Ransomware : trois questions pour examiner sauvegardes, accès et réponse

Si demain vous ne pouvez plus ouvrir vos factures ni votre agenda clients, avec quoi continueriez-vous à travailler ? Je commencerais par cette question avant de choisir un autre logiciel de sécurité. Elle oblige à examiner les données qui permettent de travailler au quotidien : où elles se trouvent, qui peut y accéder et comment vous les récupéreriez.

Trois questions permettent d’entamer la vérification. Y répondre ne certifie pas que votre entreprise est protégée ; chaque réponse doit être vérifiée. Je ne fixerais pas un délai de trois minutes pour restaurer des données ou examiner tous les accès.

Quelle sauvegarde pourriez-vous récupérer ?

Demandez à la personne qui gère vos sauvegardes de vous montrer la date de la dernière exécution réussie, ce qu’elle comprend et le résultat d’un test de restauration. Voir un message « sauvegarde terminée » est différent de pouvoir ouvrir les données récupérées.

Le guide des sauvegardes d’INCIBE explique la stratégie 3-2-1 : trois copies, en comptant l’original, sur deux types de supports différents, et une hors de l’entreprise. Il recommande aussi de vérifier régulièrement l’intégrité et la récupération.

Face au ransomware, j’examinerais également les accès de l’ordinateur de travail à ces sauvegardes. Un disque connecté en permanence peut contenir une sauvegarde, mais il est exposé si l’attaque peut y écrire. La conserver dans le cloud ne démontre pas non plus qu’elle est isolée. Je demanderais ce qui empêche sa modification ou sa suppression depuis un compte compromis. Le guide d’INCIBE sur le ransomware décrit comment les stockages connectés et les ressources partagées peuvent également être touchés. INCIBE recommande de ne pas payer la rançon (p. 26 et 29) : payer ne garantit pas de récupérer les données.

Le test doit correspondre à ce que vous avez besoin de récupérer. Ouvrir un document est utile ; cela ne démontre pas que la base de données du logiciel de facturation démarre. Comme critère pour l’entreprise, je noterais combien d’heures vous pouvez vous passer de ce logiciel et quelle quantité de données récentes vous pouvez accepter de perdre. Le prestataire peut alors proposer un test et une fréquence de sauvegarde précis.

Qui se connecte avec plus qu’un mot de passe ?

Dressez une liste des services utilisés : messagerie, stockage, facturation, administration du site et accès à distance. Vérifiez quels comptes disposent d’une authentification multifacteur, y compris les comptes d’administration. Avant de la modifier, prévoyez une méthode de récupération et une personne responsable pour éviter de vous retrouver sans accès.

Le second facteur ajoute une protection, mais ne rend pas un mot de passe volé inutile dans toutes les circonstances. Les méthodes n’offrent pas la même résistance aux tentatives de tromperie. La documentation de Microsoft distingue la MFA de la MFA résistante au phishing : un mot de passe accompagné d’un code reçu par SMS ou généré par une application n’appartient pas à la même catégorie qu’une clé de sécurité FIDO2.

Je demanderais au prestataire d’examiner les options résistantes au phishing disponibles dans vos services. La MFA n’empêche pas non plus, à elle seule, l’exécution d’un logiciel malveillant sur un ordinateur. Il reste à vérifier les mises à jour, les permissions et l’exposition des accès ; cette première liste ne remplace pas cette vérification.

Qui prévenez-vous en cas de problème ?

Préparez une fiche accessible même si la messagerie ne fonctionne plus : responsable, téléphone du support, activité à maintenir et personne qui décide d’arrêter un système. Essayez-la sur un cas hypothétique : l’accueil ne peut plus ouvrir les fichiers partagés. La personne présente sait-elle comment prévenir sans continuer à utiliser l’ordinateur suspect ?

La documentation de réponse de Microsoft prévoit l’isolement des systèmes touchés et l’examen de l’étendue de l’incident avant la récupération. Je conviendrais de ces premières actions avec le support et les écrirais sur la fiche. La restauration et la reconnexion demandent de vérifier que l’accès de l’attaquant a été supprimé.

Si une réponse reste à « je crois que oui », définissez une tâche précise : montrer une restauration, examiner un compte ou essayer la procédure d’alerte. La vérification se termine ainsi par un test à effectuer et une personne chargée de le faire, plutôt que par un sentiment de sécurité.