À DataSecAI 2025Cyera a couru Opération Deep Lock — Une simulation de crise de ransomware multicloud entièrement interactive, conçue pour tester la résistance aux situations de décision réelles. Cent responsables de la sécurité y ont participé en direct, votant en temps réel sur chaque point de décision.
Le résultat ? Un regard rare et franc sur la façon dont les RSSI et les responsables de la sécurité d'aujourd'hui réagiraient sous le feu des critiques, et sur la façon dont un contexte plus large aurait pu modifier leur ligne de conduite.
À travers sept modules – du chiffrement initial aux négociations de rançon en passant par les notifications aux clients – plusieurs tendances majeures se sont dégagées. Vous trouverez ci-dessous un résumé des principaux constats.
Les responsables de la sécurité s'accordent : le confinement est la priorité.
Au cours des premières phases de l'attaque, les participants ont très largement donné la priorité à action défensive décisive.
Lorsque des attaquants ont chiffré simultanément des systèmes critiques, 96% des répondants ont choisi de Isoler les systèmes affectés et désactiver l'accès inter-comptesSeulement 3 % ont choisi de commencer immédiatement la restauration de leurs sauvegardes. Et après l'incident initial, 89% prioritaire maintenir le confinement, déclencher le délai de 72 heures prévu par le RGPD et préserver les preuves médico-légales.
Tendance clé : Le confinement et la préservation des preuves sont devenus des réactions instinctives de premier réflexe., témoignant de la maturité des programmes de réponse aux incidents et pression réglementaire accrue.
Les équipes comprennent l'importance du contexte des données
Dans le cadre de cette expérience, un contexte supplémentaire provenant de Plateforme de sécurité des données Cyera Cette information a été présentée et la possibilité pour les participants de modifier leur décision en fonction de celle-ci leur a été offerte. Ce que nous avons constaté : Une fois que la plateforme Cyera a révélé davantage de données contextuelles sur les anomalies, les réactions ont radicalement changé.
Par exemple, lorsqu'un pic suspect de trafic sortant est apparu, 94% choisi de Suspendre l'accès sortant et commencer l'analyse forensiqueMais une fois que Cyera l'a identifié comme réplication de routine avec données non restreintes, 82% l'a correctement reclassée comme fausse alerte.
Tendance clé : La visibilité des données permet d’éviter les escalades inutiles — une leçon essentielle à l'heure où les entreprises sont submergées d'alertes intempestives.
Lorsque l'exfiltration de données se produit réellement, les dirigeants se rabattent sur la coordination juridique et des relations publiques.
Une fois que les attaquants ont publié sur le dark web les preuves de données personnelles volées, la foule s'est mobilisée pour une gestion de crise coordonnée.
Un écrasant 92% choisi de Engager les services juridiques et de relations publiques, lancer la communication de crise et entamer l'enquête médico-légale.Lorsqu'on leur demande quelle action est soumise à des délais légaux, 53% correctement sélectionné coordination de la divulgation avec les services juridiques et les assureurs - cependant 28% a également reconnu la nécessité de notifications réglementaires immédiates.
Tendance clé : Les responsables de la sécurité comprennent que les fuites publiques ne sont plus seulement des problèmes techniques, mais aussi des urgences juridiques, de réputation et réglementaires.
Systèmes oubliés = Angles morts persistants
Le module 4 de l'exercice a présenté un scénario réel courant : les environnements de test chiffrés et les environnements existants. Ce module a mis en lumière un écueil fréquent : les systèmes de « test » et de « développement » contiennent souvent des informations confidentielles. Copies réelles des données de production, mais sans contrôles de sécurité de production.
93% Les participants ont choisi de se mettre en quarantaine et de faire capturer des images médico-légales. 82% L'étendue de l'incident a été élargie lorsque Cyera a révélé que la violation de données avait augmenté de plusieurs centaines de milliers d'enregistrements en raison de systèmes oubliés.
Tendance clé : Les organisations sont beaucoup plus conscientes que les environnements de test et de développement peuvent contenir des données sensibles en production, mais beaucoup ont encore du mal à les gérer.
La stratégie de communication compte plus que les réponses immédiates.
Lorsque les autorités de réglementation et les médias ont commencé à insister pour obtenir des détails, les participants ont fait preuve d'une grande discipline. 86% Ils ont opté pour la publication d'un bref communiqué de position, tout en centralisant les communications et en restant factuels. Seuls 4 % se sont empressés de partager des chiffres d'exposition détaillés.
Tendance clé : La plupart des responsables de la sécurité privilégient désormais une communication mesurée à une transparence prématurée, ce qui reflète des pratiques de communication de crise plus matures.
Demande de rançon : partagée entre « refus » et « retard »
Le module de négociation de rançon a suscité les réactions les plus partagées.
- 44% ont refusé de payer directement
- 43% la décision a été retardée le temps de vérifier les allégations de l'attaquant
- Seulement 6% ont choisi de payer immédiatement
Mais une fois que Cyera a révélé les agresseurs n'avait pas Ils affirmaient que les informations personnelles réglementées étaient disponibles, et que des sauvegardes propres étaient disponibles en quelques heures. 91% a refusé catégoriquement de payer la rançon.
Tendance clé : L’intelligence des données modifie considérablement les décisions relatives aux rançons, prouvant ainsi que l’effet de levier est important. sensibilité des données, et pas seulement le volume de données.
Des notifications clients précises génèrent des économies considérables.
L'une des observations les plus révélatrices est apparue plus tard dans la simulation. Avant de savoir quels clients étaient réellement touchés, 69% Dans l'exemple de simulation, Cyera a sélectionné un avis de suspension générique à destination des 1,3 million de clients. Mais une fois que Cyera a identifié que seulement 24 % (312K) avait réglementé les informations personnelles identifiables, 84% ont choisi de n'informer que ces personnes, réduisant ainsi les coûts prévus de 17 à 25 millions de dollars.
Tendance clé : La notification de précision est désormais indispensable, non seulement pour l’exactitude, mais aussi pour la maîtrise des coûts.
Principaux enseignements de l'opération Deep Lock
Tout au long de la simulation, plusieurs tendances se sont dégagées :
1. Le contexte des données est primordial. Les participants ont modifié leurs décisions à plusieurs reprises une fois que Cyera a révélé la sensibilité et l'étendue réelles des données concernées.
2. Les équipes de réponse aux incidents expérimentées privilégient le confinement et la conformité. L'isolement rapide, la préservation des preuves et l'harmonisation réglementaire ont été les principaux critères des premières décisions.
3. Les « systèmes de test » restent une source majeure de risques cachés. Des centaines de milliers de cartes d'identité réglementées ont été retrouvées dans des environnements oubliés.
4. Les décisions relatives aux rançons dépendent d'une exposition validée. Une fois la sensibilité réelle des données connue, la quasi-totalité des dirigeants ont refusé de payer la rançon.
5. La précision réduit les coûts, la panique et les divulgations inutiles. Une classification précise des données a permis d'économiser des millions en coûts potentiels de notification.
Réflexions finales
L'opération Deep Lock a offert un aperçu rare et authentique de la façon dont les dirigeants réagissent sous la pression du monde réel. La principale leçon ? Les organisations qui comprennent leurs données — où elles se trouvent, leur degré de sensibilité et qui peut y accéder — prennent des décisions nettement meilleures à chaque étape d'une crise.
Vous souhaitez savoir où se situe votre organisation en matière de gestion et de sécurité des données ? Planifiez une évaluation des risques liés aux données dès aujourd'hui et découvrir des opportunités pour :
- Renforcez votre stratégie de sécurité des données et votre posture de cybersécurité.
- Optimiser les contrôles et processus préventifs
- Découvrir et corriger de manière proactive les failles de sécurité
Get your AI Security Assessment
.jpg)
.svg)