Bien plus qu'une rançon
Le coût d'une cyberattaque ne s'arrête pas à la rançon, payée ou non. Pertes liées à l'arrêt d'activité. Dépenses de gestion de crise. Reconstruction des systèmes. Prestataires spécialisés, avocats, heures supplémentaires. Fraudes au changement de coordonnées bancaires. Hausse des primes d'assurance. Et un retour au fonctionnement normal qui peut prendre plusieurs mois, parfois jusqu'à un an.
L'indemnisation des clients, nouvelle ligne de coût
Au Japon, deux groupes cotés viennent de franchir le pas. Le premier, visé par une attaque sur son service de trading de devises, compensera les pertes de ses clients et versera 5 000 yens à chacun. Son action a perdu près de 16 % en une séance. Le second, après une fuite de données personnelles, versera 3 000 yens par client et anticipe une perte exceptionnelle de 5,5 milliards de yens.
Le préjudice sort du SI. Il touche la relation client, la valorisation, le résultat.
Les paiements essentiels en mode dégradé
Quand le système d'information tombe, il faut quand même payer. Salaires, charges sociales, fournisseurs critiques. La direction financière doit savoir comment exécuter ces paiements sans ses outils habituels, et sans ouvrir la porte aux virements frauduleux qui accompagnent souvent la crise.
Où sont les coordonnées bancaires vérifiées si l'ERP est inaccessible ? Si la réponse est « dans l'ERP », le plan n'existe pas.
Documenter les coûts dès le premier jour
Un journal des dépenses tenu dès le début de la crise facilite l'évaluation du coût global et les échanges avec l'assureur. Détail qui compte : des attaquants ont déjà consulté le contrat d'assurance cyber d'une victime pour aligner leur rançon sur le montant couvert. Ce document n'a rien à faire sur un partage accessible à tous.
Un plan de reprise qui inclut la finance
Le plan de reprise d'activité est trop souvent un document de la DSI. Il doit intégrer les procédures de chaque fonction en mode dégradé, à commencer par la finance. Stockées hors du système qu'elles sont censées secourir. Testées en exercice, avec la direction financière autour de la table.
Les exercices révèlent toujours quelque chose. Une messagerie inaccessible. Un plan rangé sur l'intranet bloqué. Mieux vaut le découvrir un mardi de test qu'un vendredi d'attaque.
