Un plan d'incident et une fiche d'incident

Module 8: Quand les choses tournent mal · Temps de lecture : 10 minutes

Objectif pédagogique: après cette leçon, vous saurez créer une fiche d'incident et un plan d'incident simple qui fonctionnent même si vos ordinateurs, votre messagerie et votre liste de téléphone ne sont plus accessibles.

Notions clés: incident, fiche d'incident, plan d'incident, rôles, liste de contacts, confinement, conservation des preuves, communication, conservation hors ligne, exercice (tabletop)

Pourquoi vous réglez cela maintenant, et pas quand le feu est pris

Imaginez: il est lundi matin, 7h45. Sur l'ordinateur de caisse de la Boulangerie Example s'affiche un écran rouge indiquant que tous les fichiers sont chiffrés. Le dossier partagé des commandes ne s'ouvre plus. Quelqu'un dit: "Appelez l'informaticien." Mais son numéro se trouve dans les contacts de la boîte mail, et cette boîte mail se trouve sur le même ordinateur. Une autre personne veut éteindre l'ordinateur immédiatement. Une troisième commence à brancher le disque de sauvegarde pour "tout restaurer".

Ces trois réactions sont compréhensibles, et deux d'entre elles aggravent la situation. C'est presque toujours ainsi que cela se passe: sous pression, les gens font ce qui leur vient en premier à l'esprit. Un incident est tout événement qui menace la disponibilité, la fiabilité ou la confidentialité de vos données ou de vos systèmes: un compte de messagerie piraté, un ransomware, un ordinateur portable perdu, un e-mail contenant des données clients envoyé à la mauvaise personne, un site web détourné.

L'objectif d'un plan n'est pas que tout se passe bien. L'objectif est de ne pas commettre, dans la première heure, d'erreurs que vous ne pourrez plus réparer, et de savoir qui appeler.

Fiche d'incident et plan d'incident: la différence

Pour une entreprise de deux à vingt personnes, la fiche est l'élément le plus important. Le plan peut rester court. Le NCSC néerlandais a publié pour les ransomwares un plan de réponse aux incidents détaillé (voir Pour aller plus loin); vous pouvez vous en inspirer et le raccourcir.

Ce qui figure sur la fiche d'incident

Une bonne fiche répond à cinq questions. Voici un modèle que vous pouvez reprendre.

FICHE D'INCIDENT  Boulangerie Example            version: 1   date: ..-..-....

1. VOUS REMARQUEZ QUELQUE CHOSE D'ÉTRANGE ?  (écran rouge, e-mail bizarre envoyé,
   connexion impossible, paiement inconnu, ordinateur portable perdu, données
   envoyées au mauvais destinataire)
   -> Signalez-le IMMÉDIATEMENT à: ............................  tél: ...............
      Remplaçant: ..........................................  tél: ...............
   Signaler est toujours une bonne chose. Personne n'est blâmé.

2. PREMIÈRES ÉTAPES (ne réparez pas vous-même)
   [ ] Débrancher le câble réseau / couper le wifi / mode avion. NE PAS éteindre.
   [ ] Débrancher les clés USB et disques de sauvegarde. NE PAS les connecter.
   [ ] Prendre une photo de l'écran (avec votre téléphone).
   [ ] Noter: l'heure, ce que vous avez vu, ce que vous avez fait.
   [ ] Ne pas payer, ne pas répondre au maître chanteur.

3. QUI APPELER ?
   Aide informatique / administrateur   ............................  tél: ...............
   Hébergement / messagerie             ............................  tél: ...............
   Banque (fraude, 24/7)                ............................  tél: ...............
   Assureur (cyber)                     ............................  police: .............
   Police / gendarmerie (plainte)       17 ou 112 (urgence), sinon voir plus bas
   Guichet de notification CNIL         cnil.fr (dans les 72 heures)
   Client/fournisseur important: ...................  tél: ...............

4. QUI DÉCIDE ET QUI COMMUNIQUE ?
   Décide (éteindre, restaurer, notifier, payer): ..........................
   Communique avec les clients, la presse, le personnel: .....................
   Tient le journal de bord: .....................................................

5. OÙ TROUVER QUOI ?
   Sauvegardes: .............................. (dernier test: ..-..-....)
   Accès d'urgence au gestionnaire de mots de passe: ...........................................
   Liste des systèmes et des comptes: ..........................................
   Ce plan (numérique) + copie en dehors de l'entreprise: ..............................

Quelques choix de ce modèle méritent une explication.

• "Ne pas éteindre, mais débrancher." En cas de ransomware, le NCSC néerlandais recommande de retirer immédiatement l'appareil touché du réseau (câble, wifi, réseau mobile), mais de ne pas l'éteindre; la mise en veille est acceptable. La mémoire vive contient des traces dont un enquêteur peut avoir besoin, et parfois même des clés de déchiffrement. Débrancher arrête la propagation vers d'autres appareils et vers le disque réseau.
• "Ne pas connecter les disques de sauvegarde." Un disque branché sur un ordinateur infecté sera lui aussi chiffré. Il faut d'abord être certain que l'environnement est sain (leçon 8.3).
• "Signaler est toujours une bonne chose." L'employé qui remarque le premier quelque chose est votre meilleure défense. S'il craint une réprimande, il attendra, et vous perdrez des heures. Voir aussi la leçon 9.2.
• Des numéros sur papier. C'est justement lors d'un incident majeur que votre messagerie, votre agenda partagé et parfois même votre standard téléphonique ne fonctionnent plus. Une fiche qui n'existe que dans le cloud est alors inaccessible.

En cas de danger immédiat, appelez le 17 (police) ou le 112 (urgence); une cyberattaque n'est généralement pas une affaire relevant de l'urgence absolue, mais nécessite tout de même un dépôt de plainte auprès de la police ou de la gendarmerie.

Rôles: qui fait quoi

Dans une petite entreprise, une seule personne fait souvent tout. Définissez malgré tout trois rôles, même si deux portent le même nom:

1. Le décideur. Décide d'éteindre, de restaurer, de notifier la CNIL, de contacter la banque, et de faire appel ou non à un spécialiste externe. De préférence le dirigeant ou le gérant, avec un remplaçant désigné.
2. La ligne technique. Votre prestataire informatique, votre créateur de site web ou le collègue débrouillard. Exécute ce que demande le décideur et conseille. Convenez à l'avance si votre prestataire informatique aide aussi en cas d'incident, à quelle vitesse, et à quel coût; c'est une question pour la leçon 7.2.
3. Le communicant. Parle aux clients, au personnel et éventuellement à la presse, afin qu'un seul discours soit communiqué à l'extérieur. En cas de violation de données, cela inclut aussi l'information des personnes concernées (leçon 8.2).

Désignez aussi quelqu'un pour tenir un journal de bord: l'heure, ce qui s'est passé, qui a décidé quoi. Cela peut sembler bureaucratique, mais vous en aurez besoin pour la notification à la CNIL (qui demande quand vous avez découvert la violation et ce que vous avez fait), pour votre assureur, pour le dépôt de plainte et pour l'évaluation a posteriori.

Le plan: quelques règles par type d'incident

En plus de la fiche, rédigez une brève marche à suivre pour chaque incident fréquent. Quatre suffisent pour commencer:

Notez également quels systèmes sont les plus importants, par ordre de priorité. Chez la Boulangerie Example, c'est par exemple: caisse et terminal de paiement, commandes du jour, messagerie, comptabilité, site web. Lors de la restauration, vous commencez par le haut de la liste. Voir aussi le RPO et le RTO dans la leçon 6.3.

S'exercer: une demi-heure autour d'une table

Un plan que personne ne connaît ne fonctionne pas. Un exercice de type tabletop prend une demi-heure: vous vous asseyez à une table avec les personnes ayant un rôle et vous rejouez un scénario, sans toucher à quoi que ce soit. L'animateur (vous pouvez l'être vous-même) raconte étape par étape ce qui se passe.

Exemple: "Nous sommes vendredi, 16h30. La comptable reçoit un e-mail d'un fournisseur habituel: l'IBAN a changé, merci d'envoyer la facture en attente de 8 400 euros au nouveau numéro dès aujourd'hui. Que faites-vous ?" Puis ensuite: "Nous sommes lundi. Le fournisseur appelle: il n'a rien reçu." À chaque étape, demandez: qui fait quoi, qui appelez-vous, où se trouve ce numéro ?

Une fois l'exercice terminé, notez ce qui manquait. C'est presque toujours un numéro de téléphone, un mot de passe connu d'une seule personne, ou un flou sur qui décide. Mettez à jour la fiche et notez la nouvelle date. S'exercer une fois par an et revoir la fiche est un bon rythme pour une petite entreprise, ainsi qu'après chaque changement important (nouveau prestataire informatique, nouveau logiciel de comptabilité).

En pratique: à quoi cela ressemble

Incluez dans votre fiche les points concrets où vous pouvez intervenir rapidement chez vos propres prestataires. Chez WebOké, c'est par exemple: consulter et déconnecter les sessions actives dans Mon WebOké, la procédure "Mon site web a été piraté" dans le guide DirectAdmin, et la restauration d'une sauvegarde. Chez d'autres fournisseurs d'hébergement, de messagerie et de cloud, des fonctions comparables existent; repérez-les avant d'en avoir besoin, et notez où elles se trouvent.

Résumé

• Une fiche d'incident (une page A4, sur papier) garantit que chacun fait ce qu'il faut dans les premières minutes: signaler, débrancher sans éteindre, ne pas connecter les sauvegardes, ne rien payer.
• Définissez des rôles: qui décide, qui exécute le travail technique, qui communique, qui tient le journal de bord.
• Rédigez une brève marche à suivre pour chaque incident fréquent et l'ordre de priorité de vos systèmes les plus importants.
• Conservez les numéros et le plan également en dehors de vos ordinateurs.
• Exercez-vous une demi-heure par an autour d'une table et mettez la fiche à jour.

Quiz

Exercice

Exercice D8.1: Votre propre fiche d'incident. Reprenez le modèle de cette leçon et remplissez-le pour votre propre entreprise: noms réels, numéros et emplacements. Imprimez-le, affichez-le et prenez-en une photo pour votre téléphone. Faites ensuite, avec un collègue (ou seul), le scénario de l'IBAN de cette leçon en un quart d'heure, et notez ce qui vous manquait.

Pour aller plus loin

Les étapes des articles WebOké s'appliquent à l'environnement de WebOké; chez d'autres fournisseurs, le fonctionnement est comparable.

• Guide DirectAdmin 18.2: Mon site est piraté : plan d'action
• Au secours ! Mon site a été piraté. Comment résoudre le problème et comment l'éviter ?
• Guide WebOké 3.6: Consulter les sessions actives et se déconnecter
• NCSC néerlandais, Que faire en cas d'attaque par ransomware ?: https://www.ncsc.nl/ransomware/wat-te-doen-bij-een-ransomware-aanval
• NCSC néerlandais, Plan de réponse aux incidents Ransomware (pdf): https://www.ncsc.nl/api/media/sites/default/files/2025-12/Incidentenresponsplan_Ransomware.pdf
• Cybermalveillance.gouv.fr, assistance aux victimes de ransomware: https://www.cybermalveillance.gouv.fr/