Incident de sécurité : les 10 premières minutes qui peuvent sauver votre entreprise

Introduction

Une cyberattaque ne prévient jamais.

Un jour, tout semble fonctionner normalement. Le lendemain matin, un employé ne peut plus ouvrir ses fichiers, le site web est hors ligne, un message “Vos données ont été chiffrées” s’affiche.

👉 À ce moment précis, chaque minute compte.

Les dix premières minutes déterminent l’ampleur de la crise, la durée d’interruption, le coût, et parfois la survie de l’entreprise.

Voici le plan d’action concret à suivre immédiatement lorsqu’un incident est suspecté.

⏱️ Les 10 premières minutes critiques : guide minute par minute

🕐 Minute 0 à 2 — Geler la situation

1. Ne redémarrez rien.
2. Un redémarrage peut effacer des preuves ou relancer un malware dormant.
3. Débranchez le réseau (Ethernet/Wi-Fi) du poste concerné, mais laissez-le allumé.
4. Photographiez l’écran s’il affiche un message suspect (ransomware, alerte, écran bleu).

🎯 Objectif : préserver les traces pour comprendre l’origine et contenir l’attaque.

🕑 Minute 3 à 5 — Alerter les bonnes personnes

1. Prévenez immédiatement le référent sécurité / DSI / MSSP.
2. Remplissez un ticket d’incident ou formulaire interne.
3. Si vous êtes une PME sans équipe SOC, contactez votre prestataire.
4. Ne communiquez pas sur les réseaux internes ou externes (pas de messages Slack/Mattermost non chiffrés).

🗣️ Centralisez la communication dans un seul canal sécurisé.

🕒 Minute 5 à 7 — Identifier la portée de l’incident

1. Combien de postes touchés ?
2. Serveurs, sauvegardes, messagerie affectés ?
3. Des services critiques sont-ils indisponibles (compta, ERP, production) ?
4. Les sauvegardes semblent-elles compromises ?

Rassemblez les indices : noms de fichiers chiffrés, extensions anormales, messages de rançon, horodatage des logs.

🕓 Minute 7 à 9 — Isoler sans paniquer

1. Coupez la connexion Internet si l’attaque est encore en cours (mais gardez l’alimentation).
2. Séparez le réseau interne par VLAN si possible.
3. Évitez les transferts de fichiers ou clés USB entre machines.
4. Vérifiez que les sauvegardes restent déconnectées/hors-ligne.

💡 Une bonne isolation vaut mieux qu’une restauration précipitée.

🕔 Minute 10 — Activer le plan de réponse

1. Déclenchez le plan de réponse à incident (PRI) ou PCA/PRA.
2. Notez toutes les actions exécutées (qui, quand, sur quel poste).
3. Si des données personnelles sont potentiellement concernées : préparez la notification CNIL (sous 72 h).
4. Prévenez la direction et, selon la gravité, le service communication ou juridique.

📋 Checklist express à garder dans chaque bureau IT

🧩 Les erreurs à ne pas commettre

1. Redémarrer ou “réparer” soi-même → perte des logs.
2. Supprimer les fichiers suspects → destruction d’indices.
3. Communiquer publiquement sans validation → risque réputationnel.
4. Ignorer l’incident → propagation latérale (ransomware, backdoor).

🧠 Chaque erreur d’une minute peut coûter des jours de récupération.

🛡️ Bonnes pratiques pour être “72h Ready”

1. Équipes préparées : un référent désigné, un canal d’urgence.
2. Scripts d’isolation automatique (Velociraptor ou RMM).
3. Modèle de communication pré-rédigé (clients, CNIL, partenaires).
4. Inventaire d’actifs à jour (pour savoir quoi isoler).
5. Sauvegardes testées trimestriellement.
6. Plan d’entraînement semestriel “tabletop incident”.

Cyberhack propose un programme 72h Ready pour les PME :

une simulation complète + rapport + recommandations pour réagir efficacement.

📈 Après l’incident : le débrief obligatoire

Dans les 7 jours suivants :

1. tenir une réunion post-mortem (technique + direction) ;
2. consigner les leçons apprises ;
3. adapter les règles de détection ou les alertes RMM ;
4. mettre à jour le plan PCA/PRA.

🧩 Un incident mal documenté est un incident prêt à se reproduire.

Conclusion

Les dix premières minutes d’un incident définissent les dix prochains jours de votre entreprise.

Un protocole clair, un canal de communication unique et une supervision active peuvent transformer une crise en simple interruption maîtrisée.

La clé ? Préparer avant la tempête.

Et si vous ne pouvez pas surveiller 24/7, laissez votre SOC le faire pour vous.