Après l’incident : preuves, assurance, communication
Gardez les preuves
Une fois la crise contenue :
Gardez les preuves avant toute remise en état : notes, photos d’écran, fichiers journaux, copie de la mémoire et des disques. Conservez aussi les données chiffrées.
Arrêtez une version officielle unique. Informez l’interne avant l’externe, et vos propres canaux avant les médias.
Désignez une seule voix. Ne donnez que des faits, vite et régulièrement, sans gêner l’enquête policière.
Complétez les annonces déjà faites : l’OFCS accepte des compléments sous 14 jours, le PFPDT des annonces ultérieures.
Relisez votre police d’assurance : elle fixe ses propres conditions d’annonce et de preuve.
Planifiez un retour d’expérience et un test de restauration des sauvegardes. Le but premier : trouver la voie d’infection et empêcher une nouvelle infection.
Selon l’étude PME Cybersécurité 2026 citée par l’OFCS, seule une PME sur quatre vérifie que ses sauvegardes se restaurent.
À ne pas faire
Réparer ou redémarrer avant la copie des disques.
Laisser plusieurs services s’exprimer sans version commune, ou diffuser des hypothèses.
Qui prévenir : la police cantonale, si la plainte n’est pas encore déposée. Votre assureur, selon les conditions de votre police.