Cyberattaque : votre DSI sait-elle vraiment quoi faire dans les 48 premières heures ?

Lorsqu’une cyberattaque frappe une entreprise, la première question n’est plus seulement de savoir comment elle est entrée dans le système d’information. Il faut surtout savoir comment réagir.

Qui prend la décision de couper un service ? Qui coordonne les équipes techniques ? Faut-il isoler immédiatement certaines machines ? Comment maintenir l’activité ? Qui informe la direction, les collaborateurs, les clients ou les partenaires ? Et surtout, dispose-t-on des bonnes compétences au moment où la crise survient ?

La gestion d’une cyberattaque en entreprise ne repose donc pas uniquement sur des outils de cybersécurité. Elle dépend aussi de l’organisation de la DSI, des procédures prévues en amont et de sa capacité à mobiliser rapidement les bons experts IT.

Les 48 premières heures sont particulièrement importantes. Dans cette période sous tension, l’objectif est double : limiter la propagation de l’incident tout en préparant une reprise maîtrisée de l’activité.

Cyberattaque : pourquoi les premières heures sont déterminantes

Une cyberattaque peut prendre des formes très différentes : rançongiciel, compromission d’un compte administrateur, vol de données, intrusion dans le système d’information, attaque d’un prestataire ou encore indisponibilité d’une application critique.

Dans tous les cas, les premières décisions peuvent avoir des conséquences importantes sur la suite.

Il faut notamment être capable de :

• qualifier rapidement l’incident ;
• identifier les systèmes potentiellement compromis ;
• contenir l’attaque sans détruire les éléments nécessaires aux investigations ;
• protéger les sauvegardes et les environnements encore sains ;
• maintenir autant que possible les activités prioritaires ;
• coordonner les équipes internes et les intervenants externes ;
• organiser la communication et les éventuelles obligations de notification.

Le premier risque serait de vouloir aller trop vite vers un retour à la normale sans comprendre suffisamment l’origine et le périmètre de l’attaque.

Remettre un système en production alors que l’attaquant dispose encore d’un accès peut simplement déplacer ou prolonger le problème.

0 à 4 heures : qualifier, isoler et mobiliser

Lorsqu’un incident sérieux est détecté, la priorité consiste d’abord à comprendre ce qui se passe.

Il ne s’agit pas nécessairement de disposer immédiatement d’un diagnostic complet. En revanche, la DSI doit pouvoir déterminer rapidement si elle fait face à un incident localisé ou à une compromission susceptible de toucher une partie importante du système d’information.

En cas de rançongiciel notamment, Cybermalveillance.gouv.fr recommande de couper les connexions Internet du réseau attaqué, d’identifier et de déconnecter les machines compromises, puis d’alerter immédiatement le service ou le prestataire informatique.

Mais la réponse ne peut pas rester exclusivement technique.

Très rapidement, il faut désigner les personnes chargées de piloter la situation.

Selon la taille de l’entreprise, cette cellule de crise pourra réunir :

• DSI ou responsable informatique ;
• expert cybersécurité ;
• responsable infrastructure et réseaux ;
• direction générale ;
• juridique ou DPO selon la nature des données concernées ;
• communication ;
• responsables des métiers directement impactés.

Une question simple permet déjà d’évaluer le niveau de préparation d’une organisation : si une attaque majeure se produisait demain matin, chacun saurait-il précisément qui appeler et qui décide ?

Si la réponse n’est pas immédiate, il existe probablement un premier axe de travail.

4 à 12 heures : comprendre le périmètre sans perdre de vue l’activité

Une fois les premières mesures de protection prises, l’entreprise doit commencer à mesurer l’ampleur réelle de la situation.

Quels comptes sont compromis ? Quels serveurs sont concernés ? Les sauvegardes sont-elles accessibles et fiables ? Des données ont-elles potentiellement été exfiltrées ? Les accès distants doivent-ils être suspendus ? Quels services doivent impérativement continuer à fonctionner ?

C’est souvent à ce stade qu’apparaît une difficulté importante : la crise cyber devient une crise d’entreprise.

La DSI doit travailler sur l’incident tout en répondant aux demandes de la direction et des métiers.

Il faut donc distinguer les priorités.

Un ERP arrêté, une messagerie indisponible, un site e-commerce inaccessible ou un outil de production bloqué n’ont pas les mêmes conséquences selon l’activité de l’entreprise.

La bonne question n’est donc pas uniquement : « Quel système devons-nous remettre en service en premier ? »

Elle est plutôt : « Quelle activité devons-nous rétablir en priorité, et de quels systèmes dépend-elle ? »

Cette approche permet de replacer les choix techniques dans leur contexte métier.

12 à 24 heures : organiser la réponse et préparer la reprise

Après les premières mesures d’urgence vient une phase souvent plus complexe.

L’entreprise commence à disposer de davantage d’informations, mais elle reste dans une situation instable. Certaines applications fonctionnent, d’autres sont isolées. Les équipes commencent à fatiguer. Les métiers souhaitent connaître les délais de reprise.

La DSI doit alors structurer la suite.

Cela peut passer par plusieurs chantiers menés en parallèle :

• investigations sur l’origine et l’étendue de la compromission ;
• sécurisation des comptes et accès sensibles ;
• vérification de l’intégrité des sauvegardes ;
• préparation d’environnements sains ;
• priorisation des applications à restaurer ;
• suivi précis des actions réalisées ;
• coordination des intervenants internes et externes.

Cette documentation est importante.

Dans l’urgence, une équipe peut être tentée de multiplier les actions sans conserver suffisamment de traces. Pourtant, savoir ce qui a été coupé, modifié, réinitialisé ou restauré facilite la coordination et évite les décisions contradictoires.

24 à 48 heures : reprendre progressivement, sans recréer le risque

La reprise ne signifie pas simplement rallumer les serveurs.

Avant de remettre un environnement en production, il faut disposer d’un niveau de confiance suffisant sur son intégrité et sur les accès associés.

Dans certains cas, cela peut conduire à reconstruire des systèmes plutôt qu’à les restaurer directement.

Il faut également surveiller la reprise.

Une authentification anormale, une connexion inattendue ou la réapparition d’un comportement suspect peut révéler que la compromission n’a pas été complètement éradiquée.

La pression opérationnelle peut pourtant être forte : collaborateurs bloqués, commandes retardées, production perturbée, clients qui attendent des réponses.

Le rôle de la DSI consiste alors à arbitrer entre vitesse de reprise et maîtrise du risque.

Une crise cyber révèle rapidement les dépendances humaines de la DSI

Les entreprises investissent naturellement dans les solutions techniques : sauvegarde, EDR, pare-feu, supervision, MFA, outils de détection ou solutions de continuité.

Ces dispositifs sont indispensables, mais ils ne remplacent pas les compétences.

Une cyberattaque peut nécessiter simultanément des expertises en :

• cybersécurité ;
• systèmes et réseaux ;
• cloud ;
• Active Directory et gestion des identités ;
• sauvegarde et restauration ;
• architecture SI ;
• gestion de crise ;
• pilotage de projets et coordination.

Or, toutes les DSI ne disposent pas en permanence de l’ensemble de ces expertises.

Et c’est parfaitement logique.

Maintenir toute l’année une compétence très spécialisée pour répondre à une situation exceptionnelle n’est pas toujours pertinent économiquement ou organisationnellement.

L’enjeu est donc moins de tout internaliser que de savoir quelles compétences doivent être disponibles immédiatement et comment les mobiliser.

Recrutement, prestation ou management de transition : anticiper avant la crise

Une crise cyber permet souvent d’identifier des fragilités qui existaient déjà avant l’incident : dépendance à une seule personne, absence de responsable cybersécurité, architecture insuffisamment documentée, manque de ressources infrastructure ou absence de pilotage transversal.

Trois réponses peuvent alors être envisagées selon la nature du besoin.

Recruter lorsque la compétence devient structurelle

Si la cybersécurité, le cloud, l’infrastructure ou la gouvernance SI représentent désormais un enjeu permanent, le recrutement permet d’intégrer durablement cette compétence dans l’organisation.

L’objectif n’est plus seulement de répondre à une crise mais de renforcer la DSI dans la durée.

Faire appel à une prestation pour disposer rapidement d’une expertise

Lorsqu’une compétence spécifique est nécessaire pour une période définie, la prestation de services permet de renforcer temporairement l’équipe avec un expert opérationnel.

Cela peut concerner une expertise cybersécurité, infrastructure, cloud, réseau, architecture ou encore un chantier de sécurisation et de remise à niveau.

Cette logique est particulièrement adaptée lorsqu’une DSI sait précisément quelle expertise lui manque mais n’a pas besoin de créer immédiatement un poste permanent.

Mobiliser un manager de transition lorsque le sujet est aussi organisationnel

Certaines situations dépassent la seule expertise technique.

Après une crise importante, il peut être nécessaire de reprendre le pilotage d’une DSI, de coordonner plusieurs équipes, de reconstruire une feuille de route, de revoir les prestataires ou de mener un programme de transformation.

Le management de transition peut alors apporter rapidement un manager ou directeur expérimenté pour structurer cette période.

Cette approche est cohérente avec les situations de crise ou de transformation, qui font partie des contextes d’intervention des managers de transition IT.

Le bon moment pour préparer une cyberattaque reste avant qu’elle survienne

Une DSI ne pourra probablement jamais prévoir précisément la prochaine attaque.

Elle peut en revanche préparer sa capacité à réagir.

Quelques questions permettent de réaliser un premier état des lieux :

• Existe-t-il une procédure claire en cas de cyberattaque ?
• Les personnes à contacter sont-elles identifiées ?
• Les responsabilités et niveaux de décision sont-ils définis ?
• Les sauvegardes sont-elles réellement testées ?
• Les applications critiques ont-elles été priorisées ?
• Les accès administrateurs et comptes sensibles sont-ils correctement maîtrisés ?
• Les prestataires à mobiliser en urgence sont-ils connus ?
• L’entreprise sait-elle quelles compétences lui manqueraient en cas de crise ?
• Une cellule de crise a-t-elle déjà été testée dans des conditions réalistes ?

L’objectif n’est pas d’obtenir neuf réponses parfaites.

Il est d’identifier les points qui pourraient faire perdre plusieurs heures au moment où chaque décision compte.

Après la crise : ne pas simplement revenir à la situation précédente

Une fois l’activité rétablie, il peut être tentant de considérer l’incident comme terminé.

C’est précisément le moment où commence une autre étape.

Que faut-il modifier dans l’architecture ? Quelles procédures ont mal fonctionné ? Quelles compétences ont manqué ? Les responsabilités étaient-elles suffisamment claires ? Les équipes ont-elles réussi à travailler ensemble ? Quels investissements doivent désormais être priorisés ?

Le retour d’expérience permet de transformer une situation subie en plan d’amélioration concret.

Il peut déboucher sur un renforcement de la cybersécurité, mais aussi sur une évolution plus globale de l’organisation IT.

Cette réflexion rejoint d’ailleurs un autre enjeu actuel des DSI : identifier les compétences IT stratégiques à intégrer, renforcer ou externaliser.

Gestion cyberattaque entreprise : préparer les hommes autant que les systèmes

La gestion d’une cyberattaque en entreprise repose bien sûr sur la technologie, mais également sur l’organisation, les compétences et la capacité à décider rapidement.

Les 48 premières heures ne doivent donc pas être pensées uniquement comme une succession d’actions techniques.

Elles nécessitent de coordonner la DSI, la direction, les métiers et parfois plusieurs experts externes autour d’une priorité commune : contenir la crise, protéger l’entreprise et reprendre l’activité dans des conditions maîtrisées.

Une DSI bien préparée n’est pas celle qui pense pouvoir empêcher toutes les attaques.

C’est celle qui sait comment réagir lorsqu’un incident sérieux survient, qui doit prendre les décisions et quelles compétences mobiliser.

FAQ

Que faire en premier en cas de cyberattaque en entreprise ?

La première étape consiste à qualifier l’incident et à limiter sa propagation. Selon la nature de l’attaque, cela peut nécessiter d’isoler certains équipements ou réseaux et de mobiliser immédiatement les responsables IT et cybersécurité concernés.

Qui doit piloter une crise cyber ?

Le pilotage dépend de la taille et de l’organisation de l’entreprise. Une cyberattaque importante ne doit cependant pas rester uniquement entre les mains des équipes techniques. La DSI, la direction et les fonctions concernées doivent pouvoir coordonner leurs décisions.

Combien de temps faut-il pour reprendre l’activité après une cyberattaque ?

Il n’existe pas de durée standard. Elle dépend de l’étendue de la compromission, de l’architecture du SI, de la qualité des sauvegardes, des capacités de reconstruction et du niveau de préparation de l’entreprise.

Faut-il recruter un expert cybersécurité ou faire appel à un prestataire ?

Cela dépend principalement de la durée et de la récurrence du besoin. Une compétence nécessaire en permanence peut justifier un recrutement. Une expertise très spécialisée ou un besoin ponctuel peut davantage correspondre à une prestation.

Quand faire appel à un manager de transition IT après une cyberattaque ?

Le management de transition peut être pertinent lorsque la crise nécessite également un pilotage temporaire : réorganisation de la DSI, programme de sécurisation, coordination de plusieurs équipes ou prestataires, remplacement d’un responsable ou reconstruction d’une feuille de route IT.

Gestion cyberattaque entreprise en crise

S-quaar – Prestation, Recrutement et Management de transition IT & Digital

S-quaar accompagne les entreprises dans leurs enjeux IT & Digital à travers trois offres : recrutement en CDI, prestation de services et management de transition.

Nous intervenons auprès des PME comme des grands groupes pour renforcer leurs DSI et équipes techniques : infrastructure, systèmes et réseaux, développement, cloud, cybersécurité, data, ERP, gestion de projets et transformation digitale.

Du Technicien informatique au DSI, en passant par les Développeurs, Administrateurs systèmes et réseaux, Chefs de projet IT, Product Owners, Architectes SI et experts cybersécurité, nous recherchons des profils adaptés aux besoins et au contexte de chaque entreprise.

Notre approche repose sur une sélection exigeante des profils, une bonne compréhension des environnements techniques et métiers et un modèle au succès, sans exclusivité.

Un besoin en recrutement, prestation ou management de transition IT ?

Roxane : r.lebreton@s-quaar.fr / 07.89.00.34.14
Nicolas : n.buniowski@s-quaar.fr / 06.77.13.11.92
www.s-quaar.fr