Réflexes vitaux immédiats
- Ne pas éteindre les machines : Isoler les câbles réseau et couper le Wi-Fi, mais ne jamais couper brutalement l'alimentation électrique (la mémoire vive RAM contient les clés de déchiffrement et les traces d'investigation médico-légale).
- Délai légal de 24h : Pour les entités assujetties à l'art. 74b LSI, le chronomètre tourne dès la constatation de l'incident pour notifier l'Office fédéral de la cybersécurité (OFCS).
- Interdiction absolue de payer la rançon : Le paiement finance directement le terrorisme et le crime organisé international, n'offre aucune garantie de récupération des données et expose à de nouvelles attaques.
1. Chronologie d'intervention heure par heure
| Créneau horaire | Action prioritaire | Responsable |
|---|---|---|
| H0 – H1 | Isolement physique immédiat : Débrancher les câbles Ethernet, désactiver le Wi-Fi, suspendre les tunnels VPN et les liaisons inter-sites. Ne pas redémarrer les serveurs. | Équipe informatique / Administrateur réseau |
| H1 – H3 | Mobilisation de la cellule de crise : Réunir Direction générale, DSI, responsable juridique, communication et experts externes en gestion de crise. Communication hors-bande (Signal, téléphones mobiles personnels). | Direction générale / CEO |
| H3 – H6 | Sanctuarisation des sauvegardes : Vérifier l'intégrité des sauvegardes immuables hors-ligne. Isoler physiquement les bandes ou disques de secours avant toute tentative de restauration. | Responsable d'infrastructure |
| H6 – H12 | Enquête médico-légale préliminaire (Forensics) : Identification du patient zéro, du vecteur d'entrée initial (CVE exploitée, compte compromis) et de l'étendue des exfiltrations de données. | Analystes Forensics (Suisse IT) |
| H12 – H24 | Notifications réglementaires suisses : Dépôt de la notification officielle auprès de l'OFCS (art. 74b LSI) et, en cas de fuite de données personnelles, auprès du PFPDT (art. 24 nLPD). Dépôt de plainte pénale auprès de la police cantonale. | Responsable juridique & DPO |
2. Les erreurs fatales à éviter absolument
- Restauration prématurée sur un réseau infecté : Restaurer vos données tant que la porte d'entrée des pirates reste ouverte provoquera un re-chiffrement immédiat de vos sauvegardes par l'attaquant toujours tapi sur le réseau.
- Tentative de négociation amateur : Dialoguer avec des maîtres chanteurs sans l'appui de négociateurs professionnels accrédités augmente la pression psychologique et compromet les actions des forces de l'ordre.
- Communication mensongère ou déni public : Affirmer qu'aucune donnée n'a fui avant la fin des investigations médico-légales détruit la réputation de l'organisation lorsque les criminels publient les preuves sur leur site de fuite (DLS).
