Incident · Compromission · Réaction immédiate
Alerte Sécurité !
Adopter les bons réflexes dès les premières minutes.
Isoler. Préserver. Alerter.
Une suspicion d’incident, un compte compromis, un comportement inhabituel ou le chiffrement de fichiers nécessitent une réaction rapide, mais structurée.
Les premières décisions influencent directement la propagation de l’attaque, la préservation des données et les possibilités d’analyse ou de restauration.
Important :
N’effacez aucune donnée, ne lancez aucun outil de nettoyage et n’éteignez pas brutalement les équipements concernés sans consigne adaptée.
Si vous ne parvenez pas à joindre IT-mind immédiatement, contactez votre prestataire informatique habituel ou votre assurance cyber. Vous pouvez également consulter le dispositif officiel Cybermalveillance.gouv.fr .
Les premières minutes
Les trois réflexes immédiats :
Ces premières actions permettent de limiter la propagation de l’incident et de préserver les éléments nécessaires à son analyse.
Réflexe 01
Isoler :
Déconnectez immédiatement du réseau le poste ou le serveur suspect : câble réseau, Wi-Fi et connexion VPN. Ne l’éteignez pas brutalement, sauf en cas de danger immédiat ou sur consigne d’un intervenant qualifié.
Réflexe 02
Préserver :
Conservez les fichiers, messages, journaux, captures d’écran et alertes disponibles. Ces éléments sont essentiels pour comprendre l’origine, la chronologie et l’étendue de l’incident.
Réflexe 03
Alerter :
Contactez rapidement IT-mind, votre responsable informatique ou votre prestataire habituel afin de qualifier la situation et de coordonner les premières mesures de protection.
Isoler. Préserver. Alerter.
Identifier une situation anormale
Quels signes doivent vous alerter ?
Un incident de cybersécurité ne se manifeste pas toujours par un blocage complet du système d’information. Certains signaux apparemment mineurs peuvent révéler une compromission plus importante.
- Fichiers devenus illisibles, renommés ou chiffrés.
- Message de rançon ou demande de paiement inhabituelle.
- Connexion suspecte à une messagerie ou à un service Cloud.
- Envoi de messages à l’insu d’un utilisateur.
- Alerte provenant d’un antivirus, d’un EDR ou d’un pare-feu.
- Compte bloqué, mot de passe modifié ou double authentification détournée.
- Lenteurs soudaines, fenêtres inhabituelles ou logiciels inconnus.
- Suppression, extraction ou divulgation supposée de données.
En cas de doute
Ne minimisez pas un comportement inhabituel.
Une alerte qui se révèle sans gravité est préférable à un incident ignoré pendant plusieurs heures. Ne poursuivez pas l’utilisation normale de l’équipement concerné tant que la situation n’a pas été qualifiée.
Faciliter la prise en charge
Informations à préparer :
Quelques éléments simples permettent de qualifier plus rapidement la situation et d’éviter les actions inutiles ou contradictoires.
Situation observée
Contexte de l’incident :
- Date et heure approximatives des premiers symptômes.
- Nom du poste, du serveur ou du service concerné.
- Utilisateur, compte ou service impliqué.
- Message affiché ou comportement observé.
- Fichiers, données ou applications potentiellement concernés.
- Événement ayant précédé l’incident : email, pièce jointe, connexion ou installation.
Premières décisions
Actions déjà réalisées :
- Déconnexion du réseau, du Wi-Fi ou du VPN.
- Arrêt ou redémarrage éventuel de l’équipement.
- Modification d’un mot de passe ou blocage d’un compte.
- Alerte remontée par un antivirus, un EDR ou un pare-feu.
- Intervention d’un utilisateur ou d’un prestataire.
- Personnes déjà informées de la situation.
Éviter les actions irréversibles
Ce qu’il ne faut pas faire :
- Éteindre ou redémarrer systématiquement les équipements.
- Supprimer des fichiers, emails, journaux ou messages d’erreur.
- Lancer un outil de nettoyage ou de désinfection non encadré.
- Réinstaller un système ou restaurer immédiatement une sauvegarde.
- Modifier les configurations réseau ou serveur sans coordination.
- Reconnecter au réseau un équipement potentiellement compromis.
- Communiquer à des tiers sans validation préalable.
Pourquoi ces précautions ?
Une action précipitée peut détruire des traces techniques, favoriser la propagation, compromettre une restauration ou compliquer l’évaluation des obligations réglementaires et contractuelles. Chaque action doit être décidée en fonction du contexte réel de l’incident.
Réponse à incident
Une prise en charge structurée :
La réponse à incident ne consiste pas uniquement à supprimer un logiciel malveillant ou à remettre un équipement en fonctionnement.
Elle doit permettre de qualifier l’incident, d’en limiter les effets, d’identifier les ressources concernées et de préserver les éléments utiles à l’analyse.
Selon la situation, les actions peuvent inclure l’isolement des systèmes, la sécurisation des comptes, l’analyse des journaux, la vérification des sauvegardes, la coordination avec les prestataires concernés et la préparation d’une reprise progressive.
L’objectif est de restaurer une situation maîtrisée sans compromettre la compréhension de l’incident ni provoquer de nouveaux impacts.
Priorités d’intervention
Protéger les personnes et les activités essentielles.
Limiter la propagation de l’incident.
Préserver les données et les traces disponibles.
Évaluer les conséquences techniques et réglementaires.
Organiser la restauration et la reprise d’activité.
Obligations et communication
Données personnelles et communication :
Lorsqu’un incident peut concerner des données personnelles, une analyse doit être engagée rapidement afin d’évaluer les risques pour les personnes et les éventuelles obligations de notification.
Évitez toute communication externe précipitée auprès des clients, partenaires, médias ou autres tiers. Les informations diffusées doivent être vérifiées et coordonnées avec les responsables concernés, l’assurance cyber et, si nécessaire, les conseils juridiques ou le délégué à la protection des données.
La conservation d’une chronologie précise des faits, des décisions et des actions réalisées facilite le traitement technique de l’incident et le respect des obligations applicables.
Vérifier les faits.
Conserver une chronologie.
Coordonner les décisions.
Maîtriser la communication.
Assistance en cas d’incident
Besoin d’une assistance immédiate ?
Un premier échange permet de qualifier la situation, de sécuriser les éléments critiques et de définir les actions prioritaires pour limiter les conséquences de l’incident.
Isoler. Préserver. Alerter.