Cyberattaque en entreprise : plan d'action pour les premières heures
Les premières décisions influencent la propagation, la qualité des preuves, la reprise et le traitement de l'assurance. Ce plan est conçu pour un dirigeant de PME ; il doit être adapté à l'avance avec les responsables techniques, juridiques et opérationnels.
Les premières minutes : contenir et alerter
- Ne restez pas seul. Déclenchez la chaîne d'alerte et nommez un responsable de décision.
- Isolez les systèmes suspects. Cybermalveillance.gouv.fr recommande notamment de déconnecter du réseau les équipements touchés par un rançongiciel.
- Ne supprimez pas les traces. Évitez les réinstallations ou nettoyages improvisés avant l'avis d'un spécialiste.
- Utilisez un canal sain. Si la messagerie est compromise, communiquez par un moyen indépendant prévu à l'avance.
- Notez l'heure et les symptômes. Messages affichés, comptes concernés, fichiers inaccessibles et premières actions.
Couper toute l'infrastructure sans discernement peut aussi interrompre des services de sécurité ou détruire une information volatile. L'isolement doit être piloté dès que possible par une personne compétente.
Les premières heures : organiser la crise
| Fonction | Mission immédiate | Livrable |
|---|---|---|
| Direction | Prioriser les activités, valider les décisions et les ressources. | Journal de crise et arbitrages. |
| Technique | Contenir, qualifier, préserver et préparer la restauration. | Périmètre provisoire et preuves. |
| Juridique / DPO | Évaluer contrats, données personnelles et notifications. | Analyse des obligations et registre. |
| Communication | Préparer des messages exacts pour salariés, clients et partenaires. | Messages validés et interlocuteurs. |
| Opérations | Activer les procédures manuelles et prioriser les services. | Plan de continuité temporaire. |
Centralisez les faits confirmés et séparez-les des hypothèses. Une chronologie unique évite les versions contradictoires et facilite les échanges avec les experts, l'assureur et les autorités.
Activer l'assurance sans perdre de temps
Utilisez le numéro d'assistance prévu au contrat et le canal de déclaration. Indiquez l'heure de découverte, les systèmes concernés, les mesures urgentes déjà prises et les personnes joignables. Demandez quelles dépenses nécessitent un accord préalable et quels prestataires doivent être utilisés.
- Numéro de contrat et entité assurée.
- Nature présumée de l'incident.
- Impact opérationnel actuel.
- Données potentiellement concernées.
- Experts déjà contactés et coûts engagés.
- Réclamation ou message reçu.
Ne promettez pas publiquement une indemnisation et ne reconnaissez pas une responsabilité sans coordination. Conservez les factures, temps passés, décisions et justificatifs de pertes.
Évaluer la violation de données personnelles
Une perte de disponibilité, d'intégrité ou de confidentialité de données personnelles peut constituer une violation au sens du RGPD. La CNIL demande de documenter les violations. Lorsqu'elles présentent un risque pour les droits et libertés, elles doivent être notifiées à la CNIL dans les meilleurs délais et, si possible, dans les 72 heures après en avoir pris connaissance. En cas de risque élevé, les personnes concernées doivent également être informées, sauf cas prévus par le RGPD.
Il n'est pas nécessaire d'attendre la fin de toutes les investigations pour effectuer une notification initiale : la CNIL prévoit qu'elle puisse être complétée. L'analyse doit couvrir les catégories de données, le nombre approximatif de personnes, les conséquences possibles et les mesures prises.
Important : l'assistance du contrat peut accompagner l'analyse, mais la responsabilité réglementaire de l'organisation ne disparaît pas.
Reprendre l'activité sans réintroduire l'attaque
- Définir un ordre de restauration selon les services critiques.
- Vérifier l'intégrité des sauvegardes et choisir une version antérieure fiable.
- Corriger le point d'entrée identifié ou renforcer les contrôles provisoires.
- Changer les secrets et révoquer les sessions compromises.
- Restaurer dans un environnement contrôlé et surveillé.
- Valider le fonctionnement métier avant l'ouverture complète.
- Maintenir une surveillance renforcée et documenter les écarts.
La vitesse ne doit pas conduire à restaurer un système encore vulnérable. Le retour à la normale inclut un bilan : origine, impact, coûts, couverture, décisions efficaces et actions correctives.
Le kit de crise à conserver hors ligne
- Contacts direction, informatique, DPO, avocat, communication et prestataires.
- Numéro de police et numéro d'assistance cyber.
- Schéma simplifié des systèmes et liste des services prioritaires.
- Procédure d'isolement et de continuité manuelle.
- Accès aux sauvegardes et procédure de restauration, protégés séparément.
- Modèle de journal de crise et formulaire de déclaration.
- Coordonnées de Cybermalveillance.gouv.fr, police ou gendarmerie et CNIL.
- Canal de communication alternatif.
Testez ce kit lors d'un exercice. Un document inaccessible parce qu'il se trouve sur le serveur chiffré ne constitue pas un plan de crise exploitable.