Réponse aux incidents

Aperçu de notre programme de réponse aux incidents

Sophos s’est donné une mission : protéger les utilisateurs contre la cybercriminalité en développant des produits et des services puissants et intuitifs qui offrent la cybersécurité la plus efficace sur le marché pour les organisations de toute taille. Pour mener à bien cette mission, il est essentiel de pouvoir répondre efficacement à un large éventail d’incidents de sécurité potentiels. En termes simples : Pour protéger nos clients, notre programme de réponse aux incidents doit protéger nos produits et notre entreprise.

Pour Sophos, le terme « incident de sécurité » s’entend au sens de la norme NIST 800-61 : « une violation ou une menace imminente de violation des politiques de sécurité informatique, des politiques d’utilisation acceptable ou des pratiques de sécurité standard. » Il s’agit d’une définition délibérément large qui nous permet d’optimiser la rapidité de réponse, d’identifier les domaines à améliorer et d’assurer la transparence vis-à-vis des clients. Cette définition prend également en charge l’identification de fuites de données, qui pourraient ne pas être incluses dans une définition axée sur les attaques confirmées.

Comment nous identifions les incidents

Sophos identifie ou détecte les incidents de sécurité de multiples façons. Parmi ces méthodes, citons :

• Capacités de surveillance de la sécurité, souvent intégrées à nos produits, ou méthodes complémentaires que nous avons développées.
• Programme de Bug Bounty.
• Résultats de tests de pénétration.
• Analyses de vulnérabilité.
• Analyses du code et des applications.
• Recherches et analyses des renseignements sur les menaces.
• Notifications client.

Pour signaler un incident de sécurité potentiel, veuillez consulter notre Programme de divulgation responsable.

Investigations et analyses

Lorsqu’un incident est détecté ou signalé après vérification, nous commençons par exploiter les canaux de communication existants pour faciliter le partage d’informations au sein de l’équipe de réponse aux incidents.

Les points minimaux à l’ordre du jour d’une réunion d’enquête et d’analyse sur la réponse à un incident sont les suivants :

• Établir les faits actuels.
• Point sur l’état d’avancement des mesures.
• Convenir des prochaines actions.
• Confirmer l’évaluation de l’état de gravité de l’incident : Grav.1/2/3.
• Convenir du calendrier de la prochaine réunion.
• Documenter les procès-verbaux sur le calendrier de l’incident, y compris les actions et les décisions.

Évaluation de la gravité

Nous disposons de quatre niveaux de gravité des incidents.

Niveaux de gravité des incidents

Nos responsables de la réponse aux incidents déterminent la gravité d’un incident en fonction de son impact potentiel sur l’entreprise et les clients. Nous utilisons divers critères d’évaluation des menaces pour déterminer la gravité d’un incident, y compris l’impact sur le client, l’impact fonctionnel, l’impact sur les informations, la capacité de récupération, la quantité et le type de données, le type d’acteur malveillant et l’impact sur l’entreprise. La gravité de l’incident est réévaluée à des points clés tout au long du processus d’intervention et la gravité est ajustée au besoin.

Rôles et responsabilités

Au début d’un incident, un seul responsable de la gestion des incidents est identifié en fonction du niveau de gravité attribué à l’incident. Ce poste peut être occupé à tour de rôle lorsqu’une supervision constante est requise. Un seul responsable de la gestion des incidents nous donne des directives claires afin que nous puissions prendre des mesures immédiates et communiquer efficacement.

En fonction de la nature de l’incident, différents types de rôles peuvent être requis. Voici quelques-uns des rôles les plus courants :

Rôles et responsabilités en cas d’incident

Confinement, éradication et rétablissement

Le but du confinement est de stopper les effets d’un incident avant qu’il ne cause d’autres dommages. Une fois qu’un incident est confiné, nous pouvons prendre le temps nécessaire pour traiter le problème de manière exhaustive.

Dès lors, une éradication peut s’avérer nécessaire pour éliminer les composants et les effets secondaires de l’incident. Pour les incidents de sécurité ciblés par Sophos, nous devons penser à nos actifs d’entreprise ainsi qu’à nos actifs de produits, y compris nos offres cloud.

Les tâches courantes d’éradication comprennent :

• Modifications de configuration ou de code/correctifs.
• Remplacement ou désactivation des systèmes.
• Suppression d’une fonctionnalité.
• Nettoyage de la qualité des données.
• Désactivation de comptes utilisateur
• Identification et atténuation de toutes les vulnérabilités exploitées.

Lors de la procédure de récupération, les ingénieurs de Sophos restaurent les systèmes en fonctionnement normal, confirment que les systèmes fonctionnent normalement et (le cas échéant) corrigent les vulnérabilités pour éviter des incidents similaires. Notre culture et notre approche de l’innovation en tant qu’entreprise de sécurité et de cloud nous aident à nous rétablir rapidement. Nous nous appuyons sur des capacités d’intégration et de déploiement continues dans l’ensemble de nos activités. Nous redéployons constamment des systèmes à grande échelle et rapidement.

Notification client

L’authenticité est l’une des valeurs clés de Sophos. Fort de celle-ci et de notre mission de protection, nous nous engageons à informer nos clients dès que possible si leurs données sont impliquées dans un incident ou une violation confirmés.

Activités post-incident

Une fois qu’un incident a été traité et résolu, nous nous efforçons d’en tirer des enseignements. Nous organisons des séances de bilan pour discuter de la manière dont nous avons géré l’incident et de ses causes premières. Sur la base de ces discussions, nous ajustons et améliorons nos procédures de gestion des incidents et optimisons notre profil de sécurité afin de prévenir et de détecter plus rapidement des incidents similaires à l’avenir.