Une crise cyber ne se gagne pas à l'énergie. Elle se gagne sur la qualification, l'ordre des gestes et la trace écrite — parce que dans trois mois, l'autorité de contrôle, l'assureur et vos clients demanderont ce qui est sorti, et depuis quand. Ce jour-là, seul ce qui a été consigné existe.
Sur la gouvernance, nous avons notre méthode propriétaire. Sur la réponse à incident, nous appliquons celle de l'ANSSI — l'Agence nationale de la sécurité des systèmes d'information. Un prestataire qui vous propose sa doctrine de crise maison devrait éveiller votre méfiance : en situation d'urgence, le référentiel commun vaut mieux que l'originalité.
L'agence a publié un corpus de guides sur la remédiation, articulé en trois volets — stratégique, opérationnel et technique. C'est ce cadre que nous suivons, et que nous pouvons expliquer ligne à ligne à votre assureur comme à votre direction.
Qui décide, qui informe, qui notifie. La cellule, la main courante, les obligations réglementaires et leurs délais — soixante-douze heures pour l'autorité de contrôle, souvent moins pour l'assureur.
Ce qui s'est passé, depuis quand, et ce qui est sorti. L'analyse forensique, menée sur les journaux, qui répondra aux questions posées trois mois plus tard.
Reprendre le contrôle et rétablir un fonctionnement sain. C'est la séquence E3R, détaillée ci-dessous — et l'étape que les réponses trop rapides écourtent.
Le corpus ANSSI présente trois scénarios possibles. Le choix relève de la direction, pas de la technique — et c'est notre rôle de vous le poser clairement plutôt que de décider à votre place dans l'urgence.
On repart le plus vite possible, en acceptant de ne pas tout comprendre.
Risque élevé de résurgence. C'est le scénario que la panique fait choisir.
On reconstruit à l'identique, sans restructuration majeure de l'architecture.
Fonctionnement rétabli, mais les faiblesses qui ont permis l'attaque subsistent.
On profite de la reconstruction pour changer ce qui devait l'être depuis des années.
Plus long et plus coûteux à court terme. Le seul qui ferme le cycle.
Les six premiers points concernent la persistance : les mécanismes par lesquels un attaquant conserve l'accès après avoir été « expulsé ». Une remédiation qui se limite à réinitialiser les mots de passe les laisse tous en place.
La durée de conservation des journaux dépend de vos licences et de votre configuration. Beaucoup d'organisations découvrent au moment de l'incident que leurs traces s'arrêtent trente jours en arrière — alors que la compromission a commencé quatre mois plus tôt.
C'est une question à traiter à froid, pas en crise. Nous la vérifions systématiquement lors de nos audits de tenant, et c'est souvent la correction la moins coûteuse et la plus utile que nous recommandons.
« Est-ce que des données sont sorties, lesquelles, et depuis quand ? »
L'autorité de contrôle la pose. L'assureur la pose. Vos clients finissent par la poser. Sans journaux conservés et sans analyse, la seule réponse honnête est « nous ne savons pas » — et cette réponse coûte plus cher que l'incident lui-même.
La main courante est le document le moins spectaculaire et le plus décisif d'une crise. C'est elle qui alimente la notification réglementaire, le dossier d'assurance et le dépôt de plainte. Ouverte à la minute de l'appel, jamais reconstituée après coup.
Extrait illustratif, reconstruit à partir de situations réelles et anonymisé. Notez l'écart entre la détection et le début de la compromission : c'est la règle, pas l'exception.
Les gestes des dix premières minutes déterminent ce qui restera récupérable et ce qui restera démontrable. Et le mauvais réflexe est souvent le plus intuitif.
Nous intervenons également pour des organisations dont l'informatique est exploitée par un autre prestataire ou par une équipe interne.
Réflexes alignés sur les fiches du CERT-FR et de cybermalveillance.gouv.fr.
SPHERIS