Les trois priorités immédiates
- Contenir : isolez les postes, comptes, services ou segments réseau touchés pour limiter la propagation.
- Préserver : conservez les journaux, captures, messages d’erreur, horodatages et éléments utiles avant toute remise à zéro ou restauration.
- Coordonner : désignez un pilote, même provisoire, pour centraliser les informations et éviter les actions contradictoires.
Un déroulé simple par horizon de temps
| Horizon | Ce qu’il faut faire | Point d’attention |
|---|---|---|
| Première heure | Qualifier l’attaque, isoler les accès critiques, sécuriser les comptes exposés et centraliser les faits connus. | Ne pas improviser de suppression massive ou de restauration sans traces. |
| Premières 24 heures | Identifier le périmètre, vérifier les sauvegardes, prévenir les bons acteurs internes et lancer les mesures d’urgence externes. | Documenter tout ce qui est fait, par qui et à quelle heure. |
| Dans les 72 heures | Évaluer s’il existe une violation de données personnelles et, le cas échéant, préparer la notification CNIL. | Le délai de 72 heures concerne la notification lorsqu’elle est requise. |
| Après stabilisation | Nettoyer, restaurer, renforcer et mettre à jour la gouvernance et les preuves de décision. | Ne pas revenir en production sans comprendre au moins le chemin d’attaque probable. |
Évaluer la question des données personnelles
Toute cyberattaque n’implique pas automatiquement une notification à la CNIL. En revanche, dès qu’une violation de données personnelles est probable et qu’elle présente un risque pour les personnes, cette dimension doit être examinée sans délai. Il faut alors documenter ce qui est touché, combien de personnes peuvent être concernées, quels risques existent et quelles mesures ont été prises.
Que faire si les emails ou le domaine sont touchés
Quand la messagerie ou le nom de domaine est compromis, la gestion de l’incident doit intégrer la sécurisation du registrar, des DNS, des comptes d’administration et des boîtes de contact critiques. Sans cela, l’attaque peut se prolonger par des redirections, des usurpations ou des tentatives de fraude secondaires.
Ce qu’il faut éviter absolument
- Réinstaller ou effacer trop vite sans garder de traces.
- Communiquer des hypothèses non vérifiées comme des certitudes.
- Laisser chaque équipe agir seule sans coordination minimale.
- Négliger les comptes périphériques : VPN, registrar, messagerie, outils SaaS, sauvegardes.
L’ANRDI n’est pas un centre opérationnel d’intervention. L’association peut aider à structurer les premières questions, à rendre la chronologie plus lisible et à orienter vers les acteurs compétents, mais la réponse technique doit être menée avec les bons prestataires et services compétents.