00:09On continue ce Lexinside, le grand débat avec notre cas pratique.
00:14On va s'intéresser à un groupe français d'imagerie médicale de 350 salariés,
00:2045 millions d'euros de chiffre d'affaires qui exploitent 12 centres en Ile-de-France
00:27et héberge les données de 800 000 patients et il va être victime d'une cyberattaque.
00:33En effet, dans la nuit du 17 au 18 septembre 2026,
00:37un employé fait un clic sur un email de phishing qui déclenche un rançongiciel.
00:43En quelques heures, les systèmes sont paralysés, les 12 centres à l'arrêt,
00:482400 patients impactés et une rançon de 300 000 euros exigée.
00:55Une crise cyber.
00:57majeure vient de commencer.
00:59Que faut-il faire ?
01:00On en parle tout de suite avec mes invités.
01:03Et Frédéric, la nécessité de réagir rapidement dans ce cas-là.
01:09On va s'intéresser aux 72 heures.
01:13Que faut-il faire ?
01:14Quelle est la première organisation que l'entreprise doit mettre en place ?
01:20Petite précision, il n'y a pas forcément d'entreprise d'organisation type.
01:24L'organisation idéale, c'est celle que vous avez choisie avant.
01:28La première chose, c'est regarder dans le rétro.
01:30Qu'est-ce qu'on a fait avant ?
01:31Qu'est-ce qu'on a comme document ?
01:32Qu'est-ce qu'on a identifié comme système critique ?
01:35Qu'est-ce qu'on a comme plan de gestion de crise ?
01:36Et quelles sont les personnes qui sont disponibles pour m'aider maintenant, tout de suite ?
01:39Si on est vendredi soir, il n'y aura pas tout le monde.
01:42Qui est-ce que je peux rappeler ?
01:43Qui est présent ?
01:45Voilà.
01:45Ça, c'est déjà dans les premières minutes.
01:46D'accord.
01:47Gardant le rétro, ce qui a été fait, ce qu'il est possible de faire.
01:50Et après, on passe effectivement à la phase d'activation.
01:53On active la cellule de crise s'il y en a une.
01:55Sinon, on réunit les personnes qui sont là.
01:57Et on va commencer à dérouler toute la mécanique de gestion de crise qu'on a écrite dans le plan.
02:02Ça va être notamment la qualification d'incident.
02:04Ça va être d'appeler les collègues, les faire revenir, le cas échéant.
02:09D'appeler les experts, les sous-traitants, les prestataires qui vont pouvoir également nous aider.
02:16Éventuellement, d'appeler les autorités, si on est sur quelque chose d'important ou si on a déjà pris des
02:20contacts.
02:20Il ne s'agit pas d'appeler le standard.
02:22Il s'agit d'appeler la personne qu'on a déjà identifiée en amont, avec laquelle on a déjà eu
02:26des contacts également, etc.
02:29Et de gérer le stress.
02:30Parce que ça peut être très stressant.
02:32On sait que ça ne marche pas.
02:33On voit tout de suite les conséquences.
02:35On est le 29 avril, éventuellement.
02:37Dans deux jours, c'est la paie.
02:39Il faut que la paie tombe.
02:40On a des contraintes de clients, etc.
02:43On résout le problème et puis l'idée, ça va être vraiment de séquencer et de ne pas perdre son
02:47sang-froid.
02:48Donc, bien garder ses nerfs et essayer de garder le contrôle, maintenir le cap.
02:52C'est ça.
02:53Ça, on va s'intéresser, bien sûr, aux aspects juridiques.
02:56Quelles sont les premières obligations juridiques pour l'entreprise, dans ce cas-là ?
02:59Alors, si on considère vraiment les toutes premières heures, avant tout, comme on disait, on dépose la plante pénale et
03:06on va alerter les responsables d'assurance pour pouvoir alerter la cyberassurance.
03:11Si on a fait, effectivement, si on en a souscrit une.
03:14Donc, déjà, de ce côté-là, pour la partie cyberassurance et le volet pénal.
03:18Après, pour moi, essentiel à ce moment-là, vraiment travailler avec l'équipe sécurité, avec le reste de la cellule
03:24de crise pour comprendre, d'un point de vue des données, données personnelles, qu'est-ce qui s'est passé
03:29?
03:30Quelle est la quantité de données impactées ?
03:32Qui a eu accès ?
03:33Donc, essayer de faire un peu, de comprendre l'état de la situation actuelle, avant de pouvoir décider les prochaines
03:40étapes et comprendre quelles sont les obligations.
03:44Parce que dans les 72 heures, comme on a dit, on aura la notification à faire à la CNIL.
03:50Alors, on peut aussi, l'RGPD prévoit aussi la possibilité de déposer une notification initiale où on n'a pas
03:58encore tous les détails et après rajouter les détails au fur et à mesure.
04:02Mais on doit déjà être sûr, effectivement, qu'il y ait une violation des données personnelles, ce qui est le
04:06cas.
04:07Vous aussi, les marchés, les secteurs d'activité.
04:11Donc, on va déposer la plante, notifier la CNIL dans les 72 heures avec les DPO.
04:16Vu quand même les types d'incidents et les secteurs d'activité, on devra également communiquer l'incident aux personnes
04:24qui sont impactées.
04:24Donc, toutes les personnes qui auront des conséquences aussi, pas seulement sur leur vie privée et de santé, mais aussi
04:30sur les rendez-vous, etc.
04:32Donc, il faut communiquer.
04:33Et c'est pour ça que, comme je disais tout à l'heure, on disait tout à l'heure, équipe
04:37pluridisciplinaire, on devrait avoir aussi quelqu'un de la communication.
04:42Soit il a déjà préparé des templates de communication dans ce cas, soit on les contacte pour pouvoir communiquer à
04:47tout le monde.
04:48Et comment on communique ?
04:49On envoie des mails, on appelle.
04:51Quel message ?
04:52Exactement.
04:53On envoie aussi.
04:53Et c'est aussi la façon, la modalité des contacts, surtout quand on parle d'un grand nombre de personnes
04:58qui doivent être alertées.
04:59Bien sûr.
05:00Donc, dans certains cas, dans ce cas aussi de cyberincidents, on peut aussi décider de déléguer, externaliser à des call
05:07centers,
05:07où on demande à nos avocats de commencer à appeler, etc.
05:11Et puis, la nature de la communication est importante parce que, comme disait Frédéric, c'est une période de stress.
05:16Il ne faut pas rajouter du stress dans la communication.
05:19Exactement.
05:20Exactement.
05:20Ça, c'est quelque chose de très important qu'on a tout le temps tendance à faire.
05:23Moi aussi, quand je travaille sur les communications, je fais un premier draft et puis je prends un peu de
05:28recul parce que je me dis,
05:30OK, maintenant, restons un peu plus avec de la calme et de la rationalité et réalisons tout pour éviter de
05:37rajouter encore une couche de tension à une situation qui est déjà stressante.
05:42Et dans tout ça, évidemment, moi, je laisserai aussi Frédéric compléter pour la partie peut-être mesures techniques.
05:49Mais un autre élément essentiel, c'est de tout documenter.
05:53Donc, d'habitude, ce qu'on doit faire, c'est selon les recommandations aussi de la CNIL, est d'avoir
05:57un registre à l'interne.
05:58Et je trouve que c'est essentiel de mettre à jour aussi à faire en mesure que l'analyse et
06:03l'investigation continuent et la gestion de l'incident
06:06avec les décisions qui ont été prises et aussi le raisonnement qu'il y a derrière.
06:11Pourquoi on a décidé de faire ça ?
06:13Quels sont les infos dont on a à disposition à ces moments ?
06:17Donc, tout documenter en tout cas.
06:19D'accord. On va aborder maintenant les aspects opérationnels et techniques.
06:23Quels sont-ils ? Que doit faire l'entreprise en l'espèce ?
06:26Plein de choses. Là, on a un petit exercice, effectivement, écrit en quelques lignes.
06:31Ce qu'on va devoir faire, c'est un peu ce qu'on a écrit dans le plan de gestion
06:34de crise.
06:35C'est protéger les éléments critiques, décider, c'est-à-dire ne pas rester paralysé par rapport à l'attaque,
06:42voir quelles sont les conséquences et parer au plus pressé.
06:45Je veux dire, ça, ça va dépendre aussi des ressources que vous avez.
06:48Techniquement, ça veut dire conserver les preuves pour la suite, pour la plainte,
06:53éventuellement pour la partie un peu policière, judiciaire.
06:58Ça va être également de remettre en marche les ordinateurs, ou en tout cas une petite partie des ordinateurs,
07:02ceux qui correspondent à nos activités critiques.
07:05Je citais la paye tout à l'heure, on peut citer également la clientèle, etc.
07:09La production sur une usine.
07:11Et puis, accéder le mode dégradé.
07:14Parce qu'on a des attaques qui peuvent se poursuivre pendant plusieurs semaines,
07:18et des conséquences qui peuvent se poursuivre pendant plusieurs années.
07:22On a des cas d'entreprises ou de mairies qui, à cause d'un ransomware,
07:27n'ont pas pu récupérer la totalité de leurs infrastructures,
07:32avec l'ensemble des services de mails là-dessus, pendant 18 mois, 2 ans.
07:36C'est-à-dire 2 ans de mode dégradé.
07:38C'est énorme.
07:38C'est énorme.
07:39Et puis, il faut l'accepter.
07:40Il faut l'accepter au niveau du personnel, au niveau de la direction,
07:43de ne pas pouvoir travailler avec des mails pendant plusieurs semaines.
07:45Ou alors, effectivement...
07:46C'est possible, ça ?
07:47Tout à fait, c'est déjà arrivé.
07:48C'est déjà arrivé de ne pas pouvoir reprendre l'intégralité de ces mails.
07:52Donc, l'historique...
07:52Après, on peut avoir un nouveau serveur de mails et puis pouvoir en envoyer.
07:55Mais par contre, l'historique, on le perd.
07:57On peut perdre des archives.
07:58On peut se rendre compte que les sauvegardes qu'on a effectuées,
08:01qu'on a payées chèrement, on va dire, ne sont pas restaurables,
08:03parce qu'on ne les a pas testées, etc.
08:05C'est là où on découvre les choses.
08:06Et ça suppose une agilité qui est quand même assez importante.
08:09Et si je peux ajouter et réagir sur ce que Frédéric disait,
08:12je pense aussi qu'à ce moment-là, dans notre cas, il y a aussi une rançon.
08:16On parle d'une rançon qui a été demandée.
08:19Et je pense aussi que c'est à ce moment-là qu'on décide aussi,
08:22avec la direction, évidemment, sur une décision business,
08:24si on paye ou pas.
08:25Alors, moi...
08:27Et du coup, je laisserai aussi l'espace à Frédéric réagir sur ça.
08:31En théorie, on ne paye jamais.
08:33En théorie, on ne paye jamais pour...
08:36Il y a un aspect individuel, puis il y a un aspect collectif.
08:39En cybersécurité, on sait que quand on paye une rançon,
08:42cette rançon, c'est un peu comme dans la matière de terrorisme,
08:43elle va servir à améliorer ses capacités,
08:46entre guillemets, à générer de nouvelles attaques.
08:48Donc, la rançon qu'on paye aujourd'hui, entre guillemets,
08:51pour se protéger, va pouvoir servir à des attaques sur d'autres entités.
08:55Ou pourquoi pas, vu qu'on a payé une rançon sur nous-mêmes.
08:58On est un bon pigeon.
08:59Si on a un peu d'argent, on a payé 300 000.
09:01Bon, peut-être qu'on peut payer 500 la prochaine fois, etc.
09:03Donc, ne payons pas.
09:05Ne payons pas pour plusieurs raisons.
09:07Un, parce qu'il n'y a aucune garantie.
09:09On a déjà des malwares où, effectivement, il y avait un portefeuille de bitcoin,
09:12on s'est rendu compte qu'il n'y avait rien derrière.
09:14Donc, on a aussi des personnes qui ont repris des attaques
09:17sur les personnes qu'elles avaient déjà attaqué,
09:18malgré leur promesse de rendre les données, etc.
09:22Et le côté capacitaire, le côté compétence,
09:26ne redonnons pas de l'argent pour générer des futures attaques sur nous-mêmes
09:30ou pour générer des compétences ailleurs et des compétences nuisibles.
09:34On va conclure là-dessus.
09:36C'est la fin de ce Lexi Insight, le grand débat.
09:38Merci à tous les deux.
09:41Et quant à nous, on se retrouve très bientôt
09:44pour un nouveau Lexi Insight sur Bsmart for Change.
09:47Restez curieux et informés.
09:49À très bientôt.
Commentaires