Après la cyberattaque : remédiation, audit et conservation des preuves

L'attaque est contenue, l'activité redémarre : le plus dur semble passé. En réalité, une seconde partie commence • moins spectaculaire, mais déterminante pour la suite : la remédiation. C'est elle qui conditionne la solidité de vos recours (assurance, prestataires, auteurs), votre conformité durable et votre résistance à la prochaine attaque.

Trois chantiers structurent cette phase : comprendre (l'audit), reconstruire (la remédiation technique) et capitaliser (preuves et retour d'expérience).

Auditer l'intrusion : comprendre avant de refermer

Reconstruire sans comprendre, c'est souvent réinstaller la vulnérabilité avec le système. L'audit post-incident (ou investigation numérique) vise à établir :

• •le vecteur d'entrée : hameçonnage, mot de passe compromis, faille non corrigée, accès prestataire ;
• •le périmètre réel : systèmes touchés, comptes compromis, données consultées ou exfiltrées ;
• •la chronologie de l'attaque, parfois entamée des semaines avant sa découverte ;
• •les persistances laissées par l'attaquant (comptes cachés, accès distants, tâches planifiées).

Ce rapport d'audit a une double valeur : technique (guider la reconstruction) et juridique • il alimentera la notification CNIL complémentaire, le dossier d'assurance et les éventuels recours. Faites-le établir par des professionnels et relire par votre avocat avant toute diffusion externe : sa rédaction engage.

Reconstruire proprement : les exigences minimales

La remédiation technique relève de vos équipes et prestataires. Sur le plan des responsabilités, quelques exigences reviennent dans tous les référentiels (ANSSI notamment) :

• •reconstruction à partir de systèmes sains et de sauvegardes vérifiées, plutôt que « nettoyage » des machines compromises ;
• •réinitialisation générale des secrets : mots de passe, clés, certificats, comptes de service ;
• •correction du vecteur d'entrée identifié par l'audit ;
• •surveillance renforcée dans les semaines qui suivent : les ré-attaques après remédiation incomplète sont fréquentes ;
• •traçabilité de chaque étape • qui a fait quoi, quand, sur quel système.

Cette traçabilité n'est pas une coquetterie : en cas de nouveau sinistre, elle démontrera votre diligence à l'assureur, à la CNIL et, le cas échéant, au juge.

Conserver les preuves : combien de temps, sous quelle forme ?

Les contentieux cyber s'étendent sur des années. À conserver de manière organisée :

• •les copies forensiques réalisées pendant la crise ;
• •le journal de bord de la crise et le rapport d'audit ;
• •l'ensemble des échanges : assureur, prestataires, CNIL, clients, attaquants le cas échéant ;
• •les factures et justificatifs de tous les coûts (pour le chiffrage du préjudice) ;
• •les notifications effectuées (CNIL, personnes concernées) et leurs accusés.

Durée indicative : au moins le temps des prescriptions applicables • deux ans en matière d'assurance, plus long pour certaines actions civiles ou pénales. En pratique, un dossier d'incident se conserve plusieurs années, sur un support distinct des systèmes de production.

Les suites juridiques à ne pas laisser filer

La remédiation est aussi le moment d'arbitrer les suites :

• •recours contre les tiers défaillants : prestataire dont la négligence a permis l'attaque, éditeur défaillant • voir Fuite de données chez un prestataire : qui est responsable ? ;
• •suivi de la plainte pénale : constitution de partie civile si l'enquête progresse ;
• •clôture du dossier d'assurance : ne signez pas de quittance définitive avant d'avoir stabilisé le chiffrage complet des préjudices • voir Cyberattaque et assurance : obtenir une indemnisation ;
• •mise à jour de la conformité : registre des violations, analyses d'impact, contrats de sous-traitance renforcés.

Le retour d'expérience : transformer l'incident en actif

Un retour d'expérience formalisé (RETEX) documente les causes, les décisions et les améliorations engagées. Au-delà de son intérêt opérationnel, il pèse favorablement dans toute appréciation ultérieure de votre diligence • par l'assureur au renouvellement, par la CNIL en cas de contrôle, par vos clients grands comptes lors des audits fournisseurs.

Glossaire express

• •RETEX : retour d'expérience formalisé après un incident.
• •Persistance : mécanisme laissé par l'attaquant pour conserver un accès après la découverte de l'intrusion.
• •Quittance d'indemnité : document par lequel l'assuré accepte l'indemnisation, en principe pour solde de tout compte.

Dossier complet : RGPD, hacking, vol de données : vos réflexes après une cyberattaque.

Sources officielles : ANSSI (remédiation et gestion de crise), CNIL (registre des violations), Cybermalveillance.gouv.fr.

Les contenus et outils proposés sur LeDroitEnClair.fr ont une vocation informative. Ils ne remplacent pas une consultation personnalisée auprès d'un avocat, d'un DPO ou d'un professionnel qualifié en cybersécurité.