Ransomware: 85% des participants ont besoin de plus de 15 minutes pour réagir, 60% des contre-mesures sont insuffisantes, 40% des participants paient la rançon.
Fake news: 65% des participants ne rejettent pas clairement le communiqué de presse.
Crise: 45% des participants n’ont jamais activé d’équipe de crise.
CERT: 70% des participants ne vont pas chercher l’aide du CERT (Computer Emergency Response Team; au Luxembourg, le Circl).
Communication: 80% des participants oublient de communiquer en interne.
Recherche de preuves: 95% des participants ne pensent pas à collecter des traces et des preuves.
En un slide et dix chiffres, Jérôme Jacob, qui dirige au sein du centre de compétences dans la cybersécurité de Securitymadein.lu, résume deux années d’activité de cette structure qui permet aux entreprises de s’entraîner dans des conditions… apocalyptiques. Avec de la lumière de boîte de nuit et du son du même endroit pour agiter les méninges et éloigner les équipes de leurs confortables bureaux.
De ces deux années, ce jeudi matin, à l’occasion du 42e Cybersecurity Breakfast organisé par Pascal Steichen et ses équipes, le 4 février – tout tourne autour de «4» et «2» –, M. Jacob tire un certain nombre d’enseignements de première qualité:
- les équipes ont peur de lancer l’état de crise, d’appuyer sur le fameux bouton rouge qui va commencer par les obliger à réunir une équipe pour la gérer;
- la coordination autour des objectifs face à la cyberattaque est trop lente, ce qui ne permet pas de limiter assez les impacts et aboutit même à la dégradation de la situation;
- près de neuf entreprises sur dix n’élaborent pas une timeline pour pouvoir documenter le déroulement de l’attaque et ce qui a été fait, deux éléments essentiels pour que l’aide du CERT soit utile;
- trop peu d’entreprises analysent l’impact de l’attaque et de leurs mesures;
- beaucoup ont des difficultés à sortir de l’état de crise, à oser dire que la crise est passée.
«Beaucoup d’investissements ont été effectués dans l’aspect technique, mais peu dans la dimension humaine», explique-t-il.
«Si quelque chose se passe et que tu ne peux pas compter sur l’équipe, c’est un désastre», convient la CEO de Victor Buck Services, Edith Magyarics, dont la société s’est prêtée à l’exercice. «Personne n’est parfait, on en apprend tous les jours, mais il faut pouvoir compter sur l’équipe, puis communiquer à la fois en interne et vers l’extérieur.»
«L’IT est un élément-clé», concède le head of risk and business advisory d’eBRC, Philippe Dann, «mais le facteur humain aussi. Il faut être sûr de qui fait quoi dans une situation de crise!»
S’entraîner, rester éveillé et évaluer ses propres dispositifs, un processus permanent auquel les entreprises doivent se soumettre. Car tout le monde, un jour, sera frappé par une cyberattaque.