Dans la tête du RSSI - Gestion d'une Fuite de Données

Cet article va raconter mon expérience avec la gestion de fuites de données en entreprise. De la première prise de conscience jusqu’à la dernière étape du plan de réponse à incidents (PRI), nous allons passer en revue chaque étape, discuter des points d’amélioration ainsi que de couvrir certaines erreurs à éviter.

Remarque : Dans le cas où vous souhaiteriez suggérer une amélioration ou simplement me contacter, vous pouvez le faire à contact@lionsec.lu.

Introduction

La journée se déroule normalement, rien de particulier à l’horizon, si ce n’est les départs de feu à éteindre en permanence (oui, le RSSI est comparable à un pompier). Bref, comme disait un ancien (très regretté) collègue : « Le soleil brille, les oiseaux chantent, tout va bien ! ». Et puis, tout commence par une notification en interne.

🎧 Support : « David, il y a quelqu’un au téléphone qui me dit vouloir parler au RSSI, tu peux le rappeler ? »

🧠 RSSI : « Hmmm, probablement encore un appel à but commercial, mais je dois quand même vérifier. »

📞 Mon interlocuteur : « Vous êtes bien le RSSI ? Nous avons découvert une fuite de données sur le dark web vous concernant, et … ça craint. »

📞 RSSI : (Après avoir entendu la liste des actifs internes ayant fui) - « Pouvez-vous SVP m’envoyer un email depuis votre domaine pour bien vérifier votre identité ? »

Un peu plus tard …

🧠 RSSI : « M****, c’est arrivé. »

Le plan : « La seule chose qui compte »

Lorsqu’une fuite (ou cyberattaque en général) est vérifiée, entre la pression artérielle qui monte, la transpiration ainsi que l’arrivée ultérieure de vos premiers cheveux blancs (oui, littéralement), l’évènement tant redouté s’était enfin produit, le lendemain du premier Comité de Sécurité de l’Information devant les membres du Comex. En effet, je venais de commencer à prester chez mon client, la première liste de risques présentée la veille contenait ce risque potentiel, et comme nous pouvons « tout résoudre pour hier » (c’est bien connu !), il a fallu que cela arrive à ce moment précis.

Il était donc temps d’activer le plan de réponse à incidents. Oui … mais au fait, ce plan, où était-il ?!

Il n’existait pas. Et pourtant, à ce moment précis, le temps se fige et il n’y a plus que ça qui compte.

La bataille commence

Réunion de crise, il faut donc se regrouper avec les différentes parties prenantes afin de définir les prochaines étapes à suivre. Ceci implique évidemment de savoir où se réunir (surtout lorsque toutes les salles de réunions sont pleines), qui réunir (sans froisser celles et ceux qu’on aurait pu oublier), savoir comment leur communiquer (canal d’urgence, surtout si vos moyens de communications sont impactés), savoir qui doit communiquer et comment (car vous n’êtes plus seuls dans ce cas-là) et bien entendu, connaître les prochaines étapes à suivre (encore faut-il les formaliser et avoir entraîné les équipes pour ce genre de situations, et encore mieux sur différents scénarios).

Remarque : L’importance aussi de savoir où et comment se réunir permet d’éviter de donner des indices aux équipes environnantes qui pourraient vous voir détaler partout, sans explications, mais avec une inquiétude apparente sur le visage. Il est plus que crucial de maîtriser les communications internes et externes à ce moment-là.

Tout cela peut faire sourire aujourd’hui, surtout que la situation s’est bien terminée, mais de savoir que beaucoup d’organisations aujourd’hui sont dans cette situation (et surtout le niveau de pression au moment où cela arrive), cela nous fait rapidement changer de tête.

Rester humble, ne pas paniquer, et aller de l’avant

Ce ne serait que pur mensonge que d’affirmer que la pression n’était pas au rendez-vous pour tout le monde. Et étrangement, le PDG était probablement le seul de la pièce à relativiser les choses (ce qui était exemplaire de sa part). Une fuite de données arrive à toutes les organisations, il suffit de jeter un coup d’œil à ce site recensant les cyberattaques en France. Vous pouvez également avoir un aperçu des attaques au niveau mondial sur la carte interactive de Check Point. Elles tombent tous les jours, et bien souvent, une fuite de données ne résulte pas toujours de l’erreur d’un seul individu mais plutôt d’un enchaînement de mauvaises pratiques et manquements de diligence (tout comme la plupart des attaques aujourd’hui suivant un enchaînement de techniques telles que définies par la matrice d’attaque MITRE).

Remarque : Dans ce genre de situation, la règle #1 est de ne pas céder à la panique. Plus facile à dire qu’à faire, et pourtant tellement vrai.

En effet, la panique fera toujours partie d’une réaction naturelle à ce genre d’évènement avéré (puisque l’on ne parle pas d’un simple incident détecté), mais elle est surtout amplifiée lorsqu’une organisation n’y est pas préparée, sans plan, ce qui était le cas.

Les étapes de réponse

Dans ce cas, le plan n’existait pas, en revanche, cela n’empêche pas de quand même suivre une procédure de réponse à incidents classique pour encadrer le déroulement des étapes. Nous allons les rappeler ci-dessous, à la manière CISSP en 7 étapes (le mnémonique « DRMRRRL » pour les connaisseurs) :

1 - Détection : Il s’agit d’identifier l’incident. Bien qu’il ait été confirmé par des éléments de preuves grâce à notre interlocuteur, il fallait néanmoins vérifier la source de la fuite (SIEM, EDR, pare-feu, logs …). De toute façon, une équipe technique chevronnée aura généralement déjà sa petite idée.

2 - Réponse : Activer l’équipe de réponse, interne et/ou CSIRT. Des centres de réponse CSIRT sont mis à disposition par le gouvernement et sont là pour aider les entreprises à répondre à ce type d’incident. Il en existe sur chaque territoire et vous pouvez trouver le vôtre sur la page du CERT-FR. Pour le Luxembourg, il y a le GOVCERT.

3 - Mitigation : Une fois que la source de la fuite est identifiée et les compétences à disposition, il suffit de la mitiger (réduire les risques) en contenant la brèche (isolement de l’hôte impacté, l’éteindre, action EDR ou script custom etc …). L’objectif est d’éteindre le feu et de colmater la brèche.

4 - Rapport : Ici, il ne s’agit pas de rédiger un rapport écrit (cela se commence dès le début), mais plutôt de communiquer aux parties prenantes légales (car oui, vous n’êtes plus tout seuls). On y compte la direction, le juridique, les autorités, les clients et les régulateurs selon les délais légaux (par exemple, RGPD sous 72h pour le rapport initial, et 24h maximum pour DORA et NIS2 après en avoir pris connaissance). Non, personne n’a « envie de le dire », mais n’oubliez pas que les régulateurs ont souvent plus de possibilités d’actions que les acteurs malveillants :)

5 - Récupération : Remettre les systèmes de production en état normal de fonctionnement une fois que la menace a été éradiquée.

6 - Remédiation : Analyser la racine du problème et surveiller qu’elle ne se reproduise pas sur le système mis en cause ainsi que les autres (identifiants fuités à changer immédiatement, mauvaises configurations à modifier globalement ou code source cloné à corriger rapidement). Oui, cette partie peut être éprouvante.

7 - Leçons retenues : Il est tentant d’ignorer cette étape avec le soulagement de la remise en route de la production et la menace écartée. Pourtant, c’est une grave erreur à ne pas commettre. En effet, il s’agit de se réunir à nouveau, à tête reposée, afin de comprendre réellement la source du problème, comment c’est arrivé et mettre à jour les politiques, les procédures, le plan de réponse à incident et potentiellement de continuité d’activité (PCA). Sans oublier de former les équipes à travers un programme de sécurité et awareness.

Ce cycle se répète indéfiniment à chaque incident avéré afin de rendre vos plans plus robustes, toujours dans une politique d’amélioration continue.

On ne blâme pas, on tire des leçons

Encore un aspect humain qui nous est propre, il est parfois courant d’essayer de trouver un coupable au fur et à mesure que la phase de détection avance. C’est également une erreur à éviter car nous ne sommes jamais sûrs de rien avant la phase de leçons retenues et d’avoir une vision globale des évènements.

Encore une fois, une cyberattaque relève rarement d’un évènement simple (Point A vers Point B), mais plutôt d’une succession de mauvaises pratiques, qu’elles soient opérationnelles ou managériales. De plus, comme évoqué plus haut, aucune organisation n’est épargnée. Il ne s’agit plus de penser « si » cela va arriver mais plutôt « quand ».

Les conseils de fin

La liste de conseils pourrait être sans fin et tout dépend fortement de votre organisation, culture, environnements et savoir-faire. Je vais néanmoins en lister certains ci-dessous basés sur ces fuites de données que j’ai eu à gérer :

Un CISO / RSSI devrait inclure dans ses top priorités la formalisation et/ou revue du PRI ainsi que la formation des équipes, y compris rapidement après son arrivée dans une entreprise.
- Si le temps manque à l’appel (ce qui est toujours le cas, cela va sans dire), un simple document ainsi qu’un exercice de type tabletop serait mieux que rien.
Maîtrisez vos actifs : Je n’insisterai jamais assez sur ce point, qui est pourtant bien trop souvent négligé. Il est d’importance capitale (et un article y sera dédié ultérieurement) de maîtriser ses actifs et d’avoir des inventaires solides. Imaginez une fuite de données se produire et que vous n’ayez pas une complète visibilité de votre parc, les choses seraient beaucoup plus compliquées.
- Cela implique également de vous assurer que, a minima, vos systèmes critiques sont sauvegardés et régulièrement testés.
Le DSI n’orchestre pas la réponse à incident : il est tentant pour un ou une DSI de vouloir maîtriser tous les aspects du plan de réponse (et c’est même normal), en revanche, un DSI n’est pas l’acteur le plus approprié pour coordonner ces activités, surtout celles qui ne relèvent pas de la technique (étapes du plan, rapports aux régulateurs, préservation des preuves etc…). Ici, le CISO ou RSSI (en fonction de votre structure) est le chef d’orchestre. Il est également capital de ne pas rattacher le RSSI au DSI, la fonction est critique et doit rester indépendante. Dans le cas contraire, des tensions pourraient malheureusement apparaître.
Dès la confirmation de l’incident, la prise de note est cruciale. En effet, vous aurez à rendre des comptes à vos clients, aux régulateurs, y compris ceux auxquels vous ne vous attendez pas (comme celui de l’OFAC en France par exemple). Préservez bien la liste des évènements, les dates et heures, les interlocuteurs et/ou équipes dans un ordre chronologique ainsi que les actifs avec lesquels vous avez interagi et les actions réalisées.
Préservez les preuves : logs, artéfacts (par exemple : malwares, scripts, emails de phishing, adresses IP etc… ), dates et heures incluses.
Pour un cas spécifique de rançongiciel, il reste « la dernière chance » grâce à la plateforme NoMoreRansom qui comporte des déchiffreurs gratuits. Une plateforme encore malheureusement trop peu connue.
Idem, en tant que CISO ou RSSI, vous n’aurez pas le dernier mot (car il appartient aux membres du Comex), déconseillez toujours le paiement d’une rançon. Vous n’avez aucune garantie de récupérer vos données ni que l’acteur malveillant ait définitivement « quitté les lieux ». Au passage, une plateforme fournit un gros effort de recensement de conversations (souvent anonymisées) entre les organisations victimes et demandeurs de rançons. Certaines font froid dans le dos.
Pour orchestrer de manière globale et indépendante, des solutions de gestion de crise existent comme F24. Elles sont très utiles afin de garantir des canaux de communications totalement déconnectés de ceux couramment utilisés (Teams, Outlook, Zoom etc …), planifier les tâches avec leurs acteurs respectifs ainsi que de conserver vos documents et plans dans un endroit déconnecté de votre système d’information.
Ne pas esquiver la dernière étape des leçons retenues. Il s’agit du meilleur moyen pour empêcher le même problème de se reproduire à l’avenir.
Maîtrisez vos communications internes et externes : ce point est capital afin de ne pas générer de paniques ou rumeurs en interne, puis de préserver votre réputation en ayant des communications robustes et approuvées par le juridique.
- Il est à préciser que, dans tous les cas, les réseaux sociaux et certains journalistes peu scrupuleux ne vous feront pas de cadeaux.
Encore une fois, ne pas céder à la panique. Cela vous fera perdre ce précieux temps dont nous manquons tous.

Conclusion

Nous venons de voir que la gestion d’une crise n’est jamais une mince affaire et que l’élaboration d’un plan, ainsi que la formation des équipes à ce genre de situation sont des étapes cruciales. Comme certaines maladies, nous évitons d’y penser jusqu’à ce qu’elles se manifestent, et comme on le dit souvent : « Il vaut mieux prévenir que guérir ». Faites confiance à vos équipes, j’ai pu être témoin d’une solide collaboration durant ces moments difficiles à traverser, ce processus ne se base pas uniquement sur de la technique ou des chiffres, mais requiert beaucoup d’humain. Maîtrisez vos actifs, vos communications, sauvegardez et testez vos systèmes critiques et soyez vigilants, car le jour où cela arrivera, vous devrez être prêts.

Liens

Contact

Pour toute suggestion d’amélioration ou simplement me contacter : contact@lionsec.lu.