{"id":8605,"date":"2026-07-30T14:44:49","date_gmt":"2026-07-30T12:44:49","guid":{"rendered":"https:\/\/blog.piinteract.org\/?p=8605"},"modified":"2026-08-11T01:18:47","modified_gmt":"2026-08-10T23:18:47","slug":"le-paradox-de-larret-durgence","status":"publish","type":"post","link":"https:\/\/blog.piinteract.org\/fr\/le-paradox-de-larret-durgence\/","title":{"rendered":"Le Paradox de l’arr\u00eat d’urgence. Comment le r\u00e9flexe de protection d\u00e9clenche le dommage."},"content":{"rendered":"
\n
\n
\n
\n

Pourquoi la personne qui a actionn\u00e9 l'interrupteur \u00e0 4h47 n'a jamais eu l'autorit\u00e9 de le faire \u2014 et pourquoi personne ne la lui avait donn\u00e9e.<\/strong><\/p>\n<\/div><\/div>\n\n

\"Das<\/span><\/div>\n\n
\n

\u00ab Je suis puissant. Et je ne suis que le plus humble des gardiens. \u00bb<\/em><\/strong><\/p>\n

\u2014 Franz Kafka, Devant la loi (extrait du Proc\u00e8s, 1925)<\/em><\/p>\n<\/blockquote>\n<\/div><\/div>\n\n

30 juillet 2026<\/p>\n<\/div><\/div>\n\n

La mise en place<\/h2>\n

Un analyste SOC rep\u00e8re un ran\u00e7ongiciel sur trois serveurs. Il les d\u00e9connecte. Seize minutes plus tard, l'\u00e9vidence s'impose : il vient de couper le traitement des paiements. La d\u00e9connexion elle-m\u00eame co\u00fbte plus cher que l'attaque n'aurait jamais pu co\u00fbter. Personne n'avait donn\u00e9 \u00e0 cet analyste l'autorit\u00e9 pour une d\u00e9cision de cette port\u00e9e. Pire : personne ne la lui avait non plus refus\u00e9e. Elle n'existait nulle part \u2014 jusqu'\u00e0 ce que, \u00e0 4h47, quelqu'un doive se l'approprier, parce que l'horloge tournait.<\/p>\n<\/div><\/div>\n\n

<\/div><\/div>\n<\/div>\n<\/div>\n<\/div>\n\n
\n
\n
\n

Six jours sur la c\u00f4te Est<\/h2>\n

7 mai 2021, G\u00e9orgie. Le ran\u00e7ongiciel DarkSide atteint le syst\u00e8me de facturation de Colonial Pipeline \u2014 pas la technologie de contr\u00f4le du pipeline lui-m\u00eame. Mais l'entreprise ne peut exclure une propagation. Elle arr\u00eate donc tout le pipeline. Pendant six jours, plus aucun carburant ne circule dans l'art\u00e8re d'approvisionnement la plus critique de la c\u00f4te Est am\u00e9ricaine. Dix-sept \u00c9tats et le District de Columbia sont touch\u00e9s \u2014 la pire crise de carburant que la c\u00f4te Est ait connue depuis des d\u00e9cennies. L'attaque avait compromis un r\u00e9seau. La r\u00e9action a paralys\u00e9 toute une r\u00e9gion.<\/p>\n

Il existe un point o\u00f9 la mesure de protection devient elle-m\u00eame le dommage \u2014 et personne n'avait jamais d\u00e9fini qui avait le droit de fixer ce point exactement.<\/p>\n<\/div><\/div>\n\n

<\/div><\/div>\n\n

L\u2019arr\u00eat d\u2019urgence<\/h2>\n

Un interrupteur ne conna\u00eet qu'un seul \u00e9tat : allum\u00e9 ou \u00e9teint. Il ignore les contrats qui transitent par le serveur qu'il est en train de couper. Il ignore la p\u00e9nalit\u00e9 contractuelle qui s'appliquera dans quatre heures. Il ignore ce que la direction financi\u00e8re a promis au conseil d'administration ce trimestre. L'analyste SOC, la main sur l'interrupteur, voit des paquets, voit une propagation, voit un playbook qui ne conna\u00eet qu'une seule action : d\u00e9connecter. Ce qu'il ne voit pas, c'est le second niveau sur lequel cette m\u00eame action se joue \u2014 le niveau commercial.<\/p>\n

La doctrine derri\u00e8re ce r\u00e9flexe \u00e9tait autrefois correctement calibr\u00e9e. Un ordinateur portable infect\u00e9 co\u00fbte une heure de travail. D\u00e9connecter vite r\u00e9duit le temps de pr\u00e9sence de l'attaquant, et r\u00e9duire ce temps de pr\u00e9sence r\u00e9duit les d\u00e9g\u00e2ts \u2014 c'est l'hypoth\u00e8se de base de toute configuration SOAR, de tout playbook de r\u00e9ponse aux incidents. Mais personne n'a jamais r\u00e9ajust\u00e9 cet \u00e9talonnage lorsque l'ordinateur portable est devenu une plateforme de paiement, un socle ERP, un syst\u00e8me de gestion des identit\u00e9s. L'interrupteur est rest\u00e9 le m\u00eame. Ce qu'il d\u00e9clenche a chang\u00e9. L'action s'appelait encore mesure de s\u00e9curit\u00e9. Elle \u00e9tait depuis longtemps devenue une escalade par un autre chemin.<\/p>\n<\/div><\/div>\n\n

<\/div><\/div>\n\n

Colonial Pipeline, JBS et la facture qui suit<\/h2>\n

Colonial Pipeline est le cas que tout RSSI conna\u00eet et que presque personne n'a pens\u00e9 jusqu'au bout. Quelques semaines plus tard, JBS, le plus grand transformateur de viande au monde, suit le m\u00eame sch\u00e9ma : le ran\u00e7ongiciel frappe les syst\u00e8mes informatiques, l'entreprise arr\u00eate par pr\u00e9caution ses installations de production, alors m\u00eame que l'ampleur de l'attaque sur la technologie op\u00e9rationnelle n'est pas confirm\u00e9e. Ici aussi, c'est la pr\u00e9caution qui engendre le dommage le plus lourd \u2014 pas l'attaque elle-m\u00eame.<\/p>\n

En 2023, un grand fabricant am\u00e9ricain de biens de consommation poursuit un prestataire informatique \u2014 au motif que sa r\u00e9action aurait inutilement prolong\u00e9 le temps de r\u00e9tablissement et qu'il serait responsable de l'interruption qui en a r\u00e9sult\u00e9. La dur\u00e9e de r\u00e9tablissement est ainsi devenue un poste de pr\u00e9judice chiffrable devant un tribunal. Cela aurait \u00e9t\u00e9 impensable il y a quelques ann\u00e9es \u00e0 peine.<\/p>\n

Le rapport Data Breach Investigations 2026 de Verizon, fond\u00e9 sur plus de 31 000 incidents dans 145 pays, montre que les ran\u00e7ongiciels sont d\u00e9sormais pr\u00e9sents dans 48 % de toutes les violations de donn\u00e9es \u2014 alors que la ran\u00e7on m\u00e9diane baisse \u00e0 139 875 dollars, parce que 69 % des victimes refusent tout simplement de payer. Le d\u00e9clencheur est devenu plus fr\u00e9quent. Les d\u00e9cisions qui suivent p\u00e8sent aujourd'hui plus lourd que jamais.<\/p>\n<\/div><\/div>\n\n

<\/div><\/div>\n\n

Qui agit ne porte pas la cons\u00e9quence<\/h2>\n

Dans la plupart des entreprises, la personne responsable de la disponibilit\u00e9 d'un processus m\u00e9tier \u2014 direction des paiements, direction de la production, direction des syst\u00e8mes cliniques \u2014 n'a aucune autorit\u00e9 sur la question de savoir si, en cas d'urgence, ce processus pr\u00e9cis sera arr\u00eat\u00e9. Le SOC a l'autorit\u00e9. Le responsable du processus porte la cons\u00e9quence. Deux personnes diff\u00e9rentes, souvent dans deux lignes hi\u00e9rarchiques diff\u00e9rentes. L'asym\u00e9trie ne devient visible qu'une fois que quelque chose a r\u00e9ellement \u00e9t\u00e9 arr\u00eat\u00e9.<\/p>\n

Le NIST a officialis\u00e9 cette lacune en avril 2025. La r\u00e9vision SP 800-61 Revision 3 \u2014 r\u00e9dig\u00e9e par Amy Nelson, Shan\u00e9e Rekhi, Murugiah Souppaya et Karen Scarfone \u2014 fait basculer toute la doctrine de r\u00e9ponse aux incidents d'une \u00ab ex\u00e9cution tactique \u00bb vers un \u00ab alignement strat\u00e9gique avec la gestion des risques \u00bb. C'est exactement la lacune qui se n\u00e9gocie ici. La r\u00e9ponse aux incidents n'est plus une fonction du SOC. C'est une responsabilit\u00e9 de direction dans laquelle le responsable du processus occupe un si\u00e8ge nomm\u00e9 \u2014 sur le papier. Le playbook qui l'y installe r\u00e9ellement, presque aucune entreprise ne l'a \u00e9crit. L'analyste SOC assis devant son \u00e9cran \u00e0 quatre heures du matin ne l'a pas \u00e9crit non plus. Il n'a fait que l'ouvrir.<\/p>\n<\/div><\/div>\n\n

<\/div><\/div>\n\n

Le Paradoxe de l\u2019arr\u00eat d\u2019urgence<\/h2>\n

Le Paradoxe du Coupe-Circuit :<\/strong> Qui ex\u00e9cute l'action technique n'en porte pas la cons\u00e9quence \u00e9conomique. Qui porte la cons\u00e9quence n'a aucun acc\u00e8s \u00e0 l'action.<\/p>\n

Tous agissent rationnellement :<\/strong><\/p>\n