Plan de continuité : le jour d'une cyberattaque

Un rançongiciel qui chiffre les fichiers d’une PME ne prévient pas : les postes affichent une note de rançon, les logiciels métier ne répondent plus, et personne ne sait par où commencer. Le CERT-FR (ANSSI) structure la réponse à ce type d’incident en quatre étapes : qualifier la détection, réagir, obtenir de l’aide, puis procéder aux déclarations. Le guide ANSSI consacré aux rançongiciels ajoute un réflexe à tenir dès la première minute : ouvrir une main courante, pour tracer les actions et les évènements liés à l’incident. Une entreprise qui a préparé ces étapes à l’avance dans un plan de continuité d’activité (PCA) les exécute en quelques minutes. Une entreprise qui les découvre ce jour-là perd des heures précieuses à improviser.

Ce qui se passe concrètement dans les premières minutes

Le scénario type : un ou plusieurs postes affichent une extension de fichier inconnue, une note de rançon en fond d’écran, ou des logiciels métier qui plantent en boucle. Personne ne sait encore si c’est une panne classique ou une attaque. C’est exactement la phase que le CERT-FR appelle la qualification, et dont il fixe l’objectif : « définir une vision de la situation la plus fiable possible ». Cela passe par des questions précises — que détectent l’antivirus, l’EDR ou la supervision ? quels services sont à l’arrêt ? des fichiers sont-ils devenus illisibles ? l’incident est-il confirmé ou faut-il encore le confirmer ? quel est le périmètre touché, et qu’est-ce qui relie les systèmes concernés ? Dans une entreprise sans procédure écrite, cette phase de qualification part de zéro — personne ne sait qui appeler, qui a le droit de couper quoi, ni où se trouve la dernière sauvegarde fiable.

Isoler sans tout éteindre au hasard

L’ANSSI décrit la séquence dans son guide Attaques par rançongiciels, tous concernés : couper les accès au réseau Internet et au réseau interne, puis isoler tous les composants non impactés — en commençant par les sauvegardes, les bases de données et les baies de stockage. La nuance compte, parce qu’elle est contre-intuitive : la priorité n’est pas de courir après les machines déjà chiffrées, c’est de mettre à l’abri ce qui ne l’est pas encore, et d’abord ce qui permettra de repartir. Éteindre tout le parc au hasard, à l’inverse, peut détruire des traces utiles à l’enquête et compliquer la remédiation. Une entreprise qui n’a jamais réfléchi à cette étape a le réflexe inverse : débrancher tout, y compris les machines saines, ou au contraire ne rien toucher par peur d’aggraver la situation. Les deux réactions font perdre du temps.

Les décisions qui ne peuvent pas attendre

Dans les premières heures, plusieurs décisions doivent être prises presque simultanément, et elles ne peuvent pas toutes reposer sur une seule personne :

• Qui décide de couper quoi — et avec quelle autorité, surtout si le dirigeant n’est pas joignable immédiatement.
• Qui prévient l’assurance cyber, si elle existe, avant d’entreprendre certaines actions qui pourraient invalider une garantie.
• Qui contacte un prestataire spécialisé en réponse à incident — le CERT-FR oriente vers les CSIRT territoriaux et, pour les organisations opérant un système d’information complexe, vers un Prestataire qualifié de réponse à incidents de sécurité (PRIS).
• Que dire aux salariés et aux clients, et à quel moment, sans céder à la panique ni minimiser la situation.
• Faut-il déposer plainte — l’ANSSI le recommande vivement, auprès des services de police ou de gendarmerie. Son guide sur les rançongiciels, co-préfacé par la Direction des affaires criminelles et des grâces du ministère de la Justice, en donne deux raisons concrètes : la plainte déclenche une enquête qui peut aboutir à une « chasse aux clés » permettant parfois de déchiffrer les données, et elle conditionne généralement la réparation du sinistre par l’assurance. Les enquêteurs demanderont notamment la chronologie de l’incident — c’est-à-dire la main courante.

Si une violation de données personnelles est avérée ou probable, une notification à la CNIL peut être obligatoire. L’article 33 du RGPD impose de la transmettre « dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance » : le délai court donc à partir de la prise de connaissance, pas après la résolution de l’incident.

Pourquoi improviser coûte plus cher que se préparer

Sans procédure écrite, chacune de ces décisions se prend en réunion de crise improvisée, souvent avec des informations incomplètes et sous la pression de collaborateurs qui attendent de savoir s’ils peuvent travailler. Le temps perdu à déterminer qui appeler, avec quel numéro, et qui a l’autorité de trancher, est du temps pendant lequel le chiffrement peut continuer à se propager et pendant lequel l’activité reste à l’arrêt. Le guide ANSSI est d’ailleurs explicite sur ce qui pèse le plus lourd dans la facture finale : « la réalisation de sauvegardes régulières des données apparait comme la mesure prioritaire pour réduire les pertes liées à une attaque par rançongiciel ». Autrement dit, l’essentiel de ce qui sauve une PME le jour J a été décidé bien avant. La rapidité ne s’improvise pas — elle se prépare.

Ce qu’un PCA prépare avant que ça n’arrive

Un plan de continuité d’activité pour une PME n’a pas besoin d’être un document de cent pages. L’ANSSI recommande de disposer d’un plan de continuité et de reprise après sinistre, articulé autour de quelques éléments concrets et testés à l’avance :

• Une liste de contacts prête à l’emploi : prestataire IT, assurance cyber, CSIRT territorial ou prestataire qualifié PRIS, coordonnées pour le dépôt de plainte.
• Des sauvegardes conformes à la règle « 3 – 2 – 1 » recommandée par l’ANSSI (référentiel ANSSI-BP-100, version du 27 novembre 2025) : trois copies distinctes des données, c’est-à-dire les données en production et deux sauvegardes stockées sur des supports différents, dont une hors ligne. « Hors ligne » veut dire déconnectée de tout système d’information — donc hors d’atteinte d’un rançongiciel qui chiffre tout ce qu’il touche sur le réseau.
• Une procédure d’isolement documentée : qui a le droit de débrancher quoi, sans attendre une validation en cascade.
• Un modèle de main courante prêt à remplir, pour tracer chronologiquement chaque action et informer les décideurs à tout moment de l’avancement.
• Une répartition claire des rôles : qui communique en interne, qui communique avec les clients, qui gère la relation avec l’assurance.

Rien de tout cela ne nécessite une équipe informatique interne. Ce que ça nécessite, c’est que ces décisions soient prises à froid, avant l’incident — pas à chaud, le jour où la pression est maximale.

Ce qu’il faut retenir

Le jour d’une cyberattaque, ce n’est pas la sophistication de l’attaque qui détermine l’ampleur des dégâts pour une PME — c’est la vitesse et la clarté de la réaction dans les premières heures. Le CERT-FR et l’ANSSI documentent précisément la marche à suivre : qualifier pour obtenir la vision la plus fiable possible, couper les accès puis mettre à l’abri ce qui n’est pas encore touché, tracer chaque action dans une main courante, solliciter de l’aide spécialisée, et procéder aux déclarations qui s’imposent. Une entreprise qui a mis ces réflexes noir sur blanc à l’avance les exécute en quelques minutes ; une entreprise qui les découvre le jour même les improvise, avec le coût que cela implique. C’est précisément ce que couvre l’accompagnement en cybersécurité proposé par Cryptonyte : préparer ce plan avant l’incident, pas le rédiger après. Pour évaluer où en est votre entreprise sur ce point, contactez Cryptonyte.

Source : CERT-FR (ANSSI), Les bons réflexes en cas d’intrusion sur un système d’information, ANSSI, Attaques par rançongiciels, tous concernés — Comment les anticiper et réagir en cas d’incident, ANSSI-BP-100, Sauvegarde des systèmes d’information — Les fondamentaux, v1.1 du 27/11/2025, RGPD, article 33 — notification d’une violation de données.