🛡️ La fréquence et l’impact des cyberattaques devient tel que la cyber résilience devient un concept majeur. Voyons la définition, la législation et que faire.
1️⃣La cyber résilience, un complément indispensable à la cybersécurité.
J’ai expliqué dans un précédent article ce qu’est la cybersécurité : protéger ses données et ses systèmes informatiques contre les cyber-attaques.
Avec la cyber résilience, on pousse le curseur un cran plus loin :
🤔 d’abord il est important de bien prendre conscience que TOUT est attaquable.
🧰 ensuite on définit une stratégie pour être capable d’anticiper, de contrer ou de minimiser les effets de toute cyber-attaque. C’est cette capacité à maintenir ses données et systèmes informatiques ou bien à les remettre d’aplomb très rapidement avec peu ou pas de pertes que l’on appelle la cyber résilience.
2️⃣ Une législation qui s’intéresse de plus en plus à la cyber résilience.
Ce concept est tellement important que de plus en plus de textes légaux définissent des obligations en la matière :
🟠 Le dispositif SAIV de 2006 (Secteur d’Activité d’Importance Vitale) et l’article 22 de la loi de programmation militaire définissent les « OIV » ( Opérateurs d’Importance Vitale pour le fonctionnement et la survie de la France). Ces derniers doivent entre autres :
- 🔒 appliquer des règles de sécurité informatique dont la gestion des incidents de sécurité
- 📢 déclarer tout incident de sécurité ayant un impact fort à l’ANSSI (Agence Nationale de la Sécurité des Systèmes d’Information)
- 🕵️ accepter des contrôles de sécurité de l’ANSSI.
🟢 La Directive européenne NIS 1 (2016) contraint les « OSE » (Opérateurs de Services Essentiels pour le bon fonctionnement de l’économie ou de la société) et les « FSN » (Fournisseurs de Services Numériques comme les places de marché en ligne, les moteurs de recherche ou encore les services de cloud) de suivre des obligations similaires au dispositif SAIV.
🟣 Le RGPD (Règlement Général sur la Protection des Données) de 2016 impose des contrôles et des mesures de sécurité informatique à tout acteur détenant des données relatives à des personnes physiques identifiées.
🟡 La Directive européenne NIS 2 (2022) va élargir les objectifs et le périmètre de la direction NIS 1 et sera mise en application en France au deuxième semestre 2024.
🟤 Le Cyber resilience Act européen, en cours de validation a pour objectif d’améliorer la sécurité des produits ayant des fonctionnalités numériques vendus dans l’Union Européenne.
Les appareils visés devront faire preuve de résilience face aux cyberattaques et donner suffisamment d’informations concernant leur sécurité. Sont en particuliers visés les logiciels de gestion d’identité, les assistants domestiques ou encore les caméras de sécurité privées.
3️⃣ Que faire pour améliorer sa cyber résilience ?
En conclusion, la cyber résilience est l’aptitude à anticiper, à contrer et à se remettre rapidement de cyberattaques. Pour cela, quelques grands principes sont à appliquer :
- 🚨 encore une fois, être conscient que tout est potentiellement vulnérable et se préparer contre le pire.
- 🔍 identifier ses risques et ses données et applications critiques.
- ✍️ mettre en place un plan anti-crise (aussi appelé plan de récupération ou plan de continuité d’activité), en particulier pour les sauvegardes et récupération de données.
- 🛡️ idéalement, se doter de pratiques ou d’outils permettant de repérer les cyberattaques
- 🪛 faire évoluer cette stratégie dans le temps en fonction des expériences et des informations reçues
💡 Je donne une formation « Cyber Or » permettant en 3 jours de connaître, de repérer et de se protéger contre les cyberattaques, ainsi que de définir une stratégie adaptée de cyber-sécurité et un plan anti-crise.
