Rançongiciels · État de préparation
Famille de services: CybersécuritéSoyez prêts à faire face à un rançongiciel avant qu’il ne vous atteigne
Nous examinons votre organisation comme le ferait un groupe criminel spécialisé en rançongiciels : par où il pourrait entrer, jusqu’où il pourrait se propager, s’il pourrait détruire vos sauvegardes et comment votre équipe déciderait de la marche à suivre. Nous comblons ensuite les lacunes par ordre de priorité.
En bref
- Service
- Revue ciblée de l’état de préparation aux rançongiciels et programme de correction couvrant l’entrée, la propagation, les sauvegardes et les décisions de reprise
- Idéal pour
- Organisations d’environ 5 à 200 employés qui ne pourraient pas fonctionner longtemps sans leurs fichiers et leurs systèmes
- Principaux éléments inclus
- Revue de l’état de préparation, contrôles des points d’entrée et des déplacements latéraux, vérification de l’isolement des sauvegardes, guide d’intervention en cas de rançongiciel et exercice sur table
- Non inclus
- Négociation ou paiement de rançon, manipulation de cryptomonnaie, enquête judiciaire, conseils juridiques et tests d’intrusion
- Lignes directrices de référence
- Conseils sur les rançongiciels et contrôles de base du Centre canadien pour la cybersécurité, ainsi que les mesures de protection des contrôles CIS
- Base de tarification
- Prix fixe pour la revue de l’état de préparation et le guide d’intervention ; correctifs faisant l’objet d’une soumission distincte, le tout confirmé par écrit
- Pour commencer
- Réservez une consultation pour définir la portée de la revue de l’état de préparation
En quoi consiste la préparation aux rançongiciels
Les attaques par rançongiciel contre les petites organisations suivent généralement un parcours prévisible. Les attaquants entrent grâce à un mot de passe obtenu par hameçonnage, à un service d’accès à distance exposé ou à un appareil non corrigé. Ils obtiennent des privilèges d’administrateur, se déplacent vers les serveurs et les partages de fichiers, suppriment ou chiffrent les sauvegardes, copient souvent des données pour menacer de les publier, puis chiffrent les systèmes et exigent un paiement.
La préparation aux rançongiciels s’attaque à chacune de ces étapes. Elle réduit les voies d’accès, limite la capacité d’un intrus à se déplacer, veille à ce qu’au moins une sauvegarde survive et prépare la direction aux décisions qu’elle devra prendre dans les premières heures : qui appeler, quoi arrêter, comment communiquer et comment restaurer.
Ce mandat diffère des services généraux de sauvegarde ou de sécurité parce qu’il est organisé autour d’un seul scénario de menace et qu’il se termine par une répétition. Vous obtenez une courte liste de correctifs à forte valeur et une équipe qui a déjà réfléchi à ce qu’elle ferait lors d’une très mauvaise journée.
Les lacunes qu’exploitent les rançongiciels
Accès à distance exposé
Bureau à distance ou appareils RPV vieillissants ouverts sur Internet, sans authentification multifacteur ni correctifs à jour.
Réseaux non segmentés et droits d’administration étendus
Chaque ordinateur peut joindre chaque serveur, et trop de comptes peuvent les administrer.
Sauvegardes sur le même domaine
Un attaquant qui prend le contrôle d’un compte d’administrateur du domaine peut aussi supprimer toutes les sauvegardes.
Aucun plan de décision
La direction n’a jamais discuté de qui décide d’arrêter les systèmes, de communiquer avec l’assureur ou d’aviser les clients.
Ce que nous examinons et renforçons
Points d’entrée
Authentification multifacteur sur le courriel et l’accès à distance, services exposés sur vos adresses IP publiques, filtrage du courriel et niveau de correctifs des systèmes exposés à Internet.
Privilèges et propagation
Prolifération des comptes d’administrateur, droits d’administrateur local, segmentation du réseau entre les postes de travail et les serveurs, et règles de réduction de la surface d’attaque.
Détection
Vérification que la protection des terminaux et l’EDR sont déployées partout avec les protections contre les rançongiciels activées, et que quelqu’un voit leurs alertes.
Survie des sauvegardes
Copies immuables ou hors ligne, identifiants de sauvegarde distincts et test récent de restauration d’un système complet.
Guide d’intervention en cas de rançongiciel
Un guide écrit pour les premières heures : étapes d’isolement, liste de personnes-ressources (assureur, conseillers juridiques et firme d’enquête numérique), modèles de communication et ordre de reprise.
Exercice sur table
Un scénario animé, parcouru avec la direction, pour mettre le guide à l’épreuve et faire ressortir les décisions mal définies.
Portée
Inclus dans le mandat de préparation
- Examen des points d’entrée, des privilèges, de la détection et des contrôles de sauvegarde au regard des lignes directrices sur les rançongiciels
- Vérification de l’exposition externe de vos adresses IP publiques
- Revue de l’isolement des sauvegardes et test de restauration d’un système clé, effectué en notre présence
- Liste priorisée des correctifs
- Guide d’intervention en cas de rançongiciel adapté à votre organisation
- Un exercice sur table animé avec la direction
Non inclus
- Négociation de rançon, facilitation du paiement ou manipulation de cryptomonnaie
- Criminalistique numérique ou détermination de l’ampleur du vol de données
- Conseils juridiques, y compris les décisions de déclaration d’atteinte en vertu de la LPRPDE
- Tests d’intrusion ou attaques simulées
- Travaux de correction, qui font l’objet d’une soumission distincte
Technologies généralement en cause
- Microsoft Entra ID, authentification multifacteur et accès conditionnel
- Microsoft Defender for Endpoint ou Defender for Business, avec réduction de la surface d’attaque et accès contrôlé aux dossiers
- Pare-feu d’entreprise, RPV et segmentation du réseau
- Plateformes de sauvegarde avec stockage infonuagique immuable
- Microsoft Intune et solutions de gestion des mots de passe d’administrateur local comme Windows LAPS
- Lignes directrices du Centre canadien pour la cybersécurité sur les guides d’intervention en cas de rançongiciel
Qui devrait le faire
Les entreprises qui dépendent de leurs opérations
Les fabricants, les entreprises de construction et les cliniques dont le travail s’arrête lorsque les systèmes sont chiffrés.
Les organisations qui ont des serveurs sur place
Les entreprises dotées de serveurs de fichiers et d’applications, que les groupes de rançongiciels ciblent habituellement en premier.
Les équipes de direction qui veulent un plan
Les propriétaires et les conseils d’administration qui veulent savoir ce qu’ils feraient, et pas seulement quelle technologie est installée.
Avantages
- Les points d’entrée courants des rançongiciels repérés et classés par priorité en vue de leur fermeture
- De meilleures chances qu’une sauvegarde saine survive à une attaque
- Une direction qui a répété les premières heures d’une crise
- Des personnes-ressources et des décisions clairement documentées avant d’en avoir besoin
- Des réponses mieux étayées dans les demandes de cyberassurance
Déroulement du mandat
Définition de la portée
Nous convenons des systèmes, des sites et des participants, et organisons un accès en lecture seule.
Revue de l’état de préparation
Nous évaluons les contrôles d’entrée, de propagation, de détection et de sauvegarde, et vérifions l’exposition externe.
Test de restauration
Nous assistons à la restauration d’un système clé pour confirmer que la reprise est possible.
Guide d’intervention et constats
Vous recevez une liste de correctifs priorisés et un guide d’intervention en cas de rançongiciel adapté à votre organisation.
Exercice sur table
La direction parcourt un scénario réaliste, puis nous mettons à jour le guide en fonction des leçons tirées.
Options d’achat
Les honoraires sont proposés, puis confirmés dans une soumission écrite.
Mandat de préparation aux rançongiciels
La revue à prix fixe, le guide d’intervention et l’exercice sur table décrits sur cette page.
Projet de correction
Un projet faisant l’objet d’une soumission distincte pour combler les lacunes constatées, réalisé par notre équipe ou la vôtre.
Protection continue
Services gérés de sécurité des terminaux, de sauvegarde et d’identité pour maintenir les contrôles en place par la suite.
Questions fréquentes
Devrions-nous payer une rançon si nous sommes attaqués ?
C’est une décision d’affaires et juridique qui revient à la direction, à votre assureur et à vos conseillers juridiques. Le paiement n’assure ni la récupération des données ni la suppression des données volées. Notre objectif est de vous donner des options de reprise afin que vous ne soyez pas contraints de faire ce choix.
Pouvez-vous nous rendre invulnérables aux rançongiciels ?
Non. Nous réduisons la probabilité et les conséquences d’une attaque et vous préparons à reprendre vos activités. Le risque résiduel est documenté pour que la direction puisse prendre des décisions éclairées.
Sommes-nous tenus de déclarer une attaque par rançongiciel ?
En vertu de la LPRPDE, les organisations doivent déclarer les atteintes aux mesures de sécurité visant des renseignements personnels lorsqu’elles présentent un risque réel de préjudice grave, et tenir un registre de toutes les atteintes. Des lois provinciales et des contrats peuvent ajouter des obligations. Consultez vos conseillers juridiques ; nous pouvons vous aider à rassembler les faits techniques.
Qui devrait participer à l’exercice sur table ?
Habituellement, le propriétaire ou le PDG, les responsables des finances et des opérations, la personne qui gère les communications et votre personne-ressource en TI. Le coach en cas d’atteinte de votre assureur ou votre conseiller juridique peut aussi y participer.
Services connexes
Produits et forfaits
Secteurs que nous soutenons
Régions desservies
Sachez ce que vous feriez lors de la pire journée
Réservez une consultation pour définir la portée d’une revue de l’état de préparation aux rançongiciels et d’un exercice sur table pour votre équipe.