Organiser une alerte cyber qui conduit à une décision

Distinguer le signal d’alerte et sa qualification

Un signal peut être une anomalie d’accès, un fichier altéré, une demande inhabituelle ou l’avertissement d’un fournisseur. Il ne contient pas forcément toute l’explication de l’événement. L’organisation doit permettre sa transmission sans exiger que l’agent démontre une cyberattaque. Le premier objectif est de préserver les faits utiles et de les porter à une personne capable d’évaluer la suite.

La fiche de signalement décrit ce qui est observé, quand, sur quel outil et avec quel effet. Elle distingue l’observation de l’interprétation. Dire que plusieurs documents affichent un contenu inattendu est plus utile qu’annoncer une attaque certaine sans élément. L’heure de découverte, les opérations réalisées et les interlocuteurs contactés permettent de reconstituer l’événement et de comprendre les décisions prises ensuite.

La qualification technique examine le périmètre, la cause possible et les mesures de containment. La qualification métier examine les prestations touchées et les conséquences pour les usagers. La qualification juridique examine notamment les données, les obligations contractuelles et les notifications pertinentes. Ces travaux peuvent commencer en parallèle. Ils doivent partager des faits cohérents sans imposer à une seule personne d’exercer toutes les compétences.

L’ANSSI décrit une chaîne de défense associant détection, qualification et réponse, articulée aux enjeux métiers. Cette orientation éclaire la séparation proposée. La note ne présente pas une architecture particulière de supervision comme obligatoire pour toute collectivité ; elle applique le principe d’un circuit permettant de passer du signal à une décision proportionnée. ^[2]

Définir les destinataires et les relais

Le circuit indique un contact principal, un relais et un moyen alternatif de contact. Il est testé en dehors des conditions ordinaires : interlocuteur absent, réseau indisponible ou messagerie inaccessible. La liste des contacts ne doit pas être conservée uniquement dans l’outil dont la perte est envisagée. Les informations sensibles de cette liste doivent toutefois être protégées et limitées aux personnes qui en ont besoin.

Les niveaux de décision sont distincts. Un technicien peut isoler une fonction dans le cadre de ses habilitations ; la direction peut décider un fonctionnement dégradé ; les responsables compétents examinent les notifications externes. Le circuit précise les mesures immédiates autorisées et celles qui exigent un arbitrage. Sans cette distinction, l’urgence peut conduire soit à une attente dommageable, soit à une action importante prise par une personne sans mandat.

Le fournisseur doit connaître les interlocuteurs capables de recevoir une alerte et les éléments attendus. L’article 28 du RGPD organise, lorsque la sous-traitance est concernée, l’assistance du prestataire et les garanties contractuelles. L’article 33 prévoit que le sous-traitant avertit le responsable dans les meilleurs délais après avoir pris connaissance d’une violation. Le contrat ne doit donc pas laisser une alerte dans une file de support ordinaire sans circuit adapté. ^[3]

La décision de crise repose sur les effets et les incertitudes, pas uniquement sur une étiquette de gravité technique. Un incident limité peut atteindre une fonction indispensable ; une anomalie étendue peut laisser des circuits de secours disponibles. La direction doit recevoir une présentation courte : faits établis, prestations touchées, mesures prises, questions ouvertes et options. Le détail technique reste accessible aux personnes qui l’examinent.

Un avertissement reçu un vendredi soir

Le cas est fictif. Un fournisseur héberge un portail de demandes municipales. Un vendredi soir, il signale des accès inhabituels à plusieurs documents et indique avoir désactivé un lien de téléchargement. Son message arrive sur la boîte d’un responsable absent. Le portail continue de fonctionner pour les nouvelles demandes. L’incident n’est donc ni une indisponibilité totale ni un événement manifestement sans conséquence.

Le circuit préparé prévoit qu’une alerte de sécurité soit envoyée à une adresse professionnelle suivie et doublée par un contact de secours vérifié. Le relais reçoit l’information et inscrit l’heure de réception. Il demande au fournisseur de distinguer les documents potentiellement accessibles, les accès effectivement observés et les opérations de protection réalisées. Il ne demande pas seulement une formule rassurante disant que tout est sécurisé.

La direction reçoit une note initiale indiquant les prestations maintenues et la fonction suspendue. Elle décide de conserver le dépôt des demandes si cette fonction peut être isolée de manière suffisamment sûre, puis prépare un autre canal pour les documents. Ce choix reste provisoire et révisable. La continuité du service n’est pas utilisée pour exiger la réouverture du lien avant l’examen du défaut.

Le responsable du traitement, avec les experts concernés, examine la violation de données. L’article 33 prévoit une notification à l’autorité dans les meilleurs délais et, si possible, sous soixante-douze heures après la prise de connaissance, sauf lorsque la violation n’est pas susceptible d’engendrer un risque pour les droits et libertés. Le fournisseur peut aider à rassembler les faits ; il ne remplace pas la décision du responsable. Les raisons d’une notification ou d’une absence de notification sont documentées. ^[3]

Certaines informations manquent encore. Le service ne transforme pas cette lacune en raison automatique d’attendre la fin de l’enquête. Le texte permet une communication échelonnée des informations dans les conditions prévues. La note distingue les éléments disponibles et les vérifications en cours. L’équipe conserve également les décisions de containment et les questions transmises au fournisseur, afin d’expliquer la chronologie sans reconstruire une certitude qui n’existait pas au moment des choix.

Le lundi, des personnes demandent si leurs pièces ont été consultées. Le service utilise un circuit de réponse préparé, vérifie les dossiers concernés et évite de communiquer les données d’autres personnes. L’article 34 appelle une appréciation distincte du risque élevé et de ses conditions pour l’information des personnes. La notification à l’autorité et la communication aux personnes ne possèdent donc pas un seuil identique. Une annonce publique générale ne remplace pas nécessairement les démarches pertinentes. ^[3]

Conserver une information fiable pendant la crise

Un journal de décision consigne l’auteur, l’heure, le fait déclencheur, les options examinées et la mesure retenue. Il doit rester utilisable lorsque l’outil habituel manque. Le dispositif protège les données et ne multiplie pas les copies complètes de dossiers. La trace utile explique une décision ; elle ne consiste pas à conserver indéfiniment toutes les conversations et captures dans un espace partagé sans contrôle.

Les messages aux équipes distinguent ce qu’elles peuvent faire, ce qui est suspendu et le canal pour signaler une difficulté. Ils évitent les instructions contradictoires entre technique, métier et direction. Une seule version des consignes opérationnelles est tenue à jour, avec des responsables identifiés. Les personnes qui travaillent au contact des usagers reçoivent les éléments nécessaires pour expliquer les limites du service sans improviser des assurances sur l’enquête.

L’ANSSI présente la préparation et la réponse de crise comme une articulation des dimensions stratégiques et opérationnelles. Dans le cas travaillé, cette orientation conduit à relier la fermeture du lien, le maintien du dépôt, l’examen des données et les réponses aux personnes. Chaque décision possède un responsable et une trace ; les intervenants peuvent ainsi coordonner leurs actions sans supposer que l’intervention technique règle automatiquement toutes les conséquences de l’incident. ^[1]

L’objection tient au risque d’escalade excessive. Transmettre chaque anomalie à une cellule de crise complète peut saturer l’organisation. Le circuit prévoit donc un tri et des relais gradués. Il doit néanmoins permettre une réévaluation lorsque les faits changent. Une première qualification mineure ne doit pas empêcher la remontée d’un nouvel élément montrant des données exposées ou une fonction essentielle affectée.

Le retour au déclarant a aussi une fonction de prévention. L’agent qui a signalé l’anomalie doit connaître la consigne qui le concerne et le canal à utiliser si elle réapparaît. Il n’a pas besoin de recevoir tous les détails de l’investigation. Cette réponse limitée évite qu’il pense son alerte ignorée ou qu’il diffuse lui-même des captures pour attirer l’attention. La chaîne reste ouverte sans élargir inutilement les informations sensibles.

Tester la chaîne et corriger ses ruptures

Le contrôle porte sur le parcours de l’alerte : émission, réception, qualification, décision et retour au déclarant. Un exercice sur une anomalie fabriquée permet de repérer un contact injoignable ou une instruction ambiguë sans provoquer d’incident réel. Les résultats sont discutés avec les personnes concernées. Le but est de corriger le circuit, pas de sanctionner un agent qui découvre une dépendance cachée.

Après l’incident fictif, le service ajoute un suivi de l’adresse d’alerte, précise les informations attendues du fournisseur et améliore le canal de réponse aux personnes. Il vérifie aussi si les contrats et accès correspondent à ces choix. L’article 24 prévoit le réexamen et l’actualisation des mesures lorsque nécessaire ; la correction ne doit donc pas rester une promesse dans un compte rendu. ^[3]

La réponse à la question initiale est d’organiser une chaîne qui tolère l’incertitude tout en permettant l’action. Le signal remonte sans diagnostic préalable imposé à l’agent ; les experts qualifient ; la direction décide du service ; le responsable examine les obligations relatives aux données. Dans le cas du vendredi soir, le relais et le canal alternatif empêchent l’alerte de rester bloquée jusqu’au retour d’une personne absente. La qualité du dispositif se mesure à cette capacité de décision.