À quoi ressemble un incident de cybersécurité dans une petite entreprise ?
Dans une petite entreprise, un incident de cybersécurité se manifeste rarement de façon évidente ; il ressemble généralement à un dysfonctionnement inhabituel que quelqu’un mentionne au passage. Le NCSC cite des signes d’alerte tels que des ordinateurs lents, des personnes qui n’ont plus accès à leurs comptes ou à leurs fichiers, des demandes de rançon, des courriels suspects envoyés depuis votre propre domaine et des demandes de paiement inattendues.
Prenez un cabinet comptable fictif de 14 personnes, Halden & Rowe. Un vendredi à 4.40pm, Priya, la responsable administrative, reçoit ce message d’un associé : 'mon Outlook a envoyé plein de mails que j’ai pas écrits ?? 2 clients ont répondu pour demander des précisions sur un nouveau compte bancaire pour les factures. et le lecteur partagé me demande de me reconnecter et mon mot de passe marche pas. je pars chercher les enfants à l’école de retour à 6'. Personne ne s’occupe de l’informatique à temps plein, le prestataire informatique ferme à 5.30pm et le week-end approche.
Quelles sont les étapes de la réponse aux incidents pour une petite équipe ?
Pour une petite équipe, les étapes de réponse à un incident sont les suivantes : reconnaître l’incident, le contenir, le signaler, rétablir l’activité et en tirer les leçons. La première heure est surtout consacrée aux trois premières. Le guide du NCSC sur la réponse aux incidents et la reprise d’activité pour les petites entreprises utilise un modèle similaire en cinq étapes : se préparer, identifier, résoudre, signaler et tirer les leçons.
1. Repérez le problème et commencez à tenir un journal
Traitez le signalement comme un incident potentiel, et non comme un désagrément. Ouvrez un journal en indiquant l’heure, la personne qui l’a signalé, ce qu’elle a constaté et chaque mesure prise. Le NCSC suggère de noter quels services se sont arrêtés, quand le problème a commencé et quelle est son étendue.
2. Limitez les dégâts
Arrêtez la propagation sans détruire les preuves. Déconnectez l’appareil touché du réseau plutôt que de l’éteindre, car la CISA indique que l’arrêt peut entraîner la perte de preuves conservées en mémoire. Réinitialisez le mot de passe du compte compromis depuis un appareil sain et fermez toutes ses sessions.
3. Demandez de l’aide sans attendre
Appelez votre prestataire informatique ou la personne qui gère vos systèmes avant la fermeture. Au Royaume-Uni, le NCSC recommande à toute entreprise, organisation ou association caritative qui subit actuellement un incident informatique d’appeler Report Fraud au 0300 123 2040 et de choisir l’option 9. Aux États-Unis, la CISA et l’IC3 du FBI recueillent les signalements.
4. Signalez et informez
Signalez l’infraction aux forces de l’ordre et informez les personnes concernées. Si des données personnelles risquent d’être exposées au Royaume-Uni, l’ICO indique que vous devez lui notifier la violation, si possible dans les 72 heures, lorsqu’elle est susceptible de présenter un risque pour les personnes.
5. Rétablissez le fonctionnement et tirez les leçons
Restaurez les systèmes à partir de sauvegardes saines et testées, corrigez les failles exploitées et organisez un bref bilan une fois la situation stabilisée. Notez ce qui a bien fonctionné et ce que vous changeriez.
À quoi ressemble une première heure mal gérée ou bien gérée ?
Une première heure mal gérée se passe dans le silence et l’improvisation. Priya supprime les étranges e-mails envoyés, demande à l’associé de changer le mot de passe lundi et ne dit rien aux clients. Le lundi, l’attaquant a eu accès à la messagerie pendant tout le week-end, les preuves ont disparu et un client a payé l’escroc.
Une première heure bien gérée se déroule dans le calme, avec une trace écrite. À 4.45pm, Priya ouvre un journal et y consigne mot pour mot le message de l’associé. À 4.50pm, elle appelle le prestataire informatique, qui bloque les connexions à la messagerie et impose une réinitialisation du mot de passe avec authentification multifacteur. À 5.05pm, elle téléphone aux deux clients en utilisant les numéros figurant dans les dossiers du cabinet et leur demande de ne pas effectuer de virement vers de nouvelles coordonnées bancaires. À 5.20pm, le prestataire découvre une règle qui transfère les factures vers une adresse externe et la consigne pour les besoins de l’enquête. Avant 6pm, elle signale l’incident et programme le bilan du lundi. Rien de tout cela ne nécessite de compétences techniques.
Les outils d’IA peuvent-ils aider lors de la réponse à un incident ?
Les outils d’IA peuvent vous aider à vous préparer et à communiquer, mais ils ne doivent ni décider des mesures de confinement ni avoir accès à des éléments de preuve sensibles. Utilisez-les pour préparer un plan d’une page à l’avance, transformer un journal d’activité sommaire en chronologie ou rédiger un avis aux clients qu’une personne vérifiera. Ne collez jamais de journaux d’activité, de mots de passe ou de données personnelles dans un outil non approuvé.
Comment vérifier que votre réponse à un incident a été efficace ?
Vous vérifiez votre réponse à l’incident en confirmant que l’attaquant n’a plus accès au système, que les personnes exposées sont informées et que votre journal permettrait d’expliquer chaque décision à quelqu’un qui n’était pas présent.
Accès bloqué
Mots de passe réinitialisés, sessions fermées, règles de messagerie suspectes ou nouveaux comptes administrateur consignés et traités par votre prestataire informatique.
Personnes informées
Les clients et les membres du personnel concernés ainsi que, lorsque cela est obligatoire, les autorités de régulation ou les forces de l’ordre ont été informés par des canaux de confiance.
Preuves conservées
Rien n’a été supprimé pour faire le ménage, et le journal indique les heures, les actions et la personne qui a pris chaque décision.
Leçons enregistrées
L’évaluation indique un changement à apporter, par exemple généraliser l’authentification multifacteur.
Quelles sont les erreurs courantes en matière de réponse aux incidents ?
L’erreur la plus courante est d’attendre d’être sûr, car au moment où l’incident est confirmé, les dégâts se sont déjà propagés. Autres erreurs : supprimer des preuves pour faire le ménage, éteindre les machines au lieu de les déconnecter, prévenir les autres depuis la boîte mail compromise, garder le silence auprès des clients et ne disposer d’aucun numéro d’assistance informatique en dehors des heures ouvrées.
Où se situe cette leçon dans Tosheo.ai ?
Cette leçon appartient à la catégorie Cybersécurité et au cours de cybersécurité. Dans Tosheo.ai, l’exercice pratique vous fournit un rapport désordonné comme celui de Priya, vous demande de consigner les événements et les actions de la première heure, puis évalue votre travail selon une grille de critères visible. Il s’agit d’une formation de sensibilisation, et non d’une formation professionnelle à la réponse aux incidents ou à l’investigation numérique. Elle ne remplace pas votre prestataire informatique.
Sources et périmètre
NCSC, étape 2 : identifier ce qui se passe (vérifié le 19 October 2026) ↗
CISA, j’ai été victime d’un rançongiciel (vérifié le 19 October 2026) ↗
ICO, signaler une violation de données personnelles (vérifié le 19 octobre 2026) ↗