Réponse à incident et remise en service
Dans les premières heures, l'ordre des gestes compte plus que leur sophistication. Redémarrer trop vite efface les traces ; attendre trop longtemps prolonge la panne.
Contenir, puis remettre en service
La première décision est de séparer ce qui doit être préservé de ce qui doit repartir. Nous isolons le système atteint, prenons une copie exploitable des traces, puis remettons le service en ligne sur une base saine, sans attendre la fin de l'analyse.
Cette séquence évite l'erreur la plus fréquente, qui consiste à nettoyer le serveur compromis et à découvrir ensuite qu'on a détruit la seule preuve de ce qui s'est passé.
- Isolation du système atteint, sans destruction des traces
- Copie exploitable des journaux et de l'état du système
- Remise en service sur une base saine, en parallèle de l'analyse
- Rotation immédiate des accès et des clés
Comprendre ce qui s'est passé
L'analyse cherche le point d'entrée, l'étendue de ce qui a été atteint, et la durée pendant laquelle la situation a duré. Ces trois réponses conditionnent tout le reste, y compris vos obligations d'information si des données personnelles sont concernées.
- Recherche du point d'entrée et de la chronologie
- Périmètre des données réellement atteintes
- Durée de l'exposition, établie sur les traces et non supposée
- Éléments nécessaires à une éventuelle annonce réglementaire
Empêcher la répétition
Un incident qui ne produit pas de changement durable se reproduit. Nous remettons un rapport écrit qui dit ce qui s'est passé, ce qui a été corrigé, et ce qui reste à faire avec un ordre de priorité. C'est ce document qui sert ensuite face à une direction, à un assureur ou à une autorité.
- Rapport écrit, exploitable hors du cercle technique
- Corrections appliquées et corrections restantes distinguées
- Mise en place de la supervision qui manquait
- Test de restauration, pour vérifier que la sauvegarde tient
Réponse à incident et remise en service
Intervenez-vous sur une plateforme que vous n'avez pas construite ?
Oui, c'est le cas le plus fréquent. Nous commençons par un état des lieux rapide et nous vous disons dans l'heure si le sujet est à notre portée ou s'il relève d'une spécialité que nous n'exerçons pas.
Faut-il payer une rançon ?
Ce n'est pas une décision technique et nous ne la prenons pas à votre place. Nous apportons les éléments qui l'éclairent : ce qui est réellement chiffré, ce que les sauvegardes permettent de reconstruire, et le délai réel d'une remise en service par restauration.
Quand faut-il notifier une autorité ?
Cela dépend de la nature des données et du droit applicable, et le délai est court. Nous fournissons les éléments factuels dont votre conseil juridique a besoin pour trancher, avec la chronologie et le périmètre établis sur les traces.
Recherche en sécurité
Durcissement, réponse à incident, gestion des secrets, et travaux appliqués sur la fraude et l'authenticité.
Dans la division Recherche en sécurité
Parlons de ce que vous voulez construire.
Décrivez votre situation en quelques lignes. Si le sujet n'entre pas dans nos compétences, nous le disons tout de suite.
Nous écrire