Alors que les autorités réglementaires imposent la résilience des opérations commerciales, quelles leçons les autres peuvent-elles tirer de la cyberattaque contre un fournisseur qui a touché Heathrow et ses homologues en Europe ?

En septembre, un cyberattaque L'attaque contre le fournisseur de logiciels Collins Aerospace a entraîné d'importants retards dans plusieurs aéroports européens, dont celui de Londres Heathrow. impact Le logiciel de traitement des passagers Muse de Collins est utilisé par les compagnies aériennes pour gérer les systèmes d'enregistrement en ligne et de bagages dans les aéroports.

À l'époque, la plupart des gros titres mettaient l'accent sur les perturbations et la frustration des passagers, mais le plus intéressant est peut-être que les opérations à Heathrow n'ont pas été complètement paralysées. L'aéroport a continué de fonctionner, même si son activité était réduite, grâce aux procédures de secours mises en place avant l'incident.

Cela survient à un moment où le risque de cyberattaques explose. On observe une augmentation de 600 % des attaques par rançongiciel dans le secteur de l'aviation en un an, selon [référence manquante]. Thales.

Face à ces chiffres, les gouvernements et les organismes de réglementation se préparent à un avenir où la prévention des cyberincidents sera impossible. Il est donc primordial que les organisations puissent maintenir leurs activités même en cas d'incident.

Alors que les autorités réglementaires imposent la résilience des opérations commerciales, quelles leçons les autres peuvent-elles tirer de la cyberattaque qui a touché Heathrow et ses homologues en Europe ?

La frontière entre perturbation et catastrophe

La réaction de l'aéroport lui a permis de maintenir ses activités malgré l'attaque. « Il faut reconnaître à Heathrow le mérite d'avoir privilégié la continuité des opérations essentielles, même si cela a entraîné un ralentissement de ses fonctions principales et des perturbations visibles », explique Becky White, avocate principale au sein de l'équipe protection des données et vie privée du cabinet Harper James.

« La priorité était de garantir la sécurité des déplacements, plutôt que de préserver le confort des passagers », explique-t-elle à IO. « En optant pour des procédures manuelles préétablies et en isolant les systèmes critiques de ceux qui étaient affectés, ils ont pu absorber le choc au lieu de s'effondrer. »

Une catastrophe aurait entraîné l'arrêt total du trafic aérien et du traitement des passagers, tandis qu'une perturbation se serait traduite par des files d'attente, des retards et des solutions de contournement. Heathrow avait « manifestement investi dans des procédures de repli qui ne dépendaient pas de conditions parfaites », souligne White. « En cas de défaillance des systèmes, le personnel savait ce que signifiait une situation "suffisamment bonne pour maintenir l'aéroport ouvert" et il a agi en conséquence. »

Leçons à tirer pour d'autres secteurs

D'autres devraient en prendre note, notamment ceux qui opèrent dans des secteurs critiques où toute interruption de service est inacceptable. Au-delà de l'aviation, des secteurs comme la santé, l'énergie, la finance – ou encore le commerce de détail, qui a lui aussi connu des difficultés – devraient également s'en inspirer. vague d'attaques – L’exemple d’Heathrow montre à quel point la résilience peut faire toute la différence.

Il s'agit de garantir la récupération rapide des données critiques, la restauration sécurisée des systèmes et la continuité des opérations, même en cas d'indisponibilité de l'environnement principal, explique Anthony Cusimano, directeur chez Object First. « Ces secteurs dépendent fortement d'un accès ininterrompu aux données et aux systèmes opérationnels, et même de brèves interruptions peuvent avoir des conséquences en cascade. »

Les secteurs critiques sont de plus en plus jugés sur leur capacité à fonctionner en mode dégradé plutôt que d'éviter toute interruption, explique White. « Heathrow a démontré que la continuité des activités ne doit pas nécessairement être parfaite. Il s'agit d'anticiper, de se préparer et de savoir prioriser ce qui doit impérativement se poursuivre. »

La question cachée

S’inspirant de l’approche d’Heathrow, chaque conseil d’administration devrait se demander combien de temps il pourrait continuer à fonctionner si ses systèmes centraux tombaient en panne, déclare Sean Tilley, directeur des ventes senior EMEA chez 11:11 Systems.

Il souligne cependant une « vérité dérangeante » : de nombreuses organisations n'ont pas pleinement testé ce scénario et les exercices de continuité des activités sont souvent « théoriques ou cloisonnés ».

La plupart des organisations partent du principe qu'elles pourraient se débrouiller « un certain temps » sans système central, mais rares sont celles qui ont réellement testé cette capacité, explique White. « La véritable question n'est pas de savoir si une reprise est possible, mais combien de temps l'entreprise pourrait fonctionner sans ses plateformes essentielles, et quel en serait le coût pour les clients, la sécurité ou la conformité. »

Compte tenu de cela, les organisations devraient considérer l'incident d'Heathrow comme « une étude de cas pour la planification de la résilience », déclare Ken Prole, directeur exécutif de l'ingénierie logicielle chez Black Duck. Il souligne que les perturbations ne proviennent pas uniquement de cyberattaques : elles peuvent également résulter d'événements inattendus tels que… Incident CrowdStrike qui a paralysé des systèmes dans le monde entier en 2024.

Compte tenu des conséquences d'une interruption de service comme celle-ci, il souligne les questions qu'il convient de se poser. Par exemple, explique Prole : « Avez-vous identifié toutes les dépendances critiques de vos opérations et réalisé une modélisation complète des menaces ? Disposez-vous d'une procédure documentée décrivant les actions à entreprendre lorsqu'une ou plusieurs dépendances sont compromises ? »

Réglementation entrante

La nécessité de garantir la résilience opérationnelle en cas d'attaque est un élément clé de nombreuses réglementations. Au Royaume-Uni et dans l'UE, des cadres tels que… réseaux et systèmes d'information (directive NIS2), Loi sur la résilience opérationnelle numérique (DORA) et le Royaume-Uni Projet de loi sur la cybersécurité et la résilience Prioriser la continuité opérationnelle suite à un incident.

« La conformité exigera de plus en plus des organisations qu’elles démontrent leur résilience au moyen de mesures, d’audits et de preuves de leurs capacités de reprise éprouvées », déclare Tilley.

Par ailleurs, ISO / IEC 27001 établit une base pour les systèmes de gestion de la sécurité de l'information, y compris des plans de réponse aux incidents documentés (A.5.29), des considérations de continuité des activités (A.5.30) et des tests réguliers des plans.

Selon Prole, des normes comme celle-ci mettent l'accent sur les tests basés sur des scénarios dans des conditions réalistes, afin que les organisations puissent « valider leurs plans, identifier les lacunes et renforcer leur confiance dans leur capacité à réagir efficacement ».

Une autre ressource utile est Cadre de cybersécurité du NIST (CSF), qui comprend cinq fonctions essentielles pour « identifier, protéger, détecter, répondre et récupérer ».

Au Royaume-Uni en particulier, le Cadre d'évaluation de la cybersécurité du Centre national de cybersécurité (CAF) est un outil pour les services essentiels et les infrastructures nationales critiques.

Responsabilité au niveau du conseil d'administration

La résilience est désormais une obligation légale, et à juste titre. La prévention demeure essentielle, mais le véritable défi consiste à savoir comment les organisations peuvent maintenir leurs activités lorsque le pire se produit. Heathrow nous rappelle concrètement que la résilience – lorsqu'elle est testée, mise en pratique et intégrée – est une obligation légale autant qu'une mesure de sécurité.

Il est important d'en tenir compte au niveau du conseil d'administration, où incombe désormais la responsabilité de la résilience et de la sécurité, souligne White. Elle estime que les entreprises doivent « définir le niveau de temps d'arrêt tolérable », comprendre leurs dépendances opérationnelles et « investir dans une planification de continuité réaliste ».

Dans le même temps, des évaluations régulières sont nécessaires pour s'adapter aux évolutions technologiques, réglementaires et des chaînes d'approvisionnement, explique White. « La résilience doit être intégrée à la gestion des risques financiers et juridiques au niveau du conseil d'administration, avec des lignes hiérarchiques et des responsabilités clairement définies. Les autorités de réglementation et les parties prenantes attendent des entreprises qu'elles démontrent leur capacité à réagir, et pas seulement leur intention. Si le conseil d'administration ne découvre le plan qu'en cas d'incident réel, l'organisation a déjà perdu la maîtrise de son discours. »