80 postes,
zéro frayeur.

Par la double authentification sur la messagerie et l'accès à distance, et en vérifiant que les sauvegardes se restaurent vraiment. Ce sont les deux mesures qui réduisent le plus le risque pour chaque euro investi, et aucune n'exige de renouveler le matériel ni de faire des travaux d'infrastructure : il s'agit de configurer ce qui existe déjà. La double authentification ferme la porte d'entrée la plus courante, qui n'est pas quelqu'un perçant un pare-feu, mais un mot de passe réutilisé apparu dans une fuite d'un autre service sans rapport avec l'entreprise. Les sauvegardes testées ferment la sortie : si quelque chose tourne mal malgré tout, il existe un vrai moyen de récupérer les données en quelques heures, et non en plusieurs jours. Après ces deux mesures, ce qui offre le meilleur rapport entre coût et risque évité, c'est généralement l'inventaire du parc et l'application régulière des correctifs. Les changements d'architecture plus coûteux, comme la segmentation ou les postes de travail virtuels, peuvent attendre une deuxième phase.

Il convient très bien aux postes de bureau et de gestion, qui représentent généralement la majorité de l'équipe dans un cabinet de conseil : comptabilité, analyse, service client, toute tâche qui se fait surtout dans des tableurs, la messagerie et des applications de gestion. L'avantage y est évident, car les données ne quittent jamais l'environnement contrôlé — ce qui arrive jusqu'à l'ordinateur à la maison n'est que l'image de l'écran — et un portable perdu ou volé ne signifie pas une perte d'informations, puisqu'aucune n'y était stockée. Il faut y regarder de plus près pour le graphisme, le montage vidéo ou tout calcul exigeant une forte puissance graphique : là, le poste local garde l'avantage, car un poste virtuel correctement dimensionné pour cet usage revient cher. La solution habituelle dans les cabinets aux profils mixtes est de ne pas imposer un modèle unique : poste virtuel là où il est rentable, poste physique géré là où il ne l'est pas.

De manière générale, la loi ne l'impose pas, même si diverses réglementations sectorielles et de protection des données poussent de plus en plus dans ce sens. Ce qui compte vraiment, ce n'est pas l'obligation formelle, mais la différence qu'elle fait en pratique : un identifiant qui a fuité chez un tiers sans lien avec l'entreprise — quelque chose sur quoi l'entreprise n'a aucun contrôle — ne permet plus d'entrer si un second facteur, que seul le salarié possède, est nécessaire, généralement son téléphone. Dans un cabinet qui traite des données clients comportant des informations financières ou personnelles sensibles, considérer la double authentification comme facultative est difficile à justifier le jour où quelque chose tourne mal. Sa mise en place n'est ni chère ni complexe : la plupart des services de messagerie et d'accès à distance l'intègrent déjà, il suffit de l'activer et de bien l'expliquer à l'équipe. Nous expliquons comment cela s'intègre dans un contrat de maintenance plus large dans ce que doit inclure un contrat de maintenance.

Cela dépend de la partie du changement que l'on regarde. La double authentification et l'application régulière des correctifs se remarquent vite, en quelques semaines, car elles coupent net le flot de petits incidents qui occupait auparavant des heures chaque semaine : mots de passe compromis, postes pas à jour qui plantent, virus entrés par une faille connue et jamais corrigée. C'est le genre d'amélioration qui se voit dans le nombre de tickets avant d'apparaître dans un quelconque rapport. Les changements d'architecture, comme la segmentation du réseau interne ou le déploiement de postes de travail virtuels, sont différents : ils se mettent en place par étapes, poste par poste ou service par service, et leur effet se fait sentir tout au long du projet plutôt que d'un coup. Il ne faut pas juger l'ensemble du projet sur la lenteur apparente du début, quand l'ancien et le nouveau cohabitent encore le temps que la migration se termine.

La référence reste la règle 3-2-1 : au moins trois copies de ce que vous ne pouvez pas vous permettre de perdre, sur deux supports différents, dont une hors du bureau. Dans un cabinet de conseil qui détient des données clients, il faut y ajouter deux choses précises. La première est le chiffrement : une copie contenant des informations financières ou personnelles qui sort du bureau — vers un disque externe ou un prestataire cloud — doit voyager et être stockée chiffrée, sinon perdre ce support est aussi grave que perdre les données sur l'ordinateur d'origine. La seconde est le test de restauration : une sauvegarde dont personne n'a vérifié qu'elle se restaure n'est pas une sauvegarde, c'est une supposition. Si vous hésitez entre installer votre propre NAS ou souscrire une sauvegarde dans le cloud, NAS ou cloud pour les sauvegardes l'explique en fonction de votre véritable point de défaillance.

Aucune mesure ne ramène le risque à zéro : mieux vaut donc savoir quoi faire dans les premières heures avant d'en avoir besoin. La première chose est d'isoler immédiatement du réseau le ou les postes touchés, en débranchant le câble ou en coupant le Wi-Fi, pour empêcher le chiffrement de s'étendre aux dossiers partagés ou aux autres postes connectés aux mêmes ressources. La deuxième est de ne pas payer la rançon : rien ne garantit de récupérer quoi que ce soit en échange, et payer ne corrige pas la porte d'entrée qui a rendu l'attaque possible. Avec les sauvegardes testées de la question précédente, l'issue consiste généralement à restaurer la dernière sauvegarde saine, une fois l'origine de l'attaque identifiée et neutralisée. C'est précisément pour cela que les sauvegardes testées et la double authentification sont les deux mesures qui déterminent si un tel incident se limite à une frayeur d'un après-midi ou se traduit par plusieurs jours d'arrêt. Le détail se trouve dans ransomware : les premières heures.