Que faire en cas de cyberattaque ?
Les cyberattaques peuvent paralyser les activités d’une entreprise, d’une association ou d’une administration. Il est crucial de réagir rapidement et efficacement pour limiter les dégâts. Cette page vous guide à travers les étapes essentielles à suivre en cas d’attaque, de l’alerte initiale à la sortie de crise, en passant par la gestion de la communication et la préservation des preuves.
Dirigeant, découvrez comment protéger vos systèmes, soutenir vos équipes et assurer la continuité de vos services face à une attaque informatique.
1 - Premiers réflexes
Alertez immédiatement votre support informatique si vous en disposez afin qu’il prenne en compte l’incident (service informatique, prestataire, personne en charge).
Isolez les systèmes attaqués afin d’éviter que l’attaque ne puisse se propager à d’autres équipements en coupant toutes les connexions à Internet et au réseau local.
Constituez une équipe de gestion de crise afin de piloter les actions des différentes composantes concernées (technique, RH, financière, communication, juridique…).
Tenez un registre des évènements et actions réalisées pour pouvoir en conserver la trace à disposition des enquêteurs et tirer les enseignements de l’incident a posteriori.
Préservez les preuves de l’attaque : messages reçus, machines touchées, journaux de connexions…
Ne payez pas de rançon !
Car vous encourageriez les cybercriminels à chercher à vous attaquer à nouveau et financeriez leur activité criminelle tout en n’ayant aucune garantie qu’ils tiendront leur parole.
2 - Piloter la crise
Mettez en place des solutions de secours pour pouvoir continuer d’assurer les services indispensables. Activez vos plans de continuité et de reprise d’activité (PCA-PRA) si vous en disposez.
Déclarez le sinistre auprès de votre assureur qui peut vous dédommager voire vous apporter une assistance en fonction de votre niveau de couverture assurantielle.
Alertez votre banque au cas où des informations permettant de réaliser des transferts de fonds auraient pu être dérobées.
Déposez plainte avant toute action de remédiation en fournissant toutes les preuves en votre possession.
Identifiez l’origine de l’attaque et son étendue afin de pouvoir corriger ce qui doit l’être et éviter un nouvel incident.
Notifiez l’incident à la CNIL dans les 72h si des données personnelles ont pu être consultées, modifiées ou détruites par les cybercriminels.
Gérez votre communication afin d’informer avec le juste niveau de transparence vos administrés, clients, collaborateurs, partenaires, fournisseurs, médias…
Faites-vous accompagner
Par des prestataires spécialisés en cybersécurité que vous pourrez trouver sur www.cybermalveillance.gouv.fr.
3 - Sortir de la crise
Faites une remise en service progressive et contrôlée après vous être assuré que le système attaqué a été corrigé de ses vulnérabilités et en en surveillant son fonctionnement pour pouvoir détecter toute nouvelle attaque.
Tirez les enseignements de l’attaque et définissez les plans d’action et d’investissements techniques, organisationnels, contractuels, financiers, humains à réaliser pour pouvoir éviter ou a minima pouvoir mieux gérer la prochaine crise.
Prenez en compte les risques psychologiques
Une cyberattaque peut engendrer une surcharge exceptionnelle d’activité et un sentiment de sidération, d’humiliation, d’incompétence voire de culpabilité susceptible d’entacher l’efficacité de vos équipes durant la crise et même au-delà.