Des lacunes dans les processus et la coordination sont constatées lors des exercices sur table
C’est lors de ces scénarios que les parties discutent de leurs procédures et de la chaîne de commandement. Les exercices techniques sont conçus pour permettre aux équipes informatiques de savoir où se situent leurs problèmes de sécurité, mais ce qui finit par se produire, c’est que d’autres problèmes non techniques surgissent et doivent être résolus.
« Les conclusions les plus importantes concernent presque toujours les processus et la coordination », explique Jess Burn, analyste principal chez Forrester. « Les exercices révèlent si les gens s’accordent sur la gravité de l’incident, qui a le pouvoir d’arrêter un système, quand les dirigeants ou le conseil d’administration sont impliqués, qui approuve les communications avec les clients ou les médias, et quand contacter le représentant de la cyberassurance. » Même si les plans peuvent paraître clairs sur le papier, dit-elle, différents départements peuvent fonctionner sur la base d’hypothèses suffisamment différentes pour causer des problèmes.
Un exercice de simulation efficace est conçu pour proposer des scénarios non testés à ses participants et les amener à se fier à leur instinct. « Un événement simulé qui n’a pas été annoncé, où les gens ne sont pas préparés, exposera les principes fondamentaux : que puis-je faire dès maintenant pour contenir, et qui dois-je contacter pour m’aider dans les prochaines étapes ? dit Hinton. « Celles-ci sont exceptionnellement précieuses et très difficiles à mettre en œuvre de manière à faire monter l’adrénaline de manière à simuler – et à stimuler – le processus de réponse. »
Ce n’est pas censé être un exercice « propre » où tout le monde se sent bien à la fin, selon Hinton. « L’équipe de réponse aux incidents sait quoi faire et comment réagir pour contenir un incident. L’équipe de direction doit être emmenée dans le voyage du « voici ce qui s’est passé, voici ce que nous avons fait pour y remédier », sans comprendre les détails de l’environnement ni essayer de remettre en question les experts en la matière du centre des opérations de sécurité et de l’équipe de réponse aux incidents. Ceci est extrêmement difficile pour la plupart des hauts dirigeants qui sont habitués à prendre et à s’approprier des décisions basées sur une analyse complète de la situation, de l’impact, des options, etc.
Le Pitt
À quelle fréquence les exercices sur table doivent-ils être exécutés ?
Ce sont ces lacunes dans la communication et l’exécution qui amènent Burn à penser que ces exercices devraient être organisés régulièrement, idéalement avant qu’un incident ne se produise. «Je recommande au moins une table de direction interfonctionnelle chaque année, appuyée par des exercices techniques plus fréquents utilisant une plateforme de compétences et de formation en cybersécurité avec une gamme cyber qui fournit une simulation réaliste de l’environnement de l’organisation», dit-elle.
La fréquence peut varier selon l’organisation, explique Hinton. Si une organisation est toujours en « mode exercice d’incendie », les exercices sur table devront probablement être organisés moins souvent que dans les organisations où il y a moins d’attaques, dit-elle.
Quelle que soit la fréquence à laquelle elles les organisent, les organisations de santé doivent sortir de chaque exercice avec un plan d’action pour chaque participant. « Les organisations devraient laisser l’exercice avec un propriétaire, une date limite et un résultat attendu pour chaque découverte », explique Burn. « Certaines solutions, telles que la mise à jour des listes de contacts ou la rédaction de modèles de communication, peuvent être apportées rapidement. Les problèmes liés à l’autorité, à la gouvernance, aux contrats, au personnel ou à la continuité des activités prennent généralement plus de temps. »
Les solutions les plus difficiles sont celles qui impliquent des manques d’autorité, dit-elle, « car l’équipe de sécurité ne peut pas les résoudre seule. Décider qui peut mettre un système critique hors ligne, approuver une dépense d’urgence, déterminer l’importance relative ou s’exprimer publiquement nécessite un accord entre les équipes juridiques, financières, opérationnelles et exécutives ».