Gardez votre calme : ce qu'il ne faut pas faire dans la précipitation
Découvrir qu'on est peut-être victime d'une cyberattaque — un message de rançon à l'écran, une activité inhabituelle signalée par un collaborateur, un appel de votre banque ou d'un partenaire évoquant un comportement suspect — provoque presque toujours un réflexe de panique. C'est humain, mais c'est aussi le moment où les mauvaises décisions se prennent le plus vite. Deux réflexes sont à éviter absolument : éteindre ou réinitialiser immédiatement tous les postes touchés, ce qui peut détruire des informations utiles pour comprendre ce qui s'est passé ; et payer une rançon dans l'urgence sans avoir évalué la situation, en espérant que cela résout tout instantanément. Prendre quelques minutes pour respirer et suivre une démarche structurée, plutôt que d'agir dans l'urgence pure, change souvent la suite des événements.
Isolez sans détruire : coupez l'accès, préservez les preuves
La première action technique utile consiste à isoler les systèmes concernés du reste du réseau — débrancher le câble réseau ou couper le Wi-Fi d'une machine suspecte, par exemple — sans nécessairement l'éteindre complètement. Cela empêche une éventuelle propagation à d'autres appareils tout en conservant les traces (fichiers journaux, processus en cours) qui permettront ensuite de comprendre l'origine et l'étendue de l'incident. Si vous avez un doute sur la marche à suivre, mieux vaut isoler prudemment plusieurs systèmes que d'en laisser un seul exposé. Notez également l'heure à laquelle vous avez constaté le problème et toute information visible (message affiché, comportement anormal) : ces détails, notés à chaud, sont souvent précieux pour les personnes qui interviendront ensuite.
Désignez un pilote et faites l'inventaire de ce qui est touché
Une crise se gère mieux quand une seule personne est clairement responsable des décisions, même si plusieurs personnes participent à la réponse. Dans une PME, ce rôle revient souvent au dirigeant ou à un responsable désigné à l'avance. Cette personne doit rapidement essayer de dresser un premier état des lieux : quels systèmes semblent touchés, quelles données pourraient être concernées (données clients, données financières, données de salariés), et depuis quand la situation dure. Il n'est pas nécessaire d'avoir des réponses parfaites à ce stade — l'objectif est de donner une base de travail claire à toute personne, interne ou externe, qui va aider à traiter l'incident.
Obligations légales et communication : ce qu'il faut envisager tôt
Si des données personnelles de clients, de salariés ou de partenaires semblent concernées, il faut envisager les obligations qui en découlent, notamment au regard de la loi 09-08 sur la protection des données personnelles, qui peut imposer une notification à la CNDP selon la nature de l'incident. Sur le plan de la communication, la tentation est parfois de rester silencieux jusqu'à ce que « tout soit réglé » — mais un client ou un partenaire qui découvre un incident par un autre canal perd davantage confiance qu'un client informé de façon transparente et maîtrisée. Il vaut mieux préparer un message clair, factuel et mesuré, une fois que la situation est suffisamment comprise, plutôt que de communiquer dans la précipitation ou de se taire trop longtemps.
Faites-vous accompagner, puis tirez les leçons de l'incident
Si l'entreprise n'a pas d'équipe technique interne capable de mener une investigation complète, faire appel à un spécialiste externe rapidement est souvent la décision la plus rentable, même si cela représente un coût immédiat. Un regard extérieur permet d'identifier plus vite l'origine de l'attaque, de sécuriser correctement les systèmes avant de les remettre en service, et d'éviter de relancer une activité encore vulnérable. Une fois l'incident maîtrisé, prenez le temps d'un retour d'expérience : comment l'intrusion a-t-elle été possible, quelles mesures auraient pu limiter son impact, et que faut-il mettre en place pour la suite. EBH Security accompagne les entreprises marocaines dans ce type de démarche, de l'évaluation initiale via un audit gratuit jusqu'aux recommandations concrètes pour réduire les risques futurs.