1. La gestion du cycle des correctifs (Patch Management)

La vaste majorité des intrusions informatiques réussies exploitent des vulnérabilités connues depuis plusieurs semaines ou plusieurs mois, pour lesquelles un correctif de sécurité officiel avait déjà été publié par l’éditeur. Le maintien en conditions opérationnelles de sécurité impose un processus rigoureux :

1. Veille sur les vulnérabilités : Surveillance quotidienne des bulletins de sécurité du NCSC suisse, du CERT-FR et des éditeurs de logiciels utilisés dans l’entreprise.
2. Classification de criticité : Évaluation de l’exploitabilité réelle dans le contexte spécifique de l’infrastructure locale (la vulnérabilité affecte-t-elle un service exposé sur Internet ou un composant interne isolé ?).
3. Test en environnement de pré-production : Déploiement préalable des correctifs sur une maquette de test pour s’assurer de l’absence de régression ou d’incompatibilité logicielle.
4. Déploiement ordonné et automatisé : Utilisation d’outils centralisés de gestion de configuration (Ansible, WSUS, Microsoft Intune, SaltStack).

2. La politique de sauvegarde immuable : L’ultime rempart

Face à un rançongiciel sophistiqué capable de détruire ou de chiffrer les sauvegardes locales connectées au réseau d’entreprise, la mise en œuvre de la règle 3-2-1-1-0 est l’unique garantie de survie d’une organisation :

• 3 copies de données : Conserver une copie de production principale et au moins deux copies de sauvegarde distinctes.
• 2 supports technologiques différents : Varier les médias de stockage (ex. volume SAN/NAS disque et bande magnétique LTO ou stockage objet Cloud).
• 1 copie externalisée hors site : Stocker au moins une copie dans un centre de données géographiquement distant (en Suisse pour garantir la conformité nLPD).
• 1 copie immuable ou déconnectée (Air-Gapped) : Sauvegarde physiquement débranchée du réseau ou verrouillée par une politique de verrouillage d’écriture WORM (Write Once, Read Many / Object Lock S3) rendant toute modification ou suppression impossible par quiconque, y compris par un compte administrateur compromis.
• 0 erreur lors des tests de restauration : Effectuer régulièrement des tests complets de restauration grandeur nature pour valider l’intégrité réelle des sauvegardes.

3. Métriques clés de résilience : RTO et RPO

La planification de la continuité opérationnelle se mesure au travers de deux indicateurs fondamentaux définis conjointement par la direction générale et les équipes informatiques :

• RPO (Recovery Point Objective – Perte de données maximale admissible) : Durée maximale écoulée entre la dernière sauvegarde valide et la survenue du sinistre. Si les sauvegardes ont lieu chaque nuit à 2h et que l’attaque survient à 17h, le RPO est de 15 heures de travail perdues.
• RTO (Recovery Time Objective – Temps de rétablissement maximal admissible) : Délai nécessaire pour restaurer l’intégralité des serveurs et rétablir les services opérationnels pour les utilisateurs.

Cas d’application : Une PME industrielle du canton de Vaud dispose d’un NAS partagé sur lequel le logiciel de sauvegarde écrit chaque soir. Lors d’une attaque par ransomware, le compte administrateur du NAS a été volé et toutes les sauvegardes ont été chiffrées en même temps que les serveurs. Proposez une refonte complète de l’architecture de sauvegarde intégrant l’immutabilité et l’isolation réseau.