Quand les systèmes tombent en panne : renforcer la résilience avant une crise

J'ai récemment participé à l'émission « Asia Pulse » aux côtés d'Elliot Danker pour aborder une question à laquelle tout responsable d'infrastructure critique devrait être prêt à répondre : que se passe-t-il lorsque les systèmes dont vous dépendez tombent en panne ? Nous avons évoqué la cyber-résilience, la sécurité des communications, la vérification d'identité, la coopération transfrontalière et les exercices de simulation de crise. Le principal enseignement à retenir est clair : les organisations chargées des services essentiels doivent être capables de fonctionner lorsque les technologies habituelles ne sont pas disponibles ou ne sont pas fiables.

Écoutez l'intégralité de la conversation.

Points clés à retenir pour les auditeurs

• Prévoyez en partant du principe que les systèmes critiques tomberont en panne

• Disposer d'un moyen de communication sécurisé et autonome en cas de coupure de courant

• Vérifier les identités grâce à des contrôles plus rigoureux que la reconnaissance vocale ou visuelle

• Clarifier la répartition des responsabilités entre les opérateurs, les autorités de régulation, les fournisseurs de services de télécommunications, les pouvoirs publics et les équipes techniques

• Testez des scénarios de défaillance réalistes et utilisez les résultats pour apporter des améliorations

• Faites en sorte que chaque alerte donne lieu à une action concrète et utilisez les réponses apportées pour améliorer la connaissance de la situation

La résilience intervient lorsque la prévention a échoué

Il y a vingt ans, la plupart des débats sur la cybersécurité portaient principalement sur la manière d’empêcher les attaquants de pénétrer dans les systèmes. La prévention reste importante, mais elle ne suffit plus. Les dirigeants doivent partir du principe qu’un attaquant peut déjà se trouver à l’intérieur, qu’un système de confiance peut devenir indisponible ou que des informations critiques peuvent devenir inaccessibles. La résilience consiste à garder le contrôle, à maintenir les services essentiels et à prendre des décisions éclairées après que les systèmes ou les réseaux ont été compromis.

La résilience se développe grâce à la planification et à la pratique. Les organisations doivent tester leur capacité à fonctionner sans messagerie électronique, sans systèmes d’identification, sans télécommunications ni réseaux opérationnels. Elles doivent déterminer quels services doivent être maintenus, quelles décisions ne peuvent attendre et qui est habilité à agir lorsque les chaînes d’approbation sont interrompues.

La reprise n’est pas synonyme de continuité. La restauration des systèmes peut prendre des heures, voire des jours, alors que les services essentiels doivent se poursuivre. Une organisation résiliente peut fonctionner dans des conditions dégradées pendant que les équipes techniques maîtrisent l’incident. Ces priorités doivent être comprises au-delà de l’équipe de sécurité.

La communication est la première condition indispensable

Lorsqu'un hôpital, une station de traitement des eaux, un fournisseur d'énergie ou un organisme public subit une panne de ses systèmes principaux, les répercussions vont bien au-delà du domaine informatique. Les équipes risquent de ne plus recevoir d’instructions, et les responsables peuvent se trouver dans l’impossibilité de vérifier si leurs collaborateurs sont en sécurité. L’organisation a alors toujours besoin d’un moyen fiable pour se coordonner, transmettre des instructions et évaluer la situation.

Des communications sécurisées « hors bande » offrent un canal indépendant. Une solution de secours qui repose sur le même fournisseur d’identité, le même réseau ou la même infrastructure risque de tomber en panne en même temps que le système principal. Les organisations doivent identifier ces dépendances et s’assurer que les équipes autorisées peuvent accéder rapidement aux moyens de communication de secours.

Les organisations doivent également exercer un contrôle sur les communications. Elles doivent savoir où les données sont stockées, qui peut y accéder et qui détient les clés de chiffrement. Ces questions revêtent une importance particulière pour les gouvernements et les secteurs réglementés, où la souveraineté, la juridiction et la responsabilité déterminent les exigences en matière d’urgence. L’accent mis par la Malaisie sur des communications souveraines et sécurisées soulève la bonne question : une nation peut-elle faire confiance aux systèmes dont dépend sa sécurité nationale, les régir et les contrôler ?

Un système de communication doit rester disponible sans compromettre la sécurité. Les équipes ont également besoin d’un moyen fiable de vérifier l’identité de la personne qui donne une instruction. La voix et la vidéo synthétiques peuvent être convaincantes ; la familiarité ne constitue donc plus une preuve d’identité. Un message urgent semblant provenir d’un haut responsable pourrait entraîner une réaffectation des ressources ou interrompre les opérations. Des contrôles techniques rigoureux, des procédures d’escalade bien définies et des procédures claires doivent venir renforcer la confiance. Chacun doit savoir quand s’arrêter pour vérifier.

La résilience est une responsabilité partagée

La répartition des responsabilités entre les systèmes interconnectés est souvent floue. J’appelle cela le « vide de responsabilité ». Les communications impliquent à la fois les opérateurs, les fournisseurs de télécommunications, les régulateurs, les agences gouvernementales et les équipes techniques. Chaque groupe peut sécuriser son environnement tout en partant du principe qu’une autre partie est responsable des transferts de responsabilité ou des procédures d’urgence.

Ces lacunes apparaissent lorsque plusieurs organisations doivent agir simultanément. Qui émet et vérifie une alerte ? Qui peut modifier les opérations ? Qui communique publiquement ? Une attribution claire des responsabilités, des décideurs désignés et des procédures d’escalade testées permettent de réduire les retards.

Les cyberincidents dépassent les frontières organisationnelles et nationales. Les chaînes d’approvisionnement, les plateformes cloud, les réseaux de télécommunications et les infrastructures partagées créent des dépendances qu’aucune organisation ne peut gérer seule.

La coopération doit s’instaurer avant même qu’une situation d’urgence ne survienne. Les gouvernements, les opérateurs d’infrastructures, les régulateurs, les universités, les opérateurs de télécommunications et les partenaires de sécurité ont besoin de plans d’action communs, de pouvoirs décisionnels clairs, de contacts fiables et d’exercices réalistes. Ils doivent également bénéficier d’un climat de confiance suffisant pour échanger rapidement des informations pertinentes sans divulguer de détails sensibles. Les désaccords ne doivent pas empêcher une action coordonnée lorsque les services essentiels et la sécurité publique sont menacés.

Entraînez-vous à gérer l'échec, pas à trouver la réponse idéale

Un exercice utile consiste à supprimer les systèmes que les gens s'attendent à utiliser. Coupez le réseau. Rendez le système d'alerte indisponible. Partez du principe que les télécommunications sont hors service. Empêchez les principaux responsables de se joindre immédiatement à l'exercice. Demandez ensuite aux équipes de se coordonner, de passer en mode manuel et de communiquer sous pression.

Les exercices doivent mettre en évidence les faiblesses tant que les équipes peuvent encore y remédier. Une notification qui n'est pas parvenue à destination, une liste de contacts obsolète, un processus d'approbation peu clair ou une procédure manuelle manquante constituent autant de constatations utiles. Désignez un responsable, corrigez le problème et refaites un test. Les exercices conçus uniquement pour prouver qu’un plan fonctionne n’ont que peu d’intérêt.

L'envoi d'une alerte n'est qu'une première étape. Les personnes doivent recevoir des instructions claires expliquant ce qui s'est passé, ce qu'il faut faire et où trouver des informations actualisées et vérifiées. Des avertissements vagues ne font qu'accroître l'incertitude.

Les équipes d'intervention ont également besoin d'informations de terrain : qui est en sécurité, qui a besoin d'aide, où les opérations ont été interrompues et où les ressources doivent être acheminées. Ces mises à jour contribuent à une meilleure compréhension de la situation. La communication bidirectionnelle transforme l'alerte en un outil opérationnel et aide les responsables à s'adapter à l'évolution de la situation.

La question que toute organisation devrait se poser

Chaque entreprise devrait se poser une question sans détours : que ferions-nous si tout s'arrêtait demain à 2 heures du matin ?

Et ensuite : qui serait contacté en premier ? Comment les responsables communiqueraient-ils ? Quels services continueraient de fonctionner ? Les équipes pourraient-elles vérifier les consignes et intervenir manuellement ?

Si les réponses ne sont pas claires, commencez par les services qui ne peuvent pas tomber en panne. Cartographiez leurs dépendances techniques et de communication, désignez les responsables des décisions, mettez en place un moyen indépendant de coordination et testez le plan.

Le plan évoluera à mesure que les systèmes, les menaces et les responsabilités changeront. L’important est de s’y prendre avant que la perturbation ne rende la situation inévitable. Lorsque les systèmes habituels ne sont plus disponibles, c’est la préparation qui détermine si les services essentiels peuvent se poursuivre.