Avec le soutien de: Kaseya
Il s'agit d'un article de blog rédigé par International Data Corporation (IDC), leader mondial de l'analyse de marché, qui présente des analyses indépendantes sur l'état de la cyber-résilience des équipes informatiques.
La protection des données a toujours été le pilier de la résilience informatique. Cependant, à l'heure où les attaques par ransomware et les exfiltrations de données sont de plus en plus fréquentes et sophistiquées, la sauvegarde à elle seule ne suffit plus à assurer la protection des entreprises.
Aujourd'hui, les entreprises sont confrontées à toutes sortes de menaces pesant sur leurs données. Les cybercriminels chiffrent les données et retiennent la clé de déchiffrement jusqu'au paiement d'une rançon. Ils copient des données sensibles et menacent de les vendre ou de les divulguer publiquement, ce qui exerce une pression pour que la rançon soit versée, même lorsque la restauration des données est possible. Outre les données elles-mêmes, ils ciblent les systèmes de sauvegarde, les identités des utilisateurs, les applications et tout ce qui peut entraîner une perturbation ou rendre la restauration plus difficile, voire impossible.
Pour faire face aux cybermenaces actuelles, la protection des données doit évoluer vers la cyber-résilience. Les responsables informatiques, de la sécurité et des activités doivent comprendre la différence entre ces deux concepts et ce qu’il faut faire pour combler le fossé qui les sépare.
Les limites de la protection des données traditionnelle
La protection traditionnelle des données se concentre sur un ensemble restreint mais essentiel de questions : disposez-vous d'une copie de vos données ? Les sauvegardes s'exécutent-elles comme prévu ? Respectez-vous vos objectifs en matière de délai de reprise (RTO) et de point de reprise (RPO) ?
Pour les incidents courants tels que les suppressions accidentelles ou les pannes matérielles, voire les catastrophes naturelles de grande ampleur, la protection des données s’avère suffisante. Cependant, elle n’a jamais été conçue pour faire face à des attaques malveillantes, dans lesquelles les identifiants de l’administrateur de sauvegarde ou les données de sauvegarde elles-mêmes peuvent être compromis. Si l’on tient compte du fait que des logiciels malveillants ont déjà été copiés dans la sauvegarde et que votre point de restauration le plus récent est peut-être déjà inutilisable, cela modifie fondamentalement la manière dont la restauration doit être effectuée.
Les trois piliers de la cyber-résilience
Pour passer de la protection des données à la cyber-résilience, il faut s'appuyer sur trois capacités étroitement liées :
- Détection précoce : la détection des indicateurs de compromission avant qu’une attaque ne se déclenche pleinement constitue la première ligne de défense. Cela implique le déploiement de scanners de logiciels malveillants capables de détecter les ransomwares dissimulés dans les fichiers de sauvegarde, associé à un système de détection des anomalies qui signale les taux de modification des données inhabituels, les connexions inattendues d’administrateurs et les schémas d’activité anormaux. La détection précoce d’une intrusion permet d’identifier la dernière copie valide connue des données, avant que toute corruption ne se soit produite.
- Des sauvegardes sécurisées. Toute stratégie de cyber-résilience doit garantir la pérennité et l'intégrité des données. Les données sauvegardées doivent être stockées sur un support immuable dont l'accès est restreint, afin d'empêcher toute altération ou destruction. De plus, étant donné que les ransomwares peuvent s'infiltrer discrètement dans les systèmes de sauvegarde et rester en sommeil pendant des semaines, voire des mois, avant de se déclencher, les stratégies de sauvegarde doivent couvrir plusieurs points de restauration.
- Une reprise rapide et sécurisée. Au moment de la reprise, le fait de rétablir d’abord le fonctionnement dans un environnement isolé de type « salle blanche » plutôt que directement en production permet d’éviter toute réinfection. À partir de là, l’orchestration et l’automatisation de la reprise réduisent le délai de rétablissement, limitent le recours aux processus manuels et facilitent la validation avant la mise en service des systèmes.
Combler le fossé
Les fonctionnalités traditionnelles de protection des données, telles que la sauvegarde opérationnelle et la reprise après sinistre (DR), constituent une base solide pour répondre aux trois piliers de la cyber-résilience. Les organisations peuvent combler cette lacune en ajoutant des couches de sécurité supplémentaires à celles dont elles disposent déjà.
La mise en œuvre du contrôle d'accès basé sur les rôles (RBAC), de l'authentification multifactorielle (MFA) et de l'authentification multipersonnelle (MPA) sur les systèmes de sauvegarde contribue grandement à prévenir les infiltrations. L'intégration entre les outils de protection des données et les outils de gestion des informations et des événements de sécurité (SIEM) ainsi que d'orchestration, d'automatisation et de réponse en matière de sécurité (SOAR) peut aider les organisations à coordonner leur réponse lorsqu'une activité suspecte est détectée.
La pérennité des données constitue déjà la fonction essentielle de la protection des données, mais des mesures supplémentaires, telles que le stockage immuable et les fonctionnalités de sécurité mentionnées précédemment, renforcent les défenses contre les tentatives ciblées et malveillantes visant à supprimer ou à modifier des données. L'approche de la cyber-résilience en matière de pérennité des données part du principe que les attaques sont inévitables et que la mise en place de multiples points de restauration, de points de contrôle pour la détection des logiciels malveillants et de couches de défense est nécessaire pour garantir la pérennité et l'intégrité des données.
Enfin, la reprise après sinistre (DR) traditionnelle peut être adaptée pour faire face aux cyberattaques. Les scénarios de DR partent du principe que les sinistres ont une fin claire, un périmètre d’impact défini et que le dernier point de restauration valide des données est connu. Dans le cas d’une cyberattaque, rien de tout cela n’est garanti. Par conséquent, le volet « reprise » de la cyber-résilience s’appuie sur la reprise après sinistre en mettant en œuvre des outils permettant d’identifier les systèmes affectés, d’analyser à la fois les données en production et les copies de sauvegarde à la recherche de logiciels malveillants, et de créer des environnements de reprise isolés. La reprise vers l’environnement de production ne peut avoir lieu qu’après avoir confirmé que les données restaurées sont exemptes de logiciels malveillants.
L'état d'esprit de cyber-résilience
Les organisations les mieux placées pour survivre à une attaque par ransomware partagent un état d'esprit commun : elles considèrent les incidents cybernétiques comme inévitables, et non comme des cas exceptionnels. Elles mettent en place des systèmes qui anticipent les défaillances à tous les niveaux, s'entraînent à la reprise d'activité avant d'en avoir besoin et étendent leur protection à l'ensemble de leurs charges de travail, y compris les applications SaaS. Enfin, elles comprennent que la cyber-résilience exige que les équipes informatiques et de sécurité collaborent afin de mettre en place une réponse coordonnée face aux attaques.
La protection des données reste essentielle à la cyber-résilience, mais à elle seule, elle ne suffit pas. Pour en faire un véritable pilier de la cyber-résilience, il faut y ajouter la détection précoce, des points de restauration propres et vérifiables, des environnements de reprise isolés et une approche « zero-trust ». C'est désormais la norme imposée par le paysage actuel des menaces.
Authored by guest IDC blogger Johnny Yu, Research Manager, Infrastructure Software Platforms, IDC, and sponsored by Kaseya.
Message du commanditaire
Le passage de la protection des données à la cyber-résilience reflète la réalité suivante : les organisations doivent se préparer à faire face à des cyberattaques de plus en plus sophistiquées et protéger la continuité de leurs activités, au-delà de la simple protection des données. Des fonctionnalités telles que les sauvegardes immuables, la détection des menaces, l’automatisation de la restauration et la protection dans les environnements sur site, dans le cloud et SaaS sont désormais des éléments essentiels d’une stratégie informatique résiliente. Les solutions de Kaseya contribuent à la réalisation de ces objectifs dans le cadre d’une approche plus large de la continuité des activités et de la cyber-résilience. Découvrez la cyber-résilience de Kaseya en action.
