Communication sécurisée pendant une cyberattaque

Résoudre d’abord le paradoxe du canal

Un incident cyber peut toucher les systèmes habituellement utilisés pour alerter et coordonner la réponse. Si le fournisseur d’identité est compromis, une connexion réussie peut ne plus établir l’identité attendue. Si la messagerie électronique est touchée, une invitation vers un canal de remplacement peut elle-même être manipulée.

Le plan d’incident a donc besoin d’une condition de bascule convenue et d’un moyen indépendant de confirmer le lieu de remplacement, les participants et les ancres de confiance. Une deuxième messagerie sans vérification indépendante ne fait que déplacer le problème.

• Quels systèmes ne sont pas dignes de confiance dans ce scénario ?
• Qui peut déclarer et terminer la transition de confiance ?
• Comment la destination et les participants sont-ils confirmés hors bande ?
• Quelles données peuvent être traitées dans le canal de secours ?

Quatre rôles plutôt qu’un chat surpeuplé

Au moins quatre responsabilités restent visibles : le responsable d’incident pour les décisions, le responsable technique pour l’analyse et le confinement, le responsable communication pour des mises à jour cohérentes et le rédacteur pour la chronologie. Dans une petite équipe, une personne peut porter plusieurs rôles, mais les responsabilités restent distinctes.

Un large canal général est rarement le bon endroit pour chaque détail. Une petite salle de décision, des salles de travail spécialisées et un canal d’information lisible réduisent le bruit et les divulgations accidentelles. L’appartenance suit la tâche et le besoin d’en connaître.

La mise à jour de situation en quatre champs

Sous pression, une prose longue est interprétée de manière incohérente. Une mise à jour robuste utilise quatre champs : situation confirmée, évaluation ouverte, décision et prochain point de compte rendu. Chaque énoncé porte une heure et un rôle responsable.

Ce format évite qu’une hypothèse devienne un fait et que le silence après une mise à jour soit lu comme une levée d’alerte.

• FAIT - prouvé directement
• ÉVALUATION - argumentée mais non confirmée
• DÉCISION - approuvée par un rôle responsable
• SUITE - prochain point de contrôle ou condition d’escalade

Séparer preuve, décision et conversation

Le chat facilite la coordination ; ce n’est pas automatiquement un système de preuves forensiques. Le registre d’incident doit référencer les décisions et les sources, tandis que les artefacts originaux restent dans un dépôt de preuves maîtrisé, avec contrôles d’intégrité et d’accès.

La séparation réduit aussi l’exposition des données personnelles. Les participants reçoivent le contexte nécessaire à leur rôle plutôt que l’ensemble des preuves.

Exercer séparément la panne et la compromission

Un canal indisponible se voit. Un canal compromis peut paraître normal et donner une fausse assurance. Les exercices sur table doivent distinguer une panne technique d’un canal dont les identités ou le contenu ne sont plus dignes de confiance.

Le NIST intègre la réponse aux incidents dans la gestion des risques de cybersécurité, et la CISA fournit des procédures et des guides d’exercice spécifiques à la communication. Basculer, confirmer, travailler et revenir doivent donc être mesurés comme un processus.

Le retour est un événement de sécurité

Après le confinement, les équipes ne doivent pas revenir de façon informelle à l’ancien canal. L’identité, les points d’extrémité, les sessions et les intégrations sont d’abord réévalués ; les invitations ouvertes et les anciens jetons sont traités explicitement.

La clôture consigne quel canal faisait foi pour quelle période, quelles décisions ont été transférées et où les preuves ont été conservées.