Un plan d'incident et une fiche d'incident

Module 8: Quand les choses tournent mal · Temps de lecture : 10 minutes

Objectif pédagogique : Après cette leçon, vous saurez créer une fiche d'incident et un plan d'incident simple qui fonctionnent même si vos ordinateurs, votre messagerie et votre liste de contacts sont inaccessibles.

Notions clés : incident, fiche d'incident, plan d'incident, rôles, liste de contacts, confinement, conservation des preuves, communication, conservation hors ligne, exercice (tabletop)

Pourquoi régler cela maintenant, et pas quand le feu est déjà là

Imaginez : il est lundi matin, 7h45. Sur le PC de caisse de la Boulangerie Example s'affiche un écran rouge indiquant que tous les fichiers sont chiffrés. Le dossier partagé des commandes ne s'ouvre plus. Quelqu'un dit : "Appelez l'informaticien." Mais son numéro est enregistré dans les contacts de la messagerie, et la messagerie est sur ce même PC. Une autre personne veut éteindre le PC immédiatement. Une troisième commence à brancher le disque de sauvegarde pour "tout restaurer".

Les trois réactions sont compréhensibles, et deux d'entre elles aggravent la situation. C'est presque toujours ainsi que cela se passe : sous pression, les gens font ce qui leur vient en premier à l'esprit. Un incident est tout événement qui menace la disponibilité, la fiabilité ou la confidentialité de vos données ou de vos systèmes : un compte de messagerie piraté, un ransomware, un ordinateur portable perdu, un e-mail contenant des données clients envoyé à la mauvaise personne, un site web détourné.

L'objectif d'un plan n'est pas que tout se passe bien. L'objectif est de ne pas commettre, dans la première heure, d'erreurs irréparables, et de savoir qui appeler.

Fiche d'incident et plan d'incident : la différence

Pour une entreprise de deux à vingt personnes, la fiche est l'élément le plus important. Le plan peut être court. L'ANSSI (Agence nationale de la sécurité des systèmes d'information) propose des ressources et des guides pour réagir à un incident (voir Pour aller plus loin) ; vous pouvez vous en inspirer et les simplifier.

Ce que contient la fiche d'incident

Une bonne fiche répond à cinq questions. Voici un modèle que vous pouvez reprendre tel quel.

FICHE D'INCIDENT  Boulangerie Example       version : 1   date : ..-..-....

1. VOUS REMARQUEZ QUELQUE CHOSE D'ANORMAL ?  (écran rouge, e-mail étrange envoyé,
   connexion impossible, paiement inconnu, ordinateur portable perdu,
   données envoyées au mauvais destinataire)
   -> Signalez-le IMMÉDIATEMENT à : ............................  tél : ...............
      Remplaçant : ..........................................  tél : ...............
   Signaler est toujours une bonne chose. Personne n'est blâmé.

2. PREMIÈRES ÉTAPES (ne réparez pas vous-même)
   [ ] Débranchez le câble réseau / coupez le wifi / mode avion. NE PAS éteindre.
   [ ] Débranchez les clés USB et disques de sauvegarde. NE PAS les connecter.
   [ ] Prenez une photo de l'écran (avec votre téléphone).
   [ ] Notez : heure, ce que vous avez vu, ce que vous avez fait.
   [ ] Ne payez pas, ne répondez pas au maître chanteur.

3. QUI APPELER ?
   Assistance informatique / administrateur ...................  tél : ...............
   Hébergement / messagerie  ............................  tél : ...............
   Banque (fraude, 24/7)     ............................  tél : ...............
   Assureur (cyber)          ............................  police : ............
   Police ou gendarmerie (plainte)   17 ou 112 (urgence), ou le service local
   CNIL, notification de violation  https://www.cnil.fr/fr/notifier-une-violation-de-donnees-personnelles (dans les 72 heures)
   Client ou fournisseur important : ...................  tél : ...............

4. QUI DÉCIDE ET QUI COMMUNIQUE ?
   Décide (éteindre, restaurer, signaler, payer) : ..........................
   Communique avec les clients, la presse, le personnel : ....................
   Tient le journal de bord : .....................................................

5. OÙ TROUVER QUOI
   Sauvegardes : .............................. (dernier test : ..-..-....)
   Accès d'urgence au gestionnaire de mots de passe : ...........................................
   Liste des systèmes et comptes : ..........................................
   Ce plan (numérique) + copie hors de l'entreprise : ..............................

Quelques choix de ce modèle méritent une explication.

• "Ne pas éteindre, mais débrancher." En cas de ransomware, l'ANSSI conseille de déconnecter immédiatement l'appareil touché du réseau (câble, wifi, réseau mobile), mais de ne pas l'éteindre ; la mise en veille est autorisée. La mémoire vive contient des traces dont un enquêteur peut avoir besoin, et parfois même des clés de déchiffrement. Débrancher stoppe la propagation vers les autres appareils et vers le disque réseau.
• "Ne pas connecter les disques de sauvegarde." Un disque branché sur un PC infecté sera également chiffré. Il faut d'abord s'assurer que l'environnement est sain (leçon 8.3).
• "Signaler est toujours une bonne chose." L'employé qui remarque le premier quelque chose est votre meilleure défense. S'il a peur d'une réprimande, il attendra, et vous perdrez des heures. Voir aussi la leçon 9.2.
• Des numéros sur papier. C'est justement en cas d'incident majeur que votre messagerie, votre agenda partagé et parfois même votre standard téléphonique ne fonctionnent plus. Une fiche uniquement stockée dans le cloud est alors inaccessible.

En cas de danger immédiat, composez le 17 ou le 112 ; mais une cyberattaque n'est généralement pas une urgence de ce type. Pour porter plainte, adressez-vous à la police ou à la gendarmerie (voir https://www.masecurite.interieur.gouv.fr/).

Rôles : qui fait quoi

Dans une petite entreprise, une seule personne fait souvent tout. Définissez malgré tout trois rôles, même si deux portent le même nom :

1. Le décideur. Décide d'éteindre, de restaurer, de notifier la CNIL, de contacter la banque, et de faire appel ou non à un spécialiste externe. De préférence le dirigeant ou la direction, avec un remplaçant désigné.
2. La ligne technique. Votre prestataire informatique, votre créateur de site web ou le collègue débrouillard. Exécute ce que demande le décideur et le conseille. Convenez à l'avance si votre prestataire informatique aide aussi en cas d'incident, à quelle vitesse, et à quel coût ; c'est une question pour la leçon 7.2.
3. Le communicant. Échange avec les clients, le personnel et éventuellement la presse, afin qu'un seul discours soit communiqué à l'extérieur. En cas de violation de données, cela inclut aussi l'information des personnes concernées (leçon 8.2).

Désignez également une personne chargée de tenir un journal de bord : heure, ce qui s'est passé, qui a décidé quoi. Cela peut sembler bureaucratique, mais vous en aurez besoin pour la notification à la CNIL (qui demande quand vous avez découvert la violation et ce que vous avez fait), pour votre assureur, pour le dépôt de plainte et pour l'évaluation ultérieure.

Le plan : quelques règles par type d'incident

En plus de la fiche, rédigez une courte démarche pour chaque incident fréquent. Quatre suffisent pour commencer :

Notez également quels systèmes sont les plus importants, par ordre de priorité. Pour la Boulangerie Example, cela pourrait être : caisse et terminal de paiement, commandes du jour, messagerie, comptabilité, site web. Lors de la restauration, vous commencez par le haut de la liste. Voir aussi RPO et RTO dans la leçon 6.3.

S'exercer : une demi-heure autour d'une table

Un plan que personne ne connaît ne sert à rien. Un exercice tabletop prend une demi-heure : vous êtes assis avec les personnes ayant un rôle, autour d'une table, et vous rejouez un scénario, sans toucher à rien. L'animateur (cela peut être vous-même) raconte étape par étape ce qui se passe.

Exemple : "Il est vendredi 16h30. Le comptable reçoit un e-mail d'un fournisseur habituel : l'IBAN a changé, merci de régler dès aujourd'hui la facture en cours de 8 400 euros sur le nouveau numéro. Que faites-vous ?" Puis : "Il est lundi. Le fournisseur appelle : il n'a rien reçu." À chaque étape, demandez : qui fait quoi, qui appelez-vous, où se trouve ce numéro ?

À la fin, notez ce qui manquait. C'est presque toujours un numéro de téléphone, un mot de passe connu d'une seule personne, ou un flou sur qui décide. Mettez la fiche à jour et inscrivez la nouvelle date. S'exercer une fois par an et revérifier la fiche est un bon rythme pour une petite entreprise, de même qu'après chaque changement important (nouveau prestataire informatique, nouveau logiciel de comptabilité).

En pratique : voici à quoi cela ressemble

Incluez dans votre fiche les endroits concrets où vous pouvez intervenir rapidement chez vos propres prestataires. Chez WebOké, cela comprend par exemple : consulter et déconnecter les sessions actives dans Mon WebOké, la procédure "Mon site web a été piraté" dans le guide DirectAdmin, et la restauration d'une sauvegarde. Chez d'autres fournisseurs d'hébergement, de messagerie et de cloud, des fonctions comparables existent ; renseignez-vous avant d'en avoir besoin, et notez où elles se trouvent.

Résumé

• Une fiche d'incident (une page A4, sur papier) garantit que chacun fait ce qu'il faut dans les premières minutes : signaler, débrancher sans éteindre, ne pas connecter les sauvegardes, ne rien payer.
• Définissez les rôles : qui décide, qui exécute le travail technique, qui communique, qui tient le journal de bord.
• Rédigez une courte démarche pour chaque incident fréquent, ainsi que l'ordre de priorité de vos systèmes les plus importants.
• Conservez les numéros et le plan aussi en dehors de vos ordinateurs.
• Exercez-vous une demi-heure par an autour d'une table et mettez la fiche à jour.

Quiz

Exercice

Exercice D8.1 : Votre propre fiche d'incident. Reprenez le modèle de cette leçon et complétez-le pour votre propre entreprise : noms, numéros et emplacements réels. Imprimez-le, affichez-le et prenez-en une photo pour votre téléphone. Ensuite, avec un collègue (ou seul), rejouez en un quart d'heure le scénario de l'IBAN de cette leçon, et notez ce qui vous manquait.

Pour aller plus loin

Les étapes des articles WebOké s'appliquent à l'environnement WebOké ; chez d'autres prestataires, le fonctionnement est comparable.

• Guide DirectAdmin 18.2: Mon site est piraté : plan d'action
• Au secours ! Mon site a été piraté. Comment résoudre ou éviter ce problème ?
• Guide WebOké 3.6: Consulter les sessions actives et se déconnecter
• ANSSI, Cybermalveillance.gouv.fr : que faire en cas d'attaque par rançongiciel ? : https://www.cybermalveillance.gouv.fr/
• ANSSI, ressources et guides sur la cybersécurité des entreprises : https://cyber.gouv.fr/
• Police et gendarmerie, porter plainte et obtenir de l'aide : https://www.masecurite.interieur.gouv.fr/