Gestion de crise cyber : cellule, rôles et premières heures

Une crise cyber commence rarement par une certitude. Elle commence par un doute : des fichiers qui ne s’ouvrent plus, une alerte à une heure inhabituelle, un virement dont personne ne se souvient. Ce qui distingue les entreprises qui s’en sortent n’est pas la sophistication de leurs outils, c’est d’avoir décidé à l’avance qui fait quoi.

Un incident n’est pas une crise

Un incident se traite dans le cadre normal : un poste isolé, une boîte compromise, un correctif appliqué. On passe en crise quand l’un de ces trois seuils est franchi : l’activité s’arrête, des données ont pu sortir, ou la confiance dans le système d’information lui-même est perdue, par exemple lorsque l’annuaire ou les comptes d’administration sont suspects.

Ce dernier cas change tout, parce qu’il retire l’usage des outils habituels. Si l’environnement est compromis, la messagerie et la messagerie instantanée ne sont plus des canaux sûrs pour organiser la réponse. C’est le premier réflexe à avoir décidé avant, pas pendant.

Qui compose la cellule de crise

Une cellule utile est petite et nommée. Cinq rôles, à pourvoir avec un suppléant chacun.

• Le décideur. Un membre de la direction, qui arbitre les décisions coûteuses : arrêter la production, notifier, communiquer, engager des dépenses. Sans lui, la cellule constate sans trancher.
• Le responsable technique. Il pilote le confinement, la collecte de preuves et la remise en route. C’est généralement votre prestataire d’infogérance.
• Le coordinateur. Il tient la main courante horodatée, suit les actions et les échéances. Rôle ingrat, indispensable : c’est cette main courante qui deviendra la preuve.
• La communication. Vers les salariés d’abord, qui découvriront la situation de toute façon, puis vers les clients, les partenaires et éventuellement la presse.
• Le juridique et l’assurance. Notifications réglementaires, dépôt de plainte, déclaration de sinistre. Les délais y sont courts et non négociables.

Pour une structure de moins de cinquante personnes, une même personne peut porter deux rôles. Elle ne peut pas les porter tous.

Les premières heures

1. Qualifier avant d’agir, mais vite. Ce qui est touché, depuis quand, et ce qui fonctionne encore.
2. Isoler, sans éteindre. On coupe l’accès au réseau des machines suspectes. On n’éteint pas : la mémoire vive contient des éléments d’investigation qui disparaissent à l’arrêt, et l’on perd la possibilité de comprendre ce qui s’est passé.
3. Préserver les traces. Journaux, images disque, messages. Une remise en route trop rapide efface ce qui aurait permis d’établir l’étendue de l’atteinte, et donc de savoir s’il faut notifier.
4. Vérifier les sauvegardes avant d’en avoir besoin. Sont-elles atteintes ? Une sauvegarde reliée au domaine compromis l’est souvent aussi. C’est ici que l’isolement des copies se paie ou se regrette.
5. Ouvrir la main courante et y consigner chaque décision avec son heure et son auteur.
6. Déclencher les notifications selon les délais ci-dessous, sans attendre d’avoir tout compris. Les régulateurs acceptent une première déclaration incomplète ; ils acceptent mal une déclaration tardive.

Les délais de notification

Ils courent en parallèle et ne s’attendent pas les uns les autres.

• Données personnelles. Notification à la CNIL dans les 72 heures suivant la prise de connaissance de la violation, dès lors qu’un risque pour les personnes existe. Information des personnes concernées si le risque est élevé.
• Entités financières soumises à DORA. Notification initiale à l’autorité compétente au plus tard 4 heures après la classification de l’incident comme majeur, et en tout état de cause 24 heures après en avoir eu connaissance ; rapport intermédiaire sous 72 heures ; rapport final sous un mois.
• Assurance. Le délai figure au contrat, souvent très court. À vérifier avant l’incident, pas pendant.
• Plainte. Depuis janvier 2023, l’indemnisation par l’assurance des pertes causées par une cyberextorsion est conditionnée au dépôt d’une plainte dans les 72 heures suivant la connaissance de l’infraction. Ce délai est indépendant de celui de la CNIL.

Faut-il payer ?

Payer n’est pas interdit, et c’est à peu près tout ce qu’on peut en dire de favorable. Le paiement ne garantit ni la restitution complète, ni la non-diffusion des données déjà exfiltrées, ni l’absence de seconde demande. Il n’éteint aucune obligation de notification, et il finance l’écosystème qui vous a attaqué.

La décision appartient à la direction, en général sous la pression du temps, et c’est précisément pour cela qu’elle doit avoir été discutée à froid. Une position écrite dans le dispositif de crise vaut mieux qu’un arbitrage improvisé la nuit.

Ce qui se prépare avant

Quatre choses, qui coûtent peu et changent tout le jour venu.

• Un annuaire hors ligne. Les numéros de la cellule, du prestataire, de l’assureur et de l’avocat, sur papier ou sur un téléphone personnel. Un annuaire stocké dans le système compromis n’existe pas.
• Un canal de repli. Décidé et testé, indépendant de votre environnement de travail habituel.
• Des sauvegardes isolées et testées. Une copie hors d’atteinte du domaine de production, dont la restauration a déjà été rejouée. Voir notre approche de la sauvegarde et de la reprise.
• Un exercice à blanc annuel. Deux heures autour d’une table suffisent à révéler les trous, qui sont presque toujours organisationnels plutôt que techniques.

Ce que nous prenons en charge

La détection et le confinement fonctionnent en permanence, 24 heures sur 24. Aux heures ouvrées, de 8h à 20h sept jours sur sept, nos équipes qualifient et traitent les alertes. En dehors, la réponse est automatisée en confinement immédiat, l’isolement du poste et le blocage n’attendant pas une intervention humaine ; l’analyse reprend à l’ouverture. Les journaux sont conservés douze mois et restent interrogeables, ce qui permet de reconstituer une chronologie plusieurs mois après les faits.

En crise, nous tenons le volet technique et la main courante des actions menées. Nous ne sommes ni votre conseil juridique, ni votre communicant, ni l’auditeur qui établira les causes : ces rôles supposent une indépendance que notre position d’exploitant ne permet pas. Voir qui rédige quoi et notre page Transparence.

Questions fréquentes

Qui compose une cellule de crise cyber ?

Cinq rôles, chacun avec un suppléant : un décideur issu de la direction, un responsable technique, un coordinateur qui tient la main courante, un responsable communication et un référent juridique et assurance. Dans une petite structure, une personne peut cumuler deux rôles, jamais davantage.

Que faire dans les premières heures d’une cyberattaque ?

Qualifier ce qui est touché, isoler les machines du réseau sans les éteindre, préserver les journaux et les traces, vérifier que les sauvegardes ne sont pas atteintes, ouvrir une main courante horodatée, puis déclencher les notifications réglementaires sans attendre d’avoir tout compris.

Faut-il éteindre les machines en cas de rançongiciel ?

Non. Il faut les isoler du réseau, ce qui arrête la propagation, mais l’extinction fait disparaître le contenu de la mémoire vive, où se trouvent souvent les éléments permettant d’identifier l’attaque et parfois de récupérer des clés. Sauf instruction contraire de l’équipe qui traite l’incident, on débranche du réseau et on laisse allumé.

Quels délais pour notifier une cyberattaque ?

72 heures à la CNIL en cas de violation de données personnelles présentant un risque. Pour une entité soumise à DORA, une notification initiale sous 4 heures après classification de l’incident comme majeur et au plus tard 24 heures après en avoir eu connaissance, un rapport intermédiaire sous 72 heures et un rapport final sous un mois. Et 72 heures pour le dépôt de plainte si vous comptez être indemnisé d’une cyberextorsion.

Faut-il payer la rançon ?

Payer n’est pas interdit mais ne garantit rien : ni la restitution complète, ni l’absence de diffusion des données déjà volées, ni l’absence d’une seconde demande. Le paiement n’éteint par ailleurs aucune obligation de notification. La position de l’entreprise doit être arrêtée à froid, dans le dispositif de crise, et non sous la pression.

Préparer, plutôt que découvrir

En trente minutes, nous regardons votre capacité de détection, l’isolement réel de vos sauvegardes et ce qui manque à votre dispositif de crise. Vous repartez avec les écarts et leur ordre de traitement, sans engagement. Prendre rendez-vous.