Catégorie : Cybersécurité

Les fichiers apparaissent avec des extensions bizarres, une note de rançon s’affiche sur le bureau et les postes commencent à tomber les uns après les autres. À cet instant, vous n’avez pas besoin d’un traité sur la cybersécurité : vous avez besoin de savoir quoi faire dans les soixante prochaines minutes. Parce que ce que vous décidez là —et surtout ce que vous faites sous le coup du stress— fait la différence entre une mauvaise journée et deux semaines d’activité à l’arrêt.

Ce n’est pas un article de prévention. Il part du principe que c’est déjà en train d’arriver et vous donne le plan de réponse à incident étape par étape : à quoi toucher, à quoi ne pas toucher, qui appeler et dans quel ordre restaurer. Gardez-le avant d’en avoir besoin, car le jour venu vous n’aurez pas le temps de le chercher.

Pourquoi les premières heures décident de tout

Le rançongiciel ne chiffre pas à la vitesse de la lumière. Quand vous voyez la note de rançon, le chiffrement continue de progresser sur le réseau : chaque minute qu’un poste infecté reste connecté, ce sont plus de dossiers partagés, plus de serveurs et —le plus douloureux— plus de sauvegardes qui tombent. La fenêtre pour contenir les dégâts se mesure en minutes, pas en heures. C’est là que se joue si vous ouvrez demain ou non.

L’autre ennemi de cette première heure, c’est la panique. La réaction instinctive —tout éteindre, redémarrer les serveurs, commencer à supprimer ce qui semble infecté, payer la rançon pour en finir vite— est presque toujours la mauvaise. Contenir, ce n’est pas réagir vite ; c’est réagir dans le bon ordre. Une entreprise qui isole avec sang-froid restaure depuis sa sauvegarde en deux jours. Une entreprise qui improvise à fleur de nerfs finit avec l’incident étendu, les preuves détruites et aucune sauvegarde saine sur laquelle revenir.

Le rançongiciel ne punit pas la panne technique ; il punit l’improvisation. Celui qui a le plan écrit exécute ; celui qui ne l’a pas discute pendant que le chiffrement progresse.

Les bons premiers gestes, dans l’ordre

Voici le scénario de la première heure. Ne l’improvisez pas : suivez-le tel quel, de haut en bas.

• Isolez du réseau les postes touchés. Débranchez le câble, coupez le Wi-Fi, coupez le VPN. L’objectif est de stopper la propagation immédiatement. Isoler passe en premier, toujours, avant d’enquêter sur quoi que ce soit.
• N’éteignez pas n’importe comment. Déconnecter du réseau n’est pas la même chose qu’éteindre à froid. Éteindre efface des informations volatiles utiles pour comprendre ce qui s’est passé et comment ils sont entrés, et dans certains cas cela complique même la récupération des données. Isolez, mais laissez les postes allumés sauf indication contraire de la personne qui pilote l’incident.
• Protégez les sauvegardes tout de suite. Avant toute autre chose, assurez-vous que les sauvegardes ne sont pas atteignables depuis le réseau compromis. Si le rançongiciel les atteint, la discussion est terminée. Débranchez-les ou vérifiez qu’elles sont isolées et immuables.
• Coupez les accès distants et les comptes à privilèges. VPN, bureau à distance, accès des prestataires et comptes administrateur. Par où ils sont entrés, ils peuvent revenir, et bien souvent l’attaquant est toujours à l’intérieur en train d’observer votre réaction.
• Préservez les preuves. Photographiez la note de rançon, notez l’heure, ne supprimez ni journaux ni fichiers chiffrés. Cette information vaut de l’or pour connaître l’ampleur, pour l’assurance et, si nécessaire, pour la plainte.
• Activez le plan et confiez le pilotage à une seule personne. Quelqu’un coordonne, décide et communique ; les autres exécutent. Prévenez votre prestataire de cybersécurité managée et commencez à documenter ce qui est touché. En pleine crise, cinq personnes qui décident en parallèle font plus de dégâts que l’attaque elle-même.

Une fois cela fait, l’incendie est maîtrisé. Il faut maintenant évaluer l’ampleur au calme : ce qui est chiffré, ce qui ne l’est pas, et s’il y a des indices que des données ont aussi été exfiltrées —ce qu’on appelle la double extorsion—, car cela change vos obligations légales.

Ce qu’il ne faut faire sous aucun prétexte

La moitié d’une bonne réponse consiste à ne pas commettre les erreurs qui transforment un incident en désastre irréversible. Voici les quatre qui coûtent le plus cher.

• Ne payez pas à l’aveugle. Payer ne garantit pas de récupérer les données —beaucoup de déchiffreurs échouent ou ne font le travail qu’à moitié—, cela vous désigne comme quelqu’un qui paie et cela finance l’attaque suivante. C’est la dernière option, jamais la première, et seulement après avoir évalué à fond si vous pouvez restaurer depuis la sauvegarde.
• Ne restaurez pas sur un système infecté. Récupérer vos données sur un système encore compromis, ou sans avoir fermé la porte d’entrée, relance le cauchemar en quelques heures. On nettoie ou on réinstalle d’abord ; on restaure ensuite.
• Ne le cachez pas. Étouffer l’incident pour que personne ne le sache vous expose à des sanctions pour défaut de notification et détruit la confiance quand cela finira par se savoir —et cela finira par se savoir. Une transparence bien gérée protège ; le silence aggrave.
• N’effacez ni journaux ni fichiers. « Faire le ménage » de votre côté détruit les preuves dont vous avez besoin pour comprendre l’ampleur, respecter la loi et être indemnisé par l’assurance. Ne touchez pas aux journaux : ce sont vos meilleurs alliés.

Notification et obligations : l’horloge légale tourne aussi

Pendant que vous contenez et restaurez, une seconde horloge tourne, que beaucoup ignorent jusqu’à ce qu’il soit trop tard. Si l’attaque a compromis des données personnelles —de clients, de salariés ou de fournisseurs—, le RGPD vous oblige à notifier la violation à la CNIL dans un délai de 72 heures après en avoir eu connaissance. Elle n’attend pas que vous ayez rétabli le service et ce n’est pas optionnel : ne pas notifier ajoute une sanction au désastre que vous avez déjà sur les bras.

Et il y a d’autres fronts à traiter en parallèle, sans les remettre à la fin :

• Communication aux personnes concernées. Si la violation présente un risque élevé pour les clients ou les salariés, en plus de la CNIL il faut les informer directement. Préparez un message clair et honnête, pas un communiqué creux.
• Déclaration à l’assurance. Si vous avez une police cyber-risque, déclarez-le au plus vite : beaucoup exigent une notification immédiate et vous donnent accès à une équipe de réponse. Agir seul peut vous priver de couverture.
• Plainte et organismes. Déposer plainte et prévenir les canaux de référence comme l’ANSSI laisse une trace officielle et vous apporte un appui. La documentation que vous avez préservée dès la première heure est précisément ce dont on a besoin ici.

Avoir identifié à l’avance qui rédige la notification, qui parle à l’assurance et qui parle aux clients, c’est ce qui permet de tenir ces délais sans freiner la restauration technique. L’improviser avec l’activité à l’arrêt est la recette pour manquer les trois.

Comment MagicBoxDesk vous aide : réponse à incident et restauration depuis une sauvegarde saine

Tout ce qui précède paraît simple écrit au calme. À trois heures du matin, l’activité à l’arrêt et le téléphone qui sonne, ça ne l’est pas. C’est pourquoi la plus grande valeur n’est pas d’avoir le plan dans un PDF, mais d’avoir quelqu’un en face qui l’exécute avec vous. Chez MagicBoxDesk, nous montons, maintenons et déclenchons ce plan de réponse en tant que service, dans le cadre de votre IT externalisée, avec un support à distance et sur site dans toute l’Espagne.

• Réponse à incident avec un plan défini et répété : qui isole, qui décide, qui est prévenu et dans quel ordre, pour agir en minutes au lieu d’improviser pendant des jours.
• Confinement et analyse de l’ampleur : nous isolons ce qui est touché, préservons les preuves et déterminons s’il y a eu vol de données, sans détruire l’information dont vous aurez besoin ensuite.
• Sauvegardes immuables et isolées, avec des restaurations testées régulièrement, pour que, le moment venu, il y ait vraiment une sauvegarde saine sur laquelle revenir.
• Restauration dans le bon ordre : identité et authentification d’abord, ensuite ce qui facture ou produit, puis la messagerie et les fichiers, et les postes en dernier, réinstallés depuis une image saine.
• Appui sur les obligations légales : notification de la violation dans les délais, communication à l’assurance et aux personnes concernées, avec les documents en règle.
• Fermeture de la porte d’entrée avant de reconnecter, pour que l’attaque ne recommence pas dès que tout redémarre.

L’idéal est que nous parlions avant l’incident, pas pendant. Préparer le plan, les sauvegardes et les accès coûte une fraction de ce que coûte une rançon ou deux semaines d’arrêt, et c’est ce qui transforme une crise en simple mauvais moment. Si vous l’avez déjà sur le dos, nous sommes aussi là pour vous aider à contenir et à restaurer.

Chez MagicBoxDesk, nous prenons en charge votre sécurité et votre plan de réponse pour que vous vous occupiez de votre activité. Demandez un devis sans engagement et nous vous dirons ce dont vous avez vraiment besoin pour que les premières heures d’un rançongiciel jouent en votre faveur et non contre vous.

Avant de vous demander comment mettre en place l’ISO 27001, il y a une question qui décide tout le reste : la certification est-elle vraiment rentable pour votre entreprise ? Parce que se certifier coûte de l’argent, des heures de vos équipes et un engagement qui ne s’arrête pas le jour où l’on vous remet le label, mais qui se renouvelle chaque année. Et toutes les PME n’y trouvent pas leur compte. Pour certaines, énormément. Pour d’autres, c’est jeter du budget par vanité.

Cet article ne parle pas de par où commencer ni de checklists de mise en œuvre. Il s’agit de prendre la décision avec discernement : ce que le certificat vous apporte réellement, quand le retour est évident, combien cela coûte sans chiffres gonflés et quelle alternative s’offre à vous si ce que vous voulez, c’est être sûr, mais que personne ne vous réclame encore le papier.

Ce que l’ISO 27001 vous apporte réellement (et ce qu’elle n’apporte pas)

D’abord, pour dissiper le brouillard : l’ISO 27001 ne vous rend pas immunisé face à une attaque. Ce n’est ni un antivirus, ni un pare-feu, ni la garantie qu’aucun rançongiciel ne s’introduira. C’est un système de management de la sécurité de l’information : une manière ordonnée et auditée de savoir quelles données vous détenez, quels risques elles courent et ce que vous faites pour les traiter. Le certificat atteste que ce système existe et fonctionne, pas que vous êtes invulnérable.

Alors, que vous apporte-t-elle en échange de l’effort ? En pratique, trois choses concrètes. La première est une clé commerciale : elle ouvre des portes qui restent fermées sans le label —grands clients, appels d’offres, contrats internationaux—. La deuxième est une confiance démontrable : elle raccourcit les cycles de vente et vous épargne les interminables questionnaires de sécurité que les grands comptes vous envoient avant de signer. Et la troisième, la plus sous-estimée, est un ordre interne réel : pour vous certifier, vous devez mettre par écrit qui accède à quoi, comment se font les sauvegardes et ce qui se passe quand quelque chose échoue. Cet ordre a de la valeur même si vous n’accrochez jamais le certificat au mur.

La bonne question n’est pas « est-ce que je me certifie ? », mais « combien de chiffre d’affaires je perds en n’étant pas certifié ? ». Avec ce chiffre sur la table, la décision se prend toute seule.

Quand la certification est OUI rentable

L’ISO 27001 devient rentable lorsqu’il y a une raison commerciale ou réglementaire claire derrière. Si vous vous reconnaissez dans l’un de ces cas, la réponse est généralement oui sans trop d’hésitation :

• Un client l’exige pour continuer à travailler avec vous. C’est le cas le plus fréquent et le plus facile à trancher : si perdre ce compte vous fait plus mal que le coût de la certification, cela vaut le coup. Point final.
• Vous voulez répondre à des appels d’offres ou entrer chez de grands comptes. Dans de nombreux cahiers des charges et processus d’homologation, le certificat est une condition d’entrée : sans lui, on ne vous évalue même pas.
• Vous manipulez des données sensibles de tiers. Si vous êtes prestataire technologique, gérez des données de clients ou traitez des informations critiques, la certification est l’argument qui dissipe les doutes de celui qui vous engage.
• Vous opérez dans un secteur réglementé ou au sein d’une chaîne d’approvisionnement exigeante. De plus en plus d’entreprises reportent leurs obligations —y compris la pression de réglementations comme NIS2— sur leurs fournisseurs. On vous la réclame même si la loi ne vous y oblige pas directement.
• Vous êtes en phase de croissance et voulez jouer dans une autre cour. Si votre objectif est de vendre à de plus grandes entreprises ou de vous développer à l’étranger, le certificat cesse d’être un luxe pour devenir une condition pour concourir.

Et à l’inverse : si personne ne vous le demande, que vous ne vendez pas à de grands comptes et que votre véritable priorité est simplement de ne pas avoir de mauvaise surprise, peut-être n’avez-vous pas encore besoin du label. Vous avez besoin des mesures de sécurité. Nous en parlons plus bas.

Combien cela coûte vraiment

C’est là que beaucoup sont surpris, car le coût de l’ISO 27001 n’est pas une facture unique. Ce sont quatre postes distincts, et il vaut mieux les voir tous avant de décider :

• Conseil de mise en œuvre. L’accompagnement pour monter le système : périmètre, analyse des risques, politiques et mesures de sécurité. C’est le poste le plus visible et il varie beaucoup selon la taille de votre entreprise et le niveau d’ordre de votre infrastructure de départ.
• Temps interne de votre équipe. Le coût caché que personne ne budgétise. Vos équipes doivent fournir des informations, approuver des politiques et appliquer ce qui est documenté. Si personne n’a d’heures pour le projet, il s’éternise et revient plus cher.
• Audit de certification. Facturé par un organisme accrédité indépendant, en plus du conseil. C’est lui qui délivre le certificat après avoir examiné votre système en deux phases.
• Maintenance annuelle. Le certificat dure trois ans, mais chaque année il y a un audit de surveillance. Un système laissé à l’abandon s’effondre tout seul, il faut donc le maintenir vivant : cela représente des heures et, souvent, des outils.

Je ne vais pas vous donner de chiffre définitif car ce serait mentir : cela dépend de votre taille, du périmètre que vous définissez et de tout ce que vous avez déjà fait. Et c’est là la bonne nouvelle. Plus votre socle technique est ordonné —sauvegardes testées, contrôle des accès, mises à jour à jour—, moins la mise en œuvre coûte cher, car vous respectez déjà la moitié de la norme sans le savoir. La façon la plus rapide de faire exploser le coût est de certifier toute l’entreprise d’un coup alors que vous pouviez commencer par un périmètre restreint et l’élargir ensuite.

L’alternative : mettre en place les mesures sans se certifier

Voici la nuance que presque personne ne vous dit : ce qui vous protège, ce n’est pas le certificat, ce sont les mesures de sécurité. Le label est l’attestation qu’un tiers a vérifié que ces mesures existent. Si personne ne vous réclame le papier, vous pouvez garder la partie qui vous blinde réellement et vous épargner l’audit externe et son renouvellement annuel.

Concrètement, cela signifie mettre en place les mesures qui découlent de la norme elle-même —analyse des risques, sauvegardes qui se restaurent vraiment, contrôle des accès, gestion des incidents, formation de l’équipe, contrôle des fournisseurs— mais sans passer par l’organisme certificateur. Vous avez une bonne sécurité, vous respectez de fait une bonne partie de ce qu’exigent vos clients et vous évitez le coût récurrent du certificat. C’est la voie intelligente lorsque votre priorité est de ne pas avoir de mauvaise surprise, pas de remporter un appel d’offres.

L’avantage supplémentaire, c’est que ce travail n’est pas perdu : le jour où un client vous exigera l’ISO 27001, vous aurez déjà 70 % du chemin parcouru et la certification sera une formalité à officialiser et à documenter, pas un projet reparti de zéro. Commencer par les mesures et se certifier le moment venu est, presque toujours, la décision la plus rentable. Une bonne base de cybersécurité et conformité est exactement ce point de départ.

Comment MagicBoxDesk vous aide à décider (et à aller jusqu’au certificat)

La plupart des cabinets vous vendent le certificat sans vous demander si vous en avez besoin. Chez MagicBoxDesk, nous faisons l’inverse : la première chose est de vous dire honnêtement si la certification est rentable pour votre entreprise ou s’il vous suffit de mettre en place les mesures. Nous regardons qui vous la demande, quel chiffre d’affaires est en jeu et dans quel état se trouve votre infrastructure, et sur cette base nous vous donnons une recommandation avec des chiffres, pas un argumentaire de vente.

Et si la réponse est que c’est bien rentable, nous vous menons jusqu’au bout. Comme nous externalisons le département informatique de PME et d’entreprises dans toute l’Espagne, nous ne nous limitons pas à rédiger des politiques : nous partons de vos sauvegardes, de vos accès et de vos systèmes réels, nous mettons en place les mesures techniques qui soutiennent la norme et nous vous accompagnons jusqu’à l’audit de certification. Ensuite, nous restons à vos côtés avec supervision, sauvegardes et cybersécurité gérée pour que les audits de surveillance annuels soient validés sans mauvaise surprise. Vous pouvez voir tout ce que nous couvrons sur notre page de services.

Alors, avant de dépenser un seul euro dans un certificat dont vous n’avez peut-être pas besoin —ou de laisser passer un contrat faute de l’avoir—, laissez-nous vous le dire clairement. Demandez un devis sans engagement et nous vous dirons si c’est rentable pour vous, combien cela vous coûterait vraiment et dans quel délai réel vous l’auriez prêt.