Après une cyberattaque, la vraie question n’est pas seulement technique. Reconstruire, nettoyer, redémarrer : oui. Mais la réponse repose d’abord sur des choix structurants, et ces choix relèvent de la direction générale autant que de la DSI.
Trois scénarios, trois niveaux d’ambition
L’ANSSI formalise trois scénarios stratégiques de réponse post-incident. Chacun a ses arbitrages assumés, ses délais et ses risques résiduels. Aucun n’est meilleur en soi : le bon scénario est celui que l’organisation peut réellement tenir, avec les moyens et le temps dont elle dispose.
Le piège le plus fréquent
Le piège n’est pas de choisir un scénario. C’est de vouloir tout faire, tout de suite : reconstruire pendant qu’on investigue, durcir pendant qu’on redémarre, communiquer pendant qu’on arbitre. Les équipes se dispersent, les décisions se contredisent, et la trajectoire se perd.
Ce qu’il faut trancher avant de commencer
Quel niveau de service rétablir en premier. Quelles dettes de sécurité on accepte de conserver temporairement. Ce qu’on reconstruit à l’identique et ce qu’on refond. Qui arbitre quand le calendrier et la sécurité s’opposent.
Et vous, votre scénario de réponse post-incident est-il aujourd’hui clairement défini ?