Faille PHP : la survie de nos organisations, maillon faible de la cybersécurité

Les organisations du monde entier sont en état d’alerte suite à une faille de sécurité affectant PHP, le langage de programmation sur lequel reposent des millions de sites et autres applications web. Wilbert Hendriks, Manager Marketing & Stratégie Benelux chez Sharp Electronics met en lumière une question essentielle que nous perdons souvent de vue en cas d'attaque critique.

 Notre monde post moderne évolue désormais au rythme des menaces, attaques et autres vulnérabilités qui peuvent donner aux cybercriminels l’occasion d’accéder à nos systèmes et données sensibles. 

Dernière actualité majeure en date : la fameuse faille de sécurité affectant le langage informatique PHP. Alors que les experts en cybersécurité nous mettent en garde contre d’éventuelles attaques de grande ampleur, certaines organisations ont choisi de mettre leurs sites web hors ligne, par mesure de précaution. Cette situation illustre une fois de plus la rapidité avec laquelle une cyber menace peut perturber le fonctionnement quotidien des entreprises.

Wilbert Hendriks, Manager Marketing & Stratégie Benelux chez Sharp Electronics partage son analyse de la « crise PHP » qui nous frappe de plein fouet.

« Nous investissons massivement dans la cybersécurité. Nous renforçons sans cesse nos lignes de défense numériques, surveillons les activités suspectes et tâchons de garder une longueur d’avance sur les cybercriminels. Et à raison, car la menace est bien réelle. Mais alors que nous mettons tout en œuvre pour empêcher les attaquants d’entrer, nous risquons de perdre de vue une question essentielle : que faire lorsqu’ils parviennent quand même à pénétrer nos systèmes », s’interroge avec raison notre expert. 

 Car aussi robuste soit-elle, aucune protection n’est totalement infaillible. Et lorsque des systèmes critiques deviennent soudainement indisponibles, un cyber incident dépasse rapidement le cadre d’un simple problème informatique. 

Le véritable défi consiste donc -au-delà de la prévention des attaques- à veiller à ce que l’organisation puisse continuer à fonctionner en cas de faillite de la protection.

 Définir les responsabilités et les priorités

 Pour Wilbert Hendriks, la situation exige une autre conception de la responsabilité. « Car dès qu’un système critique tombe en panne, un cyberincident n’est plus exclusivement un problème informatique. Un détaillant incapable de traiter des paiements ou une entreprise de production dont le logiciel logistique est à l’arrêt sont avant tout confrontés à un problème opérationnel. L’informatique peut identifier les systèmes techniquement critiques, mais le reste de l’organisation doit également participer aux décisions concernant les processus à prioriser et les solutions alternatives temporaires envisageables. Mieux vaut prendre ces considérations en compte en amont plutôt que lorsque la crise a déjà éclaté ».

Il en va de même pour la prise de décisions. « Lors d’un incident, il faut parfois faire des choix lourds de conséquences, comme la mise hors service temporaire des systèmes afin d’éviter des dommages supplémentaires. Il est donc essentiel de définir à l’avance qui est habilité à prendre ces décisions, qui reprend cette responsabilité lorsque les responsables de première ligne ne sont pas disponibles, et comment les collaborateurs peuvent poursuivre leurs activités entre-temps. À défaut, un temps précieux risque d’être perdu à traiter des questions qui auraient dû être réglées bien avant que la crise n’éclate », analyse Wilbert Hendriks.

La reprise doit aussi fonctionner dans la pratique 

Même un plan de continuité soigneusement élaboré n’offre qu’une garantie limitée s’il n’est jamais mis à l’épreuve, rappelle l’expert. « Disposer de sauvegardes n’implique pas forcément de pouvoir restaurer rapidement les systèmes. Et les procédures sur papier ne garantissent pas automatiquement que chacun saura comment réagir dans l’urgence ». L’organisation régulière d’exercices fondés sur des scénarios de crise réalistes, impliquant l’ensemble des équipes et des partenaires concernés, permet de mettre à jour des dépendances et zones d’ombre insoupçonnées. Car mieux vaut commettre des erreurs lors d’un exercice que lorsque l’organisation est réellement à l’arrêt.

 Le niveau de préparation conditionne la gravité de l'impact

La numérisation croissante ne fait que renforcer l’importance de cette préparation. Plus les processus dépendent de la technologie, plus les conséquences sont lourdes lorsqu’un maillon critique vient à défaillir. Cela ne signifie pas qu’il faille moins investir dans la prévention, mais plutôt que la continuité de l’entreprise doit bénéficier de la même attention que notre défense numérique.

Et à Wilbert Hendriks de conclure : « nous ne pourrons jamais garantir qu’aucune attaque informatique ne nous touchera. En revanche, nous pouvons décider du niveau de préparation de notre organisation face à ses conséquences. C’est peut-être la question que tout chef d’entreprise devrait se poser aujourd’hui : dans quelle mesure son organisation sera encore capable de fonctionner demain lorsque, malgré tout, cette protection viendra à défaillir.