Sécurité informatique : la victoire aime la préparation

Pour bien se préparer, il faut identifier et mesurer chaque risque. Chaque entreprise doit se demander ce qui peut l’impacter : une catastrophe écologique ? Un incendie ? Un rappel produit catastrophique ? Une cyberattaque ? Si un problème est statistiquement peu probable, mais qu’il a la capacité de causer de lourds dommages à l’entreprise, alors il faut chercher à s’en prémunir. La maîtrise du risque passe par une cartographie précise des points sensibles de l’entreprise. Un ransomware comme Wannacry peut bien détériorer 1000 ordinateurs au sein d’une institution par exemple, si aucun de ces postes n’est stratégique, la survie de l’organisation n’est pas en jeu. En revanche, si le 1001e poste contient des données sensibles, il faut le savoir et se préparer en conséquence.

Il n’en reste pas moins vrai que pour faire accepter de mener ces exercices de préparation à large échelle et s’outiller des plateformes adéquates, le RSSI doit convaincre le comité de direction, en adoptant le langage métier de ceux qu’il doit protéger. Sans l’aval du comité de direction, cette préparation, hautement nécessaire pour faire face à une attaque cyber, n’aurait aucun sens.

Dans bien des cas, quand ces exercices sont menés avec une portée limitée, ils créent un sentiment dangereux de fausse sécurité. Alex Honnold, l’un des meilleurs grimpeurs du monde, spécialiste des grandes voies sans assurance, dit « je visualise le pire pour rester honnête avec moi-même ; si je ne visualisais que le meilleur, je me mettrais dans un pétrin auquel je ne suis pas préparé. » En cybersécurité c’est exactement la même chose : on fait se préparer l’entreprise pour un risque que l’on cherche au maximum à éviter, tout en sachant que le risque zéro n’existe pas, avec l’idée qu’aucune préparation ne correspondra exactement à une attaque, mais qu’aucune attaque ne se trouvera sans réponse !