Lorsqu’un service devient inaccessible, l’information circule souvent avant que l’origine de l’incident soit établie. Une communication solide ne cherche pas à combler ce vide. Elle indique ce qui est connu, ce qui est en cours de vérification et les mesures déjà prises. Cette discipline aide les organisations à informer sans confondre indisponibilité, intrusion et atteinte aux données personnelles.
En bref
- AlerteCyber vise à diffuser rapidement des mesures de protection lorsqu’une menace ou une faille sérieuse est qualifiée.
- L’isolement d’un réseau peut interrompre des services tout en participant à la préservation de l’intégrité du système.
- Une violation de données présentant un risque doit être notifiée à la CNIL, avec une information des personnes en cas de risque élevé.
Un premier message centré sur les faits
Les premières heures d’une cyberattaque ou de la détection d’une faille sont déterminantes pour réduire le risque, rappelle Cybermalveillance.gouv.fr. Le point de départ d’un message public peut donc être simple : un incident a été détecté, les services concernés sont identifiés au fur et à mesure, et une analyse est engagée.
Le dispositif AlerteCyber a été lancé en juillet 2021 à l’initiative d’un collectif d’organisations professionnelles mené par le MEDEF. Il intervient lorsqu’une menace ou une faille sérieuse est identifiée et qualifiée conjointement par l’ANSSI et Cybermalveillance.gouv.fr. Son objectif est d’informer les entreprises et de les inciter à prendre les mesures adaptées. Une alerte porte ainsi sur une menace qualifiée, sans établir à elle seule qu’une organisation précise a été compromise.
La formulation doit aussi rendre compte des mesures de protection, sans transformer une enquête technique en démonstration publique. Couper temporairement un accès peut relever d’une décision de protection. Dans le cas d’Aix-Marseille Université, évoqué par The Conversation France, l’isolement rapide du réseau après une cyberattaque a entraîné le blocage temporaire des services numériques. Cette mise hors d’accès a aussi contribué, selon l’article, à préserver l’intégrité du système et à accélérer le retour à la normale.
Préparer la continuité avant la crise
La résilience numérique associe sauvegarde, protection des données et maintien de l’activité. Elle ne repose pas sur une mesure unique. The Conversation souligne l’importance d’une cartographie claire du système d’information pour repérer les failles potentielles, ainsi que de la préparation d’une communication de crise à destination des usagers.
Les mesures techniques et organisationnelles se répondent. Le principe du moindre privilège limite les accès nécessaires. Les outils de gestion des informations et des événements de sécurité peuvent analyser les données en temps réel afin de détecter des anomalies. La formation des équipes à la reconnaissance des tentatives d’hameçonnage fait également partie des dispositifs cités par la source.
La capacité à poursuivre le service dépend aussi d’une préparation préalable. L’article mentionne notamment la réplication de données et l’existence de serveurs alternatifs comme éléments d’une organisation pensée pour absorber une attaque. Le sujet dépasse donc le seul rétablissement technique : il concerne la manière dont une organisation anticipe, résiste et s’adapte à une perturbation.
Le cadre des données personnelles
Une violation de données personnelles suppose qu’un traitement de données soit concerné et qu’il y ait perte de disponibilité, d’intégrité ou de confidentialité, de façon accidentelle ou illicite. La CNIL précise que l’organisme doit documenter l’incident en interne : catégories et nombre approximatif de personnes et d’enregistrements concernés, conséquences probables, puis mesures prises ou envisagées.
Lorsqu’une violation présente un risque pour les droits et libertés des personnes, elle doit être notifiée à la CNIL. Si le risque est élevé, les personnes concernées doivent aussi être informées. La notification peut être effectuée en deux temps lorsque des investigations complémentaires sont nécessaires : une première notification doit être adressée dans les 72 heures si possible après le constat de la violation, puis complétée dès que les informations deviennent disponibles.
La CNIL conseille également, lorsqu’une violation découle d’une cyberattaque, de déposer plainte et de conserver les éléments de preuve techniques à disposition des enquêteurs. Cette exigence de documentation donne une ligne de conduite à la communication publique : préciser les faits établis, dater les évolutions et ne pas présenter une hypothèse comme une certitude. Retrouvez aussi nos analyses économiques récentes.
Photo à la une. Source: Pexels. Attribution: Tima Miroshnichenko. Licence: Pexels License.
