L'assurance demande un « plan de récupération après ransomware » pour renouveler le contrat — que doit-il contenir ?

Ne téléchargez surtout pas des modèles de 50 pages sur Internet : les analystes des assurances repèrent ces copier-coller en deux secondes. Rédigez plutôt un document clair de 4 pages qui colle à la réalité de votre entreprise, faites un test de restauration de votre sauvegarde d'hier soir sur une VM vierge et joignez les logs.

Faites très attention à la manière dont vous mentionnez la sauvegarde sur disque externe. Si ce disque reste branché en permanence au serveur, le ransomware le chiffrera tout aussi vite. Vous devez préciser noir sur blanc dans le plan qu'il est déconnecté physiquement après la tâche, rangé dans un coffre ignifuge fermé à clé, et que l'option d'immuabilité (sauvegardes non modifiables) est activée sur vos sauvegardes cloud.

Les 3 tableaux les plus critiques à inclure dans votre document sont les suivants : 1) L'inventaire des systèmes par ordre de criticité (d'abord la comptabilité, puis les stocks, et enfin les archives), 2) La liste des contacts externes à joindre en cas d'incident (ligne de déclaration d'assurance, société d'expertise informatique judiciaire, conseiller juridique), 3) Les étapes de contrôle, de nettoyage et de vérification avant de reconnecter les systèmes à Internet.

Le mois dernier, nous avons traversé une procédure similaire pour notre entreprise de production à New York. Ils nous ont demandé exactement les mêmes documents. Nous avons rédigé un scénario de deux pages auquel nous avons joint 14 pages de logs réels de tests de restauration. La compagnie d'assurance a renouvelé la police de 4.200 dollars aux mêmes conditions sans la moindre objection.

Avez-vous précisé dans le plan la manière dont vos sauvegardes cloud sont protégées ? Si le mot de passe du compte cloud est compromis, l'attaquant peut également y supprimer les sauvegardes. Avez-vous activé une double authentification indépendante ainsi qu'un verrouillage contre la suppression sur votre panneau de sauvegarde ?

imprimez obligatoirement le plan que vous allez preparer et gardez-en une copie physique sur le bureau du dg et chez vous et quand les serveurs sont verrouilles ne plus pouvoir acceder a son super plan de securs depuis le pc de la boite c'est malheureusement le grand classique.

Si les compagnies d'assurance corsent ces questionnaires, ce n'est pas pour vous protéger, mais pour refuser de vous indemniser en cas d'attaque sous prétexte que vous n'avez pas respecté les procédures. Assurez-vous donc que chaque phrase inscrite dans le plan est réellement appliquée dans votre entreprise ; n'y mettez rien que vous ne fassiez pas en pratique.

Pas d'inquiétude, pour une équipe de 22 personnes, personne ne s'attend à un plan de reprise d'activité digne d'une multinationale sur des centaines de pages. Un ordre de restauration clair, un schéma prouvant que les sauvegardes sont sécurisées et un rapport de test concluant suffiront largement pour renouveler votre police.

Merci d'avoir écrit cela, c'est exactement ça. Une sauvegarde non testée n'est pas une sauvegarde.

Plus il est difficile de revenir sur une décision, plus il faut la prendre lentement. J'espère que cela vous sera utile.

Je suis intéressé.

Je me permets une petite mise en garde. Si c'est une première, commencez petit, l'échelle viendra plus tard.

Si le chemin de notification est long, la notification n'arrive pas ; une notification manquante signifie un événement détecté tardivement. Je suis aussi curieux de savoir si d'autres font autrement.

Nous avons aussi bloqué au même endroit à une époque. Un rapport de scan automatique n'est pas la même chose qu'un test d'intrusion.

Voilà, désolé si je me suis étendu.

Je ne savais pas ça.

Je me permets une petite mise en garde. Prendre une mesure sans faire d'inventaire, c'est laisser une porte ouverte sans le savoir.

Le fait que la sauvegarde soit accessible sur le même réseau et avec la même identité en fait une cible potentielle. Je suis aussi curieux de savoir si d'autres font autrement.

Je suis d'accord. Les environnements de test oubliés sont plus souvent des portes d'entrée que les systèmes de production.

N'hésitez pas à demander, celui qui ne demande pas paie toujours plus cher.

pensez-vous que cela fonctionne à toutes les échelles ? ne comptez pas sur une seule mesure de sécurité ; allez par couches.

corrigez-moi si je me trompe.

J'ai travaillé longtemps sur ce sujet. Si le chemin de notification est long, la notification n'arrive pas ; une notification manquante signifie un événement détecté tardivement.

Séparons les concepts, ils sont souvent confondus. Si la double authentification est activée, un mot de passe volé seul ne suffit pas.

Le temps que vous mettez à détecter un problème détermine directement son coût. Si vous écrivez le résultat ici, cela aidera aussi d'autres personnes.