Publicité en cours de chargement...

Plan de continuité informatique et stratégie de l'autruche

09 déc. 2013 - 01:00,
Tribune - DSIH
C'est dans l'adversité que l'on reconnaît les vraies compétences : plus que partout ailleurs, la sécurité des SI vérifie l'adage.

 

Depuis l'incendie du siège du Crédit Lyonnais (mai 1996, Boulevard des Italiens) et plus récemment les attaques du 11 septembre 2001, toutes les grandes entreprises ont engagé peu ou prou des plans de continuité et de reprise d'activité (PCA-PRA) visant à améliorer la résilience du SI face à un sinistre majeur : incendie, destruction de datacenter, etc.

 

Mais il y a sinistre et sinistre : au regard de l'appréciation des risques, il n'est pas possible de mettre sur le même plan un sinistre d'origine accidentelle (inondation, incendie) et un sinistre d'origine malveillante (cyber-attaque). Si les probabilités sont connues dans le premier cas (les compagnies d'assurance disposent de statistiques précises sur ces questions), dans le second c'est une toute autre affaire.

 

Or, les dispositifs de PCA et PRA sont la plupart du temps incomplets (donc défaillants) pour les cyber-attaques, ainsi que le démontre une récente étude du CESIN (Club des Experts de la Sécurité de l'Information et du Numérique) : dans 83% des cas il n'existe pas d'équipe formalisée de réponse à des cyber-attaques, et dans plus de la moitié des entreprises le processus interne de détection et d'alerte est inexistant. Un pirate extérieur aurait donc tout loisir de jouer à distance pendant un bon moment avant d'être repéré.

 

Les seuls audits d'intrusion ou de vulnérabilité périmétrique (opération qui consiste à attaquer volontairement le pare-feu pour en éprouver la résistance) ne sont réalisés régulièrement (plus d'une fois par an) que dans un tiers des entreprises environ. Un tel test devrait pourtant être réalisé à minima tous les 6 mois en mode routine et à chaque fois qu'un changement majeur intervient dans les infrastructures (par exemple au changement d'un serveur Web).

 

Le message martelé par l'ANSSI depuis plusieurs années a le mérite d'être pragmatique : en matière de sécurité, il faut en revenir aux basiques. Et les tests d'intrusion en font partie, tout autant que la veille technologique et la supervision active du comportement suspect sur le SI.

 

C.C

Avez-vous apprécié ce contenu ?

A lire également.

Illustration Ce qu’il fallait retenir de l’édition 2025 du congrès APSSIS

Ce qu’il fallait retenir de l’édition 2025 du congrès APSSIS

01 juil. 2025 - 00:00,

Actualité

- DSIH

La 13ᵉ édition du congrès APSSIS, qui s’est tenue en juin 2025, a une nouvelle fois confirmé sa place centrale dans l’écosystème de la cybersécurité en santé. Au fil de trois jours de conférences, de débats et de rencontres, RSSI, DPO, DSI, juristes et institutionnels ont croisé leurs expertises pou...

Illustration Le 8ème opus des guides cyber-résilience de l’APSSIS est en ligne !

Le 8ème opus des guides cyber-résilience de l’APSSIS est en ligne !

30 juin 2025 - 20:50,

Communiqué

- APSSIS

L’APSSIS a le plaisir d’annoncer la publication du 8ème opus des Guides Cyber-résilience à destination des professionnels du secteur. Conçus et élaborés par Cédric Cartau, ces guides se veulent à la fois accessibles, techniques et pratiques.

La cyber et les sacs de luxe

30 juin 2025 - 20:44,

Tribune

-
Cédric Cartau

C’est la fin du premier semestre, il est temps de faire un bilan à mi-course de l’année 2025. Et il s’en est passé, des choses, pas forcément douces et roses.

Illustration En direct du congrès APSSIS 2025 –– conférence sur l’histoire des malwares

En direct du congrès APSSIS 2025 –– conférence sur l’histoire des malwares

24 juin 2025 - 18:00,

Tribune

-
Cédric Cartau

Temps fort traditionnel, Michel Dubois nous a habitués à des conférences techniques sur des sujets pointus, telle l’histoire du chiffrement. Nous voilà donc embarqués dans l’histoire des malwares, et on part de loin : machine de Turing, théorie de l’informatique de la fin de la Seconde Guerre mondia...

Lettre d'information.

Ne manquez rien de la e-santé et des systèmes d’informations hospitaliers !

Inscrivez-vous à notre lettre d’information hebdomadaire.