Les recommandations du NCSC décrivent une approche en trois étapes pour se remettre d’une cyberattaque

Le National Cyber Security Centre (NCSC) du Royaume-Uni a publié des recommandations destinées à aider les organisations à gérer et à surmonter les cyberattaques fortement perturbatrices. Ce cadre reconnaît qu’un incident majeur peut exercer une pression considérable sur les plans opérationnel et émotionnel, et encourage les organisations à soutenir leur personnel tout en coordonnant la réponse technique et métier.

Les recommandations sont organisées en trois étapes : gérer l’incident initial, rétablir les opérations essentielles et reconstruire sur le long terme.

Limiter l’impact immédiat

Au cours des premières heures et des premiers jours, les organisations doivent établir ce qui s’est passé, évaluer les conséquences et coordonner la prise de décision. Le NCSC souligne la nécessité de prendre rapidement des mesures défensives, de mettre en place une gouvernance claire et de contrôler les communications avec les employés, les clients, les fournisseurs et les autres parties prenantes.

Il recommande également de faire appel à des spécialistes externes expérimentés. En particulier, les organisations sont invitées à envisager les services d’un prestataire de réponse aux cyberincidents (CIR) agréé par le NCSC, qui peut fournir une expertise technique et accompagner les responsables de la gestion de l’incident lors d’une enquête menée sous forte pression.

Rétablir les services critiques

La deuxième étape consiste à élaborer et à mettre en œuvre un programme de reprise visant à ramener l’organisation à un niveau minimal de fonctionnement. Les priorités de reprise doivent être déterminées par les fonctions métier les plus importantes, et non par la seule technologie.

Le rétablissement des systèmes peut nécessiter des solutions de contournement temporaires, mais l’objectif est de reprendre les services essentiels, de continuer à accompagner les clients et de préserver la confiance dans l’organisation. Les dirigeants doivent donc définir les activités les plus critiques et prendre leurs décisions en conséquence.

Reconstruire en renforçant la résilience

Une fois le fonctionnement minimal rétabli, les organisations peuvent passer à une reconstruction à plus long terme. Cette phase vise à revenir à des opérations normales — voire à les améliorer — tout en corrigeant les faiblesses qui ont contribué à l’incident.

Selon le NCSC, cela peut notamment impliquer de repenser les systèmes afin que les pratiques de sécurité essentielles, comme l’application des correctifs, la configuration sécurisée et le contrôle des accès, soient plus faciles à mettre en œuvre et à maintenir.

Tester les plans avant un incident

Les recommandations insistent également sur la préparation. Les organisations doivent mettre à l’épreuve leurs dispositifs de réponse, tester leurs capacités de basculement, répéter les procédures d’arrêt et de redémarrage, et vérifier que les systèmes peuvent être reconstruits à partir de sauvegardes. Des exercices réalistes peuvent révéler des lacunes que les plans écrits et les discussions sur table ne permettent pas toujours de détecter, aidant ainsi les équipes à acquérir l’expérience nécessaire pour réagir efficacement sous pression.