Une cyberattaque ne laisse pas le temps de réfléchir. Elle arrive un vendredi soir ou un lundi matin, elle touche les personnes qui savent, et elle met tout le monde dans un état où les décisions se prennent mal.
C’est un phénomène connu et parfaitement normal : sous stress, l’attention se rétrécit, la mémoire des détails s’efface, et on oublie des évidences comme le numéro de son propre prestataire. Le plan de réponse existe pour cette raison précise. Il ne rend pas votre entreprise plus intelligente pendant la crise, il lui évite d’avoir à l’être.
Qu’est-ce qu’un plan écrit change réellement ?
Un plan de réponse aux incidents est un document qui décrit, à l’avance, qui fait quoi lorsqu’une attaque est découverte. Rien de plus.
Sa valeur ne vient pas de son contenu technique, souvent modeste, mais du moment où il a été écrit. Les mêmes questions posées un mardi après-midi calme et un dimanche soir en pleine attaque ne reçoivent pas les mêmes réponses. À froid, on prend le temps d’appeler l’assurance pour vérifier ce que couvre la police. À chaud, on paie une rançon parce que personne ne sait où sont les sauvegardes.
Le plan transforme donc une série de décisions difficiles en une série d’exécutions simples. Le jour venu, la question n’est plus « que faut-il faire ? » mais « où en sommes-nous dans la liste ? ».
Scénario type : une entreprise de construction de douze personnes découvre un samedi que ses fichiers sont chiffrés. Le patron est en déplacement, le collaborateur qui « s'occupe de l'informatique » ne sait pas s'il a le droit d'arrêter le serveur, et le contrat du prestataire est dans une armoire fermée à clé. Trois heures passent avant le premier appel utile. Aucune de ces trois heures n'a été perdue par manque de compétence : elles ont été perdues par absence de décision écrite.
Une à deux pages, pas davantage
C’est le point qui distingue un plan utilisable d’un document de façade, et il mérite d’être dit sans détour : si votre plan dépasse deux pages, il ne sera pas lu le jour de l’incident.
Les documents longs donnent un sentiment de sérieux. Ils rassurent en réunion. Mais un classeur de cinquante pages suppose que quelqu’un, en situation de crise, va le parcourir pour retrouver la bonne section. Cela ne se produit jamais. Ce qui se produit, c’est qu’on cherche un numéro dans ses e-mails, qu’on appelle quelqu’un au hasard, et que le classeur reste sur l’étagère.
Un plan de deux pages tient sur la table. Il se lit en trois minutes. Il peut être photocopié et distribué à quatre personnes. Cette économie n’est pas une concession à la petite taille de votre entreprise : c’est la condition pour qu’il serve.
Le plan court ne remplace pas les procédures techniques détaillées de votre prestataire, qui sont son affaire. Il fixe la structure de décision et les premiers gestes. Le reste peut s’improviser, à condition que ces éléments-là soient déjà tranchés.
Que doit contenir le plan, section par section ?
Voici le contenu à reprendre tel quel. Chaque ligne correspond à un bloc de quelques phrases dans votre document.
| Section | Ce qu’elle contient | Piège fréquent |
|---|---|---|
| Qui décide | Le nom et le mobile de la personne qui tranche, plus son suppléant et le délai au bout duquel il prend le relais | N’indiquer qu’une seule personne |
| Contacts | Prestataire informatique, assurance et numéro de police, avocat, banque, OFCS, police cantonale | Numéros de standard au lieu de lignes directes |
| Premiers gestes | Isoler du réseau sans éteindre, ne rien reformater, ne pas restaurer tout de suite, noter l’heure de chaque action | Les formuler de façon trop technique |
| Sauvegardes | Où elles sont, sur quel support, qui y a accès, comment on lance une restauration | Écrire « sur le NAS » sans plus de précision |
| Communication | Messages types pour les collaborateurs, les clients et les partenaires, et qui les envoie | Rédiger les messages pendant la crise |
| Ce qu’on ne fait pas | Ne pas payer dans les premières heures, ne pas parler à la presse sans validation, ne pas effacer de traces | Oublier cette section, la plus courte et la plus utile |
Deux précisions sur les contacts. Notez les numéros de mobile directs, pas les standards : un standard ne répond pas le dimanche. Et vérifiez auprès de votre prestataire ses horaires d’intervention réels ainsi que son délai contractuel de prise en charge, deux informations que beaucoup de dirigeants découvrent au plus mauvais moment.
Pour la partie technique, le détail des premiers gestes est développé dans notre article sur les 24 premières heures d’une cyberattaque, et la liste des interlocuteurs suisses dans qui contacter en cas d’incident.
Le plan doit être imprimé
C’est le point le plus important de cet article, et le plus souvent manqué.
Un plan de réponse enregistré sur le serveur de l’entreprise sera chiffré en même temps que le reste des fichiers. Un plan stocké dans un espace en ligne dont le mot de passe se trouve dans le gestionnaire de mots de passe, lui-même sur un poste inaccessible, subit le même sort. Le document qui doit vous servir quand tout est bloqué ne peut pas dépendre de ce qui est bloqué.
Imprimez le plan en plusieurs exemplaires et rangez-les hors des systèmes informatiques : direction, responsable informatique, éventuellement domicile du dirigeant. La même règle vaut pour les identifiants d'urgence : les accès administrateur au serveur, au pare-feu et à l'espace de sauvegarde doivent exister sur papier, dans une enveloppe scellée ou un coffre, avec une trace de qui l'ouvre et quand.
Le test est simple. Imaginez que vos systèmes sont tous inaccessibles, un dimanche, locaux fermés. Si vous pouvez malgré tout mettre la main sur le plan et sur les identifiants d’urgence, votre rangement tient. Sinon, il faut le revoir.
Répartir des rôles, pas seulement des noms
Un plan efficace attribue trois fonctions distinctes.
Celui qui décide. Il tranche les arbitrages : arrêter ou non la production, prévenir ou non les clients, engager ou non des frais. C’est en général le dirigeant, et il lui faut impérativement un suppléant désigné.
Celui qui gère la technique. Il fait le lien avec le prestataire, applique les premiers gestes, tient le journal horodaté des actions. Il n’a pas besoin d’être ingénieur, il a besoin de savoir qui appeler et quoi noter.
Celui qui parle. Aux collaborateurs d’abord, puis aux clients et aux partenaires. Une seule voix, pour éviter les versions contradictoires qui abîment la confiance plus que l’incident lui-même.
Dans une entreprise de huit personnes, la même personne cumule souvent deux de ces rôles. C’est normal et ce n’est pas un problème. Ce qui pose problème, c’est de ne pas l’avoir écrit : le cumul non formalisé produit soit des tâches que personne n’assume, soit deux personnes qui appellent le même prestataire avec des consignes différentes.
Pensez aussi à la disponibilité. Un rôle attribué à une personne unique qui part en vacances trois semaines par an laisse un trou de trois semaines dans votre dispositif.
Comment tester le plan une fois par an ?
Un plan jamais testé est une hypothèse, pas une préparation. L’exercice qui convient à une PME s’appelle un exercice sur table, et il tient en une heure.
Réunissez les personnes citées dans le plan, autour d’une table, sans toucher à aucun système. Vous lisez un scénario à voix haute, par exemple : lundi 7 h, les fichiers du serveur sont chiffrés et une demande de rançon s’affiche. Chacun explique alors, à tour de rôle, ce qu’il fait dans les trente premières minutes, qui il appelle et avec quel numéro. Vous introduisez ensuite une complication : la personne qui décide ne répond pas, ou le prestataire annonce un délai de quatre heures.
Une seule personne prend des notes, et uniquement sur les blocages : une information manquante, un numéro obsolète, une décision que personne ne se sent autorisé à prendre. Ces notes deviennent la liste des corrections à apporter au plan dans les jours qui suivent, avec un responsable et une échéance pour chacune.
Pendant la séance, demandez à la personne responsable des sauvegardes de restaurer un fichier au hasard, en direct, et chronométrez. Vous mesurez d'un coup la fiabilité de votre stratégie de sauvegarde et le réalisme de votre plan.
Le calendrier compte autant que l’exercice. Le plan doit être revu à chaque changement de prestataire, d’assurance ou de personne occupant un rôle. Les contacts sont la partie la plus périssable du document, et un plan aux numéros obsolètes est pire qu’une absence de plan : il donne l’illusion d’être prêt.
Où s’arrête ce que vous pouvez faire seul
Écrire ce plan est à la portée de n’importe quelle PME. La trame ci-dessus suffit, aucun budget n’est nécessaire, et une demi-journée de travail vous met dans une situation nettement meilleure que la majorité des entreprises de votre taille.
Ce qui n’est pas à votre portée, c’est de savoir si ce plan tiendra face à une attaque réelle. Presque tous les plans jamais confrontés à un scénario sérieux contiennent au moins une hypothèse fausse, et elle est rarement là où on l’attend : un accès administrateur que plus personne ne détient depuis le départ d’un collaborateur, une sauvegarde hors site dont la restauration demande quatre jours et non quatre heures, une assurance qui exige d’être avisée avant toute intervention sous peine de refuser la prise en charge, un prestataire dont le contrat ne couvre pas les week-ends.
Ces angles morts ne se découvrent pas en relisant son propre document, parce qu’on relit ce qu’on croyait vrai en l’écrivant. Ils apparaissent quand quelqu’un d’extérieur, qui a déjà vu des incidents se dérouler, pose les questions que vous ne pensez pas à poser. C’est la différence entre un plan existant et un plan qui fonctionne.
Ce document constitue donc un socle solide, il ne remplace pas un examen de votre situation réelle. Pour situer votre niveau de préparation d’ensemble, le check-up cyber comporte plusieurs questions sur la réponse à incident, et les autres réflexes de crise sont regroupés dans le pilier Réagir à un incident.