Incident numérique au cabinet : les premières décisions utiles

Lors d’un incident numérique, les premières minutes servent à limiter la propagation, préserver les preuves et maintenir les fonctions essentielles. Il ne faut ni effacer précipitamment ni attendre d’avoir compris toute l’attaque avant d’alerter les personnes compétentes.

En bref

Isolez l’équipement ou le compte compromis sans détruire les traces, contactez le support et le responsable, notez l’heure et les faits, protégez les autres accès, puis évaluez s’il y a violation de données. La CNIL demande de documenter toutes les violations et de notifier celles présentant un risque dans les 72 heures, avec information des personnes en cas de risque élevé selon les conditions du RGPD (CNIL).

Validation humaine requise avant publication. La qualification, l’analyse de risque, les notifications et les communications doivent être pilotées par la personne compétente avec le prestataire, le DPO ou un conseil si nécessaire.

1. Reconnaître sans diagnostiquer

Signaux : compte inaccessible, messages envoyés à votre insu, fichiers chiffrés, redirection de messagerie, appareil perdu, document au mauvais destinataire, données supprimées ou comportement inhabituel. Notez ce qui est visible, l’heure, l’appareil et l’utilisateur.

Ne concluez pas immédiatement à un rançongiciel ou à une fuite. Traitez le signal comme un incident jusqu’à analyse.

2. Contenir

Déconnectez du réseau l’appareil suspect si cela peut arrêter la propagation, sans l’éteindre si le spécialiste demande de préserver la mémoire. Suspendez le compte compromis depuis un autre appareil sain. Ne branchez pas les sauvegardes et n’ouvrez pas les mêmes pièces jointes ailleurs.

Pour un compte piraté, Cybermalveillance.gouv.fr recommande notamment de contacter le service, changer le mot de passe, vérifier les redirections et activer la double authentification (Cybermalveillance.gouv.fr). Changez les mots de passe réutilisés sur d’autres services.

3. Alerter

Utilisez la fiche d’incident : prestataire informatique, éditeur, hébergeur, assurance cyber si souscrite, responsable de traitement et personne de direction. Donnez les faits, pas des hypothèses rassurantes.

Le contrat de sous-traitance doit prévoir l’information du responsable en cas d’incident. La CNIL rappelle que le responsable reste maître de la décision de notifier (CNIL).

4. Préserver les preuves

Conservez messages, captures, journaux, liste des comptes, heure des actions et coordonnées des interlocuteurs. Ne réinstallez pas l’appareil et ne supprimez pas les messages avant instruction. Notez chaque décision et son auteur.

N’envoyez pas les preuves contenant des données sensibles par un canal non sécurisé. Demandez au spécialiste le moyen de transmission.

5. Évaluer la violation de données

Déterminez confidentialité, intégrité et disponibilité : des données ont-elles été vues, modifiées, perdues ou rendues inaccessibles ? Quelles catégories, combien de personnes, quelles conséquences plausibles, quelles protections et quelle durée ?

La notification à la CNIL dépend du risque ; l’information des personnes dépend d’un risque élevé et des exceptions. N’attendez pas un inventaire parfait pour lancer l’analyse : une notification initiale peut être complétée (CNIL).

6. Continuer en mode dégradé

Utilisez la procédure papier ou hors ligne minimale, sans ouvrir une nouvelle base non sécurisée. Informez des retards sans révéler la nature de l’incident. Ne restaurez qu’à partir de sources saines validées.

La CNIL recommande des sauvegardes isolées et des tests de restauration (CNIL). Une reprise rapide à partir d’une sauvegarde contaminée peut relancer l’incident.

7. Communiquer avec mesure

Préparez les messages à partir de faits établis : ce qui s’est passé, données concernées, conséquences possibles, mesures prises et gestes recommandés. N’annoncez pas « aucune donnée touchée » avant l’analyse. Ne minimisez pas et n’attribuez pas publiquement une attaque sans preuve.

Après l’incident

Fermez le registre, identifiez la cause, corrigez les accès, mettez à jour contrats et procédure, puis testez la reprise. Organisez un retour d’expérience sans blâme. Une action doit viser le mécanisme : compte partagé, absence de double facteur, sauvegarde connectée ou alerte non comprise.

Tenir un journal de décision exploitable

Dès l’alerte, ouvrez un document protégé avec quatre colonnes : heure, fait observé, action, auteur. Écrivez « message de réinitialisation reçu sur le compte X » plutôt que « pirate dans le système ». Joignez les preuves par référence et conservez leur original. Toute hypothèse reçoit le mot « à confirmer ».

Ajoutez un registre des systèmes concernés : agenda, messagerie, poste, stockage, paiement et sauvegarde. Pour chacun, indiquez état connu, mesure de confinement, personne contactée et décision de reprise. Cette vue empêche de rétablir trop tôt un service parce qu’un autre semble fonctionner.

Avant toute communication, relisez les faits établis et les inconnues. Le message initial peut dire que l’analyse est en cours et fournir des mesures de prudence, sans attribuer l’attaque ni minimiser. À la clôture, le journal permet de justifier les délais, de compléter une notification et de corriger les procédures. Conservez-le selon une durée validée et avec un accès restreint, car il peut contenir des détails sensibles sur la sécurité.

Organiser un exercice sur table

Utilisez un scénario fictif : le lundi matin, le compte de messagerie envoie des messages inconnus et l’agenda reste accessible. Donnez quinze minutes à l’équipe pour décider sans toucher aux systèmes. Elle doit identifier confinement, alerte, preuve, continuité et évaluation des données.

Le facilitateur injecte ensuite une information : un mot de passe était réutilisé ou une redirection est découverte. Vérifiez si les actions restent adaptées. Terminez par les numéros introuvables, responsabilités ambiguës et accès excessifs. Corrigez la fiche puis rejouez six mois plus tard. L’exercice n’utilise aucun véritable identifiant ni détail d’architecture publiable.

Limites

Cette fiche n’est pas une assistance d’urgence et ne couvre pas toutes les obligations pénales, assurantielles ou sectorielles. En présence d’une attaque en cours ou d’une perte importante, sollicitez immédiatement des professionnels et les autorités adaptées.

Suivi éditorial

Sources contrôlées le : 28 août 2026. Prochaine revue prévue : 28 février 2027.

Sources primaires

• CNIL — gérer incidents et violations
• CNIL — règles de notification
• Cybermalveillance.gouv.fr — piratage de compte
• CNIL — sauvegarder

À lire ensuite

• Préparer la continuité du cabinet
• Archiver les documents
• Choisir un agenda sûr

Le kit RGPD Geniosteo contient une fiche réflexe et un registre d’incident à adapter avec vos prestataires.