« Notre vie quotidienne dépend en grande partie du bon fonctionnement des chaînes d’approvisionnement. Une attaque très médiatisée touche des centaines de milliers de personnes. Les histoires de Colonial Pipeline ou de MoveIT, les attaques contre des fournisseurs de services informatiques tels que Kaseya et Materna, pour n’en citer que quelques-uns, peuvent varier en termes d’échelle et de verticalité, mais toutes prouvent la nécessité d’une approche coordonnée pour accroître la cyber-résilience de services vitaux tels que les soins de santé, l’énergie, l’eau ou encore les transports. L’effet domino d’une infiltration dans la supply chain peut être dévastateur. La cyber-résilience se définit comme la capacité à obtenir les résultats escomptés en dépit d’événements cybernétiques défavorables et, pour les infrastructures critiques, elle ne se limite pas aux incidents de sécurité interne.

Les organisations qui font partie d’une infrastructure critique doivent veiller tout particulièrement à ce qu’elles puissent fonctionner efficacement dans le cadre de l’attaque en cours et évaluer régulièrement les risques associés à leur chaîne d’approvisionnement. Les dépendances des tiers doivent être analysées et réexaminées. En particulier, un plan d’intervention en cas d’incident devrait couvrir le scénario, définissant ce qu’il faut faire en cas d’indisponibilité soudaine ou d’infiltration malveillante d’une partie de la supply chain. Dans le cas d’une dépendance importante, l’équipe informatique ne doit pas hésiter à demander à ses pairs ce qu’ils font pour maintenir l’opérabilité en cas de cyber-événements défavorables. Cet échange est le point de départ d’une discussion approfondie sur l’amélioration de la résilience de l’ensemble de l’infrastructure critique.

Une attaque sur l’infrastructure d’une organisation peut affecter la capacité d’une autre organisation à traiter des données. La perte d’une identité privilégiée dans une entreprise entraîne des événements indésirables dans une autre. Les capacités d’adaptation, d’anticipation et d’absorption - les principaux aspects de la résilience - doivent être étendues au-delà du domaine de l’entreprise individuelle en identifiant et en équilibrant les dépendances externes d’une organisation. »