Le jour où ça arrive, la qualité de la réaction pèse plus lourd que la qualité de la prévention. Deux entreprises également touchées ne subissent pas les mêmes conséquences selon ce qu'elles font dans les deux premières heures. Voici l'ordre des opérations, et les erreurs qui coûtent le plus cher.
En résumé
- Isoler du réseau immédiatement, sans éteindre les machines.
- Ne rien supprimer ni réinstaller avant d'avoir conservé les traces.
- Alerter le prestataire, l'assureur et la direction dans la foulée.
- Déposer plainte, c'est la condition de l'indemnisation.
- Notifier la CNIL sous 72 heures en cas de données personnelles touchées.
Les deux premières heures, dans l'ordre
Isoler, sans éteindre
Débranchez le câble réseau, coupez le Wi-Fi, déconnectez les machines touchées du reste de l'infrastructure. Mais ne les éteignez pas. La mémoire vive contient des éléments précieux pour comprendre ce qui s'est passé, et l'extinction les efface définitivement. Cette nuance est systématiquement méconnue et systématiquement regrettée.
Prévenir les bonnes personnes
La direction, le prestataire informatique et l'assureur, dans cet ordre. Beaucoup de contrats d'assurance imposent un délai de déclaration court, et certains exigent le passage par un intervenant qu'ils désignent. Appeler l'assureur avant de lancer les opérations évite de découvrir trop tard qu'une clause n'a pas été respectée.
Conserver les traces
Journaux, messages suspects, captures d'écran, note horodatée de ce qui a été constaté et par qui. Ces éléments serviront à l'enquête, à l'assurance et à la reconstruction. Réinstaller un poste avant de les avoir sauvegardés revient à effacer la scène.
| Délai | Action | Pourquoi |
|---|---|---|
| Immédiat | Isoler du réseau | Stopper la propagation |
| Première heure | Alerter direction, prestataire, assureur | Respecter les délais contractuels |
| Premières heures | Conserver journaux et preuves | Enquête et indemnisation |
| Sous 24 à 48 heures | Déposer plainte | Condition d'indemnisation |
| Sous 72 heures | Notifier la CNIL si données personnelles | Obligation réglementaire |
Les trois erreurs qui aggravent tout
Éteindre les machines. Le réflexe paraît sain, il détruit les indices et empêche parfois de récupérer des clés de déchiffrement encore en mémoire.
Réinstaller dans la précipitation. Remettre un serveur en service avant d'avoir compris par où l'attaquant est entré, c'est lui rouvrir la porte. Les réinfections quelques jours après une remise en service sont fréquentes.
Payer sans consulter. Le paiement d'une rançon ne garantit aucune restitution, finance l'activité criminelle et peut poser des problèmes juridiques. La décision, si elle se pose, se prend avec un conseil, jamais dans l'urgence de la première heure.
Les obligations réglementaires
Si des données personnelles ont pu être consultées ou exfiltrées, la notification à la CNIL intervient dans les 72 heures après la prise de connaissance de l'incident. Selon la gravité, l'information des personnes concernées peut aussi être requise. Le dépôt de plainte, lui, conditionne généralement l'indemnisation par l'assurance.
La fiche réflexe, à préparer maintenant
Une page, imprimée, dans un classeur accessible sans informatique. Elle contient les gestes dans l'ordre, les numéros du prestataire et de l'assureur, la référence du contrat, et le rappel des délais réglementaires. Sa préparation prend une heure, et c'est la seule chose qui fonctionnera le jour où le système est à l'arrêt.
Elle s'intègre naturellement à votre plan de reprise d'activité. Pour la construire avec un professionnel, notre annuaire des prestataires informatiques recense les entreprises actives dans votre ville.
