#344 la gestion de crise cyber [conférence 2021]

08 septembre 2021

|

Marc-Antoine LEDIEU

Marc-Antoine LEDIEU – Avocat et RSSI

Le Club Innovation des experts-comptables s’intéresse à la gestion de crise cyber ? C’est tout à fait légitime, voire nécessaire, alors que le « phénomène » des cyber attaques atteint un niveau inquiétant pour les entreprises.

Intéressons nous un instant d’abord à « comment » se déroule une cyber attaque, avant de voir « comment » y réagir. Et surtout dans quel ordre de priorité.

gestion de crise cyber : le plan de cette étude

gestion de crise cyber : les slides de l'introduction

344 GESTION CRISE CYBER © Ledieu-Avocats technique droit numérique 07-09-2021.002

344 GESTION CRISE CYBER © Ledieu-Avocats technique droit numérique 07-09-2021.003

344 GESTION CRISE CYBER © Ledieu-Avocats technique droit numérique 07-09-2021.004

344 GESTION CRISE CYBER © Ledieu-Avocats technique droit numérique 07-09-2021.005

344 GESTION CRISE CYBER © Ledieu-Avocats technique droit numérique 07-09-2021.006

344 GESTION CRISE CYBER © Ledieu-Avocats technique droit numérique 07-09-2021.007

344 GESTION CRISE CYBER © Ledieu-Avocats technique droit numérique 07-09-2021.008

344 GESTION CRISE CYBER © Ledieu-Avocats technique droit numérique 07-09-2021.009

344 GESTION CRISE CYBER © Ledieu-Avocats technique droit numérique 07-09-2021.010

gestion de crise cyber : un bref rappel technico-juridique sur les notions de base ?

Pour comprendre « pourquoi » et « comment », revoyons certaines notions de base comme système d’information, malware, vulnérabilité.

Profitions-en pour un petit focus rapide autours de la notion de cryptolocker (« rançongiciel » en Molière dans le texte).

gestion de crise cyber : les rappels dans le slider ci-dessous

344 GESTION CRISE CYBER © Ledieu-Avocats technique droit numérique 07-09-2021.011

344 GESTION CRISE CYBER © Ledieu-Avocats technique droit numérique 07-09-2021.012

344 GESTION CRISE CYBER © Ledieu-Avocats technique droit numérique 07-09-2021.013

344 GESTION CRISE CYBER © Ledieu-Avocats technique droit numérique 07-09-2021.014

344 GESTION CRISE CYBER © Ledieu-Avocats technique droit numérique 07-09-2021.015

344 GESTION CRISE CYBER © Ledieu-Avocats technique droit numérique 07-09-2021.016

344 GESTION CRISE CYBER © Ledieu-Avocats technique droit numérique 07-09-2021.017

344 GESTION CRISE CYBER © Ledieu-Avocats technique droit numérique 07-09-2021.018

344 GESTION CRISE CYBER © Ledieu-Avocats technique droit numérique 07-09-2021.019

344 GESTION CRISE CYBER © Ledieu-Avocats technique droit numérique 07-09-2021.020

344 GESTION CRISE CYBER © Ledieu-Avocats technique droit numérique 07-09-2021.021

344 GESTION CRISE CYBER © Ledieu-Avocats technique droit numérique 07-09-2021.022

344 GESTION CRISE CYBER © Ledieu-Avocats technique droit numérique 07-09-2021.023

344 GESTION CRISE CYBER © Ledieu-Avocats technique droit numérique 07-09-2021.024

344 GESTION CRISE CYBER © Ledieu-Avocats technique droit numérique 07-09-2021.025

344 GESTION CRISE CYBER © Ledieu-Avocats technique droit numérique 07-09-2021.026

344 GESTION CRISE CYBER © Ledieu-Avocats technique droit numérique 07-09-2021.027

344 GESTION CRISE CYBER © Ledieu-Avocats technique droit numérique 07-09-2021.028

gestion de crise cyber : FOCUS sur l'incrimination pénale d'extorsion avec la jurisprudence 2021

Nous avons la chance (???) d’avoir une jurisprudence pénale toute fraiche à propos d’un chantage exercé par un ex-salarié qui avait tenté d’extorquer 1 million de Bitcoin à son ex-employeur.

C’est un arrêt de la Cour d’Appel de Versailles du 30 juin 2021.

Allez lire, c’est édifiant…

344 GESTION CRISE CYBER © Ledieu-Avocats technique droit numérique 07-09-2021.029

344 GESTION CRISE CYBER © Ledieu-Avocats technique droit numérique 07-09-2021.030

344 GESTION CRISE CYBER © Ledieu-Avocats technique droit numérique 07-09-2021.031

344 GESTION CRISE CYBER © Ledieu-Avocats technique droit numérique 07-09-2021.032

344 GESTION CRISE CYBER © Ledieu-Avocats technique droit numérique 07-09-2021.033

344 GESTION CRISE CYBER © Ledieu-Avocats technique droit numérique 07-09-2021.034

344 GESTION CRISE CYBER © Ledieu-Avocats technique droit numérique 07-09-2021.035

344 GESTION CRISE CYBER © Ledieu-Avocats technique droit numérique 07-09-2021.036

344 GESTION CRISE CYBER © Ledieu-Avocats technique droit numérique 07-09-2021.037

344 GESTION CRISE CYBER © Ledieu-Avocats technique droit numérique 07-09-2021.038

344 GESTION CRISE CYBER © Ledieu-Avocats technique droit numérique 07-09-2021.039

gestion de crise cyber : la priorisation des actions à mener par l'attaqué(e)

Cette priorisation des actions est un process nécessaire pour toute entreprise qui veut organiser la gestion de sa crise cyber en cas d’attaque (déni de service, cryptolocker, fuite de données personnelles, etc.).

Soyons lucide : la priorité n’est pas de porter plainte. Votre Avocat vous aidera moins dans les premières heures / journées de la crise qu’un(e) professionnel(le) de la gestion de crise et de la communication qui va avec.

344 GESTION CRISE CYBER © Ledieu-Avocats technique droit numérique 07-09-2021.040

344 GESTION CRISE CYBER © Ledieu-Avocats technique droit numérique 07-09-2021.041

344 GESTION CRISE CYBER © Ledieu-Avocats technique droit numérique 07-09-2021.042

344 GESTION CRISE CYBER © Ledieu-Avocats technique droit numérique 07-09-2021.043

344 GESTION CRISE CYBER © Ledieu-Avocats technique droit numérique 07-09-2021.044

344 GESTION CRISE CYBER © Ledieu-Avocats technique droit numérique 07-09-2021.045

344 GESTION CRISE CYBER © Ledieu-Avocats technique droit numérique 07-09-2021.046

344 GESTION CRISE CYBER © Ledieu-Avocats technique droit numérique 07-09-2021.047

344 GESTION CRISE CYBER © Ledieu-Avocats technique droit numérique 07-09-2021.048

gestion de crise cyber : hack-back et légitime défense ?

ATTENTION (quand même) du point de vue legal : si pour faire cesser une attaque contre votre système d’information, vous envisagez de riposter, la France a pris officiellement position contre la pratique dite du « Hack Back ».

Allez jeter un coup d’oeil dans le slider ci-dessous pour mieux cerner les données juridiques du problème.

Et pour aller plus loin sur le sujet, je n’ai pas trouvé mieux que le podcast NoLimitSecu.

344 GESTION CRISE CYBER © Ledieu-Avocats technique droit numérique 07-09-2021.049

344 GESTION CRISE CYBER © Ledieu-Avocats technique droit numérique 07-09-2021.050

344 GESTION CRISE CYBER © Ledieu-Avocats technique droit numérique 07-09-2021.051

344 GESTION CRISE CYBER © Ledieu-Avocats technique droit numérique 07-09-2021.052

344 GESTION CRISE CYBER © Ledieu-Avocats technique droit numérique 07-09-2021.053

344 GESTION CRISE CYBER © Ledieu-Avocats technique droit numérique 07-09-2021.054

344 GESTION CRISE CYBER © Ledieu-Avocats technique droit numérique 07-09-2021.055

344 GESTION CRISE CYBER © Ledieu-Avocats technique droit numérique 07-09-2021.056

gestion de crise cyber : anticiper le drame avec des contrats "à l'état de l'art" ?

Vous l’aurez compris, anticiper une crise cyber, c’est pas facile.

Gérer une crise cyber, cela demande une réflexion préalable et une organisation (des responsables, des process…).

Maintenant, si vous vous demandez qui va payer les sommes que votre entreprise va devoir engager pour gérer une crise cyber (et surtout y remédier), là, il va falloir aller jeter un regard attentif sur les contrats de vos éditeurs et de vos prestataires de service SaaS.

Ou vous organiser pour disposer de vos propres annexes « sécurité des systèmes d’information »…

344 GESTION CRISE CYBER © Ledieu-Avocats technique droit numérique 07-09-2021.068

344 GESTION CRISE CYBER © Ledieu-Avocats technique droit numérique 07-09-2021.069

344 GESTION CRISE CYBER © Ledieu-Avocats technique droit numérique 07-09-2021.070

344 GESTION CRISE CYBER © Ledieu-Avocats technique droit numérique 07-09-2021.071

344 GESTION CRISE CYBER © Ledieu-Avocats technique droit numérique 07-09-2021.072

344 GESTION CRISE CYBER © Ledieu-Avocats technique droit numérique 07-09-2021.074

gestion de crise cyber : des obligations spécifiques pour les Opérateurs d'Importance Vitale ?

Si vous doutiez du sérieux (?!?!) ou de l’importance (?!?!) de la matière, voyons en quelques slides ce qui est prévu dans les textes (donc ce qui est obligatoire) pour les Opérateurs d’Importance Vitale.

#344 OIV OSE OBLIGATIONS légales de gestion de crise cyber © Ledieu-Avocats technique droit numérique blog BD.002

#344 OIV OSE OBLIGATIONS légales de gestion de crise cyber © Ledieu-Avocats technique droit numérique blog BD.003

#344 OIV OSE OBLIGATIONS légales de gestion de crise cyber © Ledieu-Avocats technique droit numérique blog BD.004

#344 OIV OSE OBLIGATIONS légales de gestion de crise cyber © Ledieu-Avocats technique droit numérique blog BD.005

#344 OIV OSE OBLIGATIONS légales de gestion de crise cyber © Ledieu-Avocats technique droit numérique blog BD.006

#344 OIV OSE OBLIGATIONS légales de gestion de crise cyber © Ledieu-Avocats technique droit numérique blog BD.007

#344 OIV OSE OBLIGATIONS légales de gestion de crise cyber © Ledieu-Avocats technique droit numérique blog BD.008

#344 OIV OSE OBLIGATIONS légales de gestion de crise cyber © Ledieu-Avocats technique droit numérique blog BD.009

#344 OIV OSE OBLIGATIONS légales de gestion de crise cyber © Ledieu-Avocats technique droit numérique blog BD.010

#344 OIV OSE OBLIGATIONS légales de gestion de crise cyber © Ledieu-Avocats technique droit numérique blog BD.011

#344 OIV OSE OBLIGATIONS légales de gestion de crise cyber © Ledieu-Avocats technique droit numérique blog BD.012

gestion de crise cyber : ... et (bien sur) des obligations spécifiques pour les Opérateurs de Service Essentiel

Si le régime des OIV est purement français (voir la LPM de 2013), celui des OSE (pour Opérateur de Service Essentiel) nous vient de Bruxelles.

Mais, sur la notion de gestion de crise cyber, il faut bien reconnaître que ces deux législations sont extrêmement similaires (voir notre présentation sur les obligations de sécurité OIV / OSE).