Une nouvelle force d’intervention au service des communes et associations intercommunales en cas de cyberattaques

En cas de situation extraordinaire de crise, la force d’intervention CSIRT déploie une structure de conduite de crise permettant (1) de coordonner les actions et forces en présence pour réduire au maximum les impacts et rétablir la situation au plus vite et (2) d’apporter une analyse de la situation et des points de situation afin que la municipalité ou la direction de l’entité victime puisse prendre rapidement les meilleures décisions.

Il est important de rappeler que, si le CSIRT a pour but d'apporter une aide d'urgence pour la gestion d'une cyberattaque, il s’appuie aussi sur le support d’experts externes pour la réponse technique et les premières analyses forensiques. La force d’intervention ne remplace ainsi pas les sociétés privées spécialistes en cybersécurité, qui sont et restent des acteurs complémentaires essentiels pour maintenir et renforcer la sécurité des systèmes d’information des différentes organisations présentes dans le canton.

En cas de cyberattaque : appeler le 117

En cas de cyberattaque, la procédure est claire : il faut appeler le 117. Les experts du cybercrime de la Police cantonale se mettront ensuite en contact avec le centre opérationnel de sécurité (SOC) de la DGNSI, qui coordonnera la suite des opérations.

En amont : des préparatifs essentiels pour prévenir les attaques

Du côté des communes et associations intercommunales, il est attendu qu’elles identifient un point de contact opérationnel cybersécurité qui permettra de centraliser les échanges et communications avec le CSIRT principalement hors de période de crise. Il est important de rappeler ici que le CSIRT travaille sur un principe de subsidiarité en mode "meilleur effort" et qu’il ne peut, par exemple, pas sauver une entité qui n'aurait pas de sauvegarde pour ses données.

Pour garantir la bonne délivrance des prestations fournies par le CSIRT, il est ainsi important de rappeler les préparatifs essentiels pour les organisations et en particulier de :

• Définir un plan de continuité des activités (PCA) permettant de maintenir, en mode dégradé, les activités critiques de l’entité sans informatique.
• Appliquer les bonnes pratiques de sécurité et en particulier la prise en compte des 5 mesures de prévention promues par le Centre National pour la Cybersécurité (NCSC) :

1. Sécurisation des accès à distance et authentification forte activée ;
2. Sauvegardes hors ligne ou équivalent ;
3. Gestion des correctifs et des cycles de vie des actifs informatiques ;
4. Blocage des pièces jointes et liens à risque dans les courriels et les flux Internet ;
5. Surveillance régulière des fichiers journaux (logs), en particulier pour les accès à distance, pour identifier dès que possibles des événements anormaux à investiguer.

En synthèse, cette Convention cybersécurité est une réponse pragmatique et évolutive pour construire un partenariat gagnant-gagnant entre le Canton, les communes, les associations intercommunales. Elle s’appuie sur les nombreuses sociétés locales hautement spécialisées en cybersécurité et l’écosystème vaudois dynamique autour de la cybersécurité et de la confiance numérique. C’est ainsi une opportunité unique de créer un cercle économique local vertueux et surtout de devenir ensemble plus cyberrésilients.

_{Direction générale du numérique et des systèmes d'information (DGNSI)}