Réagir vite… mais surtout bien
Les sauvegardes locales ne servent à rien; l’attaquant y a eu accès et les a supprimées. Il reste des sauvegardes hors site qui semblent intactes. Le réflexe est compréhensible : effectuer une récupération immédiate. Pourtant, en réponse à incident, la rapidité ne doit pas remplacer la méthode.

Les bons réflexes consistent d’abord à mobiliser les bonnes ressources : contacter l’assureur en cybersécurité pour activer les services prévus (experts en réponse à incident, avocats, spécialistes en infrastructure) ou, à défaut, mandater une firme de gestion de crise. Ces intervenants peuvent encadrer l’entreprise et son MSP afin de stabiliser la situation et éviter des décisions précipitées.

Une gestion globale, pas seulement technique
Une cyberattaque ne se résume pas à remettre les systèmes en marche. Il faut aussi gérer les communications internes (employés) et externes (clients, partenaires), évaluer une possible exfiltration de données, respecter les obligations légales et réglementaires, et sécuriser l’environnement TI avant toute restauration.

Trop souvent, un fournisseur TI ou une organisation tente de gérer l’événement à l’interne. C’est risqué : une mauvaise séquence d’actions peut aggraver l’impact technique (réinfection, perte de preuves, corruption des sauvegardes) et augmenter l’exposition légale.

La question du paiement de la rançon illustre bien cette complexité : quand (et si) ouvrir un canal de discussion avec l’attaquant, qui négocie, comment limiter les risques de fraude et encadrer la transaction, et quelles sont les implications juridiques? Ces décisions gagnent à être prises avec des spécialistes habitués à ce type de situation.

Prévenir… et savoir intervenir
La prévention reste essentielle (segmentation, MFA, sauvegardes immuables, tests de restauration, etc.). Trop souvent, les entreprises croient être en sécurité sans réellement l’être; il est donc crucial de faire appel à des spécialistes en cybersécurité pour valider le respect des meilleures pratiques.

Mais lorsque l’incident survient, la priorité est de réagir de façon structurée. L’analogie avec un incendie est parlante : un petit feu se contrôle avec un extincteur; un feu qui se propage exige d’évacuer et d’appeler les pompiers. En cybersécurité, le principe est le même : contenir rapidement, préserver les preuves, puis s’appuyer sur les bonnes expertises pour rétablir les opérations et limiter les impacts.