Guide pratique pour la mise en place d'une équipe de réponse aux incidents cybernétiques

S'il existe un certain nombre de solutions de gestion des menaces et des risques qui aident votre équipe à faire face aux incidents de sécurité mineurs grâce à l'automatisation des réponses, les menaces de haut niveau (attaques sophistiquées et furtives), notamment les menaces persistantes avancées (APT), nécessitent une équipe d'intervention en cas de cyberincident — bien équipée et prête à agir rapidement.

Cette équipe pourrait être composée de :

• Une équipe permanente au sein d'un centre d'opérations de sécurité (SOC)
• Une équipe composée d'acteurs clés issus des services informatiques et de sécurité d'une petite ou moyenne entreprise
• Une équipe externe qui intervient rapidement dès qu'on fait appel à elle

Quelle que soit l'origine de l'équipe, votre plan d'intervention en cas d'incident doit définir votre équipe d'intervention ainsi que ses rôles et responsabilités. Un plan d'intervention détaillé, qui définit clairement les rôles au sein de votre équipe, peut vous éviter bien des maux de tête (sans parler de millions de dollars, de la perte de données et d'un désastre en matière de relations publiques) en cas d'incident de sécurité. Cet article présente les principes fondamentaux de l'intervention en cas d'incident de cybersécurité et explique comment constituer une équipe d'intervention.

Qu'est-ce qu'un plan d'intervention en cas de cyberincident ?

Le terme « intervention en cas d’incident cybernétique » désigne une approche structurée de la gestion (et de la réponse) aux incidents de cybersécurité. L’intervention en cas d’incident (IR) doit être menée de manière à limiter les dommages, à réduire le temps de reprise et à minimiser les coûts. L’ensemble des instructions qu’une organisation utilise pour guider son équipe d’intervention en cas d’incident lorsqu’un événement de sécurité (c’est-à-dire une faille de sécurité) se produit est appelé « plan d’intervention en cas d’incident ».

Un plan de réponse aux incidents (IR) bien documenté aide les organisations à réagir rapidement en rationalisant les prises de décision, en décrivant les processus et en définissant l'utilisation appropriée des technologies disponibles.

Selon la définition du SANS, la réponse aux incidents comporte six phases que vous devez prévoir :

1. Préparation— préparer le personnel de sécurité à faire face à d'éventuels incidents. Cela comprend la formation, l'équipement et les exercices.
2. Identification: détecter un incident et déterminer s’il remplit les conditions pour être considéré comme un incident de sécurité par l’organisation, ainsi que sa gravité.
3. Confinement— limitation de l'incident par l'isolation des systèmes compromis afin d'éviter tout dommage futur.
4. Éradication: identification de la cause de l'incident et élimination des menaces pesant sur les systèmes concernés.
5. Restauration: remettre en état les systèmes affectés et s'assurer qu'il ne subsiste aucune menace.
6. Leçons tirées: analyse des journaux d'incidents, mise à jour du plan d'intervention et finalisation de la documentation relative à l'incident.

Votre plan de relations avec les investisseurs doit comporter les sections suivantes :

• Présentation du plan
• Rôles et responsabilités
• Liste des incidents nécessitant une intervention
• Aperçu de la situation en matière de sécurité et de l'infrastructure réseau
• Procédures de détection, d'enquête et de confinement
• Plan d'éradication et moyens mis en œuvre
• Plan de reprise (combien de temps vous faudra-t-il pour restaurer les données à partir des sauvegardes ?)
• Protocole de notification des violations de données
• Une liste d'appels mise à jour
• Tâches de suivi

Le plan devrait aborder en détail les points suivants :

• Informations détaillées sur l'équipe d'intervention en cas d'incident
  L'équipe d'intervention est composée de collaborateurs et/ou de membres tiers. Il est essentiel que tous les membres de l'équipe d'intervention soient mentionnés en détail dans le plan d'intervention, notamment leurs rôles et responsabilités en cas d'incident, ainsi que les formations suivies à cet effet. Il est particulièrement important de distinguer les rôles des gestionnaires d'incidents des responsabilités des gestionnaires de ressources.
• Informations sur le système et le réseau
  Il s'agit notamment des schémas du réseau et des flux de données, ainsi que de l'inventaire du matériel. Il est important de comprendre comment un attaquant pourrait potentiellement se déplacer au sein de votre réseau à partir d'un hôte ou d'un système particulièrement compromis.
• Procédures de gestion et de signalement des incidents
  Cette section doit inclure un modèle de formulaire à remplir pour signaler un incident, comprenant une description détaillée de celui-ci et des fichiers compromis.
• Leçons tirées
  Après un incident, il convient de se poser deux questions : comment éviter que des incidents similaires ne se reproduisent et quels aspects du plan d'intervention pourraient être améliorés ? Il faut se demander ce qui a fonctionné et ce qui n'a pas fonctionné, comment le personnel a réagi et quelles parties du plan doivent être mises à jour.
• Signalement aux tiers et aux autorités
  Doit inclure des politiques précisant quand et comment signaler un incident aux autorités, aux tiers, aux fournisseurs et aux utilisateurs. La plupart des procédures de signalement d'incidents sont régies par des normes réglementaires.

Comment mettre en place une équipe efficace d'intervention en cas de cyberincident

Les différents acteurs d'un plan d'intervention en cas d'incident.

Voici les fonctions principales d'une équipe chargée des relations investisseurs, ainsi que ses responsabilités fondamentales. Toutefois, rien n'est gravé dans le marbre, et les responsabilités concrètes varient donc considérablement d'une organisation à l'autre.

• Chef d'équipe— coordonne l'ensemble des activités de l'équipe d'intervention en cas d'incident.
• Communication— gère la communication au sein de l'organisation et avec les tiers. Doit avoir suivi une formation en relations publiques ou bénéficier d'un accompagnement dans ce domaine.
• Enquêteur principal: il recueille et analyse les preuves techniques, détermine la cause de l'attaque et supervise les autres analystes ainsi que les équipes informatiques afin de mettre en œuvre la restauration des systèmes et des services.
• Analystes/chercheurs: ils assistent l'enquêteur en lui fournissant des renseignements sur les menaces et le contexte d'un incident. Il peut être nécessaire de faire appel à des analystes en cybercriminalistique pour effectuer des analyses approfondies des systèmes compromis.
• Représentation juridique: il est essentiel de bénéficier de conseils juridiques et en matière de ressources humaines pour faire face aux éventuelles poursuites pénales découlant de cet incident.

Une équipe peut être composée de membres issus de l'entreprise, ou de membres externalisés partiellement ou totalement, en fonction des besoins. Des tiers peuvent, par exemple, mettre à disposition des experts chargés de mener des analyses approfondies ou de contribuer à la gestion des communications avec le public ou les clients.

Où l'équipe devrait-elle être implantée ?

Les membres du CSIRT sont souvent répartis géographiquement afin d'assurer la meilleure couverture possible des fuseaux horaires. Cela permet de garantir qu'une personne soit de garde et disponible à tout moment de la journée. La redondance est indispensable : des remplaçants désignés doivent pouvoir prendre le relais lorsque les membres de l'équipe ne sont pas disponibles. Les petites organisations ont généralement intérêt à externaliser les fonctions de gestion des incidents pour assurer la couverture en dehors des heures de bureau ou pendant les périodes de vacances, mais cela nécessite généralement la mise en place de contrats de services pour garantir les délais d'intervention.

Quel est le rôle de l'automatisation dans la gestion des incidents de cybersécurité ?

Face à la pénurie de professionnels expérimentés pour occuper ces postes, l’automatisation figure en tête de liste des initiatives en matière d’opérations de sécurité, en particulier la nouvelle discipline DevSecOps qui fait son apparition dans le domaine du cloud. L’automatisation joue un rôle crucial en permettant à ces équipes de continuer à fournir un travail sécurisé et de qualité, sans faire de compromis sur cette dernière. Les dernières tendances en matière de réponse automatisée aux incidents sont mises en œuvre à l’aide de « playbooks », c’est-à-dire des workflows sans code qui exécutent automatiquement de nombreuses tâches répétitives une fois lancés.

Cependant, dans de nombreux scénarios d'intervention, rien ne remplace un analyste humain expérimenté, car tout ne peut pas être entièrement automatisé. La gestion des incidents peut varier considérablement d'un incident à l'autre et vous devrez souvent prendre des décisions avec des informations limitées.

Récapitulatif

Une équipe CIRST efficace permet de réagir rapidement aux incidents de sécurité et d’atténuer les dommages causés à l’organisation. Ainsi, la définition et la mise en place de votre équipe CIRST constituent une étape importante qui ne doit pas être prise à la légère.

En fonction de la taille et des besoins de votre entreprise, il peut être judicieux de combiner du personnel interne et des experts en cybersécurité externes. D’autres entreprises confient leurs services de sécurité gérés à un prestataire MDR, ce qui leur garantit une tranquillité d’esprit 24 h/24 et 7 j/7 et permet à leur équipe informatique de se consacrer à d’autres tâches.

Quelle que soit la manière dont vous choisissez de constituer votre équipe de gestion des incidents, vous connaissez désormais les rôles et responsabilités essentiels qu'elle doit assumer, ainsi que certaines bonnes pratiques permettant d'élaborer une politique solide en matière de gestion des incidents.