Si une cyberattaque rendait vos systèmes inaccessibles demain matin, sauriez-vous qui appeler et quelles activités rétablir en premier? Pour votre PME, l'enjeu dépasse les ordinateurs : vos équipes doivent continuer à travailler, vos clients attendent leurs commandes et vos données doivent rester protégées. Préparer votre réponse permet de prendre ces décisions avant de devoir agir dans l'urgence.
En 2023, environ 1 entreprise canadienne sur 6 a subi un incident de cybersécurité ayant des répercussions sur ses activités, selon Statistique Canada. Les dépenses de rétablissement ont atteint 1,2 milliard de dollars. Dans cet article, j’explique quelles mesures préparer avant une cyberattaque PME, comment réagir dans les premières heures et quoi prévoir pour reprendre vos activités.
[BLOG_POST_SUMMARY]
Comment préparer votre PME avant une cyberattaque?
Écrire un plan de réponse aux incidents
Préparez un plan de réponse aux incidents accessible et concret. Il doit préciser :
-
- Qui décide, qui intervient et qui communique, avec des remplaçants désignés.
- Comment joindre votre fournisseur TI, votre assureur et votre conseiller juridique.
- Quels moyens de communication utiliser si la messagerie est compromise.
- Quels systèmes rétablir en priorité et quelles activités peuvent continuer autrement.
Classez vos systèmes selon leur importance pour les opérations et leurs dépendances. Pour un distributeur, remettre la gestion des commandes en service peut exiger de rétablir d'abord les accès et les données d'inventaire. Conservez une copie du plan accessible sans le réseau habituel. Une évaluation de cybersécurité peut aider à bâtir ce plan à partir de vos risques réels.
Préparer des sauvegardes qui résistent à une attaque
Les groupes derrière les rançongiciels cherchent vos sauvegardes avant de chiffrer quoi que ce soit. Protégez au moins une copie de sauvegarde contre les modifications ou la suppression par un attaquant. Les copies hors ligne et les copies immuables répondent à cet objectif de façons différentes.
-
-
La copie hors ligne
-
Une copie hors ligne est déconnectée des systèmes courants. Vérifiez qu'elle reste réellement isolée entre les opérations de sauvegarde et qu'elle est accessible au moment de restaurer les données.
-
-
La copie immuable
-
Une copie immuable empêche la modification ou la suppression des données pendant une durée déterminée, selon sa configuration. Vérifiez la durée de protection, les droits administratifs et la configuration effective de l'immuabilité.
Ces protections peuvent se compléter. Dans les deux cas, vérifiez que la copie couvre les données nécessaires à votre reprise.
Vérifiez aussi les accès administratifs : un même compte compromis ne devrait pas permettre d'effacer les données et toutes leurs copies. Prévoyez des tests de restauration, par exemple chaque trimestre, selon vos risques. Le test doit confirmer que les données sont utilisables et mesurer le temps nécessaire pour reprendre une activité.
Réduire les portes d'entrée
Une des meilleures pratiques de cybersécurité pour les PME consiste à activer l’authentification multifacteur (MFA) partout où c’est possible, particulièrement pour les comptes de messagerie, les comptes financiers ainsi que ceux des administrateurs et des dirigeants. La MFA exige une deuxième forme de vérification en plus du mot de passe : un mot de passe volé ne suffit donc pas à accéder au compte.
Organisez les correctifs avec votre équipe de maintenance et soutien TI. Pour aider vos employés à reconnaître les tentatives d’hameçonnage et à comprendre les principaux types de cyberattaques, prévoyez une formation avec simulations d’hameçonnage.
Vérifier votre cyberassurance
Selon Statistique Canada, 22 % des entreprises canadiennes avaient une cyberassurance en 2023. Si vous en avez une, lisez trois clauses avant d'en avoir besoin. Confirmez notamment :
-
- Le délai et le moyen à utiliser pour déclarer un incident.
- Les mesures de sécurité exigées et les conditions de couverture.
- Les fournisseurs autorisés et les approbations nécessaires avant d'engager des spécialistes.
Noter que si votre police exige l'authentification multifacteur et que vous ne l'avez pas activée partout, la réclamation peut être contestée. Demandez aussi comment joindre l'assureur hors des heures de bureau. Votre plan doit permettre de trouver ces renseignements sans accéder à un ordinateur touché.
Faire un exercice sur table
Une fois par année, réunissez la direction, les responsables des opérations et votre équipe TI pour simuler un incident. Par exemple : « Lundi 7 h, les fichiers du serveur comptable sont renommés et une note de rançon s'affiche. » Chacun dit ce qu'il fait, comment informer les employés et quelles tâches peuvent continuer autrement. Les trous dans le plan apparaissent vite.
Un exercice sur table consiste à discuter des décisions sans interrompre les systèmes. Notez les hésitations, attribuez les corrections et refaites l'exercice après une évolution importante de votre environnement.
Que faire dans les premières heures d'une cyberattaque?
Reconnaître les signes
Signalez immédiatement les fichiers devenus illisibles, une note de rançon, des connexions inhabituelles ou des messages envoyés à votre insu. N'attendez pas que tous les employés soient touchés pour appeler votre équipe TI.
Un rançongiciel, ou ransomware, peut bloquer l'accès aux fichiers et s'accompagner d'un vol de données. Notez l'heure et les symptômes observés. Utilisez un téléphone ou un appareil considéré comme sain pour joindre les intervenants.
Contenir sans détruire les preuves
Isolez les appareils touchés et préservez les traces utiles à l'enquête
-
- Déconnectez les appareils touchés du réseau, y compris le câble et le Wi-Fi,
- Une fois les appareils isolés, évitez de les éteindre : certaines traces se trouvent en mémoire.
- Coupez les accès à distance et les connexions des fournisseurs.
- Ne supprimez aucun fichier et ne réinstallez rien avant les consignes des spécialistes.
- Faites coordonner par l'équipe TI la suspension des accès compromis.
- Documentez les actions réalisées et leur heure.
Un appareil compromis peut être comparé à une scène d’incident : le remettre en état trop vite risque d’effacer des traces utiles pour comprendre ce qui s’est passé.
Le Centre canadien pour la cybersécurité recommande de ne pas éteindre un appareil une fois isolé pour conserver les preuves.
Qui appeler, et dans quel ordre
Appelez d'abord votre équipe TI ou le responsable de réponse aux incidents prévu au plan. Alertez rapidement la direction et l'assureur, selon les exigences du contrat. Mobilisez le conseiller juridique et le responsable de la protection des renseignements personnels dès qu'une atteinte est soupçonnée.
L'ordre précis dépend de votre plan et des circonstances : n'attendez pas la fin d'une intervention technique pour respecter un délai d'avis. Vous pouvez aussi signaler l'incident au Centre canadien pour la cybersécurité et à la police. Une surveillance proactive 24/7/365 contribue à repérer les activités suspectes et à déclencher la réponse.
La question de la rançon
Ne prenez pas seul une décision de paiement. Faites intervenir les spécialistes, votre assureur et votre conseiller juridique. Le paiement ne garantit ni la récupération des fichiers ni la suppression des données volées.
Une attaque par rançongiciel peut combiner chiffrement et menace de divulgation : c'est la double extorsion. Le Guide sur les rançongiciels rappelle aussi qu'un paiement peut soulever des enjeux légaux. Des sauvegardes disponibles ne règlent donc pas, à elles seules, les conséquences d'un vol de données.
D’ailleurs, le Centre canadien pour la cybersécurité qualifie le rançongiciel de principale menace cybercriminelle pour les infrastructures essentielles du Canada. En 2023, plus d'une entreprise touchée sur huit (13 %) avait subi un ransomware, selon Statistique Canada.
Comment reprendre vos activités après une cyberattaque?
Restaurer à partir de sauvegardes saines
Faites valider l'environnement et les sauvegardes avant la restauration. La dernière copie disponible peut déjà contenir des éléments compromis. L'équipe technique doit déterminer le point de restauration approprié et corriger les accès ou les vulnérabilités exploités.
Rétablissez ensuite les systèmes selon les priorités et les dépendances prévues. Vérifiez avec les utilisateurs que les commandes, les dossiers et les transactions sont cohérents. La reprise après désastre et la continuité des affaires servent à préparer ce retour aux opérations, y compris les solutions temporaires.
Respecter vos obligations en vertu de la Loi 25
Faites évaluer rapidement si l’attaque constitue un incident de confidentialité impliquant des renseignements personnels. Votre démarche de conformité à la Loi 25 doit prévoir les responsabilités et les procédures à suivre pour réduire les risques et éviter qu’un incident semblable se reproduise.
Inscrivez tout incident de confidentialité au registre, même sans risque de préjudice sérieux. Lorsqu’un tel risque existe, avisez avec diligence la Commission d’accès à l’information et les personnes concernées, selon les mesures et les avis requis.
Ces obligations doivent être prises en charge dès la découverte de l’incident, sans attendre la reprise complète. Pour éviter les erreurs fréquentes de conformité à la Loi 25, vérifiez que votre équipe sait qui tient le registre, qui évalue les risques et qui coordonne les avis.
Notre guide sur la conformité à la Loi 25 et notre article sur les erreurs fréquentes de conformité à la Loi 25 détaillent ces obligations.
Communiquer avec vos clients et partenaires
Dites ce que vous savez, ce que vous faites et quand vous donnerez des nouvelles. Si des données clients ont été exposées, vos clients finiront par l'apprendre : mieux vaut qu'ils l'apprennent de vous. Un message préparé à l'avance dans votre plan vous fait gagner des heures.
Faire le bilan et corriger
Dans les deux semaines suivant le retour à la normale, réunissez les mêmes personnes que pour l'exercice sur table. Faites un retour d'expérience après la stabilisation des activités. Identifiez la porte d'entrée de l'attaque, ce qui a fonctionné, ce qui a manqué, et ajustez le plan. Une cyberattaque entreprise non analysée a de bonnes chances de se répéter par la même porte.
Pour chaque correction, désignez un responsable et une échéance. Mettez à jour le plan, les accès, la formation et les tests. Le bilan d'une cyberattaque en entreprise doit déboucher sur des changements vérifiables.
Votre PME est-elle prête à faire face à une cyberattaque?
Passez ces dix points en revue pour évaluer votre niveau de préparation face aux cyberattaques. Chaque « non » indique une lacune à examiner avec votre équipe ou votre partenaire TI.
-
- Un plan de réponse aux incidents est accessible a l'extérieur su réseau habituel.
- Une personne et son remplaçant sont désignés comme responsables de la réponse a une cyberattaque.
- Les coordonnées du fournisseur TI, de l'assureur et du conseiller juridique sont à jour.
- Au moins une copie de sauvegarde est conservée hors ligne, déconnectée de votre réseau pour empêcher les cyberattaquants d'y accéder.
- Une restauration réelle a été testée dans les trois derniers mois.
- L'authentification multifacteur est activée partout où c'est possible, et systématiquement pour les comptes de messagerie, d'accès à distance, financier et d'administration.
- Les postes et serveurs disposent d'une protection EDR surveillée.
- Les délais, conditions et procédures de la cyberassurance sont connus.
- Un registre des incidents de confidentialité est prêt à être tenu et mis à jour.
- Un exercice sur table a eu lieu dans la dernière année.
Cette liste constitue un point de départ pour renforcer votre protection contre les cyberattaques. Au-delà des risques abordés dans notre article « 94 % des PME attaquées », l’essentiel est de déterminer les mesures à appliquer dans votre entreprise. Appuyez-vous sur les meilleures pratiques de cybersécurité pour les PME en 2026 et adaptez la fréquence de vos tests à vos risques ainsi qu’aux changements apportés à vos systèmes.
Comment Genatec peut-il aider votre PME avant, pendant et après une cyberattaque?
Évaluer vos risques, planifier vos priorités, implanter les mesures, puis les suivre et les améliorer : voilà les quatre étapes de l’accompagnement de Genatec en cybersécurité des PME. Pour guider vos décisions de cybersécurité en entreprise, vous pouvez aussi faire appel à un responsable virtuel de la sécurité de l’information (vCISO).
« Quand on travaille chaque jour dans le même environnement, certains risques peuvent passer inaperçus. Un partenaire TI externe apporte un regard complémentaire : il questionne les habitudes, vérifie les dépendances entre les systèmes et aide à repérer ce qui pourrait compliquer une intervention. »
- Chris Feghali, Responsable de la sécurité et de la conformité, Genatec
Genatec compte 83 spécialistes permanents et offre un soutien technique 24/7/365, avec un temps de réponse moyen affiché de deux minutes. Ses contrôles internes ont été audités par Prescient Security dans le cadre d’une attestation SOC 2 Type I.
En conclusion
Face à une cyberattaque, trois éléments facilitent la réponse : un plan accessible, des sauvegardes dont la restauration a été testée et des responsabilités clairement attribuées. Pour votre PME, cette préparation aide à décider quoi protéger, qui mobiliser et comment reprendre les activités prioritaires. La remise en service doit aussi s'accompagner d'un suivi des obligations de confidentialité.
Commencez par passer la checklist en revue avec votre responsable TI pour repérer vos écarts. Si vous avez besoin d'aide pour établir les priorités, un conseiller Genatec peut vous accompagner. L'objectif : savoir comment agir avant d'être placé devant l'urgence.
