Active Directory en panne : pourquoi le PRA cyber devient vital ?
Quand l’Active Directory (AD) s’effondre, l’ensemble de l’entreprise peut se retrouver à l’arrêt. Avec la montée des ransomwares, des sauvegardes compromises et des exigences réglementaires de plus en plus strictes, un Plan de Reprise d’Activité (PRA) cyber réellement testé est devenu une priorité de gouvernance.
Historiquement, la reprise après sinistre a été considérée comme une prérogative des Directions des Systèmes d’Information (DSI), souvent perçue comme un projet technique. Cependant, le Panorama Cybermenace 2025 de l’ANSSI révèle que de nombreuses organisations se retrouvent en mode dégradé pendant des semaines, avec des datacenters débranchés en urgence et des mois de pertes opérationnelles pour reconstruire ce qui aurait pu être rétabli en quelques heures. Ce phénomène n’est pas dû à un manque de budget, mais à une préparation insuffisante.
La nature des attaques a également évolué. Un ransomware moderne ne se limite pas à chiffrer des données, mais cible d’abord l’Active Directory, qualifié par l’ANSSI de « cœur de confiance » du système d’information. Lorsque l’AD est compromis, cela impacte les emails, les applications métier, et l’accès aux ressources, rendant la question de la reconstruction de l’infrastructure secondaire par rapport à celle de la restauration de l’AD.
Les solutions de sauvegarde, le PRA classique et le PRA cyber ne représentent pas les mêmes niveaux de réponse. La sauvegarde protège les données lorsque l’infrastructure est intacte, tandis que le PRA classique intervient en cas de sinistre majeur, comme un incendie de datacenter. En revanche, si l’AD est chiffré ou détruit par un attaquant, les deux premières solutions deviennent inopérantes. Il est donc essentiel d’avoir des sauvegardes immuables, hors-ligne, et une reconstruction testée, avec une durée maximale d’interruption définie à l’avance, comme le stipule le Référentiel Cyber France (ReCyF).
De plus, la directive NIS2 impose des obligations de responsabilité aux dirigeants d’entreprises, qui doivent approuver la politique de sécurité. Les sanctions pour les Entités Essentielles peuvent atteindre 10 millions d’euros ou 2 % du chiffre d’affaires mondial. Les CISOs doivent désormais présenter des tableaux de bord de conformité incluant des PRA cyber testés, car l’absence de ces mes engage leur responsabilité professionnelle.
L’ANSSI a mis à disposition des ressources pour aider les organisations à remédier aux vulnérabilités de l’Active Directory, et des exercices de reprise sur l’AD sont désormais obligatoires. Documenter un plan ne suffit plus ; il faut prouver son efficacité, marquant un changement significatif dans la gestion de la sécurité informatique.
La question cruciale n’est plus de savoir si une organisation est concernée, mais si elle peut démontrer que son PRA cyber a été testé. Cela dépasse le cadre technique pour devenir un enjeu de gouvernance au niveau des Comités Exécutifs.
Source : ANSSI
