre canadien pour la cybersécurité recommandent des sauvegardes régulières, un stockage sécurisé, des copies hors ligne et des tests réguliers des processus de sauvegarde et de restauration. Son guide sur les rançongiciels recommande spécifiquement plusieurs copies stockées hors ligne et des tests réguliers des procédures de restauration. [Source : Centre canadien pour la cybersécurité, guide sur les rançongiciels]
Une sauvegarde peut exister et tout de même échouer comme mécanisme de récupération, car :
- elle est incomplète
- elle est trop ancienne
- elle est inaccessible
- les identifiants requis pour y accéder sont compromis
- le système de sauvegarde est connecté au même environnement que celui visé par l'attaque
- personne n'a testé le processus de restauration
- l'organisation ne sait pas quels systèmes doivent être restaurés en premier
La récupération commence avant l'incident.
La première erreur : protéger les données mais pas la récupération
Un propriétaire d'entreprise peut savoir où les documents sont stockés, mais pas comment l'entreprise fonctionnerait si ces documents disparaissaient demain.
Une conversation utile sur la récupération commence par les opérations d'affaires : Qu'est-ce qui doit être restauré en premier?
Pour un cabinet de services professionnels, cela pourrait inclure le courriel, les dossiers clients, les systèmes comptables, les services d'identité, les applications critiques et le stockage partagé. Pour une autre entreprise, la priorité pourrait être complètement différente.
C'est pourquoi la stratégie de sauvegarde devrait suivre les besoins de l'entreprise plutôt qu'un calendrier générique. Les contrôles de base du Centre canadien pour la cybersécurité recommandent de déterminer quels renseignements sont essentiels à l'organisation, à quelle fréquence ils changent et à quelle vitesse ils doivent être restaurés. [Source : Centre canadien pour la cybersécurité, contrôles de cybersécurité de base]
La deuxième erreur : ne jamais tester la restauration
C'est l'un des tests les plus simples en cybersécurité, et l'un des plus faciles à reporter.
Une entreprise peut recevoir des notifications de sauvegarde réussie tous les jours et n'avoir aucune preuve qu'une restauration complète fonctionne réellement.
Le test n'a pas besoin de commencer par une simulation de catastrophe. Commencez par un système important. Restaurez un fichier ou un système connu dans un environnement contrôlé. Documentez le temps que cela a pris, ce qui a échoué, qui a effectué la récupération, quels identifiants étaient nécessaires et si les renseignements restaurés étaient utilisables. Puis améliorez le processus.
Les tests transforment le « nous avons des sauvegardes » en preuve que la récupération est possible.
La troisième erreur : oublier que les attaquants peuvent viser les sauvegardes
Les opérations de rançongiciel modernes peuvent tenter de perturber la récupération en plus de chiffrer les systèmes de production.
Le Centre canadien pour la cybersécurité recommande plusieurs copies de sauvegarde, y compris des copies hors ligne, ainsi que des tests réguliers. [Source : Centre canadien pour la cybersécurité, guide sur les rançongiciels]
Le principe est simple : le même environnement compromis ne devrait pas être le seul endroit où réside votre plan de récupération. Les sauvegardes ont besoin de leur propre protection, de leurs propres contrôles d'accès et de leurs propres procédures de récupération.
La récupération dépend aussi de l'identité
Un rançongiciel n'est pas seulement un problème de chiffrement de fichiers. Si un attaquant compromet des identifiants administratifs, il peut être en mesure d'affecter les systèmes, de désactiver les contrôles de sécurité ou de nuire à la récupération.
Cela relie directement la préparation aux rançongiciels aux domaines évalués par ORAGROL : MFA, mots de passe et sécurité de connexion, contrôle d'accès et permissions, protection des appareils et points de terminaison, mises à jour logicielles et système, sauvegarde et récupération des données, réponse aux incidents et signalement, ainsi que sensibilisation et formation des employés en sécurité.
Un plan de récupération résilient commence donc bien avant l'apparition du premier fichier chiffré.
La quatrième erreur : n'avoir aucune structure décisionnelle
Pendant un incident, les gens doivent savoir qui est responsable de quoi.
Le Centre canadien pour la cybersécurité recommande une planification de la réponse aux incidents afin que les organisations puissent réagir rapidement, restaurer les systèmes et données critiques, et réduire les interruptions et pertes de données. [Source : Centre canadien pour la cybersécurité, directives sur la réponse aux incidents]
Au minimum, une PME devrait savoir qui coordonne la réponse, qui contacte le fournisseur TI/sécurité, qui peut isoler les systèmes, qui communique avec la direction et qui décide du moment où les systèmes peuvent être restaurés en toute sécurité.
La structure exacte dépend de l'entreprise. L'important, c'est qu'elle existe avant la crise.
La récupération est une capacité d'affaires
La récupération après un rançongiciel ne devrait pas être mesurée par le simple fait qu'un produit de sauvegarde signale un « succès ». La question la plus utile est : L'entreprise peut-elle restaurer les systèmes dont elle a besoin, dans l'ordre requis, en utilisant un processus que les gens ont réellement testé?
C'est pourquoi ORAGROL traite la sauvegarde et récupération des données ainsi que la réponse aux incidents et le signalement comme des catégories d'évaluation distinctes. L'une porte sur la capacité de restaurer. L'autre porte sur la capacité de réagir. Vous avez besoin des deux.