Les six fonctions et le point de jonction

Les six fonctions

Le cadre NIST CSF 2.0 organise la cybersécurité en six fonctions :

L'ajout de la fonction Gouverner en 2024 n'est pas cosmétique : il reconnaît que l'essentiel des échecs observés ne sont pas techniques mais décisionnels.

Trois dispositifs, une seule chaîne

Une organisation mature dispose de trois dispositifs qui traitent le même événement sous trois angles :

• Le CSIRT analyse, contient, éradique — il travaille sur la menace ;
• La cellule de crise décide, arbitre, communique — elle travaille sur les conséquences ;
• La continuité d'activité maintient le service — elle travaille sur ce qui doit continuer.

Ces trois dispositifs doivent partager une seule chaîne d'alerte et une seule main courante. Le défaut le plus fréquent est l'inverse : le CSIRT travaille depuis quatre heures sur un incident que la direction découvre quand un journaliste appelle.

Les décisions à préparer avant

Cinq décisions doivent être arbitrées à froid, parce qu'elles sont impossibles à prendre sereinement dans l'urgence :

1. Déconnexion massive. À partir de quel signal coupe-t-on l'accès à Internet, les liens inter-sites, l'accès distant ? Qui décide, et sans qui ?
2. Arrêt de service. Vaut-il mieux un service indisponible ou un service potentiellement compromis qui continue de traiter des données ?
3. Paiement. La position de l'organisation face à une demande de rançon est arrêtée à l'avance, en conseil, pas dans la nuit.
4. Communication. Qui parle, à partir de quand, et que dit-on avant d'avoir compris ?
5. Restauration. À partir de quel point de sauvegarde restaure-t-on, sachant que plus on remonte, plus on perd de données mais plus on s'éloigne de la compromission ?

Le point de jonction : la confiance dans l'annuaire

Dans la quasi-totalité des attaques d'ampleur, l'attaquant cherche à obtenir les droits d'administration du domaine. Une fois qu'il les détient, il peut atteindre la production, la réplication, la supervision et — c'est le point décisif — les sauvegardes.

C'est ce qui explique que la reconstruction après une attaque majeure prenne des semaines : il ne s'agit pas de restaurer des données, mais de reconstruire un socle de confiance dont on puisse démontrer qu'il n'est plus compromis.

Les organisations qui s'en sortent le plus vite sont celles qui ont préparé à froid trois choses : un annuaire de secours isolé, des sauvegardes hors du domaine d'administration, et une procédure de reconstruction documentée et testée.