Communications pendant un incident : Modèles internes et clients

Pourquoi la communication en cas d'incident nécessite un plan avant l'incident

La communication lors d'un incident ne doit pas commencer par un courriel vierge rédigé sous la pression. Une communication solide plan d'intervention en cas d'incident Un plan de réponse aux incidents définit les rôles, les contacts, les procédures d'escalade et les activités clés avant la survenue d'un incident. La CISA décrit un tel plan comme un document officiellement approuvé qui guide une organisation avant, pendant et après un incident de sécurité suspecté ou confirmé, et qui précise notamment les rôles et les contacts en cas de crise.¹ Le NIST souligne également qu'une réponse efficace aux incidents nécessite une planification, des ressources, une coordination et des processus de traitement reproductibles.²

La communication est l'élément essentiel de ce plan pour assurer la cohésion des équipes pendant que les faits sont encore en cours d'investigation. Le Centre canadien pour la cybersécurité recommande un plan de communication qui définit comment, quand et avec qui l'équipe communique, et qui inclut un point de contact central pour que les employés puissent signaler les incidents suspectés ou avérés.³ Le Centre national britannique de cybersécurité ajoute qu'une communication efficace avant, pendant et après un incident cybernétique influence la façon dont une organisation est perçue par son personnel, ses parties prenantes, ses clients et les médias.⁴

Première question à trancher : s’agit-il d’une panne, d’un incident de sécurité, d’une violation de la vie privée, ou des trois ?

De nombreux incidents débutent par un symptôme : impossibilité de se connecter, messagerie électronique indisponible, fichiers chiffrés, activité suspecte signalée par un fournisseur ou message étrange repéré par un client. La communication est plus efficace lorsque le responsable de l’incident catégorise rapidement la situation et met à jour le libellé au fur et à mesure de l’évolution de la situation.

La classification peut évoluer. Une panne de Microsoft 365 peut constituer un incident d'usurpation d'identité si un compte administrateur compromis est découvert. Une attaque par rançongiciel peut constituer une violation de la vie privée si des informations personnelles ont été consultées ou exfiltrées.

Considérations relatives à la protection de la vie privée et à la déclaration propres au Canada

Les organisations canadiennes doivent prévoir une procédure claire de prise de décision en matière de protection de la vie privée dans leur plan de communications. En vertu de la LPRPDE, elles sont tenues de signaler toute atteinte aux mesures de sécurité au Commissariat à la protection de la vie privée du Canada s’il est raisonnable de croire que cette atteinte crée un risque réel de préjudice grave pour une personne.^{6, 7} Le Commissariat à la protection de la vie privée du Canada (CPVP) stipule que les personnes concernées doivent être avisées dès que possible après que l’organisation a déterminé qu’une violation comportant un risque réel de préjudice important s’est produite.⁶

La tenue de registres est également importante. Le Règlement canadien sur les atteintes aux mesures de sécurité exige que les organisations conservent un registre de chaque atteinte aux mesures de sécurité pendant 24 mois après avoir déterminé que l'atteinte a eu lieu.¹¹ Cela ne signifie pas que chaque problème technique nécessite une notification au client. Cela signifie que votre processus interne doit recueillir suffisamment de détails pour étayer la décision : ce qui s’est passé, les données ou systèmes concernés, l’évaluation du préjudice, les personnes autorisées à communiquer et les informations envoyées.

L'équipe de communication en cas d'incident

Une petite organisation n'a pas besoin d'un grand service de communication de crise. Elle a besoin de personnes désignées qui savent qui décide, qui rédige, qui approuve, qui envoie et qui conserve les documents.

Si votre équipe informatique interne est réduite ou déjà surchargée, un partenaire de sécurité géré peut vous aider à fournir le niveau d'escalade, la surveillance 24 h/24 et 7 j/7 et la capacité de réponse proactive nécessaires pour éviter les retards. Pour plus d'informations sur le modèle opérationnel de la détection et de la réponse gérées, consultez Qu’achètent réellement les entreprises lorsqu’elles comparent les solutions MDR, EDR et XDR ?.

Rythme de communication : que faut-il envoyer dans les premières 24 heures ?

Le public n'a pas besoin de connaître tous les détails de l'enquête dès la première heure. Il a besoin d'un rythme de communication régulier. Le NCSC néo-zélandais souligne que les communications publiques doivent être claires et apaisantes, préciser quand et comment communiquer avec les clients et les parties prenantes, et éviter de semer la panique.⁵ En pratique, votre cadence devrait prévoir des mises à jour courtes et fréquentes au début, puis passer à des intervalles plus longs à mesure que la situation se stabilise.

Si l'incident concerne la disponibilité ou l'identité de Microsoft 365, associez la fréquence des communications à un flux de travail de maintenance technique. Guide de surveillance et de réponse à l'état des services Microsoft 365 est un outil précieux pour distinguer les pannes du fournisseur des incidents spécifiques au locataire.

Ce que chaque message d'incident doit inclure

Un bon message d'incident est court, structuré et reproductible. Il doit permettre à un cadre, un employé ou un client occupé de répondre facilement à trois questions : suis-je concerné ? Que dois-je faire ? Quand aurai-je plus d'informations ?

Le processus d'approbation qui évite les messages contradictoires

Lors d'un incident en direct, un processus d'approbation inadéquat est soit trop laxiste, soit trop lent. Trop laxiste, il entraîne la fuite de déclarations non approuvées dans les tickets d'assistance, les e-mails commerciaux et les publications sur les réseaux sociaux. Trop lent, il engendre le silence alors que les clients constatent déjà les conséquences.

Planification des canaux : ne vous fiez pas à un système susceptible d'être compromis.

Un incident peut vous priver des outils de communication que vous utilisez habituellement. Si votre messagerie est compromise, ne la considérez pas comme la source d'information principale. Si l'authentification Microsoft 365 est affectée, ne vous fiez pas uniquement à Teams. Si votre VPN est instable, ne dissimulez pas les instructions derrière le VPN. Prévoyez des canaux alternatifs.

En cas d'incidents d'accès à distance, il convient d'examiner si les utilisateurs doivent continuer à utiliser un VPN ou opter pour un modèle d'accès basé sur l'identité. (MSP Corp) Stratégie de migration ZTNA vs VPN explique comment les équipes peuvent réduire leur exposition tout en préservant l'accès aux ressources critiques.

Modèles de communication lors d'un incident

Utilisez ces documents comme brouillons de travail. Remplacez le texte entre crochets, supprimez tout ce que vous ne pouvez pas confirmer et soumettez les mentions légales (clients, protection de la vie privée, organismes de réglementation ou assureurs) au processus d'approbation avant envoi.

Objet : Intervention d'urgence activée : [nom abrégé du problème] Chers membres de l'équipe, nous avons activé l'intervention d'urgence pour [brève description du problème] à compter du [heure et fuseau horaire]. État actuel : * Impact connu : [confirmé] * Impact suspecté : [en cours d'investigation] * Systèmes concernés : [systèmes/services, si le partage est autorisé] * Actions en cours : [confinement, investigation, rétablissement, surveillance] * Responsable de l'incident : [nom] * Responsable technique : [nom] * Responsable de la communication : [nom] Veuillez utiliser [canal approuvé] pour toutes les mises à jour relatives à cet incident. Ne créez pas de canaux parallèles, sauf à la demande du responsable de l'incident. Ne partagez pas d'informations en dehors de l'équipe d'intervention sans autorisation. La prochaine mise à jour interne sera envoyée le [heure].

Objet : Point de situation : [nom de l'incident] à [heure] Voici la situation actuelle à [heure et fuseau horaire]. Ce que nous savons : * [fait confirmé 1] * [fait confirmé 2] * [fait confirmé 3] Ce que nous sommes en train de valider : * [inconnu 1] * [inconnu 2] Impact sur l'activité : * Employés : [impact] * Clients : [impact] * Opérations : [impact] * Risque pour le chiffre d'affaires/les contrats : [connu ou en cours d'examen] Réponse actuelle : * [mesure de confinement] * [analyse forensique ou des journaux] * [mesure de rétablissement] * [mesure de communication] Décisions nécessaires : * [décision 1] * [décision 2] Prochaine mise à jour : [heure]. Personne à contacter pour toute question : [nom/contact].

Objet : Action requise : [instructions d'incident en langage clair] Nous enquêtons sur le problème suivant : [problème en langage clair]. À l'heure actuelle, [impact confirmé en bref]. Veuillez prendre les mesures suivantes : 1. [Action 1] 2. [Action 2] 3. [Action 3] Veuillez ne pas : * [effectuer l'action 1, comme redémarrer les appareils concernés] * [effectuer l'action 2, comme cliquer sur les messages de réinitialisation de mot de passe inattendus] * [effectuer l'action 3, comme contacter directement les fournisseurs en dehors de la procédure de réponse] Signalez tout incident inhabituel via [canal de signalement unique]. Veuillez indiquer votre nom, l'appareil concerné, votre localisation, l'heure d'observation et joindre une capture d'écran si possible. La prochaine mise à jour sera envoyée à [heure et fuseau horaire].

Utilisez ces arguments si votre équipe pose des questions concernant [nom de l'incident] : * Nous sommes conscients du problème et l'équipe d'intervention enquête activement. * L'impact confirmé à ce jour est de [impact]. * L'équipe doit continuer à utiliser [solution de contournement approuvée] et éviter [instruction à ne pas suivre]. * Veuillez adresser vos questions et rapports à [canal]. Cela permet à l'équipe d'intervention d'identifier les tendances et d'éviter les doublons. * Nous vous communiquerons la prochaine mise à jour d'ici [heure]. * Si un client pose une question, utilisez uniquement le langage client approuvé. Ne spéculez pas sur la cause première, l'impact sur les données, les délais ou les responsabilités.

Réponse approuvée pour les tickets et les appels : Merci de nous avoir contactés. Nous enquêtons actuellement sur [brève description du problème]. L’impact confirmé est [impact]. Notre équipe d’intervention travaille sur [mesures de confinement/récupération] et la prochaine mise à jour est prévue pour [heure]. En attendant, veuillez [solution de contournement ou action de l’utilisateur]. Veuillez ne pas [action dangereuse]. J’ajouterai votre signalement au dossier d’incident. Pouvez-vous confirmer : * Votre nom et votre service * L’appareil ou le service concerné * L’heure approximative à laquelle le problème a commencé * Tout message d’erreur ou capture d’écran * Si cela affecte une activité en contact avec les clients. Escaladez immédiatement si l’utilisateur signale : * Des invites de connexion suspectes * Une demande de rançon ou des fichiers chiffrés * Une demande financière non autorisée * Une fuite de données client * L’implication d’un compte de direction, des services financiers, RH, juridiques ou d’administration

Objet : Nous enquêtons sur [service/problème]. Nous enquêtons actuellement sur un problème affectant [service, portail, système ou processus]. Les clients peuvent subir [impact en langage clair]. Notre équipe a activé sa procédure de réponse aux incidents et travaille à [enquêter sur, contenir, rétablir ou surveiller] le problème. Que pouvez-vous faire dès maintenant ? * [Action client ou solution de contournement] * [Passer par le support] * [Consignes de sécurité, le cas échéant]. Nous vous tiendrons informés d'ici [heure et fuseau horaire], ou plus tôt en cas de changement important. Nous vous remercions de votre patience pendant que nous résolvons ce problème.

Mise à jour du statut : [en cours d'investigation/identifié/surveillé/résolu] Heure : [heure et fuseau horaire] Impact actuel : [Personnes concernées et conséquences possibles.] Statut actuel : [Confirmation. Exemple : Nous avons identifié le service concerné et appliquons un correctif. Ou : Nous avons circonscrit le problème et vérifions le rétablissement du service.] Action du client : [Actions à entreprendre ou à éviter.] Prochaine mise à jour : Cette page sera mise à jour le [heure], ou plus tôt en cas de changement de statut.

Objet : Avis concernant [incident/service] Nous vous informons d’un incident concernant [système/service]. Nous avons identifié le problème le [date] et avons immédiatement lancé une enquête. Que s’est-il passé ? [Description en langage clair des faits avérés.] Informations concernées : [Décrire les catégories d’informations concernées. Ne pas inclure les catégories de données non confirmées.] Mesures prises : [Confinement, enquête, réinitialisation du mot de passe, vérification des accès, surveillance, assistance d’un tiers.] Mesures que vous pouvez prendre : [Mesures que le destinataire peut prendre pour limiter les risques, telles que changer ses mots de passe, surveiller ses comptes, se méfier des tentatives d’hameçonnage, contacter son établissement financier ou utiliser l’assistance dédiée.] Qui contacter : Pour toute question, veuillez nous contacter par [méthode de contact]. Nous sommes désolés des désagréments que cela pourrait occasionner et nous vous tiendrons informés.

Objet : Escalade urgente : [nom de l’incident/service] Nous intervenons actuellement sur un incident impliquant [service/système] et avons besoin d’une assistance pour une escalade. Demande : * [Journaux nécessaires] * [Mesure de confinement demandée] * [Examen du compte/de la session demandé] * [Assistance pour la sauvegarde/restauration demandée] * [Confirmation du statut côté fournisseur demandée] Période : La période concernée s’étend du [heure de début] au [heure de fin] (fuseau horaire). Veuillez fournir : * Nom du contact pour l’escalade * Numéro de ticket * Statut actuel * Délai de réponse estimé * Actions entreprises de votre côté * Impact connu sur les clients ou locataires Veuillez ne pas modifier la configuration sans l’accord du [responsable technique/contact], sauf si cela est nécessaire pour stopper un incident en cours.

Résumé de l'incident à examiner Organisation : [entreprise] Date/heure de découverte : [date/heure/fuseau horaire] Signalé par : [nom/rôle] Responsable de l'incident : [nom/contact] Responsable technique : [nom/contact] Responsable juridique/protection des données : [nom/contact] Résumé : [Résumé de l'incident en langage clair.] Systèmes connus impliqués : * [système 1] * [système 2] Données connues ou suspectées impliquées : * [catégorie de données] * [inconnues ou en cours d'examen] Mesures de confinement prises : * [action 1] * [action 2] Impact sur l'activité : * [opérations] * [clients] * [employés] * [chiffre d'affaires/engagements de service] Communications en cours : * Messages internes envoyés : [oui/non/détails] * Messages clients envoyés : [oui/non/détails] * Messages aux autorités de réglementation envoyés : [oui/non/détails] Questions immédiates : * [question 1] * [question 2]

Objet : Mise à jour concernant la récupération du service/incident. À compter du [heure et fuseau horaire], le service/système a été rétabli pour [public/périmètre]. Modifications : * [action de rétablissement] * [étape de validation] * [limitation restante, le cas échéant]. Actions à entreprendre : * [action de l’utilisateur/du client] * [comment signaler les problèmes persistants]. Nous continuons de surveiller le service/système et vous tiendrons informé(e) en cas de changement significatif. Merci de votre patience.

Objet : Suivi de l’incident/du problème de service [Incident/Problème de service] Nous faisons le suivi de l’incident/du problème de service [Incident/Problème de service] qui a affecté [Service/Public] le [Date]. Que s’est-il passé ? [Résumé clair et approuvé.] Impact : [Impact client confirmé et durée.] Actions entreprises : * [Mesure de réponse] * [Mesure de confinement] * [Mesure de rétablissement] * [Mesure de surveillance] Améliorations en cours : * [Amélioration des contrôles] * [Amélioration des processus] * [Amélioration de la surveillance ou des alertes] * [Amélioration de la formation ou de la gouvernance] Actions requises : [Action requise ou aucune action requise.] Nous vous remercions de votre patience et comprenons l’importance de vous tenir informé(e) lorsque des problèmes affectent votre activité.

Exemples de formulation spécifiques à l'incident

Le modèle le plus approprié dépend du type d'incident. Utilisez ces exemples comme point de départ et veillez à ce que le langage utilisé soit conforme aux faits avérés.

Hameçonnage ou boîte aux lettres compromise

En cas de suspicion d'hameçonnage, la rapidité est essentielle, car les employés et les clients peuvent recevoir des messages malveillants avant la fin de l'enquête. Indiquez clairement aux utilisateurs sur quoi ne pas cliquer et où transférer les messages suspects. Si votre organisation effectue des simulations, appliquez des pratiques garantissant la confiance afin que les employés signalent rapidement les erreurs au lieu de les dissimuler. Consultez le guide de MSP Corp. Exécuter des simulations d'hameçonnage sans nuire à la confiance peut contribuer à façonner cette culture.

Incident lié à l'identité ou à l'authentification multifacteur

Si l'incident implique des connexions, une prise de contrôle de compte ou des demandes répétées d'authentification multifacteur (MFA), évitez de laisser entendre que la MFA seule suffit. Les attaquants peuvent toujours exploiter les jetons de session, l'authentification héritée, les contrôles d'accès conditionnels faibles ou l'ingénierie sociale. Pour la planification de la prévention, voir Comment ajouter correctement l'accès conditionnel.

Défaillance du serveur, de l'application ou du réseau

Tous les incidents ne constituent pas une violation de données. Certains sont des défaillances opérationnelles qui nécessitent néanmoins des mises à jour régulières. Si la disponibilité du serveur est le problème immédiat, combinez la fréquence de communication décrite dans cet article avec une approche pratique. Procédure de gestion des incidents de panne de serveur Ainsi, les équipes savent qui valide les sauvegardes, qui teste les dépendances et qui approuve la restauration.

rançongiciel ou extorsion

La communication relative aux rançongiciels exige une vigilance accrue. Le Centre canadien pour la cybersécurité recommande aux organisations de signaler les incidents de rançongiciels aux services de police locaux, au Centre antifraude du Canada et au Centre canadien de la cybersécurité.⁹ Le guide StopRansomware de la CISA fournit une liste de contrôle des réponses qui va de la détection et de l'analyse au confinement, à l'éradication, à la récupération et aux activités post-incident.¹⁰

continuité des activités ou interruption prolongée

Lorsqu'un incident perturbe les opérations de façon prolongée, les communications doivent être conformes au plan de continuité d'activité. La norme ISO 22301 fournit un cadre permettant aux organisations de planifier, d'exploiter, de surveiller, de maintenir et d'améliorer un système de gestion de la continuité d'activité documenté, facilitant la reprise après des incidents perturbateurs.¹² MSP Corp Modèle de plan de continuité des activités pour les responsables informatiques peut contribuer à relier la reprise technique aux mises à jour des parties prenantes.

Communication client : quand en dire moins, quand en dire plus

Le silence engendre la suspicion, mais la surinformation crée des risques. La communication avec les clients doit être plus détaillée à mesure que les faits deviennent plus fiables.

Si l'incident révèle des pannes récurrentes, un support technique lent, un suivi de sécurité insuffisant ou une communication déficiente de la part du fournisseur, il est peut-être temps de réévaluer la relation. (MSP Corp) Liste de vérification pour une transition en toute sécurité vers un nouveau fournisseur de services gérés (MSP) Il met en évidence les signaux d'alerte et les étapes de planification.

Que faut-il consigner pour chaque message ?

Le registre des messages n'est pas une tâche administrative superflue. Il protège l'organisation des versions contradictoires et fournit à la direction un compte rendu fiable pour les clients, les assureurs, les organismes de réglementation et lors de l'analyse post-incident.

Cette même rigueur facilite l'analyse des causes profondes après la résolution du problème. Si des incidents récurrents se produisent, reliez le journal de communication à l'historique des tickets, aux signaux de surveillance et aux tâches de remédiation. Pour la structure opérationnelle, consultez les recommandations de MSP Corp. concevoir un modèle de support évolutif de niveau 1 à niveau 3 peut aider à définir qui est responsable du triage, de l'escalade, de la résolution et du suivi client.

Liste de contrôle des communications pour le responsable de l'incident

Utilisez cette liste de contrôle lors de la première réunion d'intervention et répétez-la à chaque point de contrôle prévu.

Prévenir les ruptures de communication avant le prochain incident

Le meilleur plan de communication est celui que votre équipe a déjà mis en pratique. Les recommandations du NIST en matière de gestion des incidents soulignent l'importance de disposer de capacités établies, d'une coordination efficace et d'une démarche d'amélioration continue.² Le plan fédéral d’intervention en cas de cyberincident de Sécurité publique Canada décrit également la gestion des cyberincidents en termes de parties prenantes, de déclencheurs d’escalade et de niveaux de réponse, qui sont des concepts utiles pour les organisations privées qui élaborent leurs propres plans.¹³

Comment MSP Corp apporte son aide avant, pendant et après un incident

Une communication efficace en cas d'incident repose sur une préparation optimale. MSP Corp aide les organisations canadiennes à simplifier la gestion des incidents grâce à des évaluations de cybersécurité, un renforcement de la sécurité axé sur les produits Microsoft, la détection et la réponse gérées, la planification des incidents, des conseils en matière de sauvegarde et de restauration, ainsi qu'un soutien informatique géré continu.

Si votre fournisseur actuel tarde à communiquer, à résoudre les incidents ou à être clair lors d'événements de sécurité, utilisez les modèles ci-dessus comme référence. Un fournisseur doit être en mesure d'expliquer qui est responsable de l'incident, ce qui est connu, les mesures prises, la date de la prochaine mise à jour et comment l'entreprise peut réduire les risques dès maintenant. Pour comprendre vos attentes en matière de support, consultez Qu'est-ce qui est généralement inclus dans l'assistance informatique 24h/24 et 7j/7 ?.

Une communication claire est un contrôle de sécurité

Lors d'un incident, les individus font partie intégrante du dispositif de réponse. Les employés peuvent limiter les interactions, les clients peuvent prendre des mesures de protection, les fournisseurs peuvent accélérer le confinement et les dirigeants peuvent prendre des décisions plus rapidement grâce à une communication claire. L'inverse est également vrai : le silence, les spéculations et les informations contradictoires peuvent aggraver la situation.

Préparez les modèles dès maintenant. Désignez les responsables dès maintenant. Testez les canaux dès maintenant. Ensuite, intégrez le plan de communication à un programme de réponse aux incidents plus vaste, comprenant la surveillance, le confinement, la reprise après incident, l'examen de la protection de la vie privée et l'amélioration post-incident.