#344 la gestion de crise cyber [conférence 2021]

#344 la gestion de crise cyber [conférence 2021]

Le Club Innovation des experts-comptables s’intéresse à la gestion de crise cyber ? C’est tout à fait légitime, voire nécessaire, alors que le « phénomène » des cyber attaques atteint un niveau inquiétant pour les entreprises.

Intéressons nous un instant d’abord à « comment » se déroule une cyber attaque, avant de voir « comment » y réagir. Et surtout dans quel ordre de priorité.

gestion de crise cyber : le plan de cette étude

gestion de crise cyber : les slides de l'introduction

gestion de crise cyber : un bref rappel technico-juridique sur les notions de base ?

Pour comprendre « pourquoi » et « comment », revoyons certaines notions de base comme système d’information, malware, vulnérabilité.

Profitions-en pour un petit focus rapide autours de la notion de cryptolocker (« rançongiciel » en Molière dans le texte).

gestion de crise cyber : les rappels dans le slider ci-dessous

gestion de crise cyber : FOCUS sur l'incrimination pénale d'extorsion avec la jurisprudence 2021

Nous avons la chance (???) d’avoir une jurisprudence pénale toute fraiche à propos d’un chantage exercé par un ex-salarié qui avait tenté d’extorquer 1 million de Bitcoin à son ex-employeur.

C’est un arrêt de la Cour d’Appel de Versailles du 30 juin 2021.

Allez lire, c’est édifiant…

gestion de crise cyber : la priorisation des actions à mener par l'attaqué(e)

Cette priorisation des actions est un process nécessaire pour toute entreprise qui veut organiser la gestion de sa crise cyber en cas d’attaque (déni de service, cryptolocker, fuite de données personnelles, etc.).

Soyons lucide : la priorité n’est pas de porter plainte. Votre Avocat vous aidera moins dans les premières heures / journées de la crise qu’un(e) professionnel(le) de la gestion de crise et de la communication qui va avec.

gestion de crise cyber : hack-back et légitime défense ?

ATTENTION (quand même) du point de vue legal : si pour faire cesser une attaque contre votre système d’information, vous envisagez de riposter, la France a pris officiellement position contre la pratique dite du « Hack Back ». 

Allez jeter un coup d’oeil dans le slider ci-dessous pour mieux cerner les données juridiques du problème.

Et pour aller plus loin sur le sujet, je n’ai pas trouvé mieux que le podcast NoLimitSecu.

gestion de crise cyber : anticiper le drame avec des contrats "à l'état de l'art" ?

Vous l’aurez compris, anticiper une crise cyber, c’est pas facile.

Gérer une crise cyber, cela demande une réflexion préalable et une organisation (des responsables, des process…).

Maintenant, si vous vous demandez qui va payer les sommes que votre entreprise va devoir engager pour gérer une crise cyber (et surtout y remédier), là, il va falloir aller jeter un regard attentif sur les contrats de vos éditeurs et de vos prestataires de service SaaS.

Ou vous organiser pour disposer de vos propres annexes « sécurité des systèmes d’information »…

gestion de crise cyber : des obligations spécifiques pour les Opérateurs d'Importance Vitale ?

Si vous doutiez du sérieux (?!?!) ou de l’importance (?!?!) de la matière, voyons en quelques slides ce qui est prévu dans les textes (donc ce qui est obligatoire) pour les Opérateurs d’Importance Vitale.

gestion de crise cyber : ... et (bien sur) des obligations spécifiques pour les Opérateurs de Service Essentiel

Si le régime des OIV est purement français (voir la LPM de 2013), celui des OSE (pour Opérateur de Service Essentiel) nous vient de Bruxelles.

Mais, sur la notion de gestion de crise cyber, il faut bien reconnaître que ces deux législations sont extrêmement similaires (voir notre présentation sur les obligations de sécurité OIV / OSE).

gestion de crise cyber : si vous avez aimé les BD des éditions Delcourt / Soleil qui servent d'illustration, venez les découvrir dans le slider ci-dessous !

Derniers articles