La conversation que les RSSI doivent avoir avec leur conseil d’administration au sujet des rançongiciels (ransomwares)

Trois messages que chaque RSSI devrait adresser à son conseil d’administration

1. Il s’agit ici d’une question de risque commercial, et pas seulement de risque de sécurité.

Le rançongiciel (ransomware) cumule, en même temps, des risques opérationnels, financiers, réputationnels et de continuité. Les conseils d’administration comprennent déjà les risques liés à la chaîne d’approvisionnement et au marché. Les rançongiciels (ransomwares) ne font pas exception. Une fois cette réalité intégrée, la question passe de « comment rétablir plus vite » à « comment réduire l’exposition avant qu’une perturbation ne survienne. » Les deux comptent. Mais un seul d’entre eux modifie la dynamique économique de l’attaque.

L’écosystème des rançongiciels (ransomwares) fonctionne désormais avec l’efficacité d'un marché arrivé à maturité, doté d’une infrastructure partagée, de prestataires de services spécialisés et de techniques d’attaque axé sur l'IA qui réduisent les coûts pour les cybercriminels à chaque étape. L’intervention de Microsoft dans l’affaire Fox Tempest en est une illustration directe. Ce n’était pas un acteur du rançongiciel (ransomware). C’est grâce à cette infrastructure partagée que des centaines d’opérations criminelles ont pu faire passer leurs charges utiles malveillantes pour des éléments légitimes. Sa perturbation a entraîné une dégradation simultanée de ses capacités dans l’ensemble de l’écosystème. Les défenseurs doivent adopter la même approche, en ciblant en amont les infrastructures communes des attaquants, et non pas se contenter de réagir au moment de l'attaque.

Les organisations qui prennent une longueur d’avance dans ce domaine accordent la priorité à la protection de l’identité, à la détection des intermédiaires d’accès, à la visibilité sur les voies d’attaque et à une veille continue permettant de neutraliser les menaces avant même que les rançongiciels (ransomwares) ne se déploient, tout en investissant dans la résilience afin de garantir la reprise des activités en cas d’attaque.

Chaque entreprise sera ciblée. La différence ne tient pas au fait qu’une intrusion se produise ou non, mais à la capacité de l’entreprise à contenir la perturbation, maintenir ses activités et se rétablir sans impact commercial catastrophique. Cela suppose d’investir dans la continuité d’activité et le rétablissement après sinistre (BCDR), dans des sauvegardes immuables et segmentées, dans des stratégies de confinement des identités et dans des tests de reprise opérationnelle. Et cela exige de mesurer le bon indicateur : non seulement le temps de reprise, mais aussi l’intervalle entre la compromission initiale et le confinement. C’est cette fenêtre qui détermine si une intrusion va dégénérer en crise pour l’entreprise.

Quels changements interviennent lorsque les conseils d’administration prennent conscience de l’économie de la menace ?

• Les priorités d’investissement se déplacent en amont. Les entreprises dont les dirigeants sont sensibilisés aux menaces ont tendance à consacrer davantage de ressources à la protection de l’identité, à la détection des courtiers d’accès et à une meilleure compréhension des renseignements sur les menaces, qui ne se limitent pas à l’identification de leur origine.
• La résilience devient une capacité stratégique, et non un simple exercice de conformité. La planification de la continuité des activités et de la reprise après sinistre, les sauvegardes immuables et les tests de reprise opérationnelle ne sont plus de simples cases à cocher lors d’un audit, mais deviennent des atouts concurrentiels. Les entreprises qui se rétablissent le plus vite sont celles qui se sont entraînées.
• La fonction de Responsable de la Sécurité des Systèmes d’Information se repositionne. Le rôle des responsables de la sécurité évolue : ils ne se contentent plus de réagir aux incidents, mais deviennent des conseillers stratégiques en matière de risques, dotés des connaissances et du langage nécessaires pour aider l’entreprise à anticiper et à gérer les risques liés aux menaces avant qu’ils ne se traduisent par des perturbations opérationnelles.

Le moment que nous vivons

Depuis 2020, Microsoft suit de près l’évolution de l’écosystème des rançongiciels (ransomwares) en tant que service et publie des informations à ce sujet.

La stratégie de réponse qui avait du sens en 2020 ne suffit plus aujourd’hui. Et une discussion du conseil d’administration figée dans le paysage des menaces de 2020 ne suffit pas non plus.

Chaque semaine jusqu’en septembre, Microsoft cartographie en temps réel le paysage de la cybercriminalité et publie les informations observées par nos analystes sur plus de 65 acteurs motivés par l’argent, opérant dans un écosystème criminel coordonné. « Hot Cybercrime Summer » a pour objectif de mettre en lumière précisément ce type d'informations : présentées dans un langage que les responsables de la sécurité peuvent exploiter pour agir et les transmettre aux décideurs qui financent les mesures de riposte.

Suivez la série. Et intégrez ces informations à votre prochaine discussion avec le conseil d’administration. Le plan est là. La question est de savoir si votre entreprise l’exploite. Blog sur la Sécurité Microsoft | Renseignements sur la menace des rançongiciels (ransomwares)