Les fondamentaux d’une défense cyber solide

Votre checklist d’action

1. 01

   Recenser ce qui doit être protégé

   Inventoriez comptes, terminaux, applications, données et dépendances externes. Nommez un responsable pour chaque actif et identifiez les services dont une interruption aurait le plus d’impact. Distinguez actif découvert et actif attribué : un domaine ressemblant à votre marque ne prouve pas que vous l’administrez. Pour chaque service, notez propriétaire, environnement, données manipulées et dépendance métier. Conservez la date et la méthode de découverte pour reproduire l’inventaire.

2. 02

   Protéger les identités

   Activez une authentification résistante au phishing lorsque disponible, séparez les comptes d’administration et retirez les accès inutiles. Testez la récupération des comptes avant une perte de terminal. Examinez aussi les comptes de service, jetons API et procédures d’assistance. Une authentification forte perd de son intérêt si une récupération non contrôlée la contourne. La preuve attendue associe test de connexion, refus d’un accès interdit et récupération supervisée.

3. 03

   Prioriser les correctifs

   Croisez exposition Internet, criticité des actifs et informations d’exploitation active. Les catalogues d’alertes et le KEV de CISA aident à prioriser ; un score CVSS seul ne décrit pas votre risque. Le CVSS décrit une gravité technique ; l’EPSS estime une probabilité d’exploitation dans son cadre propre. Aucun ne remplace l’examen de l’exposition locale. Documentez la raison de chaque priorité et vérifiez la correction sur le service effectivement utilisé.

4. 04

   Prouver la restauration

   Conservez des sauvegardes isolées et surveillées. Restaurez un service représentatif dans un environnement contrôlé, mesurez le temps réel et consignez ce qui manque pour reprendre. Une sauvegarde annoncée réussie ne démontre pas qu’un service redémarre. Vérifiez accès aux clés, dépendances, intégrité des données restaurées et fonctionnement d’un parcours métier. Séparez durée technique de restauration et temps total de retour au service.

5. 05

   Rendre les événements observables

   Centralisez les journaux utiles, synchronisez les horloges et vérifiez une alerte de bout en bout. Définissez qui reçoit le signal, qui décide et combien de temps conserver les traces selon votre contexte. Déclenchez un événement de test autorisé, suivez son arrivée dans la collecte et vérifiez qu’une personne peut prendre une décision. Consignez les angles morts : source absente, horloge décalée, alerte sans destinataire ou rétention insuffisante pour l’enquête.

6. 06

   Répéter la réponse

   Préparez les contacts, les décisions de confinement et les moyens de communication alternatifs. Faites un exercice sur table, préservez les preuves et vérifiez les obligations locales auprès des autorités compétentes. Choisissez un scénario limité, par exemple la compromission supposée d’un compte de messagerie. Rejouez qui autorise le confinement, qui conserve les traces et qui confirme la reprise. Une action n’est close qu’après contrôle de son résultat.

   Exemple pédagogique : une passerelle Internet possède une vulnérabilité signalée, mais la version installée et le composant activé restent inconnus. Vérifiez d’abord ces deux points avec l’administrateur. Si le service est concerné, consignez réduction d’exposition, correctif et test de retour au fonctionnement. L’absence d’alerte dans les journaux ne permet pas de conclure à l’absence de compromission lorsque la collecte ne couvrait pas la période utile.