Compte critique compromis
Accès administrateur, direction, finance, messagerie, cloud, VPN, outil métier ou compte prestataire avec privilèges.
Crise cyber
Reprendre le contrôle sans détruire les preuves.
Rançongiciel, fraude au virement, compte administrateur compromis, fuite de données, prestataire exposé ou activité suspecte : Forterys aide les décideurs à qualifier la crise, arbitrer les priorités et structurer la sortie.
La première urgence n’est pas de tout effacer. Elle est de stabiliser, préserver, décider et documenter, avec une lecture compréhensible par la direction, l’IT, le juridique, les métiers et les partenaires concernés.
0–72h Cellule de crise Preuves Continuité Remédiation
Ligne de crise
Un incident est en cours ou suspecté ?
Exposez les faits à un intervenant avant toute action irréversible (suppression, réinstallation, communication). Forterys vous aide à qualifier le niveau de crise et à sécuriser les premières décisions.
Afficher & appeler la ligne de crise
Décrire la situation par écrit
Numéro protégé contre la collecte automatisée : il s’affiche et se compose au clic.
Signaux d’alerte
Quand la situation doit être traitée comme une crise.
Une crise cyber ne commence pas toujours par un rançongiciel visible. Elle peut démarrer par un signal faible, une incohérence métier ou une alerte prestataire.
Fraude ou virement suspect
Faux RIB, changement de coordonnées bancaires, usurpation fournisseur, ordre urgent ou validation sous pression.
Fuite ou exposition de données
Documents clients, données RH, santé, contrats, données personnelles, secrets d’affaires ou fichiers déposés hors contrôle.
Activité anormale sur le SI
Alertes EDR, connexions inhabituelles, scripts inconnus, comptes créés, règles de messagerie, volume réseau anormal.
Indisponibilité métier
Outil critique bloqué, production arrêtée, facturation indisponible, portail client touché ou prestataire essentiel défaillant.
Pression externe
Demande de rançon, menace de divulgation, sollicitation média, client inquiet, assureur, autorité ou donneur d’ordre exigeant.
Premières 72 heures
Une chronologie opérationnelle lisible par la direction.
Le cadrage initial doit produire une vision partagée : préserver ce qui permettra de comprendre, qualifier le périmètre, contenir sans aveugler, arbitrer la continuité puis stabiliser la situation.
Les premières 72 heures d’un incident cyber : priorités opérationnelles par tranche horaire.
- 0–2 h — Préserver et qualifier — Préserver les preuves, noter les faits et horaires, identifier le périmètre touché, éviter les actions irréversibles, alerter les décideurs clés.
- 2–12 h — Contenir et sécuriser — Isoler les systèmes concernés, sécuriser les accès sensibles, vérifier les comptes à privilèges, confirmer les impacts métier, organiser la cellule de crise.
- 12–24 h — Arbitrer et piloter — Prioriser les actions, décider des mesures de continuité, encadrer la communication interne, documenter les décisions, préparer la remédiation.
- 24–72 h — Stabiliser et préparer la suite — Consolider la remédiation, vérifier les sauvegardes, suivre les indicateurs de stabilisation, préparer le retour d’expérience, planifier le renforcement.
Préserver et qualifier
Préserver les preuves, noter les faits et horaires, identifier le périmètre touché, éviter les actions irréversibles et alerter les décideurs clés.
Contenir et sécuriser
Isoler les systèmes concernés, sécuriser les accès sensibles, vérifier les comptes à privilèges, confirmer les impacts métier et organiser la cellule de crise.
Arbitrer et piloter
Prioriser les actions, décider des mesures de continuité, encadrer la communication, documenter les décisions et préparer la remédiation.
Stabiliser et préparer la suite
Consolider la remédiation, vérifier les sauvegardes, suivre les indicateurs de stabilisation, préparer le retour d’expérience et planifier le renforcement.
Cellule de crise
Relier les dimensions technique, juridique, métier et réputationnelle.
Forterys aide à structurer la coordination pour éviter que chaque acteur prenne une décision isolée avec des informations partielles.
Preuves
Préserver ce qui permettra d’expliquer, décider et justifier.
La preuve n’est pas seulement technique. Elle inclut les décisions prises, les demandes reçues, les communications, les impacts métier et les éléments transmis par les tiers.
Traces techniquesjournaux, alertes, captures EDR, connexions, comptes, règles, fichiers suspects.
Traces métierfactures, RIB, échanges fournisseurs, tickets, opérations, indisponibilités.
Traces décisionnelleshoraires, validations, arbitrages, mesures conservatoires, communications envoyées.
Traces externesemails clients, messages prestataires, assureur, banque, plateforme, autorité ou plainte.
Chaîne de préservation de la preuve numérique, de la découverte à la restitution, en sept étapes.
- 1. Identification — Détection d’un événement suspect ou d’un comportement anormal.
- 2. Isolement — Isolement des systèmes concernés pour stopper la propagation et préserver l’intégrité des données.
- 3. Collecte — Acquisition forensique à l’aide d’outils adaptés, sans altérer les données sources.
- 4. Traçabilité — Enregistrement systématique de chaque action pour garantir une chaîne de contrôle complète.
- 5. Conservation — Stockage sécurisé des preuves avec contrôle d’accès et intégrité garantie.
- 6. Analyse — Examen et corrélation des données pour reconstituer les faits et en déterminer l’impact.
- 7. Restitution — Restitution claire et structurée pour éclairer la décision, soutenir l’action et, si nécessaire, les procédures.
Arbitrages
Les questions qui structurent la décision.
Une conduite de crise efficace transforme l’incertitude en décisions documentées, même lorsque l’analyse technique n’est pas encore complète.
Faut-il isoler ?
Quels systèmes couper, maintenir, surveiller ou basculer sans aggraver l’indisponibilité métier ?
Faut-il notifier ?
Quelles données sont concernées, avec quel niveau de certitude, et qui doit qualifier l’obligation ?
Faut-il communiquer ?
Qui informe les collaborateurs, clients, partenaires, assureurs ou donneurs d’ordre, et avec quel niveau de détail ?
Faut-il reconstruire ?
Quelle trajectoire de rétablissement, quels prérequis de sécurité, quelle priorité métier ?
Faut-il porter plainte ?
Quels éléments factuels et chronologiques peuvent être conservés pour appuyer la démarche ?
Faut-il activer le PCA/PRA ?
Quels processus sont prioritaires, quelle solution dégradée, quel seuil de reprise acceptable ?
Livrables
Une sortie de crise exploitable en comité.
L’objectif n’est pas seulement de “réparer”. Il faut expliquer ce qui s’est passé, ce qui a été décidé, ce qui reste incertain et ce qui doit être renforcé.
Synthèse directionfaits, impact, décisions, risques résiduels, prochaines étapes.
Chronologie d’incidentsignal initial, actions, preuves, communications, décisions.
Registre de preuveséléments collectés, source, date, utilité, limites.
Plan de remédiationpriorités court terme, mesures structurelles, responsables, échéances.
Support comité / assurancelecture claire pour arbitrage, suivi ou transmission encadrée.
RETEXcauses probables, écarts, points forts, trajectoire de résilience.
Prudence
Ce qu’une conduite de crise sérieuse ne doit pas promettre.
La crédibilité repose sur une qualification prudente, des faits traçables et une distinction claire entre constat, hypothèse et décision.
Pas d’attribution hâtive
Identifier un auteur ou un groupe demande des éléments solides. Une hypothèse ne doit pas devenir une certitude.
Pas de garantie de récupération
La reprise dépend des sauvegardes, du périmètre touché, des accès encore fiables et de l’état réel du SI.
Pas de décision juridique automatisée
Notification, plainte, communication externe ou activation d’assurance doivent être qualifiées avec les interlocuteurs compétents.
Questions fréquentes
Avant de présenter une crise cyber.
Ces réponses cadrent le premier échange et évitent de perdre du temps dans les premières heures.
À quel moment déclencher une conduite de crise cyber ?
Dès qu’un doute touche un actif critique, une donnée sensible, une fraude financière, un accès privilégié, un prestataire ou la continuité d’un service. Le cadrage initial permet de décider si la situation relève d’un incident mineur, d’une crise ou d’un risque à surveiller.
Faut-il couper immédiatement tous les systèmes ?
Pas automatiquement. Couper trop vite peut arrêter l’activité et faire disparaître des éléments utiles. Isoler peut être nécessaire, mais la décision doit être proportionnée au périmètre, à la propagation possible et à la criticité métier.
Que préparer avant le premier échange ?
Les faits observés, horaires, captures, alertes, systèmes concernés, comptes exposés, prestataires impliqués, impacts métier, décisions déjà prises et contraintes de continuité.
Forterys remplace-t-il un CERT, un avocat ou une autorité ?
Non. Forterys aide à qualifier, structurer, documenter et piloter la réponse. Les obligations légales, notifications, dépôts de plainte ou expertises judiciaires peuvent nécessiter des interlocuteurs dédiés.
Quels livrables produire après la crise ?
Une synthèse direction, une chronologie, un registre de preuves, une matrice de décisions, un plan de remédiation priorisé, un support comité et un RETEX exploitable.
Investigation forensique & preuve à valeur probante ?
Ce volet — collecte et conservation de la preuve numérique, coordination de dossier sensible — est porté par le cabinet DATASHIELD Risk Consulting.
Voir DATASHIELD →Ce volet — collecte et conservation de la preuve numérique, coordination de dossier sensible — est porté par le cabinet DATASHIELD Risk Consulting.