Transcription

• Speaker #0

  Bonjour, aujourd'hui on s'attaque à un sujet qui donne pas mal de sueur froide aux organisations, les rançongiciels.

• Speaker #1

  Ah oui, les rançonguères.

• Speaker #0

  Exactement, ces attaques qui, bon, prennent vos données en otage, les chiffrent, et puis demandent une rançon pour vous redonner accès.

• Speaker #1

  Et c'est pas tout souvent.

• Speaker #0

  Non, justement, c'est ça le pire. Souvent, ils volent aussi des infos et menacent de tout publier si on ne paie pas une deuxième fois. Le cauchemar.

• Speaker #1

  Carrément, et ce qui est terrible, c'est l'effet immédiat. Paf, du jour au lendemain, tout peut être paralysé.

• Speaker #0

  Et là, la direction est coincée ?

• Speaker #1

  Complètement. Le choix impossible. Payer, sans garantie, ou alors tenter de restaurer. Mais ça prend du temps, ça coûte, et parfois c'est juste pas possible.

• Speaker #0

  Le tout dans une urgence absolue, j'imagine.

• Speaker #1

  Voilà. C'est pour ça que la préparation, c'est vraiment, c'est crucial. Le nerf de la guerre.

• Speaker #0

  Et justement, pour nous aider à voir plus clair sur cette préparation, on a mis la main sur un document. Assez technique, mais super intéressant.

• Speaker #1

  Ah oui ? Qu'est-ce que c'est ?

• Speaker #0

  C'est une ébauche publique, toute récente, de janvier 2025. Un rapport du NIST, l'Institut National des Normes et de la Technologie aux Etats-Unis.

• Speaker #1

  D'accord, le NIST. Ils font référence ?

• Speaker #0

  Oui. Le petit nom du rapport, c'est NIST IR 8374 R1. Et le titre complet, attention, Ransomware Risk Management, a Cyber Security Framework 2.0. Community Profile. Un peu long.

• Speaker #1

  Ah oui, un peu. Mais l'idée est là. Un profil communautaire basé sur leur cadre de cybersécurité, le CSF 2.0.

• Speaker #0

  Exactement. C'est quoi au juste ce profil communautaire ?

• Speaker #1

  Imagine une sorte de super recette de base, si tu veux, pour se protéger contre les rançongiciels. Une recette qui a été mise au point avec des experts, des entreprises. Et cette recette s'appuie sur le grand cadre général du NIST, le CSF 2.0. Donc, C'est un modèle, un ensemble de bonnes pratiques. Attention, ce n'est pas une loi.

• Speaker #0

  Ce sont des recommandations.

• Speaker #1

  Voilà, des recommandations que chaque organisation peut et doit adapter à sa propre situation, à sa taille, ses moyens, sa propre cuisine.

• Speaker #0

  Donc, notre mission pour les prochaines minutes, c'est ça. On va décortiquer ce rapport, on va essayer de creuser, de trouver les conseils pratiques, les idées clés.

• Speaker #1

  Pour aider tout le monde, en fait.

• Speaker #0

  Oui, même les plus petites structures, celles qui n'ont pas forcément des budgets cyber énormes. L'idée, c'est de voir comment évaluer sa préparation, gérer le risque et surtout identifier comment on peut s'améliorer, trouver les pépites.

• Speaker #1

  C'est ça. Comprendre la menace, bien sûr, mais surtout comment on bâtit une défense solide et comment on réagit si jamais ça arrive.

• Speaker #0

  Alors, commençons par le début au bien comprendre l'ennemi. Le rapport insiste bien sur cette double peine, chiffrement et vol de données.

• Speaker #1

  Oui, avec la menace de publication. Ça met une pression supplémentaire. énorme.

• Speaker #0

  C'est ça qui change beaucoup par rapport à d'autres cyberattaques, non ?

• Speaker #1

  Tout à fait. L'impact est immédiat, visible, ça met une pression dingue sur la direction. Et comme on disait, le temps pour réagir est très court. D'où l'insistance du rapport sur tout ce qu'il faut faire avant.

• Speaker #0

  La proactivité ?

• Speaker #1

  La clé. Vraiment. Anticiper, se préparer.

• Speaker #0

  Le rapport dit aussi un truc important, les attaquants, ils ne chôment pas. Leur technique évolue tout le temps.

• Speaker #1

  Ah ça, c'est une course permanente. Ils trouvent... toujours de nouvelles failles, de nouvelles méthodes. Ce n'est pas un jeu où les règles sont fixées une fois pour toutes.

• Speaker #0

  Jamais.

• Speaker #1

  Ce qui marchait hier pour se protéger peut être contourné demain. D'où l'intérêt, justement, d'avoir une approche structurée, comme celle du NIST. Ça donne une base solide, même si la menace change.

• Speaker #0

  Parlons-en de cette approche structurée. Le rapport s'appuie donc sur le Cyber Security Framework, le CFF 2.0. Comment ça nous aide concrètement, ce cadre ?

• Speaker #1

  Le CSF 2.0, c'est un peu comme une grosse boîte à outils pour la cybersécurité. Très bien rangé.

• Speaker #0

  Ok.

• Speaker #1

  Et ce profil communautaire pour les rançanges du ciel, c'est comme si on avait pris cette boîte et sélectionné les meilleurs outils et la meilleure façon de les utiliser, spécifiquement contre ce type d'attaque.

• Speaker #0

  D'accord, c'est ciblé.

• Speaker #1

  Oui. Il identifie les actions, les résultats attendus, ce qu'ils appellent les outcomes les plus importants. Et chaque organisation peut s'en servir comme référence. Pour se dire, bon... Où j'en suis aujourd'hui et où est-ce que je veux aller ? C'est quoi mon objectif ?

• Speaker #0

  Avant qu'on plonge dans les détails du cadre lui-même, il y a une section super pratique dans le rapport Basic Ransomware Tips, des conseils de base.

• Speaker #1

  Oui, des trucs terre à terre.

• Speaker #0

  Que tout le monde peut appliquer, même sans se lancer dans tout le cadre CSF. C'est pas mal pour commencer.

• Speaker #1

  Tout à fait. Ce sont les fondamentaux, des mesures de bon sens, mais qui peuvent déjà faire une sacrée différence. On peut les voir comme des couches de protection.

• Speaker #0

  La première couche, si je comprends bien, c'est l'humain et les failles évidentes, les trucs classiques quoi.

• Speaker #1

  Exactement. Former les employés, attention aux liens bizarres, aux emails suspects, éviter d'utiliser leur DIPRO pour des trucs perso. Demander avant de brancher sa clé USB.

• Speaker #0

  Ça paraît basique, mais c'est toujours aussi important.

• Speaker #1

  Plus que jamais. Tellement d'attaques commencent encore par une erreur humaine, un clic trop rapide. Mais ça ne s'arrête pas à la sensibilisation.

• Speaker #0

  Non.

• Speaker #1

  Non, cette couche inclut aussi le technique de base. Maintenir les systèmes à jour, les patches, les correctifs de sécurité, c'est vital.

• Speaker #0

  Les attaquants adorent les vieilles failles.

• Speaker #1

  Précisément. Le rapport mentionne aussi l'approche Zero Trust. En gros, faire confiance à personne par défaut, tout vérifier. Et puis... N'autoriser que les logiciels validés. Et bien définir les règles de sécurité avec les fournisseurs.

• Speaker #0

  Ok, former les gens, boucher les trous faciles. Et si, malgré ça, quelqu'un commence à rentrer ? Deuxième ligne de défense ?

• Speaker #1

  C'est ça, il faut détecter vite et limiter la propagation. Donc utiliser des outils de détection à jour, antivirus, EDR. Mais aussi surveiller ce qui se passe sur le réseau, dans l'Active Directory par exemple. Repérer les trucs anormaux.

• Speaker #0

  Et bloquer les sites dangereux connus, ça aide aussi ?

• Speaker #1

  Oui, ça fait partie du lot. Filtrage web.

• Speaker #0

  Et pour limiter les dégâts, si l'intrus est déjà dedans ?

• Speaker #1

  Plusieurs choses. D'abord, ne pas donner les clés du royaume à tout le monde. Utiliser des comptes utilisateurs normaux, pas admins, pour le quotidien.

• Speaker #0

  Le fameux principe du moindre privilège ?

• Speaker #1

  Voilà. Et puis, l'authentification multifacteur, le MFA. Partout où c'est possible. Ça, ça complique vraiment la vie des attaquants.

• Speaker #0

  C'est clair. Juste un mot de passe, ça ne suffit plus.

• Speaker #1

  Non. Le rapport parle aussi de bloquer après trop de tentatives de mots de passe ratés, pour éviter la force brute. Et aussi, si possible, utiliser du stockage immuable pour les données critiques.

• Speaker #0

  Immuable, ok, c'est-à-dire ?

• Speaker #1

  Ça veut dire que, pendant un certain temps, on ne peut ni modifier ni supprimer les données qui y sont écrites. Même un admin ne peut pas le faire.

• Speaker #0

  Ah d'accord, donc même si l'attaquant prend le contrôle ?

• Speaker #1

  Il ne peut pas chiffrer ces données-là. C'est une protection très forte. Et enfin, un classique mais toujours vital, l'accès externe au réseau, ça passe par un VPN sécurisé. Point barre.

• Speaker #0

  Très clair. Dernière partie de ces conseils de base, la préparation au pire. Si l'attaque réussit quand même.

• Speaker #1

  Comment on s'en sort ? C'est le plan R. Récupération. Avoir un plan de réponse incident, un plan de continuité d'activité. Et surtout, qu'il soit clair, connu et testé.

• Speaker #0

  Pas juste un document qui dort dans un tiroir.

• Speaker #1

  Exactement. Un plan testé régulièrement. Qui dit, qui fait quoi. quelles sont les priorités pour redémarrer.

• Speaker #0

  Et les sauvegardes, bien sûr.

• Speaker #1

  Évidemment, le cœur de la récupération. Des sauvegardes régulières, ok, mais stockées en sécurité, hors ligne ou sur un réseau isolé. Sinon, le rang sangiciel les chiffre aussi.

• Speaker #0

  Le cauchemar dans le cauchemar.

• Speaker #1

  Voilà. Et surtout, tester la restauration. Régulièrement. Une sauvegarde qu'on n'arrive pas à restaurer, ça ne sert à rien. Ah, et un détail pratique du rapport. Avoir une liste de contacts à jour. Experts, avocats, police, assureurs. Pour ne pas pendre de temps en pleine crise.

• Speaker #0

  Bon, ces conseils de base, ça donne déjà une bonne feuille de route. Mais le rapport nous pousse à aller plus loin, avec la structure du cadre CSF2, organisé en 6 fonctions.

• Speaker #1

  Oui, les 6 grandes fonctions qui couvrent tout le cycle de gestion du risque cyber. On a d'abord « govern » , « gouverner » . C'est la stratégie, les règles, les rôles.

• Speaker #0

  La base.

• Speaker #1

  Ensuite, « identify » , identifier. Savoir ce qu'on doit protéger, nos actifs, nos données. Et connaître les risques, les failles.

• Speaker #0

  Logique. Après ?

• Speaker #1

  Protect, protéger. Là, on met en place les défenses, pour bloquer les attaques ou au moins limiter les dégâts.

• Speaker #0

  Et si ça passe quand même ?

• Speaker #1

  Alors, on passe à detect, détecter. Repérer au plus vite si quelque chose cloche, si une attaque est en cours. Puis, respond, répondre. Agir vite, contenir l'incident, analyser, communiquer.

• Speaker #0

  Et enfin, la dernière étape ?

• Speaker #1

  Recover, récupérer. Remettre tout en marche, revenir à la normale après l'attaque.

• Speaker #0

  Ces six fonctions, ça donne une vue d'ensemble assez claire, c'est vrai. Le rapport va plus loin. Pour chaque fonction, il identifie des résultats spécifiques et leur donne une priorité. Priorité 1 ou 2.

• Speaker #1

  Exactement. Pour aider à focaliser les efforts sur ce qui est le plus critique contre les rançongiciels.

• Speaker #0

  On ne va peut-être pas tous les passer en revue, ce serait long. Mais regardons quelques exemples de priorité 1 pour voir la logique. Commençons par Gouverner, GV.

• Speaker #1

  D'accord. Alors, dans Gouverner... un point P1, c'est GVOC02. Comprendre les besoins et attentes des parties prenantes. Pourquoi ces P1 ici ?

• Speaker #0

  J'imagine que c'est parce qu'une attaque rangsangicielle, ça touche tout le monde, pas que l'IT.

• Speaker #1

  C'est exactement ça. Clients, employés, production, la réputation, les aspects légaux. Il faut que tout le monde, du comex au partenaire, comprenne bien les enjeux et ce qui est mis en place. Ce n'est pas juste une affaire de technicien.

• Speaker #0

  Toujours d'en gouverner un autre P1, GVRR02. Rôles, responsabilités et autorités clairs et compris. Ça semble évident, mais pourquoi P1 absolu ?

• Speaker #1

  Parce qu'en pleine crise de Rensongiciel, si on ne sait pas qui décide quoi ? Qui fait quoi ? C'est le chaos garanti. La pression est énorme, chaque minute compte.

• Speaker #0

  On ne peut pas commencer à se demander qui appelle qui.

• Speaker #1

  Non. Qui décide d'isoler un serveur ? Qui communique ? Si ce n'est pas défini clairement avant, on perd un temps fou. Et ça aggrave tout. C'est vital.

• Speaker #0

  Et un troisième exemple en gouvernance, GV SC02, sur les responsabilités cyber des fournisseurs. Encore P1. Pourquoi cette insistance sur les tiers ?

• Speaker #1

  Parce que la chaîne d'approvisionnement, c'est devenu une vraie passoire, une porte d'entrée majeure pour les attaquants.

• Speaker #0

  Ah oui, les attaques via les partenaires.

• Speaker #1

  Exactement. Infiltrer un fournisseur moins sécurisé, c'est parfois plus simple pour atteindre une grosse cible. C'est fréquent. Donc, s'assurer que les fournisseurs ont des règles claires et savoir qui est responsable en cas de pépin, c'est P1, pour éviter d'importer le risque.

• Speaker #0

  Passons à identifier, idée. Là, un P1 qui m'a marqué. IDEA, AM02, maintenir des inventaires logiciels à jour. Pourquoi c'est si fondamental ?

• Speaker #1

  C'est la base de la base. Comment protéger un truc si on ne sait même pas qu'il existe ?

• Speaker #0

  C'est vrai.

• Speaker #1

  Les attaquants cherchent en permanence les logiciels pas à jour avec des failles connues. Sans inventaire précis, impossible de savoir où sont les risques, quoi patcher en urgence, quels vieux machins dangereux traînent encore sur le réseau. C'est indispensable pour gérer les vulnérabilités sérieusement.

• Speaker #0

  Un autre P1 dans Identifier. idées RA04, comprendre l'impact potentiel des menaces. On en a un peu parlé, mais pour la décision, c'est critique.

• Speaker #1

  Ah oui, ça permet de sortir du 100% technique et de gérer le risque avec une vision métier. Si on sait ce que coûte une semaine d'arrêt de prod, ou l'impact d'une fuite de données clients sur la réputation, les amendes...

• Speaker #0

  On décide mieux.

• Speaker #1

  Exactement. Ça justifie les budgets sécurité, mais surtout, en cas d'attaque, ça aide à décider. On paye ou pas ? Combien de temps on peut tenir sans ce système ? Avoir réfléchi à ça à froid, c'est essentiel quand il faut trancher sous pression.

• Speaker #0

  Allons voir du côté de protéger, PR, plusieurs P1 et si aussi. Par exemple, PRAA01, la gestion des identités et des accès. Point névralgique.

• Speaker #1

  Complètement. Voler des identifiants, c'est souvent le chemin le plus court pour un attaquant. Un mot de passe faible, un compte avec trop de droits, et hop, porte ouverte.

• Speaker #0

  Donc, gestion rigoureuse des comptes, mot de passe fort.

• Speaker #1

  Et surtout, le MFA, l'authentification multifacteur. C'est une barrière essentielle, un des meilleurs retours sur investissement en protection.

• Speaker #0

  On retrouve aussi en P1, PR.AT01, la sensibilisation et formation du personnel. On boucle avec les conseils de base.

• Speaker #1

  Oui, et c'est P1 parce que l'erreur humaine, ça reste une cause majeure d'incident. Un clic malheureux, une mauvaise config par un admin sous pression. La formation continue, c'est pas juste pour la forme, c'est une protection active.

• Speaker #0

  Un autre P1. incontournable celui-là, dans protéger.pr.ds11 les sauvegardes.

• Speaker #1

  La police d'assurance ultime contre le chiffrement. Si tes données sont prises en otage, mais que t'as des sauvegardes récentes, fiables, testées et surtout bien isolées,

• Speaker #0

  que l'attaquant ne peut pas atteindre.

• Speaker #1

  Exactement. Alors, tu peux restaurer et dire non merci à la rançon. C'est le pilier de la résilience. P1, indiscutable.

• Speaker #0

  Et juste après, logiquement, P1 aussi pour PR. RPS 02, la maintenance des logiciels. Patch, mise à jour.

• Speaker #1

  Ça va avec l'inventaire, idée AM02. Savoir qu'on a un logiciel vulnérable, c'est bien. Le patcher ou le remplacer, c'est mieux. Les attaquants automatisent la recherche de ces failles. Ne pas patcher, c'est laisser la fenêtre grande ouverte. C'est l'hygiène de base.

• Speaker #0

  Ok, on a bien couvert la protection. Maintenant, détecter. DEE, ici, DEE-AE02, c'est analyser les événements potentiellement néfastes. Ça veut dire quoi concrètement ?

• Speaker #1

  C'est-à-dire qu'il ne suffit pas d'empiler les logs et les alertes. Il faut les outils, les processus pour les analyser activement. Chercher les signaux faibles. Une connexion bizarre depuis l'étranger. Des tentatives d'accès répétées. Un utilisateur qui essaye d'augmenter ses droits. Du trafic réseau suspect qui sort.

• Speaker #0

  Il faut être proactif dans la détection. Oui,

• Speaker #1

  c'est ça. Détecter l'attaque au tout début, avant le chiffrement, ça peut tout changer. Passer d'une défense passive à une chasse active.

• Speaker #0

  Et si on détecte, il faut répondre. RS. Le P1, c'est rs.mi01, contenir les incidents. Action critique.

• Speaker #1

  Absolument critique. Un rançongiciel, ça veut se propager. Très vite. Pour chiffrer le plus possible. Dès qu'on repère une machine infectée, priorité numéro 1, l'isoler.

• Speaker #0

  Couper le réseau.

• Speaker #1

  Oui, débrancher le câble, bloquer ses communications, stopper l'hémorragie. Chaque minute gagnée limite les dégâts. Une bonne capacité de confinement, c'est essentiel pour éviter que toute la boîte soit paralysée à cause d'un seul poste.

• Speaker #0

  Et enfin, dernière fonction, récupérer, RC, RP, Z3. Vérifier l'intégrité des sauvegardes avant restauration. Pourquoi cette vérification est si importante ?

• Speaker #1

  Imagine le scénario catastrophe. Attaque, tout est chiffré, pression maximale. On décide de restaurer les sauvegardes. Mais si on restaure des données corrompues, ou pire, une sauvegarde qui contient elle-même le malware,

• Speaker #0

  Ah oui, l'horreur !

• Speaker #1

  non seulement on perd un temps fou, mais on risque de tout réinfecter. Donc avant de lancer la grosse restauration, il faut être sûr que la sauvegarde est saine, complète, pas piégée. C'est la dernière vérification pour une récup réussie.

• Speaker #0

  Et de construire une défense en profondeur, de façon logique, en se concentrant sur l'essentiel.

• Speaker #1

  C'est tout l'intérêt. Ça aide à sortir de la logique « j'empile des outils de sécurité au hasard » . Là, on a une stratégie réfléchie, organisée autour des six fonctions qui couvrent tout le cycle. Le rapport fait aussi le lien vers d'autres normes, pour ceux qui veulent creuser, et mentionne des outils comme le CPRT du NIST pour naviguer dans tout ça.

• Speaker #0

  Très bien. Donc, si on devait résumer, les rançongiciels, oui, c'est une plaie, une menace sérieuse qui évolue vite, mais ce n'est pas une fatalité. Non, heureusement. Une bonne préparation, bien structurée. Comme le propose le NIST CSF 2.0, en couvrant tout, gouvernance, identification, protection, détection, réponse et récupération. Ça permet vraiment de réduire le risque et surtout d'être capable de se relever si on est touché.

• Speaker #1

  C'est exactement ça, la préparation proactive, réfléchie, testée. Ça reste la meilleure arme.

• Speaker #0

  Et pour finir, une petite pensée qui découle de tout ça. Le rapport insiste beaucoup sur la préparation avant l'attaque. Éducation, plan, sauvegarde. Oui. Mais il dit aussi que les tactiques des attaquants changent tout le temps. Ça soulève une question, je trouve.

• Speaker #1

  Oui, en effet. Si les méthodes d'attaque évoluent sans cesse, est-ce qu'une organisation peut vraiment se dire un jour « ça y est, je suis totalement prête » .

• Speaker #0

  Bonne question.

• Speaker #1

  Et surtout, comment on fait pour maintenir ce niveau de préparation de façon dynamique ? Pour rester pertinent face à des menaces qui n'existent peut-être même pas encore aujourd'hui.

• Speaker #0

  Voilà une question qui nous rappelle que la cybersécurité, ce n'est pas une destination fixe, mais plutôt un voyage continu, fait d'adaptation et d'amélioration constante. Merci d'avoir exploré ce rapport avec nous.