Si vous lisez ceci avec un chiffrement en cours, allez directement au premier point. Si vous le lisez tranquillement un mardi ordinaire, tant mieux : cela se prépare avant, pas pendant.
Heure 0 : contenir
- Déconnectez du réseau les postes touchés. Câble débranché ou Wi-Fi coupé. Ne les éteignez pas complètement tout de suite si vous pouvez l’éviter : il y a des informations utiles en mémoire.
- Isolez les sauvegardes avant toute chose. Si le ransomware les atteint, la discussion est terminée.
- Coupez les accès distants : VPN, bureau à distance, accès des prestataires. Par où il est entré, il peut revenir.
Heure 1 : évaluer l’étendue
Avant de toucher à quoi que ce soit d’autre, il faut savoir ce qui est chiffré et ce qui ne l’est pas : postes, serveurs, dossiers partagés, sauvegardes, et s’il y a des indices d’une exfiltration de données en plus du chiffrement. Ce dernier point change les obligations légales.
C’est aussi le moment de décider qui commande : une seule personne coordonne et communique. Dans une crise, cinq personnes qui décident en parallèle font plus de dégâts que l’incident lui-même.
Heure 2 : les obligations
Si des données personnelles sont compromises, le RGPD laisse 72 heures pour notifier l’autorité de contrôle. Ce n’est pas facultatif et cela n’attend pas que vous ayez rétabli le service. Mieux vaut avoir identifié à l’avance qui rédige cette notification.
On ne paie jamais la rançon sans avoir épuisé la voie de la restauration. Et même une fois celle-ci épuisée, payer ne garantit de récupérer quoi que ce soit.
Heures 3 et 4 : rétablir dans le bon ordre
La tentation est de tout restaurer d’un coup. C’est une erreur : on restaure d’abord ce qui fait tourner l’activité, et uniquement sur des machines déjà nettoyées ou réinstallées.
- L’annuaire et l’authentification d’abord : sans identité, rien d’autre ne fonctionne.
- Ensuite, le système qui facture ou qui produit. Celui dont la panne arrête l’entreprise.
- La messagerie et les fichiers partagés ensuite.
- Les postes de travail en dernier, réinstallés à partir d’une image saine.
Ce qui évite 90 % de ces journées-là
Sauvegardes immuables, double facteur sur tous les accès distants, segmentation du réseau pour qu’un poste infecté n’atteigne pas le serveur, et des utilisateurs sans droits d’administrateur sur leur propre machine. Ce n’est pas glamour, mais c’est ce qui marche.
