Organiser un exercice sur table face au rançongiciel
Une heure pour tester les décisions plutôt que la technique : qui pilote, qui appelle qui, et comment l’entreprise continue de tourner pendant une attaque.
Quand une PME pense au rançongiciel, elle pense d’abord aux sauvegardes, et elle a raison. Mais au moment d’une attaque, les premières heures sont faites de décisions plutôt que de technique : qui pilote, qui appelle qui, faut-il tout couper, que dire aux salariés et aux clients, comment continuer à travailler. Un exercice sur table (« tabletop exercise ») permet de prendre ces décisions une première fois, au calme, autour d’une table, plutôt qu’en pleine crise.
Pas besoin de logiciel particulier ni de compétences techniques dans la salle. Une heure, quatre à six personnes et un scénario écrit suffisent. Voici comment l’organiser dans un petit bureau.
Ce que c’est, et ce que ce n’est pas
C’est une discussion. Quelqu’un lit un scénario par étapes, et le groupe dit ce qu’il ferait à chacune. On n’éteint rien et on ne touche à aucun système. C’est différent d’un test de restauration, qui prouve que les sauvegardes fonctionnent techniquement. L’exercice sur table met à l’épreuve les personnes et l’organisation autour. Les deux sont nécessaires.
Qui réunir
- Le dirigeant, ou la personne qui peut engager des dépenses et trancher.
- Le ou la responsable de bureau, qui connaît le fonctionnement quotidien.
- La personne qui s’occupe de l’informatique, en interne ou chez un prestataire.
- Quelqu’un de la comptabilité, car les paiements et la paie sont souvent la première inquiétude.
- Si possible, une personne en contact avec les clients, pour réfléchir à ce qu’on leur dira.
Désignez un animateur et un preneur de notes. L’animateur fait avancer la discussion et pose les questions qui fâchent ; il ne donne pas les réponses.
Un scénario prêt à l’emploi
Lisez chaque étape à voix haute, puis laissez cinq à dix minutes au groupe pour répondre aux questions avant de passer à la suivante.
Étape 1 : lundi, 8 h 15
La première personne arrivée constate que les fichiers du lecteur partagé portent des extensions bizarres et ne s’ouvrent plus. Dans chaque dossier, un fichier texte annonce que les données ont été chiffrées et volées, avec une adresse de contact.
- Qui appelle-t-on en premier ? Son numéro de portable est-il noté quelque part qui ne dépend pas du réseau du bureau ?
- Qui a l’autorité pour dire « on débranche tout » ? Quelqu’un sait-il comment faire ?
- Que font les collègues qui arrivent à 8 h 30 ?
Étape 2 : 10 h
Votre support informatique confirme que plusieurs postes et le serveur de fichiers sont touchés. La messagerie Microsoft 365 semble fonctionner. Un client appelle : le lien de sa facture ne marche pas.
- Avez-vous une assurance cyber ? Qui a le numéro de contrat et la ligne d’urgence de l’assureur ? Beaucoup de contrats demandent d’être prévenus avant que vous ne fassiez appel à vos propres intervenants.
- Qui parle aux clients, et que peut-on leur dire ?
- Peut-on utiliser la messagerie et les téléphones sans risque, ou faut-il supposer que les comptes sont aussi compromis ?
Étape 3 : 14 h
Les sauvegardes existent, mais la dernière copie saine date de vendredi soir, et tout restaurer prendra au moins deux jours.
- Que faut-il remettre en route en premier : la comptabilité, le planning, le dossier d’un client précis ?
- Comment faire tourner l’activité sur papier ou depuis les téléphones d’ici là ?
- L’attaque a-t-elle été signalée ? Aux États-Unis, le FBI demande aux victimes de la déclarer à son Internet Crime Complaint Center (IC3) sur ic3.gov, que la rançon soit payée ou non.
Étape 4 : mercredi
Les attaquants écrivent et menacent de publier des données clients si on ne les paie pas.
- Qui décide de la réponse, et qui le conseille : l’assureur, un avocat, les forces de l’ordre ?
- Détenez-vous des données personnelles qui pourraient imposer une notification selon la loi de votre État ? Qui se chargerait de le vérifier ?
Ce qui en ressort généralement
Attendez-vous à découvrir des lacunes plus que des réponses. Par exemple : le seul numéro d’urgence du prestataire se trouve dans un e-mail que plus personne ne peut ouvrir ; personne ne sait où est le contrat d’assurance ; la seule personne qui connaît le système de sauvegarde est en congé cette semaine-là ; aucun moyen n’est prévu pour joindre tout le monde si la messagerie tombe. Chacune de ces lacunes se corrige facilement une fois écrite noir sur blanc.
Après la séance
- Transformez les notes en une liste d’actions sur une page, chacune avec un responsable et une échéance.
- Rédigez une fiche contacts : support informatique, ligne d’urgence et numéro de contrat de l’assureur, banque, fournisseurs clés, avocat et IC3. Gardez-en des copies papier hors réseau, au bureau et à domicile.
- Décidez qui pilote en cas d’incident, et qui le remplace en son absence.
- Corrigez les points techniques révélés par la discussion, par exemple des sauvegardes non isolées du réseau ou des comptes sans authentification multifacteur.
- Recommencez une fois par an, ou après un changement important (nouveau prestataire, déménagement), avec un autre scénario.
Pour gagner du temps, la CISA publie gratuitement des kits d’exercices sur table (Tabletop Exercise Packages), avec des scénarios de rançongiciel et des guides d’animation qu’une petite entreprise peut adapter.
Comment nous pouvons aider
L’exercice n’a d’intérêt que si les lacunes découvertes sont ensuite corrigées. Notre service de protection contre les rançongiciels couvre les sauvegardes, la sécurité des comptes et la surveillance, et notre guide pour se remettre d’un rançongiciel explique ce qui se passe après une attaque. Pour faire le point sur ce que votre exercice a révélé, appelez le (213) 986-4855.