Un incident arrive rarement avec une explication complète. Il peut débuter par des fichiers inaccessibles, un paiement inhabituel, des demandes de connexion répétées, un avertissement d'un fournisseur ou un message d'un attaquant. Le premier objectif n'est pas de tout résoudre immédiatement. C'est de passer de la confusion à une réponse maîtrisée.
Première heure : établissez le commandement
Activez le responsable de l'incident et ouvrez un canal de communication hors bande au cas où les systèmes de courriel ou de collaboration seraient touchés. Notez l'heure, les symptômes initiaux, les systèmes en cause et les personnes qui prennent les décisions.
Contactez le fournisseur de réponse TI/sécurité approuvé de l'organisation. Si une assurance cyberrisque pourrait s'appliquer, révisez les exigences de notification et de consentement avant de retenir des services externes inconnus. Conservez les messages suspects, les captures d'écran, les alertes et les chronologies.
Ne supprimez pas de preuves, n'effacez pas d'appareils et ne négociez pas avec un attaquant sans l'avis de personnes qualifiées.
Heures 1 à 4 : confinez sans détruire les preuves
Isolez les appareils ou comptes touchés selon les conseils techniques reçus. Désactivez les sessions, jetons ou identifiants confirmés comme compromis. Protégez les comptes administrateurs et les systèmes de récupération. Déterminez si l'incident est toujours actif et si d'autres systèmes présentent des indicateurs connexes.
Le confinement devrait être proportionné. Tout arrêter peut interrompre l'entreprise et détruire un contexte utile; tout laisser connecté peut augmenter les dommages. Le responsable de la réponse et le responsable technique devraient prendre cette décision ensemble et la documenter.
Heures 4 à 8 : déterminez l'impact d'affaires
Déterminez quels services sont indisponibles, quels renseignements pourraient être touchés et quels processus d'affaires sont à risque. Établissez les priorités de restauration selon les besoins opérationnels, et non la commodité.
Amorcez une évaluation structurée sur le plan de la protection de la vie privée et du droit. En vertu de la LPRPDE (PIPEDA), les organisations assujetties à la loi peuvent avoir des obligations de signalement et de notification lorsqu'une atteinte aux mesures de sécurité présente un risque réel de préjudice grave. L'applicabilité et l'interprétation juridique nécessitent des conseils qualifiés.
Heures 8 à 16 : communiquez avec discipline
Préparez une seule mise à jour interne approuvée couvrant ce qui est connu, ce qui demeure inconnu, ce que les employés doivent faire et où signaler les nouvelles informations. Évitez les spéculations.
Décidez si les clients, fournisseurs, organismes de réglementation, forces de l'ordre ou autres parties doivent être contactés. Les communications devraient être exactes, coordonnées et révisées par le conseiller juridique ou en protection de la vie privée approprié.
Heures 16 à 24 : progressez vers une récupération sécuritaire
Validez que les sauvegardes sont propres et définissez l'ordre de récupération. Confirmez que la voie d'accès initiale a été corrigée avant de reconnecter les systèmes restaurés. Réinitialisez les identifiants et renforcez les contrôles selon les preuves recueillies, et non par un changement général non contrôlé.
À la fin de la première journée, la direction devrait disposer d'un résumé de la situation à jour, de l'impact d'affaires connu, de l'état du confinement, d'un registre des preuves, des décisions de communication, des priorités de récupération et d'un plan pour la prochaine période opérationnelle.