La réalité est que52 % des entreprisesont été victimes d'un incident perturbateur au cours des cinq dernières années. La cybercriminalité représente une part de plus en plus importante de ces perturbations, et elle est en constante évolution. Même s'il est essentiel de disposer de solides défenses en matière de cybersécurité, des violations peuvent toujours se produire. Vous devez donc disposer d'un plan d'intervention d'urgence. Voici ce que vous devez faire après une violation de données.
1. Contenir la brèche
La première mesure à prendre lorsque vous découvrez une violation est de la contenir. Si vous parvenez à l'empêcher de se propager rapidement, vous minimiserez les dommages. À l'inverse, si vous ne parvenez pas à la contenir, cela pourrait entraîner des pertes considérables.
Alertez immédiatement votre service informatique ou votre équipe de sécurité afin qu'ils puissent intervenir pour y mettre fin. Ce processus doit consister à trouver la source de la violation, à rechercher les vulnérabilités à sécuriser et à mettre les systèmes hors ligne pour empêcher la propagation. Étant donné que de nombreuses violations proviennent de personnes internes, vous devez restreindre les privilèges des comptes utilisateurs jusqu'à ce que vous en sachiez plus.
Au fur et à mesure que les équipes avancent dans ce processus, il est important de tout consigner. Sauvegardez une copie du système piraté, évitez de supprimer des données et notez tout ce que vous trouvez et faites. Ces notes vous seront utiles par la suite.
2. Évaluer les dégâts
Une fois que vous êtes certain d'avoir maîtrisé la brèche, examinez vos systèmes pour déterminer l'étendue des dommages causés par l'incident. N'oubliez pas de tout vérifier, et pas seulement l'endroit où vous avez détecté la brèche, car les attaques sont parfois plus étendues qu'elles ne le semblent au premier abord.
Consultez les journaux système pour voir quels fichiers ont été consultés par des personnes ou des systèmes au moment de l'incident. Il peut également être utile de consulter les enregistrements que vous avez conservés lors de la première étape. Lorsque vous découvrez quels types de données ou de comptes ont été affectés par l'incident, réfléchissez aux dommages futurs qu'il pourrait causer.
Connaître l'étendue réelle de la violation de données vous aidera à déterminer les mesures supplémentaires à prendre. Si vous découvrez que le pirate a trouvé les adresses e-mail ou les noms des employés, vous saurez que le phishing pourrait constituer une menace plus importante à l'avenir. Vous pourrez alors alerter tout le monde afin qu'ils restent vigilants et organiser davantage de formations anti-phishing.
3. Informer toutes les parties concernées
Ensuite, il est temps d'informer tous les employés, partenaires ou clients qui pourraient avoir été touchés par la violation. Une bonne cybersécurité consiste notamment à apprendre aux employés à signaler toute activité suspecte et à réagir en cas d'urgence, mais ils doivent être informés des événements pour pouvoir agir. Plus vite vous informerez tout le monde, plus vite ils pourront prendre des mesures pour réduire l'impact.
De nombreuses réglementations légales exigent des entreprises qu'elles informent les utilisateurs en cas de violation de données. Bien que les délais ne soient pas toujours précis, il est préférable de le faire le plus tôt possible. Le règlement général sur la protection des données (RGPD) de l'Union européenne stipule qu'il fautles alerter sans délai injustifié. Il est donc préférable de les informer dans les jours qui suivent l'incident.
Ces alertes doivent inclure ce qui s'est passé, comment cela peut affecter la partie concernée, ce que vous faites à ce sujet et comment elle doit réagir. Certaines mesures de sa part, comme le changement de mot de passe, peuvent être nécessaires.
4. Tester les nouveaux correctifs de sécurité
Pendant que vous enquêtez sur la violation, votre équipe informatique ou de sécurité doit être en mesure de corriger la vulnérabilité qui a conduit à l'incident. Il est essentiel de déployer rapidement ces mises à jour, mais il est tout aussi important de s'assurer qu'elles fonctionnent. Une fois que vous avez mis en place une solution, testez-la.
Tout comme les pompiers testent les bouches d'incendie par rapport à des normes établies, les services informatiques doivent tester les correctifs de sécurité pour vérifier leur efficacité. Sans ces tests, vous ne pouvez pas être sûr qu'un autre pirate ne violera pas votre réseau de la même manière que le précédent. Veillez à appliquer cette mesure à l'ensemble de votre organisation, et pas seulement à l'endroit où l'incident s'est produit.
Il est également judicieux d'intégrer ces tests d'intrusion à votreplan de continuité des activités habituel. À mesure que votre entreprise se développe, les réseaux et les systèmes de sécurité deviennent souvent plus intégrés et interconnectés, mais cette complexité et cette connectivité accrues s'accompagnent également d'un plus grand nombre de surfaces d'attaque que vous devez couvrir. Chaque fois que vous modifiez quelque chose dans votre environnement informatique, testez-le par rapport au type d'attaque qui a compromis vos systèmes la première fois afin de vous assurer qu'il ne subira pas le même sort.
5. Réviser et améliorer
Enfin, profitez de cet événement pour améliorer votre posture de sécurité. Une fois que vous avez corrigé les vulnérabilités, informé toutes les parties concernées et réglé les éventuelles conséquences juridiques, organisez une réunion pour faire le point sur la situation.
Examinez ce qui s'est passé, comment chacun a réagi et comment ces actions ont influé sur le résultat. Qu'est-ce qui a bien fonctionné ? Qu'est-ce qui n'a pas fonctionné ? Vous pouvez utiliser les réponses à ces questions pour déterminer où et comment vous pouvez améliorer votre réponse aux violations de données à l'avenir.
Disposer d'un plan de continuité des activités bien défini permettra deréduire le coût globalet les dommages liés à une situation d'urgence future. Pour créer et perfectionner un tel plan, il est nécessaire de comprendre vos forces et vos faiblesses, ce que ces analyses vous permettent de faire. Dans l'idéal, vous ne serez jamais victime d'une violation de données, mais si cela devait arriver, ne laissez pas cette expérience concrète être vaine.
Les violations de données ne signifient pas nécessairement la fin
Les violations de données sont une perspective intimidante et un scénario de plus en plus probable pour de nombreuses entreprises. Bien que ces événements puissent être préjudiciables, ils ne sont pas nécessairement catastrophiques. Une réaction rapide et une planification adéquate permettront d'en atténuer l'impact.
Ces mesures vous aideront à contenir une violation, à réduire les dommages et à prévenir d'autres violations à l'avenir. Si vous y parvenez, vous pourrez assurer la prospérité de votre entreprise malgré ces attaques.
Zac Amos est rédacteur en chef et écrivain à ReHack, où il aime se plonger dans la technologie des entreprises, la cybersécurité et tout ce qui a trait à la technologie. Vous pouvez trouver plus d'informations sur son travail sur Twitter ou LinkedIn.
Note de l'éditeur : Cet article a été publié à l'origine sur Preparis Business Continuity Software. En octobre 2024, Mitratech a acquis Preparis, un fournisseur de premier plan de solutions de planification de la continuité des activités et d'intervention d'urgence. Le contenu a été mis à jour pour refléter les offres de produits élargies de Mitratech, les progrès de l'industrie et les développements réglementaires.
