Imaginez une matinée sans messagerie, sans logiciel de gestion et sans accès aux fichiers. Qui décide de la suite ? Où sont les numéros utiles ? Comment traiter les commandes en attente ? Les réponses relèvent autant de l’organisation que de la technique.
Quand préparer ces réponses ? Bien avant l’incident
Établissez une fiche de premiers contacts dès le début de la démarche cyber. Le plan plus complet se construit ensuite avec l’inventaire, les objectifs de sauvegarde et les dépendances. La CNIL recommande des plans de continuité et de reprise, même sommaires, ainsi que des tests réguliers 1.
Trois éléments complémentaires
La réponse à incident organise la qualification, la limitation des impacts, l’investigation et le traitement technique. Le PCA, plan de continuité d’activité, explique comment poursuivre les activités essentielles, éventuellement en mode dégradé. Le PRA, plan de reprise d’activité, prépare le redémarrage des services arrêtés 1, 2.
Un autre ordinateur ne constitue pas forcément une solution de secours : il faut aussi des accès, des données et un mode opératoire. De même, disposer de sauvegardes ne garantit pas que toutes les dépendances d’une application sont connues.
Comment construire un premier exercice ?
Notre proposition : réunissez direction, informatique, un métier et les interlocuteurs utiles. Annoncez un scénario fictif : la messagerie et la gestion commerciale sont indisponibles pendant une journée. Suivez les décisions sur une feuille, sans interrompre la production.
Vérifiez qui peut déclencher la cellule de crise, joindre le prestataire hors des outils habituels, décider d’une interruption et informer clients ou salariés. Cherchez ensuite ce qui permet réellement de continuer : contacts disponibles hors ligne, documents nécessaires et consignes de confidentialité. L’ANSSI insiste sur la préparation, la communication et l’entraînement 3.
L’exercice doit faire apparaître les trous du dispositif. « Personne n’a le numéro du fournisseur hors de la boîte mail » constitue déjà une amélioration concrète à traiter.
Préserver les éléments utiles et préparer le retour
En situation réelle, faites piloter les actions techniques par les personnes compétentes afin de limiter la propagation et préserver les preuves. Évitez les manipulations improvisées qui pourraient compliquer l’analyse. Documentez les événements et décisions, puis préparez un redémarrage contrôlé après traitement de la cause et vérification du périmètre concerné.
Pour les données personnelles, toute cyberattaque n’entraîne pas automatiquement la même notification. Une violation présentant un risque pour les droits et libertés doit être notifiée à la CNIL dans les conditions prévues, avec un délai maximal de 72 heures après en avoir pris connaissance ; un risque élevé peut également imposer d’informer les personnes, sous réserve des exceptions applicables 2, 4. Faites traiter cette qualification avec votre interlocuteur compétent et documentez-la.
Qui participe, et quel budget ?
La direction pilote les arbitrages. Informatique, métiers, communication, conseil juridique ou DPO et prestataires contribuent selon l’incident. Simulation : quatre jours de préparation et d’exercice à 900 € HT représentent 3 600 € HT, hors équipements de secours, astreinte et traitement d’une crise réelle. Faites préciser ces coûts séparément.
Votre prochaine action
Organisez un exercice sur table, consignez trois écarts et nommez leur responsable. Testez aussi une restauration technique isolée. La combinaison des deux montre si les procédures et les moyens peuvent fonctionner ensemble.