Premiers gestes en cas d’incident

Dans les premières minutes

1. 1Isolez les équipements touchés du réseau : débranchez le câble, coupez le Wi-Fi. Ne les éteignez pas : la mémoire contient des traces utiles à l’enquête.
2. 2Prévenez votre prestataire informatique et la direction.
3. 3Notez tout, avec l’heure : ce qui a été vu, qui a fait quoi. Ce journal servira à l’enquête, à l’assureur et à la plainte.
4. 4N’utilisez pas la messagerie de l’entreprise pour gérer la crise si elle est peut-être compromise : passez par le téléphone.

Ce qu’il ne faut pas faire

• Payer une rançon : rien ne garantit la récupération des données, et cela finance les attaquants.
• Effacer, réinstaller ou restaurer dans la précipitation : vous détruiriez des preuves et risqueriez de restaurer une sauvegarde déjà infectée.
• Rebrancher les équipements avant d’avoir compris ce qui s’est passé.

Dans les heures qui suivent

• Contactez 17Cyber (17cyber.gouv.fr) pour être orienté, et votre assureur cyber si vous en avez un : beaucoup proposent une assistance d’urgence.
• Faites appel à un prestataire de réponse à incident si l’attaque dépasse les compétences de votre prestataire habituel.
• Vérifiez l’état de vos sauvegardes, en particulier la copie déconnectée.

Les délais légaux à ne pas manquer

• Plainte : auprès de la police, de la gendarmerie ou du procureur, au plus tard 72 heures après la connaissance de l’attaque, pour pouvoir être indemnisé par votre assureur (Code des assurances, article L12-10-1).
• CNIL : si des données personnelles sont touchées et que la violation présente un risque pour les personnes, notification dans les meilleurs délais et si possible dans les 72 heures après en avoir pris connaissance, via le téléservice de la CNIL (RGPD, article 33). Une première notification incomplète est possible, à compléter ensuite ; au-delà de 72 heures, il faut justifier le retard. Si le risque est élevé, les personnes concernées doivent aussi être informées. Même sans notification, la violation est consignée dans un registre interne.
• Clients et partenaires : vérifiez vos contrats, certains imposent de les prévenir dans un délai précis.

Après la crise

Une fois l’activité rétablie, analysez ce qui s’est passé, corrigez les failles exploitées et mettez à jour votre procédure. C’est le moment où les décisions de sécurité sont les plus faciles à faire accepter.