Gestion d'un incident cyber

Préparation avant l'incident

La réponse à incident s'organise avant que l'incident survienne. Les collectivités qui improvisent en temps de crise perdent un temps précieux et aggravent les dommages.

• Désigner un responsable de la réponse à incident (souvent le DSI ou le RSSI). Documenter sa suppléance.
• Constituer une liste de contacts d'urgence : prestataire informatique, éditeurs des logiciels critiques, CERT régional, numéro ANSSI (3218).
• Préparer un kit de crise hors ligne : cette fiche, les procédures de restauration, les coordonnées.
• Adhérer au CERT-FR (gratuit pour les collectivités) pour recevoir les alertes et bénéficier du support en cas d'incident.

Détection et première réaction (H+0 à H+2)

Les premières heures sont décisives pour limiter la propagation.

• Identifier les symptômes : chiffrement de fichiers, alertes antivirus, ralentissements inexpliqués, alarmes SCADA anormales, messages de rançon.
• Isoler immédiatement les équipements suspects du réseau (déconnecter le câble réseau ou désactiver le Wi-Fi) sans les éteindre pour préserver les preuves en mémoire.
• Alerter le responsable de la réponse à incident et activer le plan de crise.
• Ne pas payer de rançon : cela n'est pas garant de récupérer les données et finance les attaquants.

Qualification de l'incident (H+2 à H+8)

Avant de remédier, il faut comprendre ce qui s'est passé.

• Évaluer le périmètre touché : quels systèmes, quelles données, quels services interrompus.
• Identifier le vecteur d'entrée probable : email de phishing, accès VPN compromis, vulnérabilité exploitée.
• Collecter les journaux d'événements des systèmes touchés (pare-feu, Active Directory, SCADA) avant toute action corrective.
• Documenter chronologiquement tous les faits et actions menés : cette chronologie sera nécessaire pour la notification réglementaire.

Notification réglementaire

La notification aux autorités compétentes est une obligation légale pour les entités soumises à NIS2.

• Notification initiale à l'ANSSI dans les 24h via le portail SI Crise (si entité essentielle ou importante au sens NIS2).
• Rapport intermédiaire dans les 72h : périmètre, vecteur, mesures prises.
• Rapport final dans le mois suivant la résolution de l'incident.
• En cas de violation de données personnelles, notification à la CNIL dans les 72h (art. 33 RGPD).
• Pour les petites collectivités non soumises à NIS2 : signalement au CERT-FR via cert.ssi.gouv.fr, sans obligation formelle mais fortement recommandé.

Remédiation et retour à la normale

• Ne remettre en production que les systèmes après nettoyage complet et restauration depuis une sauvegarde saine identifiée antérieure à l'incident.
• Réinitialiser tous les mots de passe et tokens d'accès compromis ou potentiellement compromis.
• Auditer les comptes utilisateurs : supprimer les comptes non reconnus ou suspects.
• Réaliser un scan de vulnérabilités post-incident pour vérifier l'absence de porte dérobée.
• Conduire un retour d'expérience (RETEX) : causes, coût estimé, mesures correctives, délai de mise en œuvre.