Vendredi, 18h. Les postes affichent une demande de rançon, les serveurs de fichiers sont chiffrés, la messagerie ne répond plus. Personne ne sait précisément qui appeler en premier, ni si les sauvegardes sont exploitables. Votre RIS et votre PRA tiendraient-ils face à une telle situation ?
Ce scénario n’est plus une exception. En effet, en 2025, dans le Panorama de la Cybermenace, l’ANSSI recensait 2209 cas traités. Le vrai sujet n’est donc plus de savoir si une attaque surviendra, mais comment vous réagirez le jour où elle arrivera.
Deux dispositifs peuvent répondre à cette question : la réponse à incident de sécurité (RIS) et le plan de reprise d’activité (PRA). Complémentaires, souvent confondus et généralement inexistants ailleurs que sur le papier.
RIS et PRA : deux rôles distincts
- La RIS permet de définir les actions à réaliser dans les premières heures d’une attaque (détection, qualification, investigation, communication, etc).
- Le PRA permet quant à lui de définir une procédure de redémarrage des activités critiques
Ainsi, sans RIS, on subit l’attaque. Tandis que sans PRA, on ne redémarre pas.
Attention, un PRA conçu pour une panne ou un incendie ne suffit pas face à une cyberattaque. En effet, l’attaquant est peut-être encore là, il a pu viser vos sauvegardes et vos outils habituels peuvent être compromis.
Ce que la cyberattaque change pour votre RIS et votre PRA
Un PRA classique suppose que l’infrastructure de secours est saine. Or face à une attaque, plusieurs hypothèses tombent :
- vos sauvegardes sont une cible prioritaire,
- l’annuaire, pilier de votre SI, peut être également compromis,
- restaurer trop vite peut réintroduire la menace,
- vos outils de crise (messagerie, documentation, contacts) peuvent aussi être indisponibles au moment où vous en avez besoin.
Autant de points qu’un plan classique ne traite pas.
Les 5 erreurs qu’on retrouve le plus souvent
- Un PRA jamais éprouvé face à un scénario cyber : Le document existe, mais personne ne l’a déroulé.
- Des sauvegardes jamais restaurées ou accessibles depuis la production : Or, une sauvegarde non testée est une hypothèse, pas une garantie.
- Aucun objectif de reprise partagé avec les métiers : Sans priorités validées, tout le monde veut tout, tout de suite.
- Une gestion de crise cantonnée à la DSI : Alors que la direction, le juridique et la communication sont des métiers concernés dès les premières heures.
- Aucun dispositif de secours hors SI : Contacts d’urgence, prestataires, assurance, obligations de notification : accessibles seulement si le SI fonctionne.
Auto-évaluation : 10 questions pour savoir où vous en êtes
Répondez par oui / non / je ne sais pas. Chaque « non » ou « je ne sais pas » est une piste de travail.
- Avons-nous un contrat réponse à incident connu des personnes concernées ?
- Savons-nous qui décide quoi, et qui appelle qui, dans la première heure ?
- Nos objectifs de reprise sont-ils définis et validés avec les métiers ?
- Nos sauvegardes sont-elles hors de portée d’un attaquant disposant de droits administrateur ?
- Avons-nous testé une restauration complète dans les 12 derniers mois ?
- Savons-nous reprendre la main sur notre annuaire après une compromission ?
- Nos contacts de crise et nos procédures sont-ils disponibles hors ligne ?
- Avons-nous un prestataire de réponse à incident identifié à l’avance ?
- La direction a-t-elle déjà participé à un exercice de crise cyber ?
- Savons-nous quelles notifications réglementaires déclencher, et sous quels délais ?
Moins de 5 « oui » : exposition élevée, l’urgence est de poser les bases. Entre 5 et 8 : vous avez une fondation, mais elle reste à fiabiliser. 9 ou plus : vous êtes bien engagés, l’enjeu est de maintenir et challenger votre dispositif.
Attineos Cyber propose aujourd’hui des offres de RIS pour vous sécuriser en parallèle d’un potentiel contrat assurance Cyber auprès d’un assureur. Nos équipes GRC, (Gouvernance Risque et Conformité) peuvent vous assister dans la rédaction, la mise en oeuvre et les tests de vos PRA. Contactez-nous : https://www.attineos.com/contact/
