PRA/PCA Cyber : Plan de Reprise et Continuité d'Activité

3.3 Matrice BIA : modèle pratique

Voici un modèle de matrice BIA adaptée au contexte cyber, que nous utilisons lors de nos missions d'accompagnement :

4. Scénarios cyber majeurs à intégrer dans le PRA

4.1 Scénario 1 : Ransomware avec chiffrement généralisé

C'est le scénario le plus fréquent et le plus critique. Un groupe de ransomware obtient un accès initial (phishing, vulnérabilité, accès RDP exposé), effectue une reconnaissance latérale pendant 5 à 15 jours, élève ses privilèges jusqu'au niveau Domain Admin, désactive les sauvegardes accessibles, puis déploie le chiffrement simultanément sur l'ensemble du parc.

Impact PRA : l'ensemble du SI est indisponible. Les contrôleurs de domaine sont chiffrés, ce qui bloque toute authentification. Les serveurs de sauvegarde ont été ciblés. La reconstruction nécessite une approche from scratch avec des sauvegardes offline si elles existent.

4.2 Scénario 2 : Compromission de l'Active Directory

L'attaquant obtient le contrôle complet de l'AD via des techniques comme le Kerberoasting, le DCSync ou l'exploitation de certificats ADCS. Même sans ransomware, cette compromission donne accès à l'intégralité des données de l'organisation.

Impact PRA : tous les comptes, mots de passe et certificats doivent être considérés comme compromis. La reconstruction de l'AD nécessite la création d'une nouvelle forêt, la migration progressive des objets et la rotation de tous les secrets. C'est l'un des scénarios les plus complexes et les plus longs à traiter.

4.3 Scénario 3 : Attaque supply chain

Un fournisseur de logiciel ou un prestataire infogérance est compromis, et l'attaque se propage via une mise à jour empoisonnée ou des accès VPN partagés. Ce scénario est particulièrement difficile à gérer car l'organisation ne contrôle pas le vecteur initial.

Impact PRA : nécessité d'isoler immédiatement les connexions avec le fournisseur compromis, d'identifier tous les systèmes potentiellement affectés et de qualifier l'étendue de la compromission avant toute reprise.

4.4 Scénario 4 : Exfiltration de données avec menace de publication

Le double extorsion est devenu la norme : les attaquants exfiltrent les données avant le chiffrement, menaçant de les publier si la rançon n'est pas payée. Ce scénario impose des obligations de notification (RGPD Article 33 : notification CNIL sous 72h) et impacte fortement la stratégie de communication de crise.

5. Stratégie de sauvegarde 3-2-1-1-0 : le bouclier ultime

5.1 De la règle 3-2-1 à la règle 3-2-1-1-0

La règle de sauvegarde classique 3-2-1 (3 copies, sur 2 supports différents, dont 1 hors site) est insuffisante face aux ransomwares modernes. La règle 3-2-1-1-0 ajoute deux dimensions essentielles :

• 3 copies de chaque donnée
• 2 types de supports différents (disque, bande, cloud)
• 1 copie hors site (datacenter secondaire, cloud)
• 1 copie offline ou air-gapped (physiquement déconnectée du réseau)
• 0 erreur de restauration vérifiée (tests de restauration réguliers)

Le "1" supplémentaire (copie offline/air-gapped) est le contrôle le plus critique. Un ransomware ne peut pas chiffrer ce qu'il ne peut pas atteindre. Les solutions de stockage immuable (WORM -- Write Once Read Many) constituent une alternative technique à l'air-gap physique, en rendant les données non modifiables pendant une durée définie.

5.2 Sauvegardes Active Directory : le cas critique

La sauvegarde de l'Active Directory mérite une attention particulière car AD est le pilier fondamental de l'infrastructure. Sans AD, aucune authentification, aucun accès réseau, aucune application n'est accessible. Les bonnes pratiques de sauvegarde AD incluent :

• Sauvegarde System State : inclut la base NTDS.dit, le SYSVOL, le registre et les certificats. À effectuer quotidiennement sur chaque contrôleur de domaine.
• Sauvegarde bare metal : image complète du serveur permettant une restauration rapide. Conservation d'au moins 3 générations.
• Export de la base NTDS.dit offline : copie de la base AD sur un support déconnecté, chiffrée et stockée en coffre physique.
• Documentation des secrets : mot de passe DSRM (Directory Services Restore Mode), clés de récupération BitLocker, mots de passe des comptes de service, stockés dans un coffre-fort physique -- jamais uniquement dans un gestionnaire de mots de passe connecté au réseau.

6. Reconstruction Active Directory : procédure de référence

6.1 Les deux approches de reconstruction

Après une compromission confirmée de l'AD, deux approches sont possibles :

Approche 1 : Restauration d'une sauvegarde saine. Si l'on dispose d'une sauvegarde System State antérieure à la compromission (identifiée grâce à la timeline forensique), il est possible de restaurer les contrôleurs de domaine à un état sain. Cette approche est plus rapide mais comporte un risque : si la date de compromission initiale est mal estimée, les backdoors seront restaurées avec la sauvegarde.

Approche 2 : Reconstruction from scratch (forêt vierge). C'est l'approche la plus sûre mais aussi la plus longue. Elle consiste à créer une nouvelle forêt AD, migrer les objets nécessaires depuis un export de l'ancienne forêt (après nettoyage), et redéployer progressivement les services. Cette approche est recommandée en cas de compromission profonde (Golden Ticket, persistence au niveau des certificats ADCS).

6.2 Étapes de reconstruction from scratch

1. Environnement isolé : Installer un environnement réseau physiquement isolé (air-gapped) pour la reconstruction. Aucune connexion avec le réseau compromis.
2. Premier DC : Installer un serveur propre (OS fraîchement installé, non joint au domaine compromis), promouvoir en contrôleur de domaine d'une nouvelle forêt avec un nouveau nom de domaine.
3. Durcissement immédiat : Appliquer l'ensemble des mesures de durcissement AD dès la création : politique de mots de passe forte, Tiering administratif, LAPS, désactivation des protocoles obsolètes (NTLMv1, LM hash).
4. Import des objets : Importer les utilisateurs, groupes et OU depuis un export nettoyé. Ne pas importer les comptes de service sans vérification individuelle. Forcer le changement de mot de passe pour tous les utilisateurs.
5. PKI : Déployer une nouvelle infrastructure de certificats (PKI/ADCS) avec de nouvelles autorités de certification. Ne jamais réutiliser les clés CA de l'ancienne infrastructure.
6. Tests : Valider l'intégrité de l'annuaire, la réplication entre DC, le fonctionnement DNS et les stratégies de groupe avant toute mise en production.
7. Migration progressive : Migrer les postes de travail et serveurs vers la nouvelle forêt par lots, en commençant par les systèmes les plus critiques.

7. Cellule de crise et communication

7.1 Composition et activation de la cellule de crise

La cellule de crise cyber doit être prédéfinie, documentée et exercée régulièrement. Sa composition type inclut :

• Directeur de crise : membre du COMEX, autorité décisionnelle (DG, DAF ou DSI selon la gouvernance)
• RSSI : pilotage technique de la réponse, interface avec les prestataires cyber
• DSI : coordination des équipes IT pour la reconstruction
• Responsable juridique : notifications réglementaires (CNIL, ANSSI), gestion contractuelle
• Responsable communication : communication interne, externe, média, réseaux sociaux
• DRH : gestion du personnel, communication aux salariés, recours à des renforts
• Responsable métier : priorisation des processus métier à restaurer
• Prestataire forensique : investigation technique, identification du vecteur d'attaque

7.2 Communication de crise : les règles essentielles

La communication pendant une crise cyber obéit à des règles strictes :

• Communication interne en premier : les collaborateurs doivent être informés avant les médias. Un message clair et factuel, sans minimiser ni dramatiser.
• Porte-parole unique : toute communication externe passe par un interlocuteur unique, formé à la communication de crise.
• Ne jamais révéler les détails techniques : ne pas communiquer sur le vecteur d'attaque, les systèmes affectés ou les négociations avec les attaquants.
• Notifications réglementaires dans les délais : CNIL sous 72h en cas de violation de données personnelles, ANSSI pour les OIV et entités NIS 2, autorités sectorielles le cas échéant.
• Anticiper les questions : préparer des Q&A pour les clients, partenaires, actionnaires et médias.

8. Exercices de simulation et RETEX

8.1 Types d'exercices

Un PRA/PCA non testé est un PRA/PCA qui échouera le jour J. Les exercices doivent être réguliers, progressifs et couvrir différents niveaux de complexité :

8.2 Méthodologie d'exercice tabletop

L'exercice tabletop est le format le plus accessible et le plus riche en enseignements. Voici une méthodologie éprouvée :

1. Préparation (2 semaines avant) : définir le scénario, préparer les injects (messages simulant l'évolution de la crise), convoquer les participants, réserver la salle.
2. Introduction (15 min) : rappeler les règles du jeu, présenter le contexte de départ ("Il est 6h lundi matin, le SOC vous appelle...").
3. Injection séquentielle (2-3h) : soumettre les injects toutes les 15-20 minutes, forçant les participants à prendre des décisions sous pression et avec des informations incomplètes.
4. Débriefing à chaud (30 min) : recueillir les impressions des participants, identifier les points de blocage immédiats.
5. RETEX formel (1 semaine après) : rédiger un rapport structuré avec les constats (positifs et négatifs), les actions correctives et les responsables associés.

8.3 RETEX : transformer l'expérience en amélioration

Le Retour d'Expérience (RETEX) est la clé de l'amélioration continue. Qu'il soit issu d'un exercice ou d'un incident réel, le RETEX doit suivre une structure formelle :

• Chronologie factuelle : reconstitution minute par minute des événements et décisions
• Ce qui a fonctionné : identifier et valoriser les bonnes pratiques
• Ce qui a échoué : identifier les défaillances sans chercher de coupables (culture "blame-free")
• Actions correctives : chaque constat négatif doit générer une action avec un responsable et une échéance
• Suivi : les actions correctives doivent être suivies dans un registre et vérifiées lors de l'exercice suivant

Un exercice de type Purple Team peut compléter utilement les exercices de crise en testant les capacités de détection et de réponse technique face à des scénarios d'attaque réalistes.

9. Intégration réglementaire : NIS 2, DORA, ISO 22301

9.1 Exigences NIS 2 en matière de continuité

La directive NIS 2 (article 21) impose aux entités essentielles et importantes des mesures de gestion des risques incluant explicitement :

• La continuité des activités, y compris la gestion des sauvegardes et la reprise après sinistre
• La gestion des crises, incluant les procédures d'escalade et de communication
• La sécurité de la chaîne d'approvisionnement, avec évaluation des fournisseurs
• Des tests réguliers d'efficacité des mesures de gestion des risques

Les sanctions pour non-conformité peuvent atteindre 10 millions d'euros ou 2 % du CA mondial pour les entités essentielles. La directive prévoit également la responsabilité personnelle des dirigeants, qui doivent approuver les mesures de gestion des risques et suivre une formation en cybersécurité.

9.2 Exigences DORA pour le secteur financier

Le règlement DORA, applicable depuis janvier 2025, va plus loin que NIS 2 pour le secteur financier :

• Tests de résilience opérationnelle numérique obligatoires, incluant des scénarios d'attaque cyber
• Threat-Led Penetration Testing (TLPT) pour les entités significatives, basé sur le framework TIBER-EU
• Gestion des risques liés aux tiers prestataires TIC, incluant des plans de sortie et de continuité
• Notification des incidents majeurs aux autorités de surveillance financière

9.3 ISO 22301 : le référentiel de la continuité d'activité

La norme ISO 22301 est le standard international dédié au management de la continuité d'activité. Elle fournit un cadre complet pour établir, implémenter, maintenir et améliorer un SMCA (Système de Management de la Continuité d'Activité). Bien que non spécifique au cyber, elle constitue le socle méthodologique idéal pour structurer un PRA/PCA Cyber, en complément de l'ISO 27001 pour les aspects sécurité de l'information.

Pour approfondir ce sujet, consultez notre outil open-source pci-dss-audit-tool qui facilite l'audit de conformité PCI DSS.

10. Checklist PRA/PCA Cyber : les 30 points essentiels

Utilisez cette checklist pour évaluer la maturité de votre PRA/PCA Cyber. Chaque point non validé représente une vulnérabilité potentielle de votre capacité de résilience :

Gouvernance et Organisation

• Le PRA/PCA Cyber est un document distinct du PRA classique
• Un BIA a été réalisé avec implication des métiers dans les 12 derniers mois
• Les RTO/RPO sont définis pour chaque processus critique et validés par la Direction
• La cellule de crise est constituée, avec des remplaçants désignés
• Un annuaire de crise papier (ou hors SI) est maintenu à jour
• Des moyens de communication hors SI sont identifiés et testés

Sauvegardes

• La stratégie 3-2-1-1-0 est appliquée pour les données critiques
• Une copie de sauvegarde est physiquement offline ou immuable
• Les sauvegardes AD (System State + bare metal) sont effectuées quotidiennement
• Le mot de passe DSRM est documenté et accessible hors SI
• Les tests de restauration sont effectués mensuellement
• Les durées de rétention sont cohérentes avec les RPO définis

Procédures de reprise

• Une procédure de reconstruction AD from scratch est documentée et testée
• L'ordre de redémarrage des systèmes est défini et documenté
• Les procédures de vérification d'intégrité post-restauration existent
• Un environnement de reconstruction isolé est disponible (ou rapidement déployable)
• Les configurations de référence (golden images, IaC) sont stockées hors du périmètre compromis

Communication et juridique

• Des modèles de communication de crise sont prêts (interne, clients, médias)
• Le processus de notification CNIL sous 72h est formalisé
• Un contrat de réponse à incident est en place avec un prestataire qualifié
• La couverture cyber-assurance est adéquate et les conditions de déclenchement sont connues
• Les obligations contractuelles envers les clients sont identifiées

Exercices et amélioration continue

• Un exercice tabletop est réalisé annuellement
• Un test technique de restauration complète est réalisé annuellement
• Les RETEX sont formalisés avec des actions correctives suivies
• Le PRA/PCA est mis à jour après chaque exercice et changement majeur du SI
• Les scénarios d'exercice sont variés (ransomware, compromission AD, supply chain, exfiltration)
• La conformité NIS 2 / DORA est vérifiée dans le PRA/PCA

Sources et références : CNIL · ANSSI

Questions frequentes

Conclusion

Face à l'évolution constante des menaces, une posture de sécurité proactive est indispensable. Les techniques et recommandations présentées dans cet article constituent des fondations solides pour renforcer la résilience de votre infrastructure.