Les cyberincidents sont des crises opérationnelles, et non de simples incidents informatiques

Pour les services policiers et les organismes de sécurité publique qui assurent des services essentiels, les cyberincidents ne sont plus des événements rares ni de simples anomalies techniques. Il s’agit de risques opérationnels prévisibles pouvant résulter d’attaques malveillantes, de défaillances de systèmes ou d’erreurs humaines. Selon la plus récente Évaluation nationale des cybermenaces du gouvernement du Canada, le nombre et la gravité des cyberincidents ont fortement augmenté au cours des deux dernières années, plusieurs d’entre eux visant des services essentiels¹.

Les organismes de sécurité publique doivent être prêts à faire face à un incident, capables d’intervenir efficacement lorsqu’il survient et outillés pour rétablir rapidement leurs activités par la suite. Bâtir une organisation résiliente et bien préparée exige des investissements continus en cybersécurité ainsi qu’une approche globale axée sur la préparation, l’intervention et le rétablissement à chaque étape du cycle de gestion d’un incident.

La question que devraient se poser les dirigeants est la suivante : serions-nous en mesure de maintenir les services essentiels de sécurité publique si nos systèmes critiques devenaient indisponibles?

Les défis particuliers de la cybersécurité dans le secteur de la sécurité publique

Les organismes de sécurité publique s’appuient sur un réseau de systèmes interconnectés, notamment les systèmes de répartition assistée par ordinateur (RAO) du 911, les systèmes de gestion des dossiers (SGD), le Centre d’information de la police canadienne (CIPC), les plateformes de gestion de la preuve numérique et diverses technologies d’exploitation connexes. Ces systèmes soutiennent des décisions prises en temps réel, où toute interruption de service peut avoir des conséquences concrètes sur le terrain.

Selon la quatrième édition du Global Future of Cyber Survey de Deloitte, 40 % des organisations ont déclaré publiquement avoir subi de six à dix atteintes à la cybersécurité au cours de la dernière année².

Les acteurs malveillants ciblent délibérément les organisations dont la perturbation entraîne un sentiment d’urgence, une forte visibilité publique et une pression accrue sur les dirigeants. Pour les organismes de sécurité publique, les risques sont considérables :

• Perturbation des services d’urgence et des interventions d’urgence du 911
• Atteinte à la confidentialité de renseignements sensibles
• Menaces à l’intégrité des procédures judiciaires et des éléments de preuve
• Perte de confiance du public et atteinte à la réputation
• Pertes financières

Les dirigeants des services policiers et des organismes de sécurité publique doivent cerner et prioriser les services, les processus et les dépendances technologiques essentiels au maintien d’un niveau minimal acceptable d’activités lors d’un cyberincident. Ils doivent également se préparer à poursuivre leurs opérations dans des conditions dégradées³.

Cinq constats en cybersécurité pour les organismes canadiens de sécurité publique

1. Considérez le cyberrisque comme un risque opérationnel, et non comme un enjeu informatique

La résilience en cybersécurité relève du leadership et de la capacité de commandement, et non uniquement de la technologie. Les dirigeants des organismes de sécurité publique doivent identifier leurs systèmes essentiels – notamment le 911, les systèmes de gestion des dossiers (SGD), les systèmes de répartition assistée par ordinateur (RAO) et les plateformes de gestion de la preuve numérique – et mettre à l’épreuve leur capacité à poursuivre leurs activités essentielles, même sans l’appui des systèmes informatiques. Le véritable risque opérationnel réside dans l’incapacité de répondre aux urgences, de mener des enquêtes, de recueillir des éléments de preuve et de préserver la confiance du public.

Pourquoi est-ce important?

Lorsqu’un cyberincident survient, les actifs les plus critiques sont les systèmes qui soutiennent les opérations essentielles. Une interruption de service peut avoir des répercussions directes sur les interventions d’urgence, les enquêtes, les échéanciers judiciaires, la sécurité du personnel et la confiance du public. Même lorsque les systèmes sont compromis, ces activités doivent se poursuivre. Les organisations doivent donc prévoir des mécanismes leur permettant de maintenir leurs opérations dans un contexte dégradé. Dans le secteur de la sécurité publique, l’inaction n’est tout simplement pas envisageable.

2. Définissez et répétez les actions à poser dans la première heure

La première heure suivant un cyberincident n’est pas le moment de déterminer les rôles, les mécanismes d’escalade ou les pouvoirs décisionnels. Les organismes de sécurité publique ont besoin d’un plan d’intervention en cas d’incident documenté qui attribue clairement les responsabilités aux équipes de direction, des opérations, des affaires juridiques, des communications et de la technologie, tout en précisant la façon dont les décisions seront prises sous pression.

Les dirigeants devraient tester ce plan au moyen d’exercices sur table réguliers et maintenir des relations établies avec leurs partenaires externes d’intervention. Ainsi, lorsqu’un incident survient, l’intervention repose sur des réflexes acquis plutôt que sur l’improvisation.

Pourquoi est-ce important?

Les retards dans le confinement d’une menace, l’ambiguïté dans la prise de décision et le manque de coordination des communications peuvent considérablement accroître les perturbations opérationnelles et prolonger les délais de rétablissement. C’est au cours de cette première heure que les conséquences opérationnelles et réputationnelles peuvent s’aggraver le plus rapidement.

3. Harmonisez la prise de décision entre les équipes technologiques, opérationnelles, juridiques et des communications

Désignez un responsable unique chargé de coordonner la gestion de l’incident et investi de l’autorité nécessaire pour intervenir dans l’ensemble des fonctions. Mettez en place une structure de commandement unique, une vision commune de la situation et un échéancier partagé afin que les équipes opérationnelles de première ligne, les services juridiques, les communications et les équipes techniques de confinement agissent de façon concertée.

Pourquoi est-ce important?

En l’absence d’une gouvernance intégrée, les messages contradictoires et les décisions non coordonnées peuvent aggraver les conséquences d’un incident au cours des premières 24 à 72 heures. Pendant que les équipes techniques s’efforcent de contenir la menace, les opérations peuvent continuer à s’appuyer sur des systèmes compromis. Les équipes juridiques peuvent retarder la divulgation de certaines informations alors que les équipes des communications ont déjà commencé à informer le public. Cette situation crée de la confusion, et le manque de coordination entre les équipes devient alors une source évitable de dommages supplémentaires.

4. Validez vos capacités de rétablissement plutôt que de les présumer

Cartographiez les dépendances associées à vos actifs les plus critiques, définissez des objectifs de rétablissement, mettez à l’épreuve les délais de restauration dans des conditions réelles et définissez à l’avance les critères qui guideront les décisions de restauration ou de reconstruction. Les sauvegardes ne doivent pas seulement être planifiées ; elles doivent être testées, isolées et immuables.

Pourquoi est-ce important?

Les sauvegardes sont souvent non testées, incomplètes ou exposées aux mêmes compromissions que les environnements de production. De plus, certaines dépendances invisibles – notamment les systèmes de gestion des identités, les services DNS ou les interfaces de programmation (API) de fournisseurs tiers – ne sont découvertes qu’au moment du rétablissement, lorsque le temps et les options disponibles se réduisent rapidement.

5. Convertissez chaque incident en occasion de renforcer la résilience

Mettez en œuvre, après chaque incident, un plan d’amélioration sur 90 jours assorti de responsables clairement désignés, d’indicateurs de performance visibles pour la haute direction et d’un mécanisme de suivi permettant de mesurer les progrès réalisés. Faites de chaque incident et de chaque exercice sur table une occasion d’apporter des améliorations durables.

Pourquoi est-ce important?

Sans cette rigueur, les constats demeurent dans des rapports qui ne donnent lieu à aucune mesure concrète, et les mêmes faiblesses risquent de réapparaître lors du prochain incident, avec des conséquences potentiellement plus graves. De plus, le paysage des cybermenaces continue d’évoluer. Le Centre canadien pour la cybersécurité prévoit une croissance annuelle d’environ 26 % des attaques par rançongiciel d’ici 2027 et les considère comme la principale menace de cybercriminalité visant les infrastructures essentielles canadiennes, y compris les organismes de sécurité publique⁴.

Comment Deloitte peut vous aider à chaque étape

Lors d’un cyberincident, un partenaire externe expérimenté peut agir comme coordonnateur central, en apportant un point de vue objectif et des pratiques éprouvées de gestion des incidents, pendant que les dirigeants demeurent concentrés sur la protection des services essentiels. Deloitte accompagne les organismes à chaque étape du cycle de gestion d’un incident :

1. Avant l’incident. Nous renforçons la préparation de l’organisation en clarifiant les rôles et responsabilités, en mettant les plans à l’épreuve et en développant des capacités d’intervention concrètes et adaptées aux réalités opérationnelles.
2. Pendant l’incident. Nous fournissons un soutien technique et stratégique rapide et coordonné afin de contenir la menace, de protéger les services essentiels et d’aider les dirigeants à prendre des décisions éclairées dans un contexte de forte pression.
3. Après l’incident. Nous aidons les organisations à rétablir leurs systèmes de façon sécuritaire, à documenter les événements et à transformer les leçons apprises en améliorations ciblées qui renforcent durablement leur résilience.

Notre approche apporte structure, expérience et clarté afin que les organismes puissent protéger leur personnel, leurs activités et leur réputation lorsque cela compte le plus.

Aperçu de notre accompagnement à chaque étape :  

Vos prochaines étapes

La confiance du public repose sur la capacité d’un organisme à maintenir la prestation de services essentiels, même en période de perturbation. Aujourd’hui, la résilience en cybersécurité est une responsabilité fondamentale de leadership qui incombe à l’ensemble de l’organisation, et non uniquement aux équipes des technologies ou de cybersécurité.

Les organismes qui définissent leurs activités minimales viables, mettent à l’épreuve leurs mécanismes d’intervention dès la première heure, harmonisent la prise de décision entre les différentes fonctions et améliorent continuellement leurs capacités de rétablissement seront mieux placés pour protéger leurs opérations et préserver la confiance du public.

Communiquez avec nos leaders pour évaluer votre état de préparation, définir vos activités minimales viables et renforcer votre résilience avant qu’un cyberincident ne mette vos capacités à l’épreuve.