Le monde de l’IT a aussi son « problème à 3 corps », où l’interaction entre cybermenaces, contraintes environnementales et exigences légales met à l’épreuve la stabilité des entreprises. Voici comment y répondre… et éviter le chaos IT.
Dans un contexte géopolitique et environnemental mouvant, la cyber-résilience s’impose comme un impératif stratégique pour les organisations de tout secteur. Les DSI et RSSI, en première ligne face à ces défis, doivent composer avec une triple pression : l’intensification de la menace, le changement climatique et la mise en conformité.
Ces trois forces exercées sur les entreprises rappellent le concept de « Problème à Trois Corps » tel que décrit par l’écrivain de science-fiction Liu Cixin, où l’équilibre du système, ici l’organisation, repose sur la stabilité de ces forces. Le moindre changement aurait donc un impact considérable sur son évolution. Dans ce contexte, quelles sont les stratégies et les solutions à mettre en œuvre pour prévenir au mieux ces changements et garantir la cyber-résilience des organisations ?
Les données au cœur de la cyber-résilience
Vol, effacement, chiffrement, incendie, inondation… Les risques liés aux données ne cessent de croître, et il ne s’agit plus seulement de protéger son infrastructure, mais bien de placer les données au cœur de sa stratégie de sécurité.
Une telle approche implique de regrouper les données provenant des différents environnements informatiques et de stockage de l’organisation, pour fournir les capacités de gouvernance, de détection, de réponse et de récupération nécessaires à un niveau élevé de résilience.
L’intégration et l’orchestration sont essentielles pour garantir que cette approche prenne en charge l’écosystème informatique et de sécurité au sens large. Il ne s’agit pas d’une solution isolée, mais d’une stratégie globale qui inclut tous les aspects de la sécurité pour résister non seulement aux cyberattaques mais également aux risques techniques et environnementaux.
Prévoir l’imprévisible
Être résilient implique d’être en mesure de résister à toutes les menaces existantes, qu’elles soient d’origine humaine ou naturelle. Les infrastructures informatiques, en particulier les data centers, courent un risque accru d’indisponibilité à cause du changement climatique. Les événements météorologiques extrêmes, de plus en plus fréquents, s’ajoutent à la problématique de la dette technique, rendant les systèmes plus vulnérables et moins résilients.
La planification de la résilience de l’entreprise ne se limite pas à des tests de reprise d’activité annuels ou à la consultation du plan de continuité d’activité. En cas d’incidents majeurs, les systèmes sont entièrement isolés et les communications à l’arrêt. Pour y remédier efficacement, il faut anticiper toutes perturbations potentielles ; identifier et isoler les services et les données les plus critiques, et tester régulièrement différents scénarios et processus de restauration.
Le meilleur outil à disposition des entreprises reste aujourd’hui les clean rooms. Ces « salles blanches », complètement isolées du reste de l’infrastructure permettent de restaurer les outils de sécurité, de collaboration et de communication nécessaires aux équipes pour enquêter, contenir, éradiquer et se remettre d’un incident.
La responsabilité individuelle au service du collectif
Enfin, le cadre réglementaire européen évolue. Avec DORA et NIS2, l’UE concrétise sa volonté de protéger les organisations en imposant de nouvelles obligations en matière de cyber-résilience, assorties de sanctions financières conséquentes en cas de non-conformité.
Si les deux textes sont liés, la directive NIS2, dont l’entrée en vigueur est imminente, comble les lacunes laissées par DORA et sa prédécesseur NIS 1, en s’imposant à l’ensemble des infrastructures critiques. En outre, la directive ne sert que de socle minimal, chacun des 27 États membres étant libre d’étendre la dénomination “infrastructure critique nationale” et d’imposer des exigences plus strictes.
Autant d’initiatives qui impliquent de plus en plus la responsabilité personnelle des dirigeants quant aux risques liés aux défauts de gouvernance. D’autant que les amendes peuvent être lourdes et atteindre des millions d’euros, à l’instar de celle infligée à l’ancien responsable des systèmes d’information de TSB Bank. Il est donc crucial que les organisations prennent ces réglementations au sérieux et mettent en place les mesures nécessaires pour s’y conformer.
Pour les DSI et les RSSI, il s’agit d’être avant tout préparés à tout cas de figure. S’il n’existe pas de formule universelle pour résoudre le “Problème à Trois Corps”, des solutions existent pour l’appréhender. Dans le cas précis de la cyber-résilience, la préparation est la clé pour faire face aux évolutions de l’écosystème ; à condition, bien sûr, que les outils et processus nécessaires soient mis en place.
____________________________
Par François-Christophe Jean, Directeur Technique France chez Cohesity
puis