Signalement : quoi, à qui, en combien de temps
Savoir quand et comment signaler un événement de sécurité, y compris en cas d'erreur personnelle.
À retenir
- Signaler vite limite fortement l'impact d'un incident de sécurité.
- Une erreur signalée n'est pas sanctionnée ; le silence aggrave la situation.
- Isoler un équipement compromis sans l'éteindre préserve les preuves utiles.
- La notification CNIL en 72 heures dépend d'un signalement interne rapide.
Pourquoi signaler vite
Un incident de sécurité (message suspect ouvert, clé USB inconnue branchée, poste qui se comporte anormalement, perte d'un équipement) n'a d'impact limité que si l'organisation réagit vite. Un signalement dans les minutes qui suivent permet de couper un accès, réinitialiser un mot de passe ou isoler un poste avant qu'un attaquant ne progresse dans le système d'information.
Quoi signaler
- Un e-mail ou SMS suspect, cliqué ou non.
- Une pièce jointe ouverte dont le comportement du poste change ensuite (lenteur inhabituelle, fenêtres inconnues).
- Un accès physique suspect ou un badge/équipement perdu.
- Toute divulgation accidentelle d'information sensible (envoi à un mauvais destinataire, document classifié laissé visible).
- Un comportement anormal d'un système : ralentissement, fichiers chiffrés ou renommés, alertes antivirus.
Point clé
signaler une erreur que l'on a soi-même commise (avoir cliqué sur un lien, par exemple) n'est jamais sanctionné dans une organisation qui applique une culture de sécurité mature — c'est le silence qui aggrave l'incident, pas l'erreur initiale.
À qui et en combien de temps
Chaque organisation définit un canal de signalement (support IT, RSSI, adresse dédiée) et un délai cible, généralement immédiat pour toute suspicion active et sous 24 heures pour un doute a posteriori. En France, si l'incident concerne des données à caractère personnel, l'organisation peut avoir l'obligation de notifier la CNIL sous 72 heures — ce délai réglementaire commence dès la connaissance de l'incident, ce qui rend le signalement interne rapide indispensable.
Attention
débrancher soi-même un câble réseau ou éteindre un poste compromis peut sembler une bonne idée mais détruit parfois des preuves utiles à l'investigation (mémoire vive, connexions en cours) — mieux vaut isoler sans éteindre, sauf consigne contraire donnée par l'équipe sécurité.
Après le signalement
L'équipe sécurité qualifie l'événement, décide des mesures de confinement, et communique un retour à la personne qui a signalé. Cette boucle de retour renforce la confiance et encourage les signalements futurs.
Sur le terrain
sur un site data center, un signalement peut aussi concerner un visiteur qui prend des photos non autorisées d'une baie ou un intervenant qui contourne le processus de badge — la sécurité physique fait partie intégrante de la sécurité de l'information.
Astuce
enregistrez dans vos favoris ou vos contacts le canal de signalement de votre organisation avant d'en avoir besoin : en situation de stress, chercher une procédure fait perdre un temps précieux.