Si vous constatez que le ransomware est avéré et que vous n’avez aucun moyen de récupérer de sauvegardes en premier lieu, commencez à monter une cellule de crise restreinte et entamez un processus de communication clair et défini avec vos employés.

Dans un premier temps, faites constater la compromission par un professionnel des TI. Si celle-ci est avérée et est d’une ampleur importante monétairement parlant, contactez votre assurance cyberrisque.

Les assurances cyberrisques vous assisteront pour ce genre de processus et vous fourniront les professionnels suivants, si requis :

• Avocats : S’assurer que tout est fait dans la légalité
• Mandater une firme de négociation de rançons autorisée
• Mandater une équipe de forensic afin de déterminer l’origine de l’attaque, les auteurs de l’attaque et les responsabilités
• Une équipe technique sur place au besoin pour opérer, assister et remonter l’infrastructure si nécessaire

Voici ce qu’une cyberassurance peut exiger :

• Rapport des autorités
• Témoignage de l’individu ayant constaté la compromission
• Installation d’outils tels que les EDR
• Journalisation de toutes les interventions du début à la fin du processus de remédiation

Premièrement, une entreprise en forensic, procèdera à une collecte d’informations afin de déterminer avec détail l’ensemble des actions qui ont été exécutés avant, pendant et après l’attaque par le biais de journaux d’événements, de rapports EDR, d’audit système, etc…

Généralement ils ne demanderont pas de témoignage humain, car peu fiable et peu précis comparé aux informations fournies par les systèmes.

Dans un second temps, une fois l’analyse effectuée, un rapport sera fourni au client, à l’assurance et aux avocats afin de déterminer les causes de l’attaque, les responsabilités et l’ampleur des dégâts.

En fonction des législations, une déclaration de l’incident sera nécessaire. Par exemple, au Québec, la loi 25 exige que l’incident soit déclaré à la Commission d’accès à l’information et que toutes les mesures raisonnables et nécessaires de prévention fussent prises AVANT l’attaque. En complément, l’ensemble doit être inscrit au registre des incidents de l’entreprise.

Si aucune mesure n’avait été prise avant cette attaque, vous risqueriez de lourdes amendes et l’obligation de souscrire à une protection des informations personnelles pour un an à l’ensemble des employés (présents ET passés).

C’est là qu’on intervient. Votre entreprise doit pouvoir reprendre les opérations au plus vite. Il faut cependant pouvoir le faire sans nuire à l’analyse en cours et sans créer d’avantages de problèmes.

En d’autres mots, Aostral évaluera les systèmes ainsi les données compromises et proposera une remise sur pied sous forme de projet. Dans la majorité des cas, votre assurance couvrira ces frais.

Avant le retour à la normale, il est indispensable de mettre en place les outils qui préviendront que la situation se reproduise (EDR, antispam, MFA..). D’autres actions spécifiques au contexte, comme la revue de la gestion des accès, seront également à prévoir.

Une fois la sécurité de l’infrastructure garantie, les sauvegardes sont restaurées. Cette étape s’opère sous la surveillance des équipes de sécurité afin de s’assurer que les données ne soient pas de nouveau compromises.

Dans le cas extrême où la rançon devrait être payée (pas de sauvegarde valides), l’entreprise de négociation habilitée sera responsable des transactions.

Pour conclure, prévenir plutôt que guérir, et cela vaut pour un ransomware.

• Posséder une assurance cyberrisques est primordial.
• Avoir une bonne sécurité antivirus de type EDR est le minimum.
• Avoir une bonne sécurité antispam également
• S’assurer de former et de sensibiliser le personnel à la sécurité
• S’assurer d’avoir des sauvegardes immuables sur un site externe (principe du 3-2-1-1-0)
• Limiter les accès virtuels à l’infrastructure et les données le plus possible (protection des brevets intellectuels, des données personnelles, financières, etc…)
• Limiter les accès physiques aux bâtiments (peu connues, les attaques par ingénierie sociale sont dévastatrices)
• Faire régulièrement des tests d’intrusion avec une Red Team efficace telle que Yack
• Avoir un processus défini en cas de cyberattaque (PRA, PCA, avec évaluation des RPO/RTO)