1. Les six phases du cycle de réponse aux incidents (NIST SP 800-61 / ISO 27035)

Lorsqu’une compromission avérée survient, la panique et l’improvisation sont les pires ennemies de l’organisation. La réponse doit impérativement respecter une séquence méthodique normalisée :

1. Préparation : Définir en amont la composition de la cellule de crise, les rôles de chacun, les coordonnées d’urgence hors bande (messagerie chiffrée Signal sur téléphones personnels) et les outils d’investigation prêts à l’emploi.
2. Identification et qualification : Confirmer qu’il s’agit bien d’un incident de sécurité réel (éliminer les faux positifs), évaluer la portée de l’infection et classifier le niveau de sévérité de la crise.
3. Confinement (Containment) :
   • Confinement à court terme : Isoler immédiatement les machines compromises du réseau local et d’Internet (déconnexion réseau, isolation logique au niveau de l’hyperviseur ou du switch).
   • Confinement à long terme : Bloquer les adresses IP et domaines hostiles sur les pare-feux, révoquer les identifiants et tokens de session volés.
4. Éradication : Supprimer les codes malveillants, fermer les portes dérobées (backdoors), nettoyer les composants corrompus et corriger la vulnérabilité initiale exploitée pour l’intrusion.
5. Recouvrement (Recovery) : Reconstruire les systèmes à partir d’images saines vérifiées ou restaurer les données depuis des sauvegardes immuables indemnes, puis reconnecter progressivement les services sous haute surveillance.
6. Leçons apprises et retour d’expérience (Lessons Learned) : Rédiger le rapport d’incident complet, documenter la chronologie et adapter la PSSI pour éviter toute récidive.

2. Organisation et gouvernance de la cellule de crise

Une crise cyber majeure dépasse très largement le strict cadre technique de l’équipe informatique. La cellule de crise d’une entreprise suisse réunit plusieurs piliers coordonnés :

• Le Directeur de crise (Direction Générale) : Prend les décisions stratégiques ultimes (continuation ou arrêt des activités industrielles/commerciales, relations avec les assureurs cyber).
• Le Responsable Technique (DSI / RSSI / Incident Commander) : Pilote les opérations d’investigation et de remédiation technique.
• Le Responsable Juridique et DPO : Coordonne les obligations légales (signalement obligatoire au NCSC, notification au PFPDT sous la nLPD, dépôt de plainte pénale auprès de la police cantonale).
• Le Responsable de la Communication : Maîtrise la communication interne auprès des collaborateurs et externe auprès des médias et des clients, évitant les déclarations contradictoires ou prématurées.

Règle d’or de la police judiciaire suisse : Ne jamais négocier ni payer de rançon aux cybercriminels. Le paiement ne garantit en rien la restitution des données, alimente l’écosystème criminel international et expose l’entreprise à de nouvelles extorsions ciblées.