Quand une alerte apparaît, la première question n’est pas seulement de savoir ce qui s’est passé. Il faut aussi déterminer qui prévenir, dans quel ordre et avec quelles informations, afin d’agir vite sans multiplier les décisions contradictoires.
Un compte compromis, un serveur chiffré ou une fuite de données ne mobilisent pas les mêmes interlocuteurs. Une chaîne de notification préparée à l’avance aide le responsable sécurité, la hiérarchie et l’équipe de sécurité à contenir l’incident et à documenter leurs choix.
A retenir :
- Priorité immédiate à la sécurité des personnes et aux services essentiels
- Alerte interne rapide au responsable sécurité et à la hiérarchie
- Évaluation documentée avant toute notification réglementaire ou publique
- Coordination des autorités compétentes selon la nature de l’incident
Incident de sécurité : qui prévenir en premier
L’ordre des premiers appels dépend d’abord du danger et de l’ampleur de l’incident. Si des personnes sont menacées, les services de secours passent avant les démarches informatiques : appelez les pompiers ou les services médicaux selon la situation, et la police en cas de danger immédiat ou d’acte criminel.
En l’absence de risque physique, prévenez sans délai le responsable sécurité ou le point de contact désigné dans le plan de réponse. Cette personne mobilise l’équipe de sécurité, avertit la hiérarchie et active, si nécessaire, la cellule de crise.
Commencer par les risques humains et opérationnels
Cette priorité permet d’éviter qu’une réponse technique ne retarde une intervention urgente. Par exemple, un incident dans un site industriel peut associer un système informatique compromis et un risque pour les opérations ; les responsables du site et les services de secours doivent alors être coordonnés.
Selon la directive NIS2, les entités concernées doivent organiser la gestion des risques et le traitement des incidents. Les interlocuteurs exacts varient selon le secteur, le pays et les règles nationales applicables.
Pour les salariés, la consigne doit rester simple : signaler l’anomalie à un canal connu, sans chercher à enquêter ni à effacer des traces. Une tentative de connexion inhabituelle ou un message d’hameçonnage peut être un indice utile, même si la personne ne sait pas encore le qualifier.
Chaîne d’alerte interne :
- Témoin de l’anomalie et responsable hiérarchique
- Responsable sécurité ou centre de supervision
- Équipe informatique chargée du confinement
- Direction et cellule de crise selon la gravité
Une fois l’alerte interne lancée, le défi consiste à distinguer un signal isolé d’un incident qui exige une notification externe. Cette qualification doit précéder les communications qui pourraient diffuser des informations inexactes.
Qualifier l’incident avant d’alerter les autorités
La première alerte ne signifie pas automatiquement qu’une cyberattaque est confirmée. L’équipe de sécurité rassemble les faits disponibles, estime les systèmes touchés et consigne l’heure, la source du signal et les premières mesures prises.
Évaluer l’impact et préserver les preuves
Cette étape donne à la hiérarchie une base concrète pour décider. Il faut notamment examiner la continuité des services, les données potentiellement exposées, les utilisateurs concernés et les dépendances envers des fournisseurs ou partenaires.
Selon la CNIL, une violation de données personnelles présentant un risque pour les droits et libertés doit être notifiée dans les meilleurs délais et, si possible, dans les 72 heures après en avoir pris connaissance. Ce délai concerne le RGPD ; il ne remplace pas les obligations sectorielles ou celles prévues par NIS2.
Conservez les journaux, courriels et autres éléments utiles avant toute opération de nettoyage, lorsque cela peut se faire sans aggraver le danger. Notez qui a isolé un appareil, révoqué un compte ou interrompu un service, ainsi que le motif et l’heure de la décision.
Critères utiles pour qualifier l’incident :
- Nature des systèmes et services affectés
- Présence possible de données personnelles compromises
- Durée et étendue de l’interruption constatée
- Propagation vers des partenaires ou prestataires
Selon la directive NIS2, certains incidents significatifs font l’objet d’un dispositif de notification comprenant notamment une alerte précoce et une notification ultérieure. Les délais prévus par la directive doivent être appliqués avec les règles nationales de transposition et les consignes de l’autorité compétente.
Cette qualification détermine ensuite les interlocuteurs externes à prévenir, sans confondre obligations réglementaires, dépôt de plainte et information des clients.
| Situation constatée | Interlocuteur à examiner | Action prioritaire |
|---|---|---|
| Données personnelles exposées | Responsable de la protection des données et CNIL, selon le risque | Documenter l’évaluation et vérifier le délai RGPD |
| Incident significatif sous NIS2 | Autorité compétente ou CSIRT désigné | Suivre la procédure nationale applicable |
| Intrusion ou extorsion présumée | Police ou gendarmerie | Préserver les éléments utiles à un signalement |
| Incident couvert par un contrat | Assureur et prestataire concerné | Vérifier les délais et modalités contractuels |
Notifier, contenir et coordonner la réponse
Lorsque les faits sont suffisamment qualifiés, les notifications externes peuvent se dérouler en parallèle du confinement. Il ne faut toutefois pas attendre une certitude absolue pour consulter les interlocuteurs compétents si une obligation de signalement peut s’appliquer.
Contacter les autorités compétentes et les partenaires
Cette coordination s’appuie sur les informations vérifiées et sur un interlocuteur clairement désigné. Selon la nature de l’incident, il peut s’agir de l’autorité cyber compétente, d’un CSIRT, de la CNIL, de la police ou d’un régulateur sectoriel.
Selon l’ISO/IEC 27001, l’organisation doit établir des processus de gestion des incidents adaptés à son système de management de la sécurité. En pratique, la procédure doit préciser les rôles, la remontée des alertes, la conservation des preuves et le suivi des actions.
Le confinement vise à empêcher l’aggravation : isoler un équipement compromis, suspendre un compte suspect ou bloquer un accès peuvent être nécessaires. Avant une coupure importante, la cellule de crise évalue les conséquences sur les activités essentielles et consigne la décision.
Répartition des communications :
- Autorités : faits établis et évolution connue
- Assureur : circonstances et exigences contractuelles
- Clients concernés : consignes utiles et informations confirmées
- Salariés : mesures immédiates et canal de signalement
Rétablir les services et tirer des enseignements
Cette phase commence lorsque la menace est contenue, mais la remise en service ne doit pas précéder les vérifications nécessaires. Corrigez la faille exploitée, renouvelez les identifiants compromis et restaurez les données depuis des sauvegardes contrôlées.
Pour rendre les décisions compréhensibles, consignez les notifications envoyées, les destinataires, les heures et les informations transmises. Si l’organisation décide qu’un seuil de notification n’est pas atteint, elle doit également conserver les critères et éléments qui justifient cette décision.
Une entreprise fictive touchée par un compte d’administration compromis pourrait ainsi rétablir ses services après rotation des accès, contrôle des sauvegardes et surveillance renforcée. Son retour d’expérience devrait ensuite attribuer des responsables et des échéances aux corrections, plutôt que s’arrêter à la seule remise en route.
Selon le type d’incident et le pays, les procédures peuvent différer ; le plan interne doit donc indiquer les contacts à jour et les modalités de notification applicables. Des exercices réguliers révèlent souvent les numéros manquants, les rôles ambigus et les validations qui ralentissent la réponse.
| Étape | Responsable principal | Trace à conserver |
|---|---|---|
| Détection et signalement | Salarié témoin et point de contact | Heure, description et source de l’alerte |
| Qualification | Équipe de sécurité | Impact estimé et éléments examinés |
| Notification | Direction et responsables désignés | Décision, destinataires et messages transmis |
| Rétablissement | Équipe informatique et métiers | Mesures correctives et contrôles effectués |
La qualité de la réponse se mesure autant à la rapidité des gestes qu’à la clarté des responsabilités. Un ordre d’alerte préparé, compris et testé aide chacun à agir sans attendre que l’incertitude disparaisse.
Source : Directive (UE) 2022/2555, article 23 ; règlement (UE) 2016/679, article 33 ; ISO/IEC 27001:2022.
Transformer l’analyse en décision
Les meilleures décisions reposent sur un cadre compréhensible, quelques critères vérifiables et une étape suivante clairement définie. Testez la méthode à petite échelle, mesurez le résultat puis ajustez avant de généraliser.
Votre checklist
- Définir le résultat attendu
- Identifier trois critères prioritaires
- Prévoir une mesure de contrôle
- Fixer une date de réévaluation
