Retirer tous les bénéfices d’une prestation de réponse à incident

Gagner du temps

Dans le même esprit, Agnieszka Bruyere, directrice des services de sécurité d’IBM France, souligne l’importance de la préparation : « il faut mettre en place un dispositif de réponse aux incidents à l'échelle de l'entreprise. Celui-ci doit prendre en compte tous les futurs intervenants, de l'équipe de sécurité aux métiers en passant par la production informatique. Pour cette définition, l'entreprise peut capitaliser sur les processus et les capacités qui ont été développées pour son plan de continuité de l’activité (PCA) ou son plan de reprise de l’activité (PRA). Ce dispositif doit être mis en place de bout en bout, de la détection de l'incident à sa résolution. Une prestation de réponse à incidents peut couvrir l'expertise et l'assistance technologique ainsi qu’organisationnelle pour la définition des processus de réponse à incident, et en cas d’incident, une assistance à résolution. Le rôle du client est clef, il connait le contexte de l’entreprise et la matrice organisationnelle, c’est donc à lui qu’il revient de valider le dispositif ».

Yann Fareau, responsable Business Development EMEAR chez Cisco, apporte un éclairage supplémentaire : « lors d'un piratage ou incident de sécurité, le temps est toujours ce qui manque le plus. Gagner du temps permet de disposer d’un certain répit pour rassembler ses idées, réfléchir sur la situation et planifier la réponse la plus adaptée à l’incident. Pour cela il est indispensable d’avoir défini au préalable un plan de réponse à incident ».

Sur le plan technique, la préparation peut toutefois s’avérer lourde. Pierre-Yves Popihn, directeur technique de NTT Security France, estime ainsi qu’en amont, « il faut mettre en place les outils qui permettent d’avoir une vue complète du réseau en temps réel ». Et cela ne serait-ce que pour pouvoir fournir « un maximum d’informations sur les éléments impactés en cas d’incident ». Pour autant, il relève également qu’une « gestion efficace des incidents ne passe pas que par des investissements technologiques. Il faut établir au préalable un plan intégrant les processus et les intervenants ainsi que leur rôle et responsabilité en cas d’attaque ».

L’impréparation, première source d’échec

Michael Bittan, associé responsable des activités de gestion des risques chez Deloitte, ne dira pas autre chose. Résumant sa pensée avec une pointe d’humour, il assène : « si vous échouez à vous préparer, vous vous préparez à échouer ».

Dès lors, pour lui, « la préparation est essentielle pour pouvoir intégrer, le moment venu, le prestataire de réponse à incident. Lorsque l’on est victime d’une cyberattaque, il est nécessaire de pouvoir réagir rapidement, mobiliser les bonnes personnes, isoler l’incident et réparer tout dommage avec le moins de perturbations possible ». Encore une fois, il convient donc de « formaliser un plan de réponse à incident. Ce plan doit prendre en compte l’ensemble des parties prenantes (métier, IT, prestataires, etc.). Il est essentiel de faire le lien avec la gestion de crise (Direction Générale, Juridique, Communication, etc.) ».

Surtout, il apparaît essentiel de bien définir le rôle du prestataire en cas d’incident : « suivant les cas son rôle peut être l’expertise en investigation numérique, le pilotage global de l’investigation, ou encore la gestion de la réponse à incident ».

En définitive, c’est l’impréparation qui apparaît comme le mal le plus profond de la réponse aux incidents. Laurent Maréchal, spécialiste solutions Europe du Sud chez Intel Security, ne manque pas de le souligner : « une grosse partie de la démarche de réponse aux incidents réside dans la préparation et l’anticipation. Les entreprises ont, en général, fait quelques progrès ces dernières années. Cependant, nous constatons, trop souvent, un manque de préparation et d’anticipation qui conduisent à des situations catastrophiques ».