Quand un écran affiche une demande de rançon, une partie de l'incident a souvent commencé plus tôt. Des comptes peuvent être compromis, des copies de données exfiltrées et des sauvegardes visées. La vitesse compte, mais l'agitation détruit parfois des preuves ou propage l'attaque. Les six premières décisions doivent être attribuées à l'avance et exécutées avec une fiche accessible hors ligne. Elles protègent à la fois le système, la continuité et la capacité à comprendre ce qui s'est produit.
1. Déclarer l'incident et ouvrir un journal
Les appels dispersés et les messages dans la messagerie compromise créent des versions contradictoires. Un journal unique conserve heure, observation, décision et auteur. Le controle utile porte sur un comportement observable, pas sur la presence d'une option dans une console.
Désignez un coordinateur et un canal hors du système touché. Notez les faits sans interprétation, puis séparez hypothèses et décisions. Cette chronologie soutient l'enquête, les obligations et le retour d'expérience.
2. Isoler sans éteindre au hasard
Débrancher le réseau peut limiter la propagation, tandis qu'éteindre efface des informations volatiles utiles. La bonne action dépend du rôle de la machine et de l'attaque en cours. La priorite se decide selon l'impact sur l'activite et la facilite d'exploitation de la mesure par l'equipe.
Coupez les connexions d'un poste manifestement atteint et demandez conseil avant d'arrêter un serveur critique. Ne reconnectez pas pour tester par curiosité. La fiche d'incident distingue poste utilisateur, serveur, sauvegarde et équipement réseau.
3. Protéger les identités
Une session administrateur ou une boîte de courriel compromise permet à l'attaquant de revenir même après une restauration technique. Le resultat doit rester comprehensible par la direction, l'informatique et le prestataire qui interviendrait en urgence.
Depuis un environnement sain, désactivez les comptes suspects, protégez les administrateurs, révisez les sessions et préparez un renouvellement ordonné des secrets. La priorité va aux identités qui ouvrent plusieurs services, pas à un changement massif sans contrôle.
4. Préserver les preuves
Réinstaller immédiatement tous les postes peut rendre l'activité plus propre mais empêcher de comprendre l'accès initial et l'étendue réelle. Une preuve datee vaut mieux qu'une declaration generale, car elle permet de voir ce qui a change depuis le dernier controle.
Conservez les journaux, images de systèmes et messages initiaux selon les conseils de l'équipe d'investigation. Documentez chaque manipulation. Une preuve maîtrisée évite de déclarer la reprise alors qu'un mécanisme de retour reste actif.
5. Évaluer la fuite et les obligations
Le chiffrement visible ne dit pas si des données sont sorties. Une violation de données personnelles peut exiger une notification selon le risque. La mesure n'est complete que si une personne est responsable de son suivi et si un mode degrade a ete imagine.
Identifiez les données accessibles, les comptes utilisés et les indices d'exfiltration. La CNIL permet une notification initiale dans les 72 heures puis un complément si l'enquête continue. Direction, juridique et technique partagent la même évaluation documentée.
6. Autoriser une reprise par étapes
Une sauvegarde disponible ne garantit pas que l'environnement cible est sain ni que les accès ont été renouvelés. Ce choix evite d'empiler des outils tout en laissant la procedure, l'acces ou la donnee critique sans proprietaire.
Choisissez un point de restauration, reconstruisez d'abord les services de coordination et ouvrez progressivement les flux après contrôles. L'approche Respond puis Recover du NIST CSF 2.0 aide à séparer réaction et retour durable.
Le contrôle à conserver dans le dossier
Une mesure cybersécurité devient durable quand une autre personne peut la vérifier sans dépendre de la mémoire de son auteur. Conservez le périmètre, la date, le responsable, le résultat observé et la prochaine échéance. Le dossier ne stocke aucun secret : il indique seulement où les accès protégés se trouvent et qui peut les révoquer.
- Un coordinateur, un journal et un canal hors bande sont ouverts.
- Les machines atteintes sont isolées sans destruction indiscriminée.
- Identités, sauvegardes et preuves sont protégées.
- La reprise est autorisée par étapes après analyse de la fuite.
Après un changement important, rejouez le contrôle concerné plutôt que d'attendre la revue générale. Une migration, un départ, une ouverture vers Internet ou un incident modifie le risque immédiatement. La preuve datée permet de distinguer une correction réelle d'une intention et de transmettre la décision à la direction, au prestataire ou à l'équipe de reprise.
Organiser le prochain passage sans tout recommencer
Pour le sujet ransomware entreprise, conservez une page de suivi plutôt qu'un rapport figé. Elle relie le premier angle, « 1. Déclarer l'incident et ouvrir un journal », au dernier, « 6. Autoriser une reprise par étapes », afin de montrer le chemin entre exposition, action et vérification. Ajoutez la date du prochain contrôle, la personne qui l'exécutera et le changement qui imposerait de le rejouer plus tôt. Cette préparation évite que la mesure dépende d'un projet ponctuel ou d'un prestataire qui n'est plus présent.
Lors de la revue, commencez par reproduire le résultat attendu avant de lire les commentaires anciens. Une restauration, une alerte, une révocation ou un appel hors bande fournit une observation directe. Comparez-la ensuite au dossier et expliquez tout écart. Si le contrôle n'est plus pertinent, remplacez-le explicitement plutôt que de le laisser passer au vert par habitude. La sécurité reste ainsi liée au fonctionnement réel de l'entreprise.
Partager une décision compréhensible par un tiers
La synthèse reprend quatre preuves concrètes : un coordinateur, un journal et un canal hors bande sont ouverts. Les machines atteintes sont isolées sans destruction indiscriminée. Identités, sauvegardes et preuves sont protégées. La reprise est autorisée par étapes après analyse de la fuite. Elle précise aussi ce qui reste incertain et ce qui n'entre pas dans le périmètre. Cette transparence permet à la direction de prioriser, à l'équipe technique d'agir et à un autre prestataire de reprendre le travail sans interpréter une note opaque.
Terminez par une décision unique pour chaque écart : corriger, compenser, accepter temporairement ou retirer le service. Une décision temporaire porte une échéance et une condition de réouverture. La preuve de fermeture doit montrer le comportement obtenu, pas seulement une facture, une capture de licence ou la présence d'une option. Cette règle simple protège le budget et rend les arbitrages auditables dans le temps.
Commentaires
No comments yet