La première heure d’un incident cyber : qui fait quoi ?

La décision derrière le titre

Cet examen porte sur qualification de l’incident, experts, autorité de direction et communications sûres. Demandez quel incident bloquerait une journée ordinaire et qui aurait autorité pour intervenir. L’intérêt est de relier activité et clauses : un intitulé séduisant ne crée pas ce lien. Consultez la personne responsable du processus, pas seulement le budget annuel d’assurance.

Distinguez connexion inhabituelle et copie confirmée. Faites préserver authentification, comptes, systèmes et périodes possibles. La direction désigne décideur confinement et responsable du journal. Si e-mail compromis, préparez canal sain avant partage sensible. Les spéculations répétées créent messages clients inexacts.

Un scénario hypothétique à tester

Une fiduciaire constate des connexions inhabituelles sans savoir si des dossiers clients ont été copiés. Cet exemple est fictif : il ne décrit pas un sinistre réel ni un versement promis. Reconstituez les étapes entre premier signal et retour au service normal. Demandez ce qui arriverait pendant les vacances ou le pic annuel. Le test doit révéler les hypothèses de disponibilité et de calendrier avant de s’y fier.

Demandez intervenants disponibles et autorité hors horaires. Investigation, reprise et juridique relèvent-ils d’une équipe ou de spécialistes coordonnés ? Une hotline ne garantit pas chaque service sans plafond. Testez absence du responsable IT : qui isole accès, récupère inventaire sain et obtient décision dirigeante ? L’objectif initial est faits contrôlés et action traçable. L’indemnité vient ensuite ; attendre l’admissibilité peut laisser croître l’incident technique alors que le dossier demeure incomplet. Préparez aussi un relais si le décideur ne répond pas.

Identifier la frontière contractuelle

Évitez de détruire les preuves par réinstallation improvisée. Un spécialiste coordonne confinement et conservation. Utilisez un canal sain si l’e-mail est compromis et distinguez pouvoir d’arrêter les systèmes et pouvoir d’accepter des engagements juridiques ou commerciaux.

Comparer les clauses, puis le prix

Soumettez le même scénario à chaque assureur et demandez des précisions sur hotline, intervenants désignés, autorisation des dépenses et investigation numérique. Exigez clause et explication écrite des incertitudes. Une extension doit figurer dans la police, pas seulement dans la discussion commerciale. Vérifiez aussi l’entité signataire et les lieux déclarés.

Réduire l’exposition avant de la transférer

Une première mesure consiste à préparer une fiche d’escalade hors ligne et exercer les décisions avec le prestataire IT. Nommez un responsable, une date et un test simple d’efficacité. Les procédures comptent si les équipes peuvent les trouver et les utiliser sous pression. Organisez un exercice avec les intervenants réels, en simulant l’absence d’un collaborateur clé. Conservez le résultat du test et les améliorations nécessaires, puis vérifiez leur réalisation.

Les preuves et la prochaine révision

Préparez journaux systèmes, heures, contacts et inventaire réseau récent. Datez les pièces et gardez une copie accessible hors du processus concerné. Gardez hors ligne coordonnées de l’assureur, plan d’incident et escalade fournisseurs. Déclarer un sinistre ne remplace pas une notification réglementaire requise. Revoyez le dispositif lors des changements d’activité, technologie, locaux ou partenaires. Faites valider les points sensibles avant toute résiliation du contrat existant.