Covid-19 : après un passage brutal au télétravail, l’heure est à la reprise de contrôle

Des situations préoccupantes

Mais il a aussi pu falloir « désactiver des solutions d’authentification forte par manque de licences », ou encore autoriser des collaborateurs à utiliser leur ordinateur personnel, faute d’équipement généralisé en portables. Mais tout cela n’est pas anodin : « on parle d’entreprises qui interdisaient l’accès externe à des applications métiers, parfois sensibles. Là, nous avons vu des pans entiers de règles de pare-feu désactivées pour permettre la continuité de l’activité ». De quoi faire augmenter sensiblement le risque.

Mais là encore, il y a pire, avec les « réfractaires », des organisations avec très peu d’utilisateurs en télétravail : « nous avons vu de tout, jusqu’à des services RDP exposé en direct sur Internet, des VPN montés dans la précipitation, avec des authentifications par mot de passe statique distinct de celui du compte dans l’annuaire, etc. ». Pour Gérôme Billois, c’est bien simple : « ces organisations sont vraiment à risque. Et cela d’autant que, souvent, le système d’information est relativement ancien et donc déjà fragile ».

Pour lui, les organisations qui ne sont pas passées au collaboratif en mode Cloud sont finalement celles qui ont rencontré le plus de difficultés. Et d’évoquer des « micro-analyses de risque », dans l’urgence, pour des RSSI voulant évaluer rapidement la posture de sécurité de services que la DSI envisageait d’autoriser ».

Et des cas encourageants

Mais les équipes de Wavestone ont également observé des effets positifs, Gérôme Billois faisait état de « nombreuses campagnes de sensibilisation lancées en urgence », mais aussi de RSSI ayant réussi à saisir l’opportunité pour « durcir un peu leur environnement ». Et de citer en exemple « l’application de correctifs en urgence avant le confinement », ou encore « l’achat accéléré de licences pour des systèmes d’authentification forte qui n’étaient qu’en test et ont été généralisés à cette occasion ».

Attention, toutefois, ces cas restent « une minorité ». Et globalement, « au mieux, les dérogations aux règles de base ont été suivies »… Globalement, Gérôme Billois estime que, pour beaucoup, il va être « difficile de savoir ce qui s’est passé pendant la période… les équipes de cybersécurité peuvent avoir elles-mêmes rencontré des difficultés d’organisation, comme les autres. Sans compter les personnes malades ».

Mais il faut déjà penser à l’après. « Dans la tête de tout le monde, le télétravail va perdurer au moins jusqu’à l’automne/la fin de l’année ». Notamment poussé des volontés de réduction des coûts. Ce qui va entraîner des réflexions autour de technologies comme la signature électronique, notamment.

Reprendre la maîtrise du SI

Dans l’immédiat, la priorité est à la reprise de contrôle, avec l’assainissement de la situation. Autrement dit : revoir toutes les dérogations qui ont pu être accordées en phase de mise en place du confinement. Mais aussi reprendre le contrôle sur les données et, pour cela, « bien collaborer avec les utilisateurs ». L’assainissement, c’est aussi l’application de correctifs qui ont pu être laissés en attente de peur de casser quelque chose, ou encore évaluer les applications adoptées en urgence pour décider lesquelles à conserver et lesquelles à bannir.

Et puis il va convenir de « relancer des processus qui ont été temporairement arrêtés », comme les tests d’intrusion – de peur, encore une fois, de risquer de faire tomber des services –, ou encore l’accompagnement sécurité des projets.

Surtout, « il va falloir enquêter. Partout où la surveillance a pu être relâchée, il faut s’assurer que le ver n’est pas entré dans le fruit en passant inaperçu. Et donc à posteriori, il va falloir regarder les logs pour s’assurer qu’il n’y a pas eu d’intrusion », relève Gérôme Billois.

Anticiper des sur-crises

La crise sanitaire mériterait aussi d’être l’occasion de réfléchir aux processus de gestion de crise… cyber. Gérôme Billois fait état de deux missions soulevant la question de la continuité de l’activité des équipes de cybersécurité et de réponse à incident : « comment gérer, en confinement, une attaque destructrice de type ransomware ? » Les témoignages de DMC et de l’Afpa pourrait s’avérer là éclairants. Mais la question est loin d’avoir une réponse triviale : « comment mettre à profit une expertise et des compétences réparties un peu partout ? Et puis comment organiser la réponse si tous les PC des collaborateurs sont bloqués chez eux ? Si le matériel d’investigation est sous clé dans les bureaux à la Défense ? » Les questions de l’accès à l’infrastructure concernée, de l’assistance aux utilisateurs sont là considérables. Et les réponses ne sont pas encore là.

L’anticipation de crises dans la crise fait donc son chemin dans les esprits. Mais la priorité est donc à la reprise de contrôle sur le SI et les données. Et certains regardent donc déjà plus loin, anticipant des coupes budgétaires « pour ne pas avoir à subir un choix fait en deux jours ».