Signaler un incident de sécurité au travail : à qui et comment

Vous venez de cliquer sur un lien et vous réalisez, une seconde trop tard, que quelque chose cloche. Ou bien vous avez perdu votre ordinateur de travail dans le train. Ou encore un collègue vous montre un message étrange. Que faire ? La tentation est de ne rien dire, par gêne, par peur d'être jugé, ou en espérant que cela passera. C'est la pire réaction : en matière d'incident, chaque heure compte. Cette leçon vous apprend à reconnaître un incident, à le signaler efficacement, et à le faire sans crainte.

C'est la dernière leçon du chapitre 6. Si vous ne deviez retenir qu'un seul réflexe de ce chapitre, ce serait celui-ci : signaler vite, même si vous n'êtes pas sûr.

Qu'est-ce qu'un incident de sécurité ?

Un incident de sécurité est un événement qui compromet, ou risque de compromettre, la confidentialité, l'intégrité ou la disponibilité des informations ou des systèmes. Le signalement concerne autant les incidents avérés que les événements suspects (qu'on appelle aussi « presque incidents »).

Exemples concrets, à signaler :

• un message d'hameçonnage reçu, même si vous ne l'avez pas ouvert (cela aide à protéger vos collègues) ;
• un lien cliqué, une pièce jointe ouverte, ou des identifiants saisis sur une page suspecte ;
• un appareil perdu ou volé (ordinateur, téléphone, badge, clé USB) contenant ou donnant accès à des données professionnelles ;
• un comportement anormal de l'ordinateur : ralentissements soudains, fenêtres inattendues, fichiers qui changent d'extension, message de rançon ;
• une connexion suspecte à votre compte (notification de connexion que vous n'avez pas initiée) ;
• une fuite d'information : un document confidentiel envoyé au mauvais destinataire, publié par erreur, laissé dans un lieu public ;
• un accès physique inhabituel : personne inconnue dans les locaux, badge oublié, porte forcée ;
• un appel ou message inhabituel d'une personne se faisant passer pour le support, la direction ou un fournisseur.

Pourquoi signaler vite est si important

• Le temps joue contre vous. Beaucoup d'attaques se propagent en quelques heures : un compte compromis sert à attaquer les collègues, un rançongiciel chiffre progressivement les partages. Une alerte précoce peut permettre de couper l'attaque avant qu'elle ne s'étende ;
• Votre signalement peut en protéger d'autres. Si vous recevez un message frauduleux, vos collègues ont probablement reçu le même : un signalement permet de le bloquer pour tous ;
• Les obligations légales ont des délais. En cas de violation de données personnelles, l'organisation (responsable de traitement) doit, selon le cas, notifier l'autorité de contrôle dans un délai de 72 heures après en avoir pris connaissance, et informer les personnes concernées si le risque est élevé. Si l'incident n'est connu que plusieurs jours après, l'entreprise peut être en infraction à son insu ;
• Les assurances et contrats prévoient souvent des délais de déclaration ;
• Un incident caché coûte toujours plus cher qu'un incident signalé.

Surmonter la peur du reproche

Pourquoi tant de gens hésitent-ils ? Par peur d'être sanctionné, par gêne, par crainte de déranger pour rien, ou parce qu'ils pensent pouvoir réparer eux-mêmes. Voici ce qu'il faut garder en tête :

• Les professionnels de la sécurité savent que l'erreur humaine existe. Leur objectif est de limiter les conséquences, pas de chercher un coupable. Une culture de sécurité saine valorise le signalement, y compris des erreurs ;
• Un faux positif n'est jamais un problème. Mieux vaut dix alertes inutiles qu'un incident non signalé. Personne ne vous reprochera d'avoir demandé ;
• Vous ne devez pas régler seul un incident : vous n'avez ni les outils, ni la vue d'ensemble, et une manipulation maladroite peut détruire des preuves ou aggraver la situation ;
• Dans la plupart des organisations, ce n'est pas l'erreur initiale qui est sanctionnée, mais la dissimulation.

Si vous êtes manager, c'est à vous de créer ce climat : remerciez ceux qui signalent, plutôt que de les blâmer.

À qui signaler ?

La procédure varie selon l'organisation. Dans l'ordre, cherchez :

1. Le canal officiel de signalement : adresse dédiée (type « securite@… »), bouton « Signaler » dans la messagerie, formulaire, numéro d'urgence, outil de ticket ;
2. Le service informatique ou le support (DSI, helpdesk) ;
3. Le responsable de la sécurité (RSSI), ou la personne désignée dans votre structure ;
4. Votre responsable hiérarchique, qui saura relayer ;
5. Le délégué à la protection des données (DPO) si des données personnelles sont concernées ;
6. Dans une très petite structure ou en indépendant : votre prestataire informatique, votre banque en cas de fraude, et les dispositifs publics (leçon 3 du chapitre 7).

Retenez cette règle : si vous ne savez pas à qui vous adresser, prévenez votre responsable et le support informatique, ils feront suivre. Cherchez la procédure aujourd'hui, avant d'en avoir besoin, et notez-la dans votre carnet.

Comment signaler : les informations utiles

Un bon signalement est rapide, factuel et précis. Il n'a pas besoin d'être parfait. Répondez aux questions suivantes :

Joignez, si possible, une capture d'écran du message ou de la page, ou transférez le message suspect en pièce jointe comme le demande votre service informatique (le transfert simple efface parfois des informations techniques utiles). Si vous ne savez pas comment faire, signalez d'abord, les détails suivront.

Premiers gestes en attendant l'aide

Suivez les consignes du service informatique ; à défaut, voici des gestes de bon sens :

1. Ne paniquez pas et ne vous reprochez rien. Respirez : l'important est de réagir ;
2. Si vous avez saisi un mot de passe sur une page suspecte, changez-le dès que possible depuis un appareil sain, ou demandez à l'informatique de le réinitialiser, et prévenez-les ;
3. Si l'ordinateur semble infecté (ou rançongiciel), débranchez-le du réseau (câble réseau, mode avion), mais ne l'éteignez pas et ne l'effacez pas sauf demande contraire : des traces utiles peuvent disparaître. Selon les consignes de l'entreprise, on peut aussi demander l'extinction ;
4. Ne supprimez rien et ne tentez pas de « nettoyer » vous-même ; ne payez rien, ne répondez pas aux fraudeurs ;
5. Notez les heures, les actions et les messages affichés ;
6. Ne parlez pas de l'incident publiquement (réseaux sociaux, groupes de discussion), pour ne pas aggraver la situation ni tomber dans des rumeurs ; échangez avec les personnes concernées par les canaux validés ;
7. Pour un appareil perdu ou volé : prévenez immédiatement l'entreprise, qui pourra verrouiller ou effacer à distance et révoquer les accès. Déposez plainte si le vol est avéré, selon la procédure interne.

Après l'incident : le retour d'expérience

Une fois la situation traitée, un bon fonctionnement consiste à tirer des leçons : que s'est-il passé ? Comment l'a-t-on détecté ? Quelles mesures auraient permis de l'éviter ou de mieux réagir ? On modifie les procédures, on adapte la formation, on renforce les contrôles. Votre rôle d'utilisateur : participer sincèrement au retour d'expérience, sans chercher à vous défausser. C'est ainsi que l'organisation progresse, et que vous progressez vous aussi.

Carnet de sécurité : page 6, bilan du chapitre

Complétez votre carnet avec la page « Au travail » :

• La charte lue, les trois points marquants ;
• Le contact du RSSI / support informatique et la procédure de signalement ;
• La checklist de télétravail cochée ;
• La liste de vos accès revus ;
• Votre texte-type de signalement (modèle de message à copier en cas de problème).

À vous de jouer

Rédigez en cinq lignes maximum un message de signalement pour la situation suivante : en début de matinée, vous avez ouvert une pièce jointe « Facture_impayee » reçue d'un expéditeur inconnu. Un document s'est ouvert avec un bandeau « Activer le contenu » ; vous avez cliqué sur « Activer ». Rien de visible ne s'est produit.

Au chapitre suivant, nous généralisons cette démarche au niveau personnel : reconnaître une compromission, réagir, porter plainte et se faire aider, puis rassembler vos pages en un plan complet.