Johnson Controls a transformé le ransomware des technologies du bâtiment en question de continuité

Résumé

• Registre public confirmé:Johnson Controls a informé les investisseurs dans un formulaire 8-K de septembre 2023 qu'un incident de cybersécurité avait perturbé une partie de son infrastructure et de ses applications informatiques internes. Dans un formulaire 8-K de novembre 2023 et des documents ultérieurs, la société a décrit un accès non autorisé, une exfiltration de données et un ransomware affectant une partie de l'infrastructure informatique interne, a indiqué que l'incident avait perturbé l'accès à certaines applications commerciales soutenant les opérations et les fonctions de l'entreprise, et a signalé que les applications et systèmes touchés avaient été restaurés par la suite. (Formulaire 8-K de septembre 2023,Formulaire 8-K de novembre 2023,Formulaire 10-Q du premier trimestre fiscal 2024)
• Problème de continuité:Johnson Controls vend et prend en charge l'automatisation des bâtiments, le CVC, la sécurité incendie, la sécurité et les services numériques pour les bâtiments. Les documents publics ne disent pas que les systèmes de contrôle des bâtiments chez les clients ont été compromis. Ils montrent que la couche interne et applicative du fournisseur a eu une importance pour le service client, les opérations, la divulgation, la réponse aux incidents, la confiance dans les produits et l'assurance de la récupération. (Automatisation et contrôles des bâtiments Johnson Controls,Système d'automatisation de bâtiment Metasys,OpenBlue)
• Limites des données et des preuves:La société a divulgué une exfiltration de données, mais n'a pas publié de rapport médico-légal complet indiquant le vecteur d'entrée, le temps de présence, l'identité de l'attaquant, la liste des applications, l'ensemble des données clients, la séquence de restauration, la conception de la segmentation ou la validation indépendante de ce qui a été exposé ou non. Cela signifie que le registre de responsabilité doit séparer les faits divulgués par l'entreprise des spéculations externes, y compris toute demande de rançon ou attribution d'acteur rapportée par les médias.
• Évaluation:Des acteurs criminels sont responsables de l'accès non autorisé et de l'extorsion. Johnson Controls contrôlait de nombreuses variables de conséquence: architecture, gouvernance des identités, segmentation du réseau, préparation des sauvegardes, restauration des applications, communication avec les clients, divulgation aux investisseurs, traitement des assurances et publication des preuves. Les agences publiques, les propriétaires d'installations et les intégrateurs contrôlaient des plans de continuité distincts pour exploiter les bâtiments lorsque la couche numérique d'un fournisseur majeur devenait incertaine.

La technologie du bâtiment est une infrastructure lorsque le bâtiment est public

Johnson Controls n'est pas une entreprise de logiciels à usage unique. C'est un fournisseur mondial de systèmes qui aident à faire fonctionner les bâtiments: équipements de CVC, automatisation des bâtiments, détection d'incendie, sécurité, gestion de l'énergie et services numériques pour les bâtiments. Ses propres pages produits décrivent l'automatisation et les contrôles des bâtiments comme un moyen d'exploiter le chauffage, la ventilation, la climatisation, l'éclairage, la sécurité incendie, la sécurité et d'autres systèmes à partir d'une couche de gestion commune. Sa documentation Metasys décrit une plateforme d'automatisation pour la surveillance, le contrôle et l'optimisation des équipements du bâtiment. Ses documents OpenBlue présentent les services numériques pour les bâtiments autour d'opérations connectées, d'analytique et de performance. (Automatisation et contrôles des bâtiments Johnson Controls,Système d'automatisation de bâtiment Metasys,OpenBlue)

Ce contexte produit ne prouve pas que l'incident de ransomware de 2023 a compromis les systèmes de contrôle des bâtiments des clients. Les documents ne le disent pas. Le contexte produit explique pourquoi l'incident est devenu une question de continuité plutôt qu'une panne ordinaire du back-office. Lorsqu'un fournisseur fait partie de l'écologie de maintenance, de surveillance et de service pour les hôpitaux, les écoles, les bureaux, les laboratoires, les bâtiments municipaux et d'autres installations, une perturbation de ses applications commerciales peut ralentir le support, la répartition des services, l'assurance produit, les mises à jour logicielles, le traitement des garanties, la facturation, les flux de travail d'accès à distance, les achats et la confiance des clients. Même si le système de contrôle local d'un client continue de fonctionner, le gestionnaire des risques du client doit encore se demander si les tickets de support, les enregistrements de service, les commandes de pièces, l'assurance logicielle, les avis d'incident et les partenaires d'intégration fonctionnent à partir de systèmes de confiance.

Les orientations sur les infrastructures critiques aident à expliquer les enjeux sans exagérer le cas. La CISA identifie les installations commerciales, les installations gouvernementales et les soins de santé et la santé publique comme des secteurs d'infrastructures critiques avec différents modèles de propriété et conséquences opérationnelles. Un fournisseur de technologies du bâtiment peut desservir les trois, plus l'éducation et la propriété commerciale privée. Cela place le fournisseur dans la chaîne de dépendance pour les organisations qui ne peuvent pas facilement fermer des salles, des cliniques, des laboratoires, des centres de détention, des centres d'opérations d'urgence ou des campus pendant qu'un fournisseur résout un ransomware interne. (Secteur des installations commerciales de la CISA,Secteur des installations gouvernementales de la CISA,Secteur des soins de santé et de la santé publique de la CISA)

Le cadre responsable est donc étroit mais sérieux. Le registre public soutient une analyse de la continuité du fournisseur. Il ne soutient pas l'affirmation selon laquelle les systèmes d'automatisation des bâtiments des clients ont été exploités malveillamment par des attaquants. Il soutient une question de responsabilité sur la manière dont un fournisseur mondial de bâtiments sépare la compromission interne des services orientés client, comment il communique l'incertitude, comment il restaure les applications qui soutiennent les opérations sur le terrain, et comment il prouve que les données exfiltrées ne créent pas de risque en aval pour la sécurité physique ou la vie privée.

La chronologie publique commence par la divulgation aux investisseurs

Le premier point d'ancrage public durable est le formulaire 8-K de Johnson Controls du 27 septembre 2023. La société a informé les investisseurs qu'elle avait subi des perturbations dans certaines parties de son infrastructure informatique interne et de ses applications à la suite d'un incident de cybersécurité. Elle a déclaré avoir commencé une enquête avec des experts externes en cybersécurité, s'être coordonnée avec les assureurs et avoir mis en œuvre des plans de gestion et de réponse aux incidents. Elle a également averti que l'incident pourrait affecter les opérations commerciales et les résultats financiers. (Formulaire 8-K de septembre 2023)

Ce dépôt est important pour deux raisons. Tout d'abord, il situe l'événement dans la couche informatique et applicative interne de l'entreprise plutôt que dans une compromission documentée publiquement des contrôles clients. Ensuite, il montre que Johnson Controls a compris l'événement comme pertinent sur le plan opérationnel dès le départ. La société n'a pas décrit une alerte de logiciel malveillant isolée. Elle a décrit une perturbation de l'infrastructure et des applications et a attiré l'attention des investisseurs sur les effets possibles sur les revenus, les dépenses d'exploitation et les résultats d'exploitation.

Le formulaire 8-K du 13 novembre 2023 a apporté la clarification technique et de continuité la plus importante. Johnson Controls a déclaré que l'incident avait été initialement détecté le week-end du 23 septembre 2023 après des pannes de certains systèmes. Il a décrit un accès non autorisé et le déploiement d'un ransomware par un tiers sur une partie de l'infrastructure informatique interne. Il a également indiqué que l'incident avait provoqué des perturbations et un accès limité à certaines parties des applications commerciales soutenant des aspects des opérations et des fonctions de l'entreprise. La société a signalé que la plupart des systèmes et applications touchés avaient été restaurés à ce moment-là, tandis que certaines perturbations persistaient. (Formulaire 8-K de novembre 2023)

Le rapport annuel pour l'exercice 2023 a élargi le registre des risques liés aux données. Johnson Controls a déclaré qu'au cours du quatrième trimestre de l'exercice 2023, elle avait subi un événement de cybersécurité consistant en un accès non autorisé, une exfiltration de données et le déploiement d'un ransomware par un tiers sur une partie de l'infrastructure informatique interne. L'entreprise a indiqué qu'elle analysait les données consultées, exfiltrées ou autrement impactées. Elle a également évoqué les risques liés au vol, à la perte, à l'utilisation frauduleuse ou abusive des données des clients, des employés ou d'autres données, réels ou perçus. (Formulaire 10-K de l'exercice 2023)

Le formulaire 10-Q du premier trimestre de l'exercice 2024 a ensuite relié l'incident à une conséquence financière. Johnson Controls a déclaré que les perturbations et les limitations d'accès se sont poursuivies au début du premier trimestre de l'exercice 2024, qu'elle avait restauré les applications et systèmes touchés, et que l'effet approximatif sur le bénéfice net du trimestre dû aux pertes de revenus et aux dépenses différées était de 27 millions de dollars, après récupération d'assurance. (Formulaire 10-Q du premier trimestre de l'exercice 2024)

Dans le rapport annuel pour l'exercice 2024, l'incident est resté partie prenante du récit des risques. Johnson Controls a répété que l'incident de septembre 2023 impliquait un accès non autorisé, une exfiltration de données et le déploiement d'un ransomware sur une partie de l'infrastructure informatique interne, et a averti qu'elle avait engagé et pourrait continuer à engager des coûts importants, y compris des investissements dans l'infrastructure ou des efforts de remédiation. (Formulaire 10-K de l'exercice 2024)

Cette chronologie est compacte. Elle informe le public du moment où l'événement a été détecté, du type d'accès qui s'est produit, du type de logiciel malveillant déployé, de la couche générale touchée, du fait que les applications commerciales ont été perturbées, que les données ont été exfiltrées, que les systèmes ont été restaurés par la suite, et que les coûts financiers étaient suffisamment importants pour être quantifiés. Elle ne dit pas au public comment l'acteur est entré, combien de temps l'acteur a eu accès, si les données volées comprenaient des plans de bâtiments ou des identifiants de clients, quelles applications commerciales étaient indisponibles, quels clients ont subi des retards, si des engagements de niveau de service ont été manqués, quelle rançon a été demandée, si une rançon a été payée, ou comment l'entreprise a validé la restauration.

L'« informatique interne » peut rester proche des opérations du bâtiment

L'expression « informatique interne » peut sembler rassurante, et à bien des égards, elle l'est. Le réseau d'entreprise d'un fournisseur n'est pas le même que le contrôleur d'automatisation de bâtiment sur site d'un client. Un ransomware dans les applications d'entreprise ne devient pas automatiquement une compromission de la technologie opérationnelle. Mais pour un fournisseur de technologies du bâtiment, l'informatique interne n'est pas une île inoffensive. Elle peut soutenir la répartition, le support technique, les portails clients, l'inventaire, la gestion de projet, la documentation produit, les flux de travail d'enregistrement des appareils, les services de surveillance à distance, la facturation, les licences logicielles, les systèmes de garantie, la coordination des vulnérabilités et les systèmes d'identité.

Cette distinction est au cœur de la question de responsabilité. Le registre ne doit pas prétendre à une compromission directe des systèmes de contrôle des clients lorsque les documents publics ne l'étayent pas. Mais il ne doit pas non plus accepter l'« informatique interne » comme si elle ne pouvait pas affecter les propriétaires de bâtiments. Le portefeuille de produits public de Johnson Controls montre clairement qu'elle fournit des systèmes et des services numériques utilisés pour surveiller, automatiser et entretenir les bâtiments. Une perturbation dans la couche du fournisseur peut créer de l'incertitude même lorsque le personnel local des installations conserve le contrôle physique. (Solutions numériques Johnson Controls,Services Johnson Controls)

L'exemple pratique est la continuité de service. Si un hôpital, une université ou une installation municipale dépend d'un intégrateur Johnson Controls pour la maintenance, les conseils sur les micrologiciels, l'accès aux avis produits, les pièces, la réparation d'urgence ou la surveillance, alors une panne du fournisseur devient un problème de triage. Le bâtiment peut rester sûr, mais les temps de réponse, la visibilité des ordres de travail, les canaux de service client et les preuves d'intégrité des produits peuvent se dégrader. Les gestionnaires d'installations peuvent devoir passer à des procédures locales, aux arbres téléphoniques des fournisseurs, aux dossiers papier, à des entrepreneurs alternatifs, à des vérifications manuelles ou à des accords de service d'urgence.

La dépendance aux services cloud ajoute une autre couche. Les services connectés pour les bâtiments peuvent centraliser l'analytique, les tableaux de bord, les notifications et le support à distance. Ces fonctionnalités sont précieuses précisément parce qu'elles réduisent la charge en personnel local et facilitent la gestion de portefeuilles distribués. En cas de ransomware, cette centralisation soulève une question difficile: que se passe-t-il lorsque le fournisseur doit isoler des systèmes, désactiver des services ou reconstruire des applications alors que les clients ont encore besoin d'être assurés que les bâtiments fonctionnent dans les paramètres de sécurité, de sûreté et de confort?

Le registre public ne fournit pas de carte de continuité client par client. Il ne dit pas quels systèmes orientés client de Johnson Controls étaient indisponibles, combien de temps les portails clients ont été dégradés, ni si une installation a dû modifier ses procédures d'exploitation. Cette absence est elle-même pertinente. Pour un fournisseur dont les clients comprennent des installations publiques et des bâtiments à hautes conséquences, les preuves de récupération doivent être plus qu'une déclaration selon laquelle les applications internes ont été restaurées. Les preuves pertinentes incluent les canaux de service, les avis de vulnérabilité, les notifications d'impact sur les données, les chemins de contact d'urgence, la segmentation client et une explication crédible des systèmes clients qui ont été séparés de l'environnement compromis.

La divulgation a prouvé la matérialité avant de prouver la causalité

Les dépôts auprès de la SEC sont conçus pour la divulgation aux investisseurs, pas pour une autopsie opérationnelle complète. Cette limitation est importante ici. Les dépôts de Johnson Controls établissent que l'incident était réel, qu'il impliquait un ransomware et une exfiltration de données, que les applications ont été perturbées et qu'il a eu un effet quantifié au premier trimestre. Ils n'établissent pas la chaîne causale complète du comportement de l'attaquant à chaque retard opérationnel ou effet client.

Le formulaire 8-K de septembre 2023 a été déposé avant que le cadre actuel de divulgation en matière de cybersécurité de l'Item 1.05 du formulaire 8-K de la SEC ne devienne effectif pour la plupart des émetteurs. La SEC a adopté ces règles de divulgation en matière de cybersécurité en juillet 2023, dans le but d'améliorer la divulgation rapide et cohérente des incidents de cybersécurité importants et de la gestion des risques de cybersécurité. (Annonce des règles de divulgation en matière de cybersécurité de la SEC,Règle finale de la SEC) Johnson Controls a divulgué l'événement dans le cadre de divulgation qui lui était disponible à l'époque, et les dépôts ultérieurs ont fourni plus de détails.

Cette séquence montre un schéma courant dans la responsabilité des ransomwares. Les investisseurs apprennent tôt que les opérations et les résultats financiers pourraient être affectés. Les clients apprennent, par des canaux publics ou privés, que certains systèmes sont en panne ou dégradés. Le personnel de terrain et les intégrateurs gèrent l'incertitude sur le moment. Ce n'est que plus tard que le public reçoit un langage plus précis: accès non autorisé, ransomware, exfiltration de données, applications restaurées, estimations de coûts et risque continu. Le registre de divulgation publique s'améliore avec le temps, mais les décisions opérationnelles se produisent avant que le registre ne soit complet.

C'est pourquoi « aucun effet matériel à long terme » et « bonne réponse aux incidents » ne sont pas la même affirmation. Johnson Controls a peut-être contenu l'événement, restauré les applications et limité l'impact financier par rapport à sa taille. Elle a également dû gérer une période où les clients et les employés ne pouvaient pas pleinement observer ce qui s'était passé. Pendant cette période, le fardeau de l'incertitude a été réparti entre les propriétaires d'installations, les équipes de service, les clients du secteur public, les investisseurs, les cyber-assureurs et les contreparties.

L'impact de 27 millions de dollars au premier trimestre doit être lu avec prudence. Johnson Controls a décrit ce chiffre comme l'impact approximatif sur le bénéfice net provenant des pertes de revenus et des dépenses différées, après récupération d'assurance. C'est utile mais incomplet. Cela ne mesure pas les retards des clients, la main-d'œuvre des installations publiques, les heures supplémentaires des intégrateurs, les solutions de contournement des achats, le temps de réponse aux incidents des clients, les coûts d'ajustement des assureurs ou le travail de gestion des risques causé par les données exfiltrées. Ce nombre est une estimation comptable pour l'entreprise, pas un coût social total de l'incident.

L'exfiltration de données a changé le problème

La divulgation de l'exfiltration de données est aussi importante que celle du ransomware. Un ransomware sans exfiltration est principalement un problème de disponibilité et de restauration, bien que toujours grave. Un ransomware avec exfiltration crée un deuxième problème: qui a été exposé, ce qui a été exposé, ce que les données pourraient permettre, et comment l'entreprise informera les parties concernées. Les documents publics de Johnson Controls indiquent que des données ont été exfiltrées, mais ils ne publient pas d'inventaire de données, de matrice de notification ou de rapport médico-légal indépendant final.

Pour un fournisseur de technologies du bâtiment, la question de la sensibilité ne se limite pas aux informations personnelles ordinaires. Les dossiers clients pourraient inclure des données sur les employés, des informations commerciales, des listes de contacts d'installations, des contrats, des historiques de service, des dossiers de projet, des schémas, des notes de configuration, des tickets de support, des calendriers de maintenance ou des détails opérationnels sensibles pour la sécurité. Le registre public n'établit pas que ces catégories ont été volées. Il établit que l'entreprise analysait les données exfiltrées ou impactées et que le risque d'utilisation abusive des données des clients, des employés ou d'autres données était suffisamment important pour être discuté.

Cette distinction est importante. Les commentaires publics autour des incidents liés aux technologies du bâtiment peuvent rapidement évoquer des images de plans d'étage, de badges, de caméras et de contrôles de bâtiment. La norme de preuve responsable est plus stricte. Si les documents n'identifient pas les catégories volées, un article public ne doit pas prétendre les connaître. La question de responsabilité est plutôt de savoir si Johnson Controls disposait de la classification des données, des contrôles de conservation, du processus de notification des clients et des preuves médico-légales nécessaires pour répondre rapidement à ces questions pour les clients dont les bâtiments peuvent avoir des fonctions de sécurité publique ou de service public.

Le même problème s'applique à l'identité et à l'accès. Si un fournisseur propose un support à distance ou des services cloud, les clients ont besoin d'être assurés que les identités, les clés, les certificats, les comptes privilégiés et les canaux de service sont séparés et validés. Les documents publics ne décrivent pas cette architecture. Les objectifs de performance en cybersécurité intersectoriels de la CISA mettent l'accent sur des mesures telles que la sécurité des comptes, la gestion des vulnérabilités, la planification de la réponse aux incidents, la sécurité des données et la gestion des risques liés aux tiers. Il ne s'agit pas de conclusions spécifiques à Johnson Controls, mais elles constituent une référence publique utile pour le type de preuves que les clients devraient attendre après un ransomware chez un fournisseur. (Objectifs de performance en cybersécurité de la CISA)

Le Cadre de cybersécurité 2.0 du NIST aide également à organiser la question. Il ajoute la gouvernance comme fonction fondamentale aux côtés d'identifier, protéger, détecter, répondre et récupérer. Pour une entreprise dans la position de Johnson Controls, la gouvernance n'est pas seulement une politique au niveau du conseil. C'est la capacité de savoir quels systèmes soutiennent quelles obligations envers les clients, quelles données sont détenues, quels services doivent être rétablis en premier, qui a le pouvoir de désactiver ou d'isoler les fonctions orientées client, et comment les preuves de récupération sont communiquées. (Cadre de cybersécurité du NIST)

La segmentation était le contrôle silencieux

Les documents publics font référence à une partie de l'infrastructure informatique interne, pas à tous les systèmes partout. C'est une phrase importante. Elle suggère que l'environnement affecté était délimité, mais elle n'explique pas les limites. La segmentation est le contrôle caché qui détermine si le ransomware reste une perturbation interne de l'entreprise ou se propage aux opérations des clients, aux systèmes de produits, aux environnements de développement logiciel, aux magasins d'identités ou aux plateformes de services à distance.

Une segmentation efficace n'est pas seulement un schéma de réseau. Elle inclut les limites d'identité, les comptes administratifs, la séparation des sauvegardes, les dépendances applicatives, l'accès des fournisseurs, la journalisation, les contrôles d'accès privilégiés, la location cloud, les comptes de service et les procédures d'exploitation d'urgence. Elle inclut également les décisions commerciales sur les systèmes autorisés à communiquer avec les plateformes orientées client, ceux qui peuvent être isolés sans interrompre le service, et la manière dont les équipes locales fonctionnent lorsque les applications centrales sont indisponibles.

Les conseils StopRansomware de la CISA mettent l'accent sur les sauvegardes, la restauration testée, l'authentification multifacteur, le moindre privilège, la segmentation, la gestion des vulnérabilités, la planification de la réponse aux incidents et la communication. Ces conseils ne prouvent pas ce que Johnson Controls a fait ou n'a pas fait. Ils identifient les familles de contrôles qui comptent lorsqu'un acteur de ransomware atteint les systèmes internes. (Guide StopRansomware de la CISA)

Dans cet incident, les preuves de segmentation ne sont publiques que par implication. Johnson Controls a déclaré plus tard que les applications et systèmes touchés avaient été restaurés. Elle n'a pas publié le chemin d'accès initial, la liste des applications affectées, l'ordre de restauration ou la limite d'isolement entre l'informatique d'entreprise et les environnements orientés client ou produits. Elle n'a pas publié si des services cloud ont été mis hors ligne par précaution. Elle n'a pas identifié la catégorie de données exfiltrées. Sans ces preuves, une évaluation publique peut créditer l'entreprise pour avoir divulgué l'incident et les coûts, mais ne peut pas vérifier indépendamment la solidité de la segmentation.

Les clients devraient se soucier de cette lacune. Un propriétaire d'installation du secteur public n'a pas besoin de chaque détail médico-légal, mais il a besoin d'une réponse fiable à un ensemble plus restreint de questions: Mes systèmes étaient-ils accessibles depuis l'environnement compromis? Mes identifiants, schémas, tickets ou enregistrements de contacts ont-ils été exposés? Un chemin de support à distance a-t-il changé? Un processus de mise à jour de produit ou d'avis a-t-il été affecté? Les numéros de service d'urgence et les procédures manuelles sont-ils à jour? Ce sont des questions de continuité, pas seulement des questions de cybersécurité.

La communication client comporte son propre risque

La communication client lors d'un incident de ransomware chez un fournisseur de bâtiments est difficile parce qu'une trop grande spécificité peut exposer des détails de sécurité, tandis qu'une trop faible crée des rumeurs et un travail dupliqué. Un fournisseur mondial peut avoir des milliers de clients avec différents contrats, des bureaux de service locaux, des intégrateurs, des partenaires de distribution, des régulateurs et des exigences d'assurance. Le problème de communication n'est pas résolu par un dépôt public auprès des investisseurs.

Les dépôts publics fournissent une base, mais ils sont adressés aux investisseurs. Les propriétaires d'installations peuvent avoir besoin de plus de contenu opérationnel: si les portails de service fonctionnent, comment contacter le support d'urgence, si les techniciens de terrain ont accès aux ordres de travail, si les factures et les bons de commande sont retardés, si les avis de sécurité des produits sont toujours à jour, si la surveillance à distance est dégradée, et si des données clients nécessitent une action de protection.

C'est pourquoi la dépendance au cloud est importante. Les services cloud et gérés peuvent accélérer le support en temps normal, mais ils peuvent aussi rendre la communication client plus complexe en période anormale. Un client peut ne pas savoir si une panne de tableau de bord est causée par le bâtiment du client, un problème de télécommunications, un service cloud, une action d'isolement du fournisseur ou un incident chez un intégrateur. Lorsque les propres systèmes du fournisseur sont compromis, le premier travail du client est de séparer la sécurité du bâtiment de l'incertitude du fournisseur.

Johnson Controls dispose de ressources publiques en matière de cybersécurité et de sécurité des produits, y compris des pages pour la sécurité des produits et les avis de sécurité. Ces ressources sont importantes car elles créent un canal public pour les vulnérabilités, les avis produits et l'assurance. (Sécurité des produits Johnson Controls,Avis de sécurité Johnson Controls) L'incident de ransomware de 2023 a testé une fonction connexe mais différente: la capacité de l'entreprise à utiliser des canaux de confiance pour expliquer la perturbation de l'entreprise, l'analyse des données et la continuité client sans créer de fausse assurance.

Il n'y a aucune preuve publique que Johnson Controls n'a pas communiqué avec les clients lorsque cela était nécessaire. Le registre public ne fournit pas non plus de journal de communication détaillé. Cela laisse un problème de responsabilité résiduel. Pour les fournisseurs sur les marchés du bâtiment à proximité de la sécurité, la norme devrait être mesurée non seulement par le fait que l'entreprise a déposé auprès de la SEC, mais par le fait que les clients affectés ont reçu des informations opportunes, exploitables et spécifiques à leur rôle qui leur ont permis de maintenir les bâtiments en fonctionnement et de prendre leurs propres décisions de divulgation.

La continuité du secteur public n'est pas la seule responsabilité du fournisseur

Les clients du secteur public de Johnson Controls ne peuvent pas externaliser toute la continuité au fournisseur. Un hôpital, un district scolaire, une agence municipale ou une autorité publique qui utilise des systèmes de bâtiment doit maintenir des procédures locales pour faire fonctionner les espaces critiques en cas de panne du fournisseur, de cyber-incidents et de défaillances de communication. Cela inclut les dérogations locales, les contacts d'urgence testés, les procédures papier, les pièces de rechange, les accords de service alternatifs, la surveillance indépendante le cas échéant, et une autorité claire pour le personnel des installations.

Mais cela ne dégage pas le fournisseur. La continuité du fournisseur et celle du client sont liées. Si une installation publique dépend du service cloud, du support à distance, du contrat de surveillance ou des pièces propriétaires d'un fournisseur, le fournisseur contrôle des informations que le client ne peut pas générer seul. Le client peut maintenir une solution de repli locale, mais il ne peut pas déterminer indépendamment si les données exfiltrées du fournisseur comprenaient ses tickets de service ou si une identité d'accès à distance du fournisseur a été exposée. Le fournisseur doit fournir des preuves ou un avis.

Le contexte des soins de santé et de la santé publique est particulièrement sensible. Les installations dépendent des conditions environnementales, du contrôle d'accès, des systèmes d'incendie et de sécurité des personnes, des ordres de travail de maintenance, de la réfrigération, des laboratoires et des zones de soins aux patients. Une panne du fournisseur peut ne pas menacer immédiatement les patients, mais elle peut ajouter une charge de travail aux équipes des installations qui gèrent déjà des priorités cliniques. La même logique s'applique aux écoles, aux bureaux gouvernementaux et aux installations d'urgence: les opérations du bâtiment sont une infrastructure de fond jusqu'à ce qu'elles échouent ou deviennent incertaines.

C'est là que la responsabilité se divise. Les acteurs criminels ont contrôlé l'intrusion et l'extorsion. Johnson Controls a contrôlé l'architecture d'entreprise, la gouvernance des données, la récupération et l'assurance client. Les clients du secteur public ont contrôlé les conditions d'approvisionnement, les plans de continuité et les opérations locales. Les régulateurs et les assureurs ont influencé la divulgation, les réclamations et les attentes en matière de risque. Aucun acteur unique n'a contrôlé l'ensemble des conséquences, mais plusieurs acteurs en ont suffisamment contrôlé pour que l'événement ne soit pas réduit à « un gang de ransomware l'a fait ».

L'assurance et la comptabilité font partie du dossier de gouvernance

Les dépôts de Johnson Controls mentionnent la coordination avec les assureurs et indiquent plus tard que l'impact de 27 millions de dollars au premier trimestre était net des recouvrements d'assurance. Ce n'est pas un détail secondaire. La cyber-assurance peut façonner la réponse aux incidents en finançant le travail médico-légal, les conseils juridiques, les coûts de récupération, les frais de notification et les réclamations pour interruption d'activité. Elle peut également façonner les preuves recueillies et la manière dont les coûts sont classés.

Le recouvrement d'assurance est utile pour les actionnaires, mais il ne répond pas à la question de la responsabilité opérationnelle. Un coût peut être assuré et représenter néanmoins une défaillance de contrôle, une interruption d'activité, un fardeau pour le client ou une lacune de restauration évitable. Inversement, une facture de réponse importante ne prouve pas en soi une mauvaise sécurité. Elle peut refléter un travail médico-légal prudent, des reconstructions d'infrastructure, des avis aux clients et un renforcement après un incident. Les dépôts publics ne permettent pas un jugement clair dans un sens ou dans l'autre.

Le prisme de responsabilité le plus utile est ce que le dossier comptable peut et ne peut pas montrer. L'impact de 27 millions de dollars confirme une conséquence financière. Il suggère que l'incident a affecté le calendrier des revenus et les dépenses de réponse suffisamment pour compter dans un rapport trimestriel. Il ne montre pas le coût brut avant assurance, la répartition entre les fournisseurs médico-légaux, les frais juridiques, les investissements dans l'infrastructure, les commandes perdues, les revenus différés, les crédits clients, les heures supplémentaires des employés ou la surveillance future. Il ne montre pas non plus si des coûts pour les clients ou le secteur public ont été transférés en dehors des comptes de Johnson Controls.

La discussion continue dans le rapport annuel de l'exercice 2024 sur les coûts importants possibles, la remédiation, les réclamations juridiques ou les mesures d'exécution montre que l'événement est resté un problème de gouvernance après la restauration technique. C'est normal pour un ransomware avec exfiltration de données. L'événement ne se termine pas lorsque les applications reviennent. Il ne se termine qu'une fois que l'entreprise peut rendre compte des données, notifier si nécessaire, résoudre les réclamations, renforcer les systèmes et montrer que la récupération n'a pas laissé d'exposition cachée.

L'autopsie manquante est la principale lacune de preuves

Les preuves publiques sont exceptionnellement bonnes en un sens: les dépôts de Johnson Controls sont plus clairs que de nombreuses divulgations de ransomware d'entreprises publiques parce qu'ils indiquent finalement l'accès non autorisé, l'exfiltration de données, le ransomware, l'infrastructure informatique interne affectée, la perturbation des applications commerciales, la restauration et l'impact quantifié. C'est significatif. Cela donne aux investisseurs et aux clients plus qu'une étiquette vague d'« incident de sécurité ».

Les preuves sont encore incomplètes. Le registre public n'identifie pas l'attaquant, bien que les médias et les rapports de renseignement sur les menaces aient discuté des acteurs de ransomware possibles et des demandes. Il ne fournit pas de dossier judiciaire, d'attribution par les forces de l'ordre, de divulgation de paiement de rançon, de rapport médico-légal indépendant ou de liste de catégories de données. Il n'explique pas si l'entreprise a payé ou refusé une demande. Il ne fournit pas de statistiques de notification des clients. Il ne montre pas si les systèmes affectés comprenaient des portails clients, la répartition des services, la surveillance à distance, les processus de sécurité des produits, les systèmes de développement ou l'infrastructure d'identité.

Ces omissions peuvent être juridiquement ou opérationnellement nécessaires. Les entreprises évitent souvent de publier des détails qui pourraient aider les attaquants ou compromettre les enquêtes. Néanmoins, l'absence affecte la responsabilité. Sans autopsie ou ensemble équivalent d'assurance client, les observateurs extérieurs ne peuvent pas évaluer si l'incident était un événement d'entreprise étroitement contenu, une défaillance plus large de la plateforme commerciale, une défaillance de gouvernance des données, ou un mélange de ceux-ci.

C'est pourquoi les affirmations doivent rester limitées. Il est juste de dire que Johnson Controls a subi un incident de ransomware avec exfiltration de données et perturbation des applications commerciales. Il est juste de dire que son rôle dans la technologie du bâtiment a fait de l'incident une préoccupation de continuité du fournisseur pour les propriétaires d'installations et les clients du secteur public. Il n'est pas juste, sur la seule base des preuves publiques, de dire que les attaquants contrôlaient les bâtiments des clients, qu'une catégorie spécifique de clients a été exposée, qu'une faiblesse technique spécifique a causé l'intrusion, ou que Johnson Controls a violé une obligation légale.

Les intégrateurs ont porté une partie du fardeau de l'assurance

La technologie du bâtiment est rarement fournie par un centre d'entreprise unique s'adressant directement à chaque exploitant de bâtiment. Elle est généralement installée, maintenue et étendue par le biais de succursales locales, d'intégrateurs, d'entrepreneurs, d'équipes de projet et de services des installations des clients. Cela rend la responsabilité de l'incident plus distribuée que ce qu'un simple schéma fournisseur-client suggère. Si les applications centrales sont dégradées, les équipes locales peuvent encore être en mesure d'entretenir les bâtiments. Mais elles peuvent devoir le faire avec un accès incomplet aux ordres de travail, une visibilité retardée sur les pièces, des chemins d'escalade réduits, des notes manuelles, des téléphones alternatifs ou une incertitude quant aux dossiers clients qui sont à jour.

Cette couche locale est importante parce que de nombreuses installations expérimentent la continuité du fournisseur à travers les personnes qui se présentent sur place. Un district scolaire ne fait pas nécessairement la distinction entre l'informatique d'entreprise de Johnson Controls, un bureau de service local, un sous-traitant et un intégrateur d'automatisation de bâtiment lorsqu'une alarme de refroidisseur ou un problème de contrôle d'accès nécessite une attention. Le client demande si le problème peut être résolu, si le technicien a le bon historique, si le canal de service est fiable, et si une restriction liée à un incident modifie les procédures normales.

En cas de ransomware, les intégrateurs deviennent également des traducteurs de preuves. Ils peuvent recevoir des instructions centrales sur ce qu'il faut dire, les systèmes à utiliser, les connexions à distance à éviter, les procédures d'urgence à suivre, ou les questions des clients qui doivent être escaladées. Si ces instructions sont tardives ou vagues, le personnel local peut créer involontairement des messages incohérents. On peut dire à un client que seuls les systèmes de back-office ont été affectés. On peut dire à un autre de suspendre l'accès à distance. Un autre peut ne recevoir aucun détail opérationnel. Même si toutes les déclarations sont faites de bonne foi, l'incohérence devient une partie du préjudice parce que les clients doivent décider à quelle information se fier.

Il ne s'agit pas d'affirmer que le réseau d'intégrateurs de Johnson Controls a échoué. Le registre public ne le montre pas. C'est une affirmation sur l'endroit où se situe le travail de continuité. Un fournisseur avec des clients d'installations publiques devrait traiter la communication avec le service de terrain et les intégrateurs comme faisant partie de la réponse aux incidents, et non comme une tâche de relations publiques en aval. Cela signifie préparer des arbres de messages, des chemins de support d'urgence, des procédures d'ordre de travail hors ligne, la validation de l'identité des techniciens, des règles d'escalade spécifiques aux clients et un moyen de réconcilier le travail manuel après le retour des applications.

Le même point s'applique à l'assurance de la sécurité des produits. Une page centrale de sécurité des produits peut publier des avis et des chemins de contact, mais les clients locaux peuvent demander aux équipes de terrain si un avis concerne leur bâtiment, leur version de contrôleur, leur configuration d'accès à distance ou leur contrat de service géré. Pendant un ransomware d'entreprise, ces équipes de terrain ont besoin d'une ligne fiable entre les informations sur les vulnérabilités des produits et les informations sur les incidents d'entreprise. Sinon, les clients peuvent confondre une divulgation de ransomware d'entreprise avec une compromission de produit, ou sous-réagir en supposant qu'aucun produit n'a été impliqué.

Les preuves de récupération les plus solides incluraient donc la préparation des partenaires et des intégrateurs, pas seulement la restauration centrale. Elles montreraient que les équipes de service locales savaient quels systèmes étaient fiables, comment vérifier l'identité des techniciens, comment documenter le service manuel, comment répondre aux questions d'exposition des données, et comment passer du mode dégradé aux opérations normales. C'est la couche pratique où un incident de ransomware dans les technologies du bâtiment reste soit gérable, soit devient un problème de continuité alimenté par la rumeur.

À quoi ressembleraient de bonnes preuves de récupération

Un dossier de récupération utile pour ce type d'incident aurait plusieurs couches. Premièrement, il définirait l'environnement affecté en catégories simples sans révéler de détails exploitables: applications d'entreprise, services d'identité, systèmes de support client, systèmes de développement de produits, services cloud, outils de support à distance, répartition des services, systèmes financiers et dépôts de données. Deuxièmement, il expliquerait quels services orientés client étaient indisponibles ou dégradés et pendant combien de temps. Troisièmement, il indiquerait si les identifiants des clients, les informations sur les installations, les dossiers de service ou d'autres données sensibles des clients ont été exposés, avec des canaux de notification pour les parties concernées.

Quatrièmement, il décrirait l'assurance de la restauration: si les systèmes ont été reconstruits, restaurés à partir de sauvegardes, validés par des tiers, surveillés pour la persistance et examinés pour l'abus de comptes privilégiés. Cinquièmement, il expliquerait les mesures de continuité client, y compris les chemins de support d'urgence, la solution de repli du service de terrain, la continuité des avis de sécurité des produits et les conseils pour les installations qui dépendent des services cloud du fournisseur. Sixièmement, il séparerait l'impact financier à l'échelle de l'entreprise des conséquences opérationnelles pour les clients ou le secteur public.

Ce ne sont pas des demandes irréalistes pour chaque incident. Elles sont proportionnelles au rôle d'un fournisseur dont les produits et services peuvent soutenir des espaces physiques. Un fournisseur de logiciels en tant que service peut devoir une transparence sur l'état de la plateforme. Un fournisseur de technologies du bâtiment doit cela et quelque chose de plus: l'assurance que la couche numérique soutenant les bâtiments a été séparée de toute couche d'entreprise compromise et que les clients savent quoi faire pendant que l'incertitude persiste.

Cette norme de preuve est alignée sur les orientations publiques plutôt qu'inventée après coup. Les documents StopRansomware et les objectifs de performance de la CISA mettent l'accent sur la planification de la réponse, les sauvegardes, le contrôle d'accès, la segmentation, les communications en cas d'incident et la récupération. Le cadre du NIST met l'accent sur les fonctions de gouvernance et de récupération. Les règles de divulgation de la SEC mettent l'accent sur les informations opportunes sur les incidents importants pour les investisseurs. Aucune de ces sources n'exige d'une entreprise qu'elle publie l'intégralité de son manuel de jeu, mais ensemble, elles définissent une attente publique selon laquelle les cyber-incidents graves doivent être expliqués en termes opérationnels, et pas seulement décrits comme des événements criminels. (Guide StopRansomware de la CISA,Objectifs de performance en cybersécurité de la CISA,Cadre de cybersécurité du NIST,Règle finale de la SEC)

La responsabilité suit le contrôle

L'incident de Johnson Controls ne doit pas être traité comme une pièce de moralité sur un seul méchant ou une simple mise en accusation d'une seule entreprise. Les faits publics indiquent un accès non autorisé criminel et un ransomware. C'est la première responsabilité. Mais l'analyse de la responsabilité pose une question différente: qui avait le contrôle pratique sur les risques qui ont rendu l'incident conséquent?

Johnson Controls contrôlait la segmentation de l'entreprise, la gouvernance des identités, la conservation des données, la conception des sauvegardes, la récupération des applications commerciales, la continuité du support client, la gouvernance de la divulgation, la coordination avec les assureurs et l'investissement dans la remédiation. Son conseil d'administration et ses dirigeants contrôlaient la manière dont le risque de cybersécurité était gouverné et la rapidité avec laquelle l'incertitude était transformée en informations exploitables. Ses équipes techniques et ses fournisseurs contrôlaient l'enquête, le confinement et la restauration. Ses organisations produit et client contrôlaient la manière dont les propriétaires de bâtiments, les intégrateurs et les équipes de terrain recevaient des conseils.

Les clients contrôlaient l'approvisionnement, la solution de repli locale, les exigences contractuelles et les plans d'exploitation d'urgence. Les agences publiques et les entités réglementées contrôlaient leurs propres attentes en matière de continuité et procédures d'escalade. Les assureurs contrôlaient des portions de remboursement et de demande de preuves. Les régulateurs contrôlaient les attentes en matière de divulgation et d'application. Chacun de ces acteurs peut pointer vers le rôle d'un autre acteur, mais aucun ne peut prétendre de manière plausible que l'événement n'était pas pertinent pour ses propres contrôles.

La leçon la plus importante n'est pas que chaque système de bâtiment devrait être déconnecté de chaque service de fournisseur. La technologie des bâtiments connectés offre une réelle valeur. La leçon est que la technologie des bâtiments connectés transforme la résilience du fournisseur en une partie de la résilience de l'installation. Si le ransomware interne d'un fournisseur perturbe les applications commerciales et exfiltre des données, le propriétaire du bâtiment a besoin de réponses qui correspondent aux opérations, pas seulement à la matérialité pour les actionnaires.

Les dépôts de Johnson Controls ont donné au marché des faits significatifs. Ils n'ont pas donné au public un dossier de continuité complet. Cette lacune est la conclusion centrale de l'article. Dans la technologie du bâtiment, la récupération ne consiste pas simplement à restaurer les applications internes. La récupération consiste à prouver aux clients que les bâtiments, les canaux de service, les identités, les données et l'assurance produit sont restés dignes de confiance pendant que le fournisseur reconstruisait les systèmes autour d'eux.