Les ransomwares ne discriminent plus par taille de bilan. Les groupes opérant en Ransomware-as-a-Service (RaaS) automatisent leurs campagnes à une échelle qui rend chaque TPE ou PME exposée au même vecteur initial qu’un grand compte, avec une capacité de réponse radicalement inférieure. Le sujet n’est plus la probabilité d’une attaque, mais le temps que l’entreprise peut survivre une fois ses systèmes chiffrés.
RTO et RPO par métier : le vrai dimensionnement d’une défense ransomware
Nous observons que la plupart des petites structures choisissent leurs outils de cybersécurité sur catalogue, sans avoir quantifié au préalable leur tolérance réelle à l’interruption. C’est une erreur de méthode qui transforme un incident gérable en arrêt définitif d’activité.
Lire également : Comment accéder à webmail edf à distance en respectant les règles de sécurité ?
Le RTO (Recovery Time Objective) désigne le délai maximal acceptable avant la remise en production d’un système. Le RPO (Recovery Point Objective) fixe la quantité de données qu’on accepte de perdre. Ces deux indicateurs varient drastiquement d’un métier à l’autre.
Un cabinet comptable en période fiscale ne tolère pas le même RTO qu’un atelier de menuiserie. Une clinique vétérinaire avec un logiciel de gestion des dossiers patients a un RPO proche de zéro, là où un bureau d’études peut fonctionner quelques heures sur des fichiers locaux.
A lire aussi : Le phishing explose via les messageries professionnelles en 2024
Cartographier avant d’acheter
La démarche consiste à lister chaque processus métier, identifier le système informatique qui le porte, puis poser une question simple : combien d’heures sans ce système avant que l’entreprise perde un client, rate une obligation légale ou mette en danger une personne ?
- Classer les systèmes en trois niveaux : critique (RTO inférieur à 4 heures), sensible (RTO sous 24 heures), tolérant (RTO de plusieurs jours).
- Associer à chaque niveau une stratégie de sauvegarde adaptée : réplication en temps réel pour le critique, sauvegarde quotidienne immuable pour le sensible, sauvegarde hebdomadaire hors ligne pour le tolérant.
- Documenter ces seuils dans un plan de reprise d’activité écrit, même sommaire, que chaque responsable de service peut consulter sans compétence technique.
Un plan de reprise non testé n’est qu’une hypothèse. Nous recommandons un exercice de restauration réelle au moins une fois par semestre, chronométré, sur un environnement isolé. Le temps mesuré lors de ce test devient le RTO réel, souvent très éloigné du RTO espéré.
Identités compromises et accès distants : la surface d’attaque des petites entreprises
Les identités compromises sont à l’origine de la grande majorité des attaques par ransomware. Le chiffre rapporté par iTPro.fr est net : 79 % des attaques passent par des identités compromises. Pour une PME, cela pointe directement vers trois vecteurs récurrents.
Le premier est le RDP (Remote Desktop Protocol) laissé ouvert sur internet. Beaucoup de petites structures ont conservé un accès distant configuré pendant la période de télétravail massif, sans restriction d’IP ni authentification multifacteur. Ce port exposé est scanné en continu par des outils automatisés.
Le deuxième vecteur concerne les comptes dormants : anciens prestataires, collaborateurs partis, comptes de test jamais supprimés. Chacun représente un point d’entrée potentiel que personne ne surveille.
Trois mesures à effet immédiat
Fermer les accès RDP exposés et les remplacer par un VPN avec MFA reste la première action à mener. Auditer l’annuaire (Active Directory ou équivalent cloud) pour désactiver tout compte inactif depuis plus de 90 jours constitue la deuxième priorité. Déployer l’authentification multifacteur sur chaque compte disposant de privilèges administrateur ferme le troisième point d’entrée le plus exploité.
Le MFA sur les seuls comptes admin réduit drastiquement la surface d’attaque latérale après une première compromission. Les cybercriminels qui opèrent en RaaS cherchent la facilité : un accès sans MFA sera toujours exploité avant un accès protégé.
Sauvegardes immuables : la différence entre rançon payée et reprise autonome
La sauvegarde classique sur NAS local connecté au réseau ne protège plus contre les ransomwares modernes. Les opérateurs de groupes comme LockBit ciblent explicitement les volumes de sauvegarde accessibles depuis le système compromis. Si le compte de sauvegarde partage le même domaine Active Directory que les postes chiffrés, les données de secours tombent avec le reste.
La réponse technique est la sauvegarde immuable : une copie qui ne peut être modifiée ni supprimée pendant une durée définie, même par un administrateur dont le compte serait compromis. Plusieurs approches existent.
- Object Lock sur stockage cloud compatible S3, avec une politique de rétention verrouillée côté fournisseur.
- Bandes LTO stockées hors site, déconnectées du réseau par conception physique.
- Appliances de sauvegarde avec firmware durci interdisant la suppression avant expiration du délai de rétention.
Le choix entre ces solutions dépend directement du RPO défini lors de la cartographie métier. Un RPO de quatre heures impose une réplication fréquente vers un stockage immuable en ligne. Un RPO de 24 heures autorise une rotation de bandes quotidienne, moins coûteuse.
EDR ou antivirus : quel niveau de détection face aux ransomwares actuels
Un antivirus traditionnel repose sur des signatures connues. Les souches RaaS mutent à chaque campagne, rendant la détection par signature insuffisante en première ligne. Un EDR (Endpoint Detection and Response) analyse les comportements : chiffrement massif de fichiers, élévation de privilèges suspecte, connexion latérale inhabituelle entre postes.
Pour une PME, le coût d’un EDR managé (géré par un prestataire qui surveille les alertes) reste nettement inférieur au coût moyen d’un arrêt d’activité prolongé. La question n’est pas « antivirus ou EDR » mais « avons-nous les moyens de ne pas détecter une attaque pendant 48 heures ? ».
Nous recommandons aux structures de moins de 50 postes de privilégier un EDR managé avec réponse automatisée (isolation du poste compromis) plutôt qu’un EDR dont les alertes arrivent dans une boîte mail que personne ne lit le week-end. Une alerte non traitée équivaut à une absence de détection.
La combinaison d’un plan de reprise calibré par métier, d’identités verrouillées, de sauvegardes immuables testées et d’un EDR managé forme un socle cohérent. Aucun de ces quatre éléments ne fonctionne isolément. Une sauvegarde immuable sans plan de reprise testé rallonge le RTO. Un EDR sans MFA laisse entrer l’attaquant avant même que la détection ne se déclenche. C’est l’articulation entre ces couches, dimensionnée sur les contraintes réelles de l’activité, qui sépare une PME résiliente d’une PME en liquidation post-incident.
