Quand un rançongiciel bloque des fichiers, la direction doit décider vite sans confondre urgence et précipitation. Dans l’heure, il faut protéger les systèmes, mobiliser les bons interlocuteurs et préserver les faits observés.
Le chiffrement peut interrompre l’activité, tandis qu’une exfiltration éventuelle expose séparément des données sensibles. Pour décider avec méthode, distinguez les conséquences, les responsabilités et les vérifications encore nécessaires.
À retenir :
- Confinement rapide des équipements touchés, avec arbitrage des spécialistes mobilisés
- Évaluation distincte de l’indisponibilité, de l’altération et de l’exfiltration
- Chronologie documentée des faits, décisions et incertitudes restantes
- Reprise conditionnée à des contrôles techniques et métiers vérifiables
Rançongiciel : les décisions d’urgence dans la première heure
Activer la cellule de crise et répartir les rôles
La première décision d’urgence consiste à réunir les personnes capables d’agir, d’arbitrer et de mesurer les effets sur l’activité. La direction coordonne la gestion de crise avec le RSSI, l’équipe informatique, les responsables métiers et, selon les faits, le DPO.
Selon Cybermalveillance.gouv.fr, il faut isoler les machines touchées et couper les communications utilisées par l’attaquant. L’isolement des systèmes doit toutefois être adapté au réseau concerné et piloté par des intervenants compétents.
Priorités de coordination immédiate :
- Nommer un décideur et un responsable de la chronologie
- Contacter l’équipe informatique ou le prestataire d’intervention
- Identifier les services bloqués et leurs dépendances essentielles
- Limiter les accès sans perturber les systèmes encore sains
| Décision | Responsable mobilisé | Élément à consigner |
|---|---|---|
| Isoler un équipement touché | Équipe informatique ou spécialiste | Machine concernée et heure de l’action |
| Déterminer les fonctions interrompues | Responsable métier | Services et opérations indisponibles |
| Protéger les sauvegardes | Responsable des systèmes | Emplacements et accès contrôlés |
| Autoriser une intervention urgente | Direction habilitée | Décision, motif et personne mandatée |
Une extinction systématique n’est pas une règle sûre : conserver des traces peut aider l’analyse, mais un chiffrement en cours peut nécessiter une mesure conservatoire. Faites arbitrer cette décision par les intervenants, plutôt que de redémarrer ou d’éteindre au hasard.
Tenir un journal utile dès les premières alertes
En parallèle du confinement, notez l’heure du fait supposé, celle de sa découverte et celle de chaque décision. Précisez la source et le niveau de confirmation : une alerte automatique ne vaut pas un constat technique vérifié.
Dans une entreprise fictive, le dossier de paie devient inaccessible à 8 h 40 et le prestataire confirme un chiffrement à 9 h 05. Une connexion inexpliquée est ensuite repérée, sans preuve suffisante pour conclure à une copie des fichiers.
Éléments du journal de crise :
- Heure, fuseau horaire et description du fait observé
- Origine de l’information et degré de confirmation
- Décision prise, responsable désigné et motif associé
- Question ouverte, prochaine vérification et échéance prévue
Cette chronologie permet de poursuivre l’analyse sans transformer une inconnue en certitude. Elle prépare aussi les décisions de notification, qui dépendent des faits établis et des risques évalués.
Rançongiciel : évaluer les données et les notifications
Distinguer indisponibilité, altération et fuite
Une fois les systèmes contenus, l’analyse doit séparer la perte d’accès, la modification des données et leur éventuelle divulgation. Restaurer une sauvegarde ne prouve pas, à elle seule, que personne n’a copié des fichiers.
Selon le RGPD, une violation peut concerner la disponibilité ou l’intégrité des données personnelles, et pas seulement leur confidentialité. L’article 33 prévoit une notification à l’autorité dans les meilleurs délais et, si possible, sous 72 heures après en avoir pris connaissance, sauf absence probable de risque pour les personnes.
Selon la CNIL, l’organisation doit documenter la violation, y compris lorsqu’elle estime qu’une notification n’est pas nécessaire. Le sous-traitant doit informer le responsable du traitement dans les meilleurs délais ; la communication aux personnes dépend notamment du niveau de risque.
Dossiers à instruire en parallèle :
- Continuité d’activité et conséquences pour les services
- Données personnelles concernées et risques pour les personnes
- Preuves techniques, périmètre observé et limites d’analyse
- Contrat d’assurance et obligations sectorielles applicables
| Dossier | Question de décision | Preuve à rechercher |
|---|---|---|
| Activité | Quels services restent impossibles à assurer ? | État des applications et impacts métier |
| Données | Quelles informations personnelles sont touchées ? | Inventaire et périmètre des systèmes concernés |
| Exfiltration | Existe-t-il des indices de copie ou d’accès ? | Journaux disponibles et limites de visibilité |
| Notification | Quels régimes s’appliquent à l’organisation ? | Analyse juridique et décision documentée |
Une sauvegarde saine réduit parfois la durée d’interruption, mais ne répond pas à la question d’une fuite. La notification des autorités et l’information des personnes doivent donc suivre leur propre analyse.
Éviter une décision précipitée sur la rançon
La négociation avec les cybercriminels ne garantit ni la restitution des fichiers ni l’absence de divulgation. Le paiement est déconseillé par les autorités compétentes ; une clause d’assurance ne constitue pas, à elle seule, une autorisation de payer.
Selon Cybermalveillance.gouv.fr, l’entreprise doit se faire accompagner et protéger ses sauvegardes avant d’engager la remise en service. Vérifiez les conditions du contrat d’assurance, les coordonnées d’urgence et les démarches qui doivent être effectuées dans les délais applicables.
Une équipe peut également demander aux prestataires qui détient les accès de secours, qui autorise les dépenses urgentes et qui valide une restriction temporaire. Ces réponses gagnent à être consignées avant la crise, avec un responsable et une preuve attendue.
Rançongiciel : autoriser une reprise contrôlée
Vérifier les sauvegardes et les fonctions critiques
Après le confinement et l’évaluation des risques, la reprise se décide service par service, et non sur la seule apparence d’un système fonctionnel. Le responsable métier valide les opérations attendues après les contrôles techniques.
Pour chaque fonction, vérifiez les données restaurées, leur intégrité, les dépendances reconnectées et les accès autorisés. Une application qui s’ouvre ne prouve pas que les traitements, les échanges ou les données récentes sont fiables.
Critères de reprise par service :
- Restauration issue d’une copie jugée saine
- Contrôle des accès et des dépendances reconnectées
- Rapprochement des opérations réalisées hors système
- Validation écrite du responsable métier concerné
Dans le cas fictif du dossier de paie, une copie ancienne permet de consulter les informations, mais les changements de la veille restent à rapprocher. L’accès à l’application ne suffit donc pas à autoriser le traitement des rémunérations.
Encadrer la décision de retour en service
La direction doit préciser ce qui est accepté, ce qui reste suspendu et les incertitudes encore ouvertes. Une validation limitée à la consultation de données historiques ne doit pas être présentée comme un rétablissement complet.
Conservez une réserve datée pour chaque vérification manquante, avec un responsable et une échéance. Fixez aussi les conditions qui imposeraient une nouvelle suspension ou une réévaluation du risque pour les personnes.
La clôture opérationnelle ne justifie pas de conserver indéfiniment des copies de données sensibles. Limitez leurs accès et leur durée de conservation selon leur utilité, les obligations applicables et les mesures de sécurité nécessaires.
Source : Règlement général sur la protection des données, articles 32 à 34 ; CNIL, recommandations relatives aux violations de données personnelles ; Cybermalveillance.gouv.fr, conseils aux victimes d’un rançongiciel.
Mieux mesurer le risque, pour décider plus sereinement
Qu'il s'agisse de CVA, de régulation bancaire, de dérivés ou de stratégie d'investissement, chaque repère compris est un pas de plus vers une gestion du risque plus rigoureuse et plus lisible. Aucun modèle ne remplace le jugement professionnel, mais il permet d'aborder chaque décision avec plus de clarté.
Pour aller plus loin
- Croiser plusieurs sources et méthodologies avant de conclure sur un niveau de risque
- Documenter les hypothèses de chaque modèle, jamais les considérer comme acquises
- Suivre les évolutions réglementaires qui peuvent changer le cadre du jour au lendemain
- Revoir régulièrement ses estimations plutôt que de les figer une fois pour toutes
