L'expression « partir du principe d'une compromission » a achevé son cycle de vie, passant d'une idée à un slogan. Tous les fournisseurs qui traitent de la sécurité des infrastructures critiques l'utilisent désormais en introduction. Les commentaires de CI Fortify la reprennent de manière si systématique que cette expression a perdu toute valeur informative : elle ne permet plus de distinguer une approche d'une autre et n'indique plus à un opérateur ce qu'il doit faire différemment dès lundi.

Pour saisir toute la valeur de cette idée, il faut la prendre au pied de la lettre. Imaginons que vous soyez sincèrement convaincu, aujourd’hui même, qu’un adversaire compétent dispose d’un certain accès à votre environnement. Pas de manière hypothétique, comme principe de conception, mais dans les faits. Qu’est-ce qui changerait en premier lieu ? La réponse honnête n’est pas : vos règles de pare-feu. Ce sont vos communications.

Il ne s'agit pas là d'un scénario hypothétique. Les recommandations « CI Fortify » de la CISA définissent l’isolation comme « le fait de fonctionner sans télécommunications fiables, sans fournisseurs d’accès à Internet, sans prestataires de services et sans dépendances en amont » — l’hypothèse d’une compromission, inscrite dans les directives fédérales comme une condition de fonctionnement plutôt que comme une posture.

La première victime d'un compromis présumé, c'est la confiance dans vos propres canaux de communication

Un adversaire disposant d'un accès peut lire ce que vous envoyez via les canaux auxquels il a accès. En partant du principe que le système a bel et bien été compromis, vos e-mails, votre messagerie instantanée d'entreprise et, potentiellement, vos communications vocales présentent tous un risque de divulgation, précisément au moment où celle-ci est la plus critique : lorsque vous discutez de ce que vous savez, de ce que vous comptez faire à ce sujet et des points faibles de vos défenses.

C'est pourquoi la coordination hors bande constitue une mesure de contrôle établie plutôt qu'une simple option. MITRE ATT&CK la répertorie comme mesure d'atténuation M1060, en recommandant aux défenseurs de « mettre en place des canaux de communication hors bande sécurisés afin d’assurer la continuité des communications critiques lors d’incidents de sécurité, d’attaques visant l’intégrité des données ou de pannes de communication au sein du réseau ». Les guides d’intervention sérieux mettent en place ces canaux avant toute autre action. Pourtant, le contenu « CI Fortify » du secteur part constamment du principe d’une compromission présumée et suit rarement cette préconisation, qui en constitue pourtant la conséquence opérationnelle la plus immédiate.

Prendre au sérieux le principe de « l'hypothèse d'une compromission » signifie partir du principe que l'adversaire peut intercepter vos communications. La première exigence qui en découle est de disposer d'un canal de communication auquel l'adversaire n'a pas accès.

La liste de contrôle générée par le scénario lui-même

Poussé jusqu'à ses conséquences logiques, le compromis envisagé débouche sur un ensemble concret d'exigences opérationnelles.

1. Un canal de coordination hors bande. Des communications vocales et de messagerie chiffrées de bout en bout, indépendantes de la pile d’identité d’entreprise et du chemin réseau, accessibles aux dirigeants et aux intervenants avant un incident plutôt que mises en place à la va-vite pendant celui-ci. BlackBerry^® SecuSUITE^® fournit cette couche.
   

2. Un système d'alerte qui ne dépend pas d'une infrastructure compromise. La possibilité de joindre l'ensemble de vos intervenants via plusieurs canaux avec confirmation de réception, même si la messagerie électronique et la téléphonie d'entreprise sont hors service ou ne sont pas fiables. BlackBerry^® AtHoc^® assure la notification de masse et le suivi du personnel ; il est certifié FedRAMP Classe D (Haut niveau), certification renouvelée cette année — ce qui est essentiel lorsque la solution de secours elle-même ne doit pas devenir une cible vulnérable.
   

3. Terminaux de confiance pour l'intervention elle-même. Des appareils gérés et sécurisés pour les personnes chargées de la réponse, car un canal de secours accessible depuis un ordinateur portable compromis ne constitue pas une véritable solution de secours. BlackBerry^®UEM veille à ce que ce petit parc d’appareils soit à jour, sécurisé et récupérable.
   

4. Répétition. Cette hypothèse n'est valable que si les équipes se sont effectivement entraînées à la mettre en pratique.

Notez bien ce que cette liste de contrôle n'est pas. Elle ne remplace en rien les capacités de segmentation, de détection ou de restauration, et elle ne revient pas non plus à dire « achetez tout ». Il s'agit d'un ensemble précis et délimité de capacités que le slogan fétiche du secteur exige logiquement, mais que son contenu omet systématiquement.

Pourquoi cette omission persiste-t-elle ?

Les fournisseurs décrivent les problèmes que leurs produits permettent de résoudre. La plupart des fournisseurs qui animent ce débat commercialisent des solutions de sécurité réseau, de visibilité des systèmes OT ou de contrôle d’accès — des produits performants qui résolvent les aspects du problème représentés dans leurs schémas. La couche de coordination se situe en dehors de chacun de ces schémas, ce qui explique précisément pourquoi elle ne bénéficie d’aucun financement.

Partez du principe que le système a été compromis. Agissez en conséquence : transférez votre coordination sur un canal hors de portée de l'adversaire, assurez-vous de pouvoir toujours mobiliser vos équipes, et confiez la réponse à du matériel auquel vous faites confiance. C'est ce que signifie ce slogan, s'il a un sens.

À lire également :
Ce que CI Fortify demande aux services publics de dépenser — et la fonctionnalité qu’il ne mentionne jamais
Quand les téléphones tombent en panne : le manque de coordination que personne ne prévoit
Leçons à tirer des attaques de juillet contre les services des eaux : ce que l’avis conjoint recommande aux opérateurs de faire ensuite
Pourquoi la planification de l’isolation des systèmes OT nécessite une continuité des communications