Réponse à incident & résilience

Les premières heures d’un incident ressemblent rarement aux scénarios des exercices : l’information est partielle, les messages se contredisent et la pression vient de tous côtés, des collaborateurs qui ne peuvent plus travailler à la direction qui réclame une date de reprise. Dans ce brouillard, la tentation est grande d’agir vite, par exemple en éteignant des serveurs ou en réinstallant des postes, au risque de détruire des traces précieuses et de laisser l’attaquant revenir. À l’inverse, attendre d’avoir tout compris laisse la compromission s’étendre. La bonne attitude consiste à suivre un enchaînement simple : détecter et qualifier, confiner sans détruire, éradiquer durablement, restaurer par priorité, puis apprendre de l’événement. Ces cinq temps ne sont pas une théorie : ils structurent la manière dont une équipe expérimentée raisonne, même lorsque tout semble urgent à la fois.

Le premier temps, la détection, est celui où se jouent le plus d’erreurs d’appréciation. Une alerte isolée peut être un faux positif, mais elle peut aussi être le seul signe visible d’une intrusion installée depuis des semaines. Il faut donc qualifier rapidement : quels systèmes sont touchés, quelles données sont concernées, l’attaquant est-il encore présent ? Cette qualification repose sur la qualité des journaux disponibles, sur une supervision en continu et sur la capacité à joindre sans délai les bonnes personnes, y compris la nuit ou pendant les congés. Beaucoup d’organisations découvrent, au pire moment, que leurs journaux sont trop courts, que l’annuaire de crise est périmé ou que personne ne sait qui peut couper un accès distant. Régler ces détails à froid coûte peu ; les découvrir en pleine attaque coûte cher en temps et en crédibilité.

Le confinement et l’éradication demandent un équilibre délicat. Confiner, c’est limiter la propagation en isolant des segments, en révoquant des comptes ou en bloquant des flux, tout en conservant ce qui permettra d’analyser l’attaque. Éradiquer, c’est ensuite supprimer les accès de l’attaquant, corriger la faille d’entrée et changer les secrets exposés. Ces deux gestes se préparent : disposer de procédures de coupure documentées, d’une liste de systèmes vitaux et d’une personne habilitée à décider évite les hésitations. C’est précisément le rôle d’un document tel que le plan de réponse à incident de l’organisation, qui fixe les rôles, les seuils d’escalade et les premiers réflexes. Sans lui, chaque décision devient une négociation, et l’attaquant profite de chaque minute perdue. Avec lui, l’équipe gagne en sérénité opérationnelle et peut se concentrer sur le jugement plutôt que sur la logistique.

Qui fait quoi quand l’incident dépasse les capacités de l’informatique interne ?

Un incident sérieux n’est jamais seulement un problème informatique. Il touche la production, la relation client, le juridique, les ressources humaines et parfois la responsabilité personnelle des dirigeants. C’est pourquoi la réponse mobilise une gouvernance de crise distincte du traitement technique : d’un côté ceux qui décident, arbitrent et communiquent, de l’autre ceux qui analysent, isolent et reconstruisent. Mélanger les deux est une erreur classique, car le responsable technique se retrouve à répondre au comité de direction au lieu de piloter les actions. Une organisation mûre sépare donc le pilotage stratégique, la conduite opérationnelle et la tenue d’une main courante où chaque décision est datée et justifiée. Cette traçabilité sert ensuite au retour d’expérience, aux assureurs et, si nécessaire, aux autorités qui demanderont de reconstituer la chronologie des faits.

Le rôle de la cellule de crise et des experts externes

La cellule de crise réunit un petit nombre de décideurs : direction générale, responsable informatique ou sécurité, juridique, communication et, selon le cas, représentants métiers. Son rôle n’est pas de réparer, mais de prendre les décisions qui engagent l’entreprise : arrêter une activité, informer des clients, saisir un avocat, arbitrer entre vitesse de reprise et qualité de l’investigation. Lorsque les compétences internes ne suffisent pas, faire appel à une équipe de réponse spécialisée apporte l’expérience de nombreuses situations comparables, des outils de collecte adaptés et un regard extérieur apaisé. Ces équipes, souvent appelées CERT ou CSIRT, interviennent sur le diagnostic technique, la contention de la menace et l’accompagnement des décisions. L’essentiel est de les avoir contactées ou contractualisées avant l’incident, car négocier un cadre d’intervention en pleine nuit, sous la menace d’un chiffrement en cours, n’est jamais une bonne option.

Preuves, notifications et communication : trois chantiers parallèles

Pendant que l’équipe technique contient l’attaque, trois chantiers avancent en parallèle et ne doivent pas être négligés. Le premier est l’investigation numérique, ou forensic : elle reconstitue le parcours de l’attaquant, identifie les données consultées ou exfiltrées et détermine si la porte d’entrée est réellement fermée. Le deuxième est la notification aux autorités : selon la nature de l’incident, il peut falloir alerter la CNIL en cas de violation de données personnelles, déposer plainte et informer l’ANSSI ou un centre de réponse sectoriel, dans des délais parfois très courts. Le troisième est la communication de crise, vers les salariés, les clients, les partenaires et parfois la presse, avec un message cohérent et factuel. Chacun de ces chantiers a son responsable et son calendrier ; les laisser dans l’angle mort de la cellule de crise est la meilleure façon de transformer un incident technique en crise de confiance.

Une séquence de décision en quatre temps

Comment traduire la tolérance à l’arrêt en objectifs de reprise mesurables ?

La question qui précède toute stratégie de reprise est simple en apparence : combien de temps l’activité peut-elle s’arrêter, et combien de données peut-on accepter de perdre ? Les réponses ne sont pas techniques, elles sont métier. Une facturation peut tolérer quelques jours d’interruption alors qu’une chaîne de production ou un service d’urgence municipal n’en supporte presque aucun. On formalise ces tolérances avec deux indicateurs : le RTO, durée d’interruption admissible, et le RPO, perte de données acceptable, exprimée comme l’écart entre la dernière sauvegarde saine et l’incident. Ces deux mesures guident tous les choix : fréquence des sauvegardes, architecture de restauration, ressources de secours, contrats avec les prestataires. Les définir lors d’ateliers avec les directions métier, plutôt qu’en vase clos côté informatique, évite les mauvaises surprises le jour où la restauration prend plus de temps que ce que chacun imaginait.

PRA, PCA et sauvegardes : qui garantit quoi ?

Les objectifs de reprise prennent corps dans deux dispositifs complémentaires qu’on confond souvent. Le plan de reprise d’activité décrit comment remettre en service les systèmes après une interruption, en s’appuyant sur des sauvegardes et des procédures de reconstruction. Le plan de continuité d’activité va plus loin : il prévoit comment continuer à fonctionner, même en mode dégradé, pendant que la reprise est en cours, par exemple grâce à des procédures manuelles ou à des sites de repli. Dans les deux cas, la qualité des copies de données est le socle. Une sauvegarde reliée au réseau d’origine peut être chiffrée en même temps que le reste, d’où l’intérêt d’appliquer la logique de sauvegardes en trois copies sur deux supports dont une isolée, et surtout de tester régulièrement la restauration complète, seule preuve que la copie est utilisable.

Les pièges qui rendent un plan inutilisable

Un plan de reprise échoue rarement par manque de bonne volonté ; il échoue par oubli de dépendances. Le plus fréquent est de restaurer les serveurs sans avoir prévu l’annuaire et l’authentification, alors que presque tout en dépend. Vient ensuite la documentation stockée sur les systèmes mêmes qui sont indisponibles : si le guide de restauration est sur le serveur chiffré, il faut en disposer d’une copie papier ou hors ligne. Autre piège, l’ordre de redémarrage : relancer des applications avant leurs bases de données, ou la messagerie avant l’annuaire, crée des pannes en cascade et fait perdre un temps précieux. Enfin, de nombreuses organisations oublient de vérifier que les sauvegardes sont saines avant de restaurer, au risque de réinjecter le code malveillant. Une revue annuelle de ces dépendances, associée à un test chronométré, suffit souvent à révéler les quelques failles qui auraient bloqué la reprise.

Comment adapter sa préparation à la taille de son organisation ?

Il n’existe pas de dispositif unique : une entreprise de quinze personnes et un département de plusieurs milliers d’agents n’ont ni les mêmes moyens ni les mêmes obligations. Pourtant, les mêmes questions se posent partout : qui décide, qui sait faire, de quoi dépend l’activité et où sont les copies saines ? Plutôt que de viser d’emblée un dispositif exhaustif, mieux vaut procéder par paliers, en couvrant d’abord le minimum vital puis en consolidant. L’erreur symétrique, fréquente dans les structures plus grandes, consiste à empiler des documents volumineux que personne n’a lus ni testés. Un plan court, connu et testé chaque année vaut mieux qu’un classeur parfait resté dans un tiroir. Les trois profils ci-dessous donnent un ordre de priorités indicatif, à ajuster selon le niveau de dépendance au numérique et les obligations réglementaires qui s’appliquent à vous, notamment pour les activités essentielles.

TPE et petites structures : l’essentiel d’abord

Dans une très petite entreprise, il n’y a pas de RSSI ni de cellule de crise, mais il y a un dirigeant et souvent un prestataire informatique. La priorité est de formaliser une page de contacts d’urgence imprimée, qui indique qui appeler, qui peut couper les accès et quel assureur ou expert contacter. Vient ensuite la protection des sauvegardes déconnectées, testées au moins une fois par an sur un poste de remplacement. Enfin, il faut savoir à l’avance quelles tâches peuvent se faire sans informatique pendant quelques jours : prise de commandes sur papier, facturation différée, coordonnées clients imprimées. Ce travail tient en quelques demi-journées et change radicalement la réaction le jour J. Un contrat d’assistance en cas d’incident, souscrit en amont, évite de chercher un expert en urgence, au tarif de l’urgence, quand les ordinateurs affichent un message de rançon.

PME et ETI : structurer la gouvernance

À partir de quelques dizaines de salariés, les interdépendances se multiplient et la décision ne peut plus reposer sur une seule personne. Il devient utile de désigner un référent incident et un suppléant, de constituer une cellule de crise nominative avec ses remplaçants, et de rédiger un plan de réponse court mais précis. L’ETI ajoute généralement des sites, des filiales et des fournisseurs critiques : il faut alors cartographier les activités vitales, fixer un RTO et un RPO par application et prévoir la bascule vers des solutions de secours. C’est aussi l’échelle où les exercices de simulation deviennent rentables, parce qu’ils révèlent les angles morts de coordination entre la direction, l’informatique et les métiers. Un partenariat avec une équipe de réponse externe, disponible à toute heure, complète utilement des compétences internes forcément limitées en volume.

Collectivités et organisations de service public

Les collectivités cumulent des contraintes particulières : des services indispensables à la population, des applications souvent anciennes, des agents répartis sur de nombreux sites et des obligations de transparence. Leur préparation doit donc articuler continuité des services publics et protection des données des administrés. Concrètement, cela suppose d’identifier les services qui ne peuvent s’interrompre, comme l’état civil, l’accueil social ou la gestion de l’eau, d’établir des procédures dégradées pour chacun et de prévoir la communication vers les habitants et les élus. Les mutualisations entre communes et intercommunalités, ainsi que le recours aux dispositifs d’assistance publics, offrent des moyens que chaque structure isolée n’aurait pas. Enfin, la dimension politique de la crise impose de préparer des porte-parole désignés et des messages simples, afin que la parole publique reste cohérente tout au long de l’incident.

Quelle que soit la taille, la boucle d’amélioration est ce qui distingue les organisations qui progressent de celles qui subissent les mêmes crises à répétition. Une fois la situation stabilisée, il faut prendre le temps d’analyser ce qui a fonctionné, ce qui a retardé la décision et ce qui a manqué en moyens. Conduire un retour d’expérience structuré après l’incident permet de transformer une période éprouvante en liste d’actions concrètes, assorties de responsables et d’échéances. Ce travail alimente la mise à jour du plan, le choix des investissements et la sensibilisation des équipes. Il gagne à rester factuel et sans recherche de coupable, car la peur de la sanction pousse à cacher les erreurs, donc à les reproduire. Planifiez-le dans les semaines qui suivent, tant que les souvenirs sont frais, et suivez l’avancement des actions correctives jusqu’à leur clôture.