Reprise résiliente : comment se remettre d’une cyberattaque

Les cyberattaques constituent peut-être une réalité inévitable pour les entreprises, mais grâce à une approche stratégique de la cyber-Recovery, celles-ci peuvent en sortir plus fortes et plus sécurisées que jamais.

Confrontés à environ 2 244 cyberattaques par jour – soitune attaque toutes les 39 secondes– Les responsables de la technologie et de la sécurité peinent à protéger leurs environnements, leurs actifs, leurs données et leurs clients contre des acteurs malveillants déterminés et un paysage des menaces en constante évolution. Mais dans le monde de la cybersécurité, l’important n’est pas toujours l’intensité des coups que l’on encaisse. Ce qui compte, c’est de savoir encaisser ces coups tout en continuant d’avancer.

Pour les responsables des technologies et de la sécurité, cela implique d’élaborer une stratégie de Recovery robuste qui non seulement renforce leur environnement contre les attaques, mais facilite également une Recovery rapide et sécurisée ainsi qu’un retour à un fonctionnement normal de l’entreprise. Les cybermenaces continuent de figurer en tête des préoccupations des dirigeants, 75 % d’entre eux estimant qu’elles représentent un risque modéré ou grave.

Selon Commvault et GigaOm,Cyber Recovery Rapport de préparation» de Commvault et GigaOm, 83 % des 1 000 dirigeants mondiaux interrogés ont déclaré avoir subi une faille de sécurité importante, 55 % ont indiqué ne pas être pleinement convaincus de leur capacité à restaurer leurs systèmes et leurs données à la suite d’un incident majeur, et 42 % ont admis ne pas savoir clairement qui est responsable de la cyber-résilience et de la reprise après sinistre.

Ces données, ainsi que d’innombrables autres, soulignent la nécessité urgente de mettre en place une stratégie exceptionnelle de Recovery après incident cybernétique.Pour atténuer les risques et garantir la sécurité de leurs opérations, les grandes entreprises doivent adopter une approche de reprise en « Cleanroom Recovery », où elles peuvent isoler les menaces, analyser minutieusement l’environnement à la recherche d’infections et rétablir rapidement un état de sécurité.

Récupération de données en salle blancheva au-delà de la gestion traditionnelle des catastrophes ou de la récupération des donnéesCette approche consiste à désigner un espace distinct et contrôlé afin d’identifier la cause première des problèmes de sécurité. La « salle blanche » isole le problème dans une zone séparée, empêche la propagation des systèmes infectés et réduit le risque de compromission des données.

Pour commencer, une « salle blanche » est un environnement sécurisé et isolé qui protège les données sensibles contre les menaces externes. Elle sert à analyser les preuves numériques liées à des cyberincidents, des violations de données, des délits ou des attaques. Elle permet aux organismes de sécurité d’accélérer les enquêtes sur les incidents et de réduire le délai moyen de Recovery d’une organisation.

Dans certains cas, la récupération des données en salle blanche est assurée par une plateforme cloud qui permet de tester différents points de restauration avant de restaurer intégralement les données sur les systèmes de production. Cet environnement isolé remplit plusieurs fonctions : il permet de séparer les systèmes infectés, offre un espace pour analyser l’environnement et empêche la propagation de l’infection à d’autres systèmes.

La remise en état d’une salle blanche nécessite la combinaison de plusieurs compétences afin de limiter les risques pour l’environnement.

Sauvegardes immuables : stockage d’une copie immuable et isolée physiquement des données afin de garantir qu’elles ne soient pas altérées par des attaquants et de fournir un point de restauration fiable. Une sauvegarde immuable est un fichier qui ne peut être modifié d’aucune manière, conçu pour empêcher les acteurs malveillants ou les administrateurs de modifier les données. Les sauvegardes immuables visent également à éliminer tout risque de suppression des données. Elles offrent une protection contre les catastrophes naturelles et les erreurs humaines, mais surtout, une sauvegarde immuable garantit que, même si un environnement est compromis, les données resteront en sécurité.

Environnement de test isolé : utilisation d’une salle blanche permettant de tester et de valider l’intégrité des sauvegardes avant de les restaurer en environnement de production, ce qui réduit au minimum le risque de réinfection. Cette zone séparée offre un environnement sûr et isolé pour tester les plans de reprise après incident informatique, mener des analyses forensiques et assurer la continuité des activités en cas de violation de la sécurité.

Processus de Recovery automatisés : utilisation d’outils automatisés pour identifier rapidement les systèmes compromis et restaurer les données à partir de sauvegardes saines, ce qui permet de réduire au minimum les temps d’arrêt. À la suite d’une attaque, les entreprises souhaitent reprendre leurs activités, mais le processus est ralenti par les nombreuses applications qui doivent être reconstruites selon une approche progressive et chronophage. L’automatisation permet de restaurer plus rapidement l’ensemble de l’environnement d’applications et de données cloud d’une entreprise, y compris toutes les configurations d’infrastructure cloud nécessaires, et ce dans des délais bien plus courts.

Classification des données : la mise en œuvre de politiques rigoureuses de classification des données permet de classer ces dernières en fonction de leur niveau de sensibilité, par exemple les données financières, les informations personnelles identifiables (PII) ou la propriété intellectuelle. Cela permet aux responsables de la sécurité de se concentrer en priorité sur la restauration des données critiques, en perturbant le moins possible le fonctionnement de l’entreprise. En utilisant des outils de découverte pour analyser un environnement, les équipes de sécurité peuvent identifier les données sensibles sur différents systèmes et analyser le contenu des fichiers, les métadonnées et les modèles d’accès afin de classer les données avec précision. Ces informations contribueront à accélérer le temps de Recovery et à maintenir la disponibilité des systèmes critiques pour les opérations de l’entreprise.

Détection précoce des menaces : identifier et contenir les cyberattaques potentielles avant qu’elles ne chiffrent ou n’exfiltrent des données critiques permet une Recovery plus rapide et plus propre après une attaque par ransomware ou toute autre attaque malveillante, en isolant les copies saines des données et en minimisant les dommages causés aux systèmes de production. La mise en place d’un système d’alerte précoce protège de manière proactive les données et minimise l’impact d’une violation en isolant les copies de données affectées par une attaque. En identifiant les activités malveillantes avant que des dommages importants ne surviennent, les entreprises peuvent réagir immédiatement et mettre en œuvre des stratégies d’atténuation.

Formation à la sensibilisation à la sécurité : organisez régulièrement des sessions de formation à la sensibilisation à la sécurité afin de sensibiliser les employés à l’importance des bonnes pratiques en matière de cybersécurité et des mesures de sécurité.

La cyber-récupération offre aux organisations des outils puissantspour des tests complets, des analyses médico-légales et la bascule vers un site de secours. En adoptant la récupération de données en « salle blanche », les organisations peuvent tester en toute confiance leurs plans de reprise après sinistre informatique, identifier et corriger les vulnérabilités, et assurer la continuité de leurs activités face aux cyberattaques.

Les grandes entreprises ne doivent pas se contenter de la Recovery ; elles doiventmettre en place des environnements résilientsqui soit non seulement capable de résister à une attaque, mais aussi de se rétablir sans perte de données, sans dommage au système et sans conséquences financières. Une cyber-Recovery efficace peut aider les organisations à éviter les pertes financières, l’atteinte à leur réputation et les poursuites judiciaires pouvant résulter d’une cyberattaque malveillante.

La reprise après incident cybernétiquedoit être considérée comme un processus continu pouvant être constamment affiné et perfectionné à mesure que l’organisation gagne en résilience. Une organisation cyber-résiliente est capable de s’adapter à des défis connus et inconnus, de réagir aux menaces et de se remettre rapidement des attaques. En menant des évaluations approfondies des risques, en mettant en œuvre des mesures de sécurité rigoureuses, en élaborant un plan d’intervention en cas d’incident et en formant régulièrement leurs collaborateurs aux meilleures pratiques en matière de cybersécurité, les entreprises peuvent s’adapter rapidement à l’évolution des cybermenaces et ajuster de manière proactive leurs stratégies de sécurité.

Les grandes entreprises doivent tester en permanence leur approche de Recovery après sinistre informatique afin de permettre un retour rapide et sans heurts à leurs activités. Une approche stratégique de Recovery dans un environnement sécurisé aidera les entreprises à progresser sur la voie de la cyber-résilience.