Déclencher une réponse coordonnée
Une fuite de données, un rançongiciel, une compromission de messagerie et une fraude au paiement appellent des décisions rapides, mais différentes. L’objectif initial est de contenir l’incident, préserver les preuves, évaluer les personnes et services touchés et déterminer les obligations de communication.
Recommandation : constituer une cellule associant la direction, l’informatique, le juridique, le correspondant données, les finances et la communication selon le cas. Tenir une chronologie factuelle avec les décisions, les personnes consultées et les mesures prises. Distinguer ce qui est établi des hypothèses.
Le délai de notification de 72 heures prévu par le RGPD européen ne s’applique pas, en tant que tel, à toute entreprise ivoirienne. Les destinataires, délais et contenus doivent être déterminés à partir des textes ivoiriens, du secteur, des contrats et, le cas échéant, des règles étrangères réellement applicables.
Préserver des éléments utilisables
La loi sur la cybercriminalité prévoit des mécanismes de conservation, communication et collecte des données dans les enquêtes. Les articles 73 et suivants doivent être distingués de la conservation habituelle des journaux. Une demande de conservation peut imposer de protéger les données aussi longtemps que nécessaire pour la procédure concernée. []
Recommandation : préserver les journaux pertinents, les courriels complets, les paramètres, les traces d’accès et les éléments de facturation. Décrire leur origine, la date de collecte, la personne qui les a extraits et les transferts successifs. Une capture d’écran isolée peut aider à comprendre un fait, mais ne remplace pas toujours les fichiers et métadonnées d’origine.
Les opérations de restauration ou de nettoyage doivent être coordonnées avec la préservation. Avant de réinstaller un poste compromis, déterminer quelles traces doivent être conservées. Les investigations doivent rester autorisées et proportionnées ; une entreprise ne doit pas tenter d’entrer sans droit dans le système d’un tiers pour récupérer des données.
Répondre aux autorités et aux partenaires
Recommandation : prévoir une procédure de vérification des réquisitions et demandes officielles, de leur périmètre et du canal de transmission. La réponse doit être tracée et limitée aux données demandées dans le cadre légal. Les demandes urgentes ne dispensent pas d’identifier l’auteur et le fondement.
Les contrats devraient imposer au prestataire une alerte assez rapide pour permettre à l’entreprise d’agir. Une clause doit préciser le contenu initial, les compléments, la conservation des preuves et l’assistance. Le délai contractuel convenu doit être identifié comme tel et distingué d’un délai légal.
Retour à la normale
Recommandation : conditionner la remise en service à la correction de la cause, la vérification des accès et la restauration contrôlée. Prévoir un suivi de la fraude et des comptes exposés. Le retour d’expérience doit déboucher sur des actions datées et sur la mise à jour des procédures, plutôt que sur un simple compte rendu.