Los Angeles Superior Court a fait de la récupération du ransomware un test de continuité et de responsabilité de la justice numérique

Résumé

• L'incident de ransomware à la Cour supérieure de Los Angeles relève d'un dossier de risque et de responsabilité car l'enregistrement public confirmé relie une attaque par ransomware à des systèmes réseau désactivés, à la fermeture de l'ensemble des 36 tribunaux pendant une journée, à des ordonnances d'urgence sur les délais et les reports, à une réouverture à fonctionnalité limitée, à la restauration de plus de 15 services publics, à un suivi des droits de la défense publique et à une enquête médico-légale en cours sur la portée, l'ampleur et la compromission des données.
• Qui avait le contrôle effectif de la mise hors service du réseau judiciaire, de la fermeture des tribunaux, de l'allègement des délais de dépôt, du rétablissement des comparutions à distance, de l'accès à la gestion des dossiers, des systèmes de jury, des services de circulation et de dépôt, des avis publics et des preuves que l'accès à la justice était protégé pendant la reconstruction des systèmes?
• Le communiqué de presse du 19 juillet 2024 de la Cour, disponible surhttps://www.lacourt.org/newsmedia/uploads/1420247309641NR07-19-2024SUPERIORCOURTOFLOSANGELESCOUNTYEXPERIENCESRANSOMWAREATTACK-2.pdf, indique que les services technologiques de la Cour ont identifié un incident de sécurité grave dans les systèmes internes, qui s'est avéré être une attaque par ransomware, que l'attaque a commencé tôt ce matin-là, que la Cour a désactivé les systèmes réseau pour limiter les dégâts et qu'une enquête préliminaire n'a montré à ce moment-là aucune preuve de compromission des données des utilisateurs de la Cour.
• L'avis de fermeture du 21 juillet, surhttps://www.lacourt.org/newsmedia/uploads/14202487134043NR7212024-COURTCLOSEDTOMORROW.pdf, précise que les 36 tribunaux seraient fermés le 22 juillet car la quasi-totalité des systèmes réseau avaient été mis hors service, de nombreux systèmes critiques restaient hors ligne et les systèmes comprenant les portails externes, le site Web et la gestion interne des dossiers étaient touchés.
• L'avis de restauration du 29 juillet, surhttps://www.lacourt.org/newsmedia/uploads/142024729163959NR07-29-2024-COURTSYSTEMSRETURNTOFULLFUNCTIONALITY%281%29.pdf, indique que tous les systèmes principaux étaient pleinement fonctionnels, que plus de 15 services publics avaient été rétablis, que les fonctions de base ont repris en cinq jours, que les opérations complètes sont revenues en 11 jours et que les forces de l'ordre continuaient d'enquêter sur la portée, l'ampleur et la compromission éventuelle des données.
• Cet article traite les communiqués de presse de la Cour, les ordonnances d'urgence, les documents du comté et du bureau de la défense publique, les documents du Conseil judiciaire, NIST, CISA et les sources de planification technologique judiciaire comme les documents publics les plus solides. Les reportages ne sont utilisés que pour la chronologie publique et le contexte d'impact, et non comme preuve médico-légale privée.

Pourquoi ce cas relève d'un dossier de risque et de responsabilité

La Cour supérieure de Los Angeles relève d'un dossier de risque et de responsabilité car les tribunaux sont des institutions de continuité. Un tribunal ne peut pas simplement suspendre ses obligations publiques chaque fois que sa technologie tombe en panne. Les citoyens ont besoin d'ordonnances de protection, de mises en accusation, de décisions de garde, de dépôts, d'instructions aux jurés, de paiements d'infractions, d'audiences à distance, de délais civils, d'ordonnances de droit de la famille, d'accès aux successions et d'informations sur les affaires pénales. Les avocats ont besoin d'accès à la gestion des dossiers et de canaux de dépôt.

Les juges et le personnel ont besoin de systèmes fiables pour entendre les affaires et conserver les enregistrements. Lorsqu'une attaque par ransomware désactive les systèmes réseau du tribunal, le problème devient un problème de continuité de la justice.

Le communiqué de presse du 19 juillet 2024 de la Cour constitue le document de sécurité public de base. Il indique que la division des services technologiques de la Cour a identifié un incident de sécurité grave dans les systèmes internes, qui a été déterminé comme étant une attaque par ransomware. Il précise que l'attaque a commencé aux premières heures du 19 juillet et serait sans lien avec le problème CrowdStrike affectant les plateformes technologiques dans le monde. Il indique que la Cour a désactivé les systèmes réseau pour limiter les dégâts et les maintiendrait désactivés pendant le week-end pour y remédier.

Il mentionne que la Cour a reçu le soutien du California Governor's Office of Emergency Services et des forces de l'ordre locales, étatiques et fédérales. Il indique également que l'enquête préliminaire n'a montré à ce moment-là aucune preuve de compromission des données des utilisateurs de la Cour.

L'avis de fermeture du 21 juillet transforme l'incident cybernétique en un événement de service public. Il indique que la Cour serait fermée le lundi 22 juillet 2024, alors que les travaux se poursuivaient pour réparer et redémarrer les systèmes réseau gravement touchés par l'attaque par ransomware. Il précise que la fermeture concernait les 36 tribunaux du comté de Los Angeles. Il cite le juge président déclarant que la quasi-totalité des systèmes réseau ont dû être mis hors service pour contenir les dégâts, protéger l'intégrité et la confidentialité, et assurer la stabilité et la sécurité futures.

Il identifie les systèmes concernés, des systèmes externes comme le portail MyJuryDuty et le site Web de la Cour, aux systèmes internes comme les systèmes de gestion des dossiers.

L'ordonnance générale jointe est une preuve de responsabilité car elle montre des mécanismes de continuité juridique, pas seulement une reprise technique. Elle stipule que toute plateforme électronique contenant des données judiciaires était inaccessible, de même que tout appareil connecté à Internet, y compris les systèmes téléphoniques. Elle indique que le personnel judiciaire et les experts en sécurité informatique reconfiguraient et restauraient les serveurs, bases de données, applications et intégrations.

Elle précise également que la Cour a obtenu une autorisation d'urgence en vertu de l'article 68115 du code gouvernemental, a déclaré le 22 juillet jour férié pour le calcul des délais de dépôt et a prolongé certaines périodes légales d'un jour ouvrable. En cas de panne d'un tribunal, ces protections des délais sont aussi importantes que la restauration des serveurs.

L'avis de restauration du 29 juillet fournit le dossier de reprise. Il indique que tous les systèmes réseau publics et internes ont été restaurés, que tous les systèmes principaux étaient pleinement fonctionnels, que plus de 15 services publics ont été rétablis, et que les justiciables pouvaient comparaître à distance, accéder aux documents disponibles dans tous les types de litiges, s'inscrire pour le service de jury, effectuer des paiements d'infractions et déposer des documents en ligne. Il précise que les fonctionnalités de base ont repris en cinq jours et que les opérations complètes sont revenues en 11 jours après l'attaque initiale.

Il indique également que les forces de l'ordre continuaient d'enquêter sur la portée et l'ampleur de la violation et sur la compromission éventuelle des données.

Le cadre de responsabilité est donc clair. Les criminels ont causé l'attaque, mais la Cour contrôlait la mise hors service du réseau, la communication publique, les demandes de fermeture, les priorités de restauration, les ordonnances d'urgence et les preuves concernant les services rétablis. Les justiciables ne contrôlaient rien de tout cela. La responsabilité doit donc se demander si la Cour a préservé l'accès à la justice, protégé les délais et les intérêts en matière de liberté, communiqué avec précision, restauré en toute sécurité et ensuite documenté suffisamment de leçons pour réduire les récidives.

Les tribunaux ont un fardeau de panne différent des agences ordinaires

Un incident de ransomware dans un tribunal est différent d'un incident de ransomware dans un bureau administratif général car les tribunaux attribuent des droits et des obligations sous pression temporelle. Un délai manqué peut modifier la position d'un plaideur. Une audience retardée peut affecter la garde, la libération, le logement, la sécurité ou les contacts familiaux. Un système de dépôt désactivé peut empêcher un avocat de soumettre des documents. Une panne de comparution à distance peut pénaliser les personnes qui ne peuvent pas se déplacer. Une panne du portail des jurés peut semer la confusion chez les résidents assignés.

Une panne de gestion des dossiers peut empêcher le personnel de confirmer ce qui s'est passé dans une affaire. Les conséquences juridiques ne sont pas toujours visibles dans une mise à jour de l'état de la technologie.

La Cour supérieure de Los Angeles est également grande. L'avis du 21 juillet indique que la fermeture concernait les 36 tribunaux du comté de Los Angeles. La page California Courts sur source: courts.ca.gov décrit le tribunal de Los Angeles comme faisant partie du système judiciaire de l'État et fournit des points d'accès pour les justiciables. La taille augmente la complexité de la reprise car il y a de nombreux types d'affaires, installations, utilisateurs, appareils, intégrations et services publics. Elle augmente également l'impact public en cas de défaillance des systèmes réseau.

Le langage public de la Cour a reconnu ce fardeau. L'avis du 21 juillet indique que la Cour reconnaissait l'importance de la fermeture d'un tribunal pour les communautés qu'elle sert et la mission qu'elle remplit, mais que les magistrats et le personnel avaient besoin d'un environnement sûr et sécurisé ainsi que des informations nécessaires pour remplir la mission de la Cour. Cette phrase résume le compromis fondamental. Maintenir les tribunaux ouverts sans informations fiables peut nuire à la justice. Fermer les tribunaux peut également nuire à la justice. La décision responsable n'est pas simplement ouverte ou fermée;

c'est de savoir si la fermeture est légalement autorisée, limitée dans le temps, expliquée publiquement et assortie de protections des délais.

L'avis de réouverture du 22 juillet, sur source: lacourt.org, est important car la reprise n'a pas été une normalité immédiate. La Cour a rouvert avec des fonctionnalités limitées. Une réouverture à fonctionnalité limitée nécessite un triage. Quelles affaires peuvent être entendues? Quels dépôts peuvent être acceptés? Quelles comparutions à distance fonctionnent? Quelles salles d'audience ont un accès système suffisant? Quels types d'affaires peuvent être traités en toute sécurité? Quels guichets publics peuvent répondre aux questions? Le dossier public montre que la phase de réouverture existait;

il ne publie pas chaque décision de triage interne.

La mise à jour opérationnelle du 23 juillet, sur source: lacourt.org, ajoute un autre point de transition. Les mises à jour opérationnelles sont des artefacts de responsabilité car elles permettent aux utilisateurs de voir ce qui a changé après la réouverture. Dans un système judiciaire, l'information sur l'état fait partie de la prestation de services. Un plaideur qui s'appuie sur un message de panne obsolète peut manquer une occasion de déposer ou de comparaître. Un avocat qui suppose une normalité trop tôt peut mal conseiller un client. Un juré qui ne peut pas accéder aux instructions peut être confus.

Le centre d'information temporaire et les mises à jour publiques de la Cour ont donc servi d'outils de continuité.

L'autorité de fermeture et l'allègement des délais sont des surfaces de contrôle essentielles

Le contrôle non technique le plus important dans le dossier public est l'ordonnance d'urgence. La Cour n'a pas simplement annoncé que les systèmes étaient en panne. Elle a demandé et reçu une autorisation d'urgence du juge en chef et président du Conseil judiciaire de Californie en vertu de l'article 68115 du code gouvernemental. L'ordonnance générale du 21 juillet a ensuite traité le 22 juillet comme un jour férié pour le calcul des délais de dépôt et a prolongé certaines périodes légales.

C'est exactement le type de mécanisme de continuité juridique dont un tribunal a besoin lorsqu'une défaillance technologique rend le fonctionnement ordinaire impossible.

L'allègement des délais est important car un préjudice cybernétique peut autrement se transformer en préjudice juridique. Si un système de dépôt électronique est en panne et que les délais ne sont pas ajustés, la panne transfère le risque institutionnel aux plaideurs. Si un tribunal est fermé et que les périodes légales ne sont pas traitées, la fermeture peut créer des conséquences injustes pour des personnes qui n'ont rien fait de mal. L'ordonnance générale n'a pas résolu tous les problèmes spécifiques aux affaires, mais elle a créé un pont juridique public à travers la journée de panne.

L'inférence étayée est que l'autorisation d'urgence a réduit le risque d'injustice systémique. C'est une inférence tirée du contenu et de l'objet de l'ordonnance, et non une affirmation que personne n'a été gêné ou lésé. Une personne pourrait encore subir des retards, de la confusion, des coûts supplémentaires, du travail manqué, des difficultés de transport ou de l'anxiété. La norme de responsabilité est de savoir si la Cour a utilisé les outils juridiques disponibles pour prévenir une perte de droits évitable pendant la restauration des systèmes.

L'ordonnance montre également pourquoi les tribunaux ont besoin d'une planification de continuité spécifique au cyberespace. Une fermeture pour catastrophe naturelle, panne de courant ou urgence physique peut nécessiter une autorisation similaire, mais une cyberattaque pose des questions différentes en matière de preuve et d'intégrité. Si les données des dossiers sont inaccessibles, le personnel judiciaire peut ne pas être en mesure de vérifier les calendriers, les dépôts, les avis aux parties ou l'état des dossiers. Si les téléphones sont en panne, la communication publique ordinaire est interrompue.

Si les appareils connectés à Internet sont affectés, le personnel peut devoir reconstruire non seulement les applications, mais aussi la fiabilité des terminaux et des bases de données. Les références de l'ordonnance aux serveurs, bases de données, applications et intégrations ne sont pas des détails techniques. Elles expliquent pourquoi une réouverture en toute sécurité nécessitait une validation.

Le dossier public ne dit pas quelles affaires ont connu des litiges de délais par la suite, si un plaideur a demandé un allègement supplémentaire, ou si certains types d'affaires ont eu des problèmes particuliers. Ce sont des inconnues. Mais l'existence d'une ordonnance de fermeture publique et de dispositions sur les délais est un fait de responsabilité fort. Il montre que la Cour a reconnu que la continuité dans un système judiciaire inclut les droits procéduraux, pas seulement la disponibilité.

Les systèmes de justice numérique créent accès et exclusion en même temps

L'avis de restauration du 29 juillet énumère plus de 15 services publics qui ont été rétablis, notamment les comparutions à distance, l'accès aux documents, l'inscription au service de jury via MyJuryDuty, les paiements d'infractions et les dépôts en ligne. Cette liste montre à quel point l'expérience judiciaire ordinaire est devenue numérique. Ces systèmes facilitent l'accès lorsqu'ils fonctionnent. Ils peuvent également devenir des points de défaillance uniques lorsqu'ils sont indisponibles.

Les comparutions à distance en sont un exemple clair. Elles peuvent réduire les déplacements, aider les personnes ayant des responsabilités de soins, soutenir les avocats ayant plusieurs comparutions et améliorer l'accès pour les personnes vivant loin d'un tribunal. Mais si l'accès à distance échoue, la même dépendance peut créer une confusion quant à savoir si une personne doit comparaître en personne, si une audience aura lieu ou si la non-comparution sera excusée. Un plan de reprise après ransomware pour un tribunal moderne doit donc inclure une communication de contingence pour les comparutions à distance.

L'accès aux documents en ligne est un autre exemple. L'accès du public et des parties aux documents soutient la transparence, la préparation et la confiance. Si les documents disponibles ne peuvent pas être consultés, les avocats peuvent ne pas être en mesure de se préparer, les journalistes peuvent ne pas être en mesure d'inspecter les dépôts et les plaideurs non représentés peuvent ne pas savoir ce qui s'est passé dans leur affaire. L'avis du 29 juillet indique que l'accès aux documents disponibles dans tous les types de litiges a été rétabli. Cette déclaration est une étape de la reprise.

Elle ne nous dit pas si tous les documents étaient disponibles pendant toute la panne, quels documents ont été retardés ou si des documents manuels ont été rapprochés ultérieurement.

Le service de jury et les paiements d'infractions illustrent l'expérience judiciaire du résident ordinaire. Un juré ne pense peut-être jamais à la technologie judiciaire jusqu'à ce qu'un portail tombe en panne. Un conducteur peut n'interagir avec le tribunal que pour payer ou contester une contravention. Lorsque ces systèmes sont inaccessibles, la confiance du public peut être endommagée même si aucune procédure judiciaire n'est retardée.

Le centre d'information temporaire de la Cour a aidé en suivant les indicateurs de restauration, mais la question de responsabilité plus profonde est de savoir si la Cour disposait d'instructions hors ligne, de conseils de paiement ou de comparution alternatifs et d'avis publics clairs pour les personnes qui ne suivent pas les réseaux sociaux du tribunal.

La justice numérique affecte également les plaideurs non représentés différemment. Les avocats peuvent avoir des réseaux professionnels, des mises à jour du barreau, des équipes de greffe et des contacts directs. Les personnes non représentées peuvent compter fortement sur les sites Web publics, les lignes téléphoniques, les guichets et les formulaires. L'ordonnance du 21 juillet indiquait que les systèmes téléphoniques connectés à Internet étaient également inaccessibles. Ce détail est important car il signifie que les personnes sans représentation juridique ont pu perdre à la fois l'accès au site Web et au téléphone en même temps.

Un dossier de responsabilité complet examinerait comment les plaideurs non représentés ont été soutenus pendant la panne et la réouverture.

La défense publique montre pourquoi les pannes judiciaires peuvent affecter les intérêts en matière de liberté

Le communiqué du bureau du défenseur public du comté de Los Angeles, sur source: pubdef.lacounty.gov, est important car il déplace le dossier des opérations judiciaires vers les droits des clients. Le défenseur public a indiqué que ses propres systèmes n'avaient pas été touchés, mais que l'attaque posait des défis importants aux opérations judiciaires. Il a précisé que tous les bureaux du défenseur public resteraient ouverts et dotés en personnel, que les avocats seraient disponibles pour des conseils juridiques et un soutien, et que le bureau se concentrait sur la minimisation des perturbations et la protection des droits des clients.

Il a spécifiquement fait référence au droit à un procès rapide et à une procédure de libération accélérée pour les clients éligibles.

Ce communiqué fait de l'incident un cas de continuité de la justice, et pas seulement un cas de technologie judiciaire. Les accusés pénalement, les personnes détenues et les personnes ayant des audiences urgentes peuvent être affectés par un retard judiciaire d'une manière qualitativement différente d'un simple inconvénient ordinaire. Une journée de fermeture peut être gérable dans de nombreuses affaires civiles. Dans un contexte de garde, de mise en accusation, d'ordonnance de protection ou de libération, le moment peut être crucial.

Le dossier du défenseur public montre qu'au moins un partenaire judiciaire a traité la panne comme un événement de protection des droits.

L'inférence étayée est que les partenaires judiciaires ont dû créer un travail de continuité parallèle pendant que la Cour rétablissait les systèmes. Les défenseurs publics, les procureurs, les shérifs, les greffiers, les magistrats, les avocats privés et les agences du comté ont peut-être chacun dû ajuster les calendriers, communiquer avec les clients et suivre les affaires urgentes. Le dossier public confirme la réponse du défenseur public, mais il ne fournit pas une carte complète des actions de continuité de chaque partenaire judiciaire. Cela reste une inconnue.

L'accent mis par le défenseur public sur les droits à un procès rapide aide également à définir la norme de responsabilité. Il ne suffit pas qu'un tribunal affirme que les systèmes sont revenus rapidement par rapport à la durée moyenne d'indisponibilité due à un ransomware. Cela peut être vrai et pertinent. Un système judiciaire a également besoin de preuves que les personnes ayant des droits juridiques urgents ont été identifiées, suivies et protégées pendant la panne.

L'avis du 29 juillet de la Cour indique que de nombreuses affaires essentielles ont été entendues après la réouverture, notamment la sélection du jury et les demandes d'ordonnance de restriction temporaire. C'est une preuve utile, mais un dossier complet expliquerait comment les affaires pénales urgentes, familiales, de harcèlement civil, successorales, juvéniles et de dépendance ont été priorisées.

Cette analyse ne doit pas être interprétée comme une affirmation selon laquelle la Cour aurait violé des droits ou qu'un accusé spécifique aurait été lésé. Le dossier public ne l'établit pas. Le point est plus étroit et plus défendable: la nature du travail judiciaire signifie que la reprise après une cyberattaque doit inclure un triage des droits, et pas seulement la restauration des applications.

Le langage sur la compromission des données doit rester précis

Le langage de la Cour sur la compromission des données est prudent et doit rester prudent. Le communiqué de presse du 19 juillet indiquait qu'à ce moment-là, l'enquête préliminaire ne montrait aucune preuve de compromission des données des utilisateurs de la Cour. L'avis du 29 juillet indiquait que les forces de l'ordre locales, étatiques et fédérales continuaient d'enquêter sur la portée et l'ampleur de la violation, ainsi que sur la compromission éventuelle des données, et que l'enquête médico-légale était en cours. Ces déclarations ne sont pas équivalentes à une conclusion définitive selon laquelle aucune donnée n'a été compromise.

Elles ne constituent pas non plus une preuve que des données ont été volées.

Un article de sécurité publique doit préserver cette distinction. Il ne doit pas affirmer que les données des utilisateurs du tribunal ont été exfiltrées, sauf si la Cour ou une autre source faisant autorité le confirme ultérieurement. Il ne doit pas affirmer qu'aucune donnée n'a été compromise comme un fait définitif si le dossier public indique seulement que l'enquête préliminaire n'a montré aucune preuve à un moment donné et que l'enquête ultérieure était en cours. Le fait confirmé est la déclaration de la Cour concernant les preuves préliminaires et la poursuite de l'enquête.

Les données judiciaires peuvent être très sensibles même lorsqu'elles sont en partie publiques. Les dossiers peuvent inclure des adresses, des allégations, des informations financières, des dossiers médicaux, des informations relatives aux enfants, des dossiers scellés, des antécédents criminels, des détails sur les ordonnances de protection, des faits sensibles à l'immigration et des documents d'identité. Une question de violation dans un tribunal n'est donc pas seulement une question de vie privée. C'est une question de sécurité, d'équité et de confiance.

Si des données étaient compromises, le problème de notification et d'atténuation varierait selon le type d'affaire et la catégorie de données.

Les documents sur la confidentialité du Conseil judiciaire de Californie sur source: courts.ca.gov et les documents de planification technologique des tribunaux de Californie sur source: courts.ca.gov aident à cadrer cette préoccupation. Ils ne sont pas des sources médico-légales spécifiques à l'affaire. Ils montrent que les tribunaux fonctionnent dans un environnement de gouvernance plus large où la confidentialité, la technologie, l'accès et la confiance du public doivent être équilibrés.

L'inférence étayée est que la Cour a dû valider à la fois la disponibilité et l'intégrité avant de rétablir les services. L'ordonnance et les avis du 21 juillet font référence à la restauration des bases de données, applications, intégrations, systèmes réseau et opérations sécurisées. Dans un incident de ransomware, un système n'est pas restauré en toute sécurité simplement parce qu'il démarre. Il doit être suffisamment fiable pour les dossiers judiciaires, les dépôts, les calendriers et les services publics. C'est une question d'intégrité de la reprise, pas seulement d'exfiltration de données.

L'automatisation de la sécurité et les investissements cybernétiques font partie du dossier public

Le communiqué de presse du 19 juillet indique que la Cour avait investi massivement dans les opérations de cybersécurité au cours des dernières années, modernisé l'infrastructure de cybersécurité et réalisé des investissements stratégiques en personnel au sein de la division de cybersécurité des services technologiques de la Cour. Il indique que ces investissements ont permis à la Cour de détecter rapidement une intrusion et d'y remédier immédiatement. C'est une affirmation publique importante car elle transforme l'investissement cybernétique antérieur en partie du dossier de responsabilité.

L'affirmation doit être lue attentivement. C'est la preuve que la Cour dit avoir investi et qu'elle attribue en partie à cet investissement la détection et la réponse rapides. Ce n'est pas un audit indépendant complet. Elle ne divulgue pas les outils de détection, les niveaux de personnel, la segmentation, les tests de sauvegarde, la couverture des points de terminaison, les contrôles d'identité ou les simulations d'incidents. Un article responsable ne doit pas traiter la déclaration comme une preuve que tous les contrôles étaient suffisants.

Il doit la traiter comme une affirmation publique qui peut être évaluée par rapport aux résultats de la réponse.

Les résultats de la réponse ont été mitigés d'une manière courante pour les incidents graves. D'un côté, la Cour a détecté l'intrusion, mis hors service les systèmes, obtenu un soutien, sécurisé une autorisation d'urgence, rouvert avec des fonctionnalités limitées, rétabli les fonctions de base en cinq jours et rétabli les opérations complètes en 11 jours. Ce sont des faits de reprise significatifs. D'un autre côté, la quasi-totalité des systèmes réseau ont été mis hors service, les 36 tribunaux ont fermé pendant une journée, les portails externes et la gestion interne des dossiers ont été touchés et l'enquête médico-légale restait en cours.

Ces faits montrent que même avec des investissements, le rayon d'explosion était important.

Le cadre de cybersécurité du NIST sur source: nist.gov et la publication NIST SP 800-61 Rev. 3 sur source: csrc.nist.gov fournissent le vocabulaire de réponse: gouverner, identifier, protéger, détecter, répondre et récupérer; préparation, détection et analyse, confinement, éradication, récupération et amélioration. Le guide ransomware de la CISA sur source: cisa.gov et le hub Stop Ransomware sur source: cisa.gov fournissent un contexte de préparation et de réponse au ransomware dans le secteur public. Ces sources n'auditent pas la Cour. Elles définissent ce qu'un dossier de responsabilité post-incident complet devrait couvrir.

L'automatisation de la sécurité est pertinente car un système judiciaire comporte de nombreux points de terminaison, utilisateurs, applications, intégrations, portails publics et dossiers sensibles. La surveillance manuelle seule ne peut pas fournir une détection rapide ou une restauration en toute confiance. Mais l'automatisation doit être associée à la gouvernance. La Cour avait besoin de personnes capables de décider quand désactiver les systèmes, comment communiquer la fermeture, quelle aide juridique d'urgence demander, comment prioriser la restauration et quand rouvrir.

L'incident montre que la résilience cybernétique est socio-technique: les outils, le personnel, les juges, les ordonnances, les avis publics et les agences partenaires ont tous compté.

La communication publique était un contrôle de continuité

Les communiqués de presse de la Cour, les orientations sur les réseaux sociaux, le centre d'information temporaire et la page d'information du comté n'étaient pas des communications annexes. Ils faisaient partie de la continuité. Lorsque les sites Web ordinaires, les portails, les systèmes téléphoniques et l'accès à la gestion des dossiers sont touchés, le public a besoin d'un canal fiable pour l'état et les instructions. Sans cela, les gens devinent. Dans un système juridique, deviner peut entraîner des comparutions manquées, des occasions de dépôt manquées, des déplacements inutiles ou la panique.

La page d'information judiciaire du comté de Los Angeles sur source: lacounty.gov et les communiqués de presse de la Cour ont fourni l'état public. Le communiqué du défenseur public a dirigé les clients pour qu'ils restent en contact étroit avec les défenseurs publics assignés et a orienté les gens vers les mises à jour du comté et de la Cour. Cet écosystème d'avis a aidé à répartir la charge entre les agences et les représentants légaux.

Il a également exposé un risque: les personnes qui n'utilisent pas les réseaux sociaux, qui n'ont pas d'avocat, qui ne parlent pas couramment l'anglais ou qui n'ont pas un accès Internet stable peuvent encore manquer les mises à jour.

Un examen complet de la communication se demanderait si les avis étaient disponibles en plusieurs langues, si la signalisation dans les tribunaux était claire, si les centres d'appels avaient une capacité de secours, si les centres d'auto-assistance avaient des scripts, si les bibliothèques juridiques et les agences partenaires recevaient des mises à jour en temps utile, si les avis aux médias correspondaient à l'état du site Web et si les anciens avis de panne étaient supprimés ou archivés de manière à ne pas semer la confusion chez les utilisateurs.

La communication publique est un contrôle car elle affecte la capacité des justiciables à agir correctement en période de fonctionnement dégradé.

L'avis du 29 juillet indique que le centre d'information temporaire a suivi la restauration en temps réel et a utilisé des indicateurs verts pour les systèmes publics. C'est une bonne pratique car elle donne aux utilisateurs une vue service par service plutôt qu'une déclaration vague selon laquelle la Cour se rétablit. Mais le statut vert crée également une responsabilité. Si un service est marqué comme rétabli, les utilisateurs s'y fieront.

La Cour aurait donc dû avoir des critères de validation pour chaque indicateur de statut: pas seulement qu'une page Web se charge, mais que la transaction ou la voie d'accès fonctionne pour les utilisateurs.

Les reportages tels que l'article du Los Angeles Times sur source: latimes.com et les commentaires publics comme source: governing.com sont utiles pour la chronologie et les préoccupations du public, mais ils ne remplacent pas les ordonnances et les communiqués de la Cour. Leur valeur est de montrer comment la panne a été perçue par les justiciables, les avocats et le public. Le centre probatoire reste les propres avis et ordonnances de la Cour.

À quoi ressemblerait une preuve de responsabilité

Un dossier de preuve de responsabilité pour l'incident de la Cour supérieure de Los Angeles commencerait par une chronologie technique et opérationnelle. Il montrerait quand l'intrusion a été détectée, quand les systèmes réseau ont été désactivés, quels systèmes étaient indisponibles, quand le soutien d'urgence est arrivé, quand les serveurs et les bases de données ont été restaurés, quand les applications et les intégrations ont passé la validation et quand les services publics ont été rétablis. Il distinguerait les systèmes intentionnellement désactivés pour confinement des systèmes indisponibles parce qu'ils étaient directement touchés.

Le dossier cartographierait ensuite l'impact sur la justice. Il montrerait quels types d'affaires ont été reportés, quelles affaires ont été traitées, quelles affaires urgentes ont été priorisées, comment les demandes d'ordonnance de restriction temporaire ont été traitées, comment les délais pénaux et les questions de libération ont été suivis, comment les jurés ont été notifiés, comment les comparutions à distance ont été gérées, comment les interruptions de dépôt électronique ont été atténuées et comment les plaideurs non représentés ont été soutenus. Ce dossier n'aurait pas besoin de publier des détails privés sur les affaires.

Il aurait besoin de montrer que la Cour a mesuré l'impact sur la justice, et pas seulement la disponibilité des systèmes.

Une troisième section couvrirait la continuité juridique. Elle conserverait la demande d'urgence, l'ordonnance du juge en chef, l'ordonnance générale de la Cour, les calculs de délais, l'autorité de report et toute clarification ultérieure. Elle examinerait si un jour d'allègement était suffisant pour les types d'affaires touchés, si un allègement supplémentaire spécifique aux affaires a été demandé et si les plaideurs avaient des instructions claires. La continuité juridique est la version spécifique aux tribunaux de la continuité des activités.

Une quatrième section couvrirait les données et l'intégrité. Elle expliquerait quelles preuves soutenaient la déclaration préliminaire d'absence de preuve de compromission, ce que l'enquête médico-légale continue a conclu par la suite, quelles catégories de données ont été examinées, quels seuils de notification ont été envisagés et comment la Cour a validé l'intégrité des enregistrements avant que les utilisateurs ne se fient aux systèmes restaurés. Elle n'aurait pas besoin de divulguer des détails médico-légaux sensibles qui aident les attaquants. Elle aurait besoin d'assez de preuves de gouvernance pour maintenir la confiance du public.

Une cinquième section couvrirait la réparation durable. Elle identifierait les améliorations de contrôle après l'incident: segmentation, durcissement de l'identité, couverture des points de terminaison, validation des sauvegardes, procédures d'isolation du réseau, outils de statut public, modèles de communication multilingues, canaux de notification aux partenaires, exercices sur table et manuels de continuité spécifiques aux tribunaux. La restauration sans leçons apprises n'est que rétablissement. La restauration avec réparation testée est une responsabilité.

Le dossier de preuve devrait également inclure un examen de l'impact sur les utilisateurs. Un dossier de reprise après cyberattaque qui ne compte que les serveurs restaurés peut manquer les personnes qui ont fait des déplacements supplémentaires au tribunal, qui ont attendu les lignes téléphoniques, qui n'ont pas pu accéder à un portail, qui avaient besoin d'un accusé de dépôt ou qui ont dû demander si une audience existait encore.

Les tribunaux servent régulièrement des personnes qui ne sont pas familières avec la procédure juridique, qui sont sous pression temporelle, sans conseil, ou confrontées à des contraintes de langue, de handicap, de travail, de transport ou de soins. Pour ces utilisateurs, une fermeture d'un jour et plusieurs jours de fonctionnalité limitée peuvent créer des conséquences difficiles à voir depuis un tableau de bord technologique. Un examen responsable échantillonnerait ces parcours d'utilisateurs et se demanderait si les instructions de secours ont fonctionné.

Cet examen devrait inclure les opérations de guichet et d'auto-assistance. Le personnel d'auto-assistance et les greffiers traduisent souvent l'état du système en étapes pratiques pour les personnes qui ne savent pas quel formulaire, département, salle d'audience ou canal de dépôt s'applique. Si les systèmes de dossiers internes sont indisponibles, ce personnel peut avoir une capacité limitée à répondre même aux questions de base.

Un plan de continuité solide définirait quelles informations peuvent être fournies en toute sécurité en période de fonctionnement dégradé, comment les saisies papier sont suivies, comment les reçus ou les horodatages sont conservés et comment le rapprochement électronique ultérieur est audité.

L'examen devrait également inclure les partenaires judiciaires en dehors du tribunal. Le shérif, le procureur, le défenseur public, le défenseur public suppléant, les avocats municipaux, les avocats privés, la probation, les services sociaux, les interprètes, les groupes d'aide juridique et les médias dépendent tous des informations sur l'état du tribunal. Un incident cybernétique dans un tribunal peut donc créer un problème de réseau de communication à travers les institutions.

Les communiqués publics de la Cour et les pages d'information du comté étaient nécessaires, mais la responsabilité exige de savoir si les canaux spécifiques aux partenaires ont été testés, redondants et assez rapides pour les affaires urgentes.

Enfin, la réparation responsable devrait être assez durable pour survivre à une autre panne partielle. La leçon ne devrait pas être qu'un travail héroïque a rétabli la Cour en 11 jours et donc l'histoire est terminée. La leçon devrait être traduite en autorité de fermeture répétée, messages publics prédéfinis, saisie de dépôt alternative, contingences de comparution à distance, triage des priorités de dossiers, procédures de calendrier manuelles et contrôles d'intégrité pour les enregistrements restaurés. La justice numérique n'est crédible que lorsque le public peut faire confiance à la fois au système normal et au système de secours.

Faits confirmés, inférence étayée et inconnues

Les faits publics confirmés incluent que le 19 juillet 2024, la division des services technologiques de la Cour a identifié un incident de sécurité grave dans les systèmes internes qui a été déterminé comme une attaque par ransomware. Les faits publics confirmés incluent la déclaration de la Cour selon laquelle l'attaque a commencé aux premières heures du 19 juillet et serait sans lien avec la panne de CrowdStrike. Les faits confirmés incluent que la Cour a désactivé les systèmes réseau pour limiter les dégâts et a reçu le soutien de Cal OES et des forces de l'ordre locales, étatiques et fédérales.

Les faits publics confirmés incluent la déclaration de la Cour du 21 juillet selon laquelle les 36 tribunaux seraient fermés le 22 juillet 2024, car la quasi-totalité des systèmes réseau avaient été mis hors service et de nombreux systèmes critiques restaient hors ligne. Les faits confirmés incluent la déclaration de l'ordonnance générale selon laquelle toute plateforme électronique contenant des données judiciaires était inaccessible et que les appareils connectés à Internet, y compris les systèmes téléphoniques, étaient inaccessibles.

Les faits confirmés incluent l'autorisation d'urgence en vertu de l'article 68115 du code gouvernemental, l'allègement des délais et des périodes légales, et la réouverture à fonctionnalité limitée le 23 juillet.

Les faits de reprise confirmés incluent la déclaration de la Cour du 29 juillet selon laquelle tous les systèmes réseau publics et internes avaient été restaurés, tous les systèmes principaux étaient pleinement fonctionnels, plus de 15 services publics ont été rétablis, les fonctions de base ont repris en cinq jours et les opérations complètes sont revenues en 11 jours après l'attaque initiale. Les faits confirmés incluent le rétablissement des comparutions à distance, de l'accès aux documents, de l'inscription au service de jury, du paiement des infractions et des services de dépôt en ligne.

Les faits confirmés incluent la déclaration du défenseur public selon laquelle ses bureaux sont restés ouverts et dotés en personnel et qu'il surveillait les droits des clients, les questions de procès rapide et les processus de libération accélérée.

Les faits confirmés sur les données sont plus étroits. La Cour a déclaré le 19 juillet que l'enquête préliminaire ne montrait à ce moment-là aucune preuve de compromission des données des utilisateurs de la Cour. Le 29 juillet, elle a indiqué que les forces de l'ordre continuaient d'enquêter sur la portée et l'ampleur de la violation et sur la compromission éventuelle des données, et que l'enquête médico-légale était en cours. Cet article traite ces déclarations comme le dossier public confirmé sur les données et ne tire pas de conclusion définitive sur la compromission des données au-delà.

L'inférence étayée est que l'incident était un événement de continuité de la justice numérique car le dossier confirmé relie le ransomware à des systèmes réseau désactivés, à la fermeture des tribunaux, à des plateformes de données judiciaires inaccessibles, à l'allègement des délais de dépôt, à une réouverture à fonctionnalité limitée, à la restauration des services publics et à la surveillance des droits de la défense publique.

L'inférence étayée est qu'un dossier de responsabilité complet devrait inclure l'impact par type d'affaire, le triage des affaires urgentes, le soutien aux plaideurs non représentés, la validation de l'intégrité des données, l'efficacité de la communication et la réparation durable de la résilience cybernétique.

Des inconnues subsistent. Le dossier public ne fournit pas le vecteur d'accès initial, le chemin complet de l'attaquant, la souche du ransomware, l'inventaire complet du système, l'impact total sur les points de terminaison, l'architecture de sauvegarde, tous les critères de validation de la restauration, l'impact complet cas par cas, tous les litiges sur les délais, les analyses complètes de la communication publique, les conclusions finales des forces de l'ordre, les conclusions finales médico-légales sur la compromission des données, le plan de remédiation complet, ni un audit indépendant de l'investissement en cybersécurité de la Cour.

Cet article ne comble pas ces lacunes par des spéculations.

La conclusion en matière de responsabilité est pratique. La Cour semble, d'après son dossier public, avoir agi rapidement: désactiver les systèmes, obtenir une autorisation d'urgence, fermer pendant un jour, rouvrir avec des fonctionnalités limitées et rétablir les opérations complètes en 11 jours. Mais la vitesse n'est pas la seule mesure. La norme de responsabilité d'un tribunal est de savoir si l'accès à la justice, les délais légaux, les droits urgents, l'intégrité des dossiers judiciaires et la confiance du public ont été protégés pendant la reconstruction de la technologie.

Le dossier de sécurité publique devrait donc juger l'incident à l'aune de la preuve de continuité de la justice ainsi que de la preuve de rétablissement du système.