Signaler vite, agir quand ça va mal

Capsules

1. 1

   Reconnaître un incident, même sans certitude

   2 min
   Capsule vidéo en tournage

   Reconnaître un incident, même sans certitude

   Un incident n’a pas besoin d’être certain pour être signalé. Compte piraté, rançongiciel, appareil perdu, courriel envoyé au mauvais destinataire : au moindre doute, on le traite comme un incident.

   Lire la capsule (transcription)

   Karine est réceptionniste dans un cabinet d’avocats de Québec. Son téléphone vibre : « Approuvez-vous cette connexion ? » Elle n’a rien demandé. Une deuxième demande arrive, puis une troisième. Pour que cela cesse, elle appuie sur « oui ». Elle vient peut-être de laisser entrer quelqu’un d’autre. Voici l’idée centrale. Un incident n’a pas besoin d’être certain pour être signalé. Au moindre doute, on le traite comme un incident jusqu’à preuve du contraire. La Commission d’accès à l’information, la CAI, définit l’incident de confidentialité ainsi : tout accès, toute utilisation ou toute communication non autorisés d’un renseignement personnel, ainsi que sa perte ou toute autre atteinte à sa protection.

   Premier signe, le compte compromis. Des demandes d’approbation de connexion que vous n’avez pas faites, qui se répètent : le CCC appelle cela une attaque par demande répétée, ou fatigue de l’authentification multifacteur. L’attaquant espère que vous finirez par dire oui. D’autres signes : des connexions que vous ne reconnaissez pas, des messages envoyés que vous n’avez pas écrits, un mot de passe qui ne fonctionne plus.

   Deuxième signe, le rançongiciel. C’est un maliciel qui bloque vos fichiers pour réclamer de l’argent. Vous le reconnaissez à des fichiers qu’on ne peut plus ouvrir, ou à un message plein écran qui exige un paiement.

   Mais il n’y a pas toujours de pirate. Un portable oublié dans un taxi, une clé USB perdue, un courriel envoyé à la mauvaise personne : la CAI donne justement ce dernier exemple, un employé qui envoie un document au mauvais destinataire. C’est un incident au sens de la loi.

   Le piège émotionnel est connu : « C’est peut-être rien », « je ne veux pas déranger », « j’ai honte ». Un doute signalé ne coûte presque rien. Un doute gardé pour soi peut coûter très cher.

   À retenir : j’ai un doute, je le signale. Je n’ai pas à être certain.

   • Un incident de confidentialité, c’est tout accès, utilisation ou communication non autorisés d’un renseignement personnel, ainsi que sa perte.
   • Signes d’un compte compromis : demandes d’approbation de connexion non demandées, activité inhabituelle.
   • Signes d’un rançongiciel : fichiers inaccessibles, message qui réclame de l’argent.
   • Pas besoin d’un pirate : un appareil perdu ou un courriel envoyé au mauvais destinataire sont aussi des incidents.
2. 2

   Les premières minutes

   2 min
   Capsule vidéo en tournage

   Les premières minutes

   Dans les premières minutes, vous n’avez pas à tout régler. Vous limitez les dégâts, vous préservez ce que vous avez vu et vous appelez la bonne personne. Cinq gestes, dans l’ordre.

   Lire la capsule (transcription)

   Un lundi, à 8 h 10, Julie allume son poste dans une clinique dentaire de Sherbrooke. Un message couvre tout l’écran : ses fichiers sont chiffrés, il faut payer. Son collègue Marc s’approche : « Redémarre-le, ça va partir. » Que fait-elle dans les cinq premières minutes ? Voici l’idée centrale. Dans les premières minutes, vous n’avez pas à tout régler. Vous avez à limiter les dégâts, à préserver ce que vous avez vu et à appeler la bonne personne. Cinq gestes suffisent.

   Un : arrêtez. Ne cliquez sur rien d’autre, n’essayez pas de négocier, ne répondez pas à l’attaquant. Deux : isolez l’appareil du réseau. Débranchez le câble ou coupez le Wi-Fi. Mais n’effacez rien et ne tentez pas de nettoyer : le CCC demande de préserver les preuves. Quant à éteindre ou non l’appareil, demandez-le à votre équipe des TI.

   Trois : appelez. Le plan d’intervention de votre organisation nomme la personne à joindre, et il en existe souvent une copie papier. Appelez depuis un autre appareil ou en personne. Le CCC conseille de supposer que l’attaquant est encore présent : on évite donc de s’écrire depuis le poste ou le réseau touché. Pour un compte compromis, c’est pareil : on avertit, et on change le mot de passe depuis un autre appareil.

   Quatre : notez. L’heure, ce que vous avez vu à l’écran, ce que vous avez fait. Une photo de l’écran avec votre téléphone peut aider. Cinq : ne décidez pas seul. Ni de payer, ni d’avertir les clients, ni de tout réparer. Le réflexe de réparer soi-même est humain, mais il efface des traces et retarde l’aide.

   Julie débranche le câble, laisse tout en l’état et appelle. Marc, lui, la regarde faire : redémarrer n’aurait rien réglé.

   À retenir : j’arrête, j’isole, j’appelle, je note, et je ne décide pas seul.

   • Arrêter : ne rien cliquer de plus, ne pas payer, ne pas répondre à l’attaquant.
   • Isoler l’appareil du réseau en préservant les preuves : rien d’effacé, rien de nettoyé.
   • Appeler la personne désignée dans le plan d’intervention, depuis un autre appareil.
   • Noter l’heure, ce qu’on a vu, ce qu’on a fait ; ne pas décider seul de payer ni d’avertir les clients.
3. 3

   À qui parler, et pourquoi vite

   2 min
   Capsule vidéo en tournage

   À qui parler, et pourquoi vite

   Vous n’avez pas à décider si c’est grave. Vous avez à prévenir vite la bonne personne, car l’organisation ne peut évaluer le risque et agir que si elle est au courant.

   Lire la capsule (transcription)

   Philippe travaille dans une résidence pour aînés de Trois-Rivières. Lundi, il a envoyé par erreur une liste de médicaments à la mauvaise famille. Il se dit : « Je préviendrai jeudi, quand j’aurai le temps. » Entre-temps, le courriel est dans une boîte inconnue. L’idée centrale : vous n’avez pas à décider si c’est grave. Vous avez à prévenir vite la bonne personne. C’est elle, avec la direction, qui évalue la gravité.

   À qui parler ? D’abord à la personne désignée par le plan d’intervention : les TI, le responsable de la sécurité ou le gestionnaire. Si des renseignements personnels sont touchés, le responsable de la protection des renseignements personnels doit aussi l’apprendre. Dans bien des organisations, c’est la personne qui a la plus haute autorité, ou quelqu’un à qui elle a délégué le rôle. Vous ne savez pas qui joindre ? Allez voir votre gestionnaire direct, qui fera suivre. N’attendez jamais d’avoir trouvé la bonne personne.

   Pourquoi la rapidité compte-t-elle tant ? La loi demande à l’organisation de prendre des mesures raisonnables pour diminuer le risque de préjudice et éviter qu’un incident semblable se reproduise. Elle doit évaluer la gravité. S’il y a un risque de préjudice sérieux, elle doit aviser la CAI avec diligence, et les personnes concernées. Elle ne peut rien de cela si elle n’est pas au courant. Chaque jour de silence réduit ses choix.

   Si Philippe avait prévenu lundi, on aurait pu joindre la famille, lui demander de supprimer le message et noter l’incident. Jeudi, c’est déjà plus compliqué.

   Autre chose qui allège : vous n’avez pas à décider de payer, d’avertir les clients ou de parler aux médias. Ce sont des décisions de l’organisation. Votre rôle est de signaler vite et bien.

   À retenir : je ne juge pas la gravité, je préviens tout de suite.

   • Prévenir la personne désignée au plan d’intervention ; à défaut, son gestionnaire direct.
   • Si des renseignements personnels sont touchés, le responsable de la protection des renseignements personnels doit être au courant.
   • L’organisation doit évaluer la gravité, réduire le risque et, au besoin, aviser la CAI avec diligence et les personnes concernées.
   • Ce qui n’est pas à vous : décider de payer, avertir les médias ou les clients, ou régler seul.
4. 4

   Documenter, apprendre, sans blâme

   2 min
   Capsule vidéo en tournage

   Documenter, apprendre, sans blâme

   Après le signalement, vous donnez des faits, et l’organisation tient un registre de tous les incidents. Le retour d’expérience cherche ce qui a permis l’incident, pas qui blâmer.

   Lire la capsule (transcription)

   Deux mois après un incident, Anne, comptable dans un OBNL, doit expliquer ce qu’elle a fait ce jour-là. Elle ne se rappelle plus l’heure. Son collègue avait tout noté sur le coup : « Message de rançon, 9 h 12, poste 4, photo prise. » Personne ne l’a blâmé. On l’a remercié.

   Voici l’idée centrale. Après le signalement, votre rôle est de donner des faits et d’aider à comprendre. Pas de juger, ni de vous juger.

   Que noter ? Des faits. L’heure à laquelle vous avez remarqué le problème : l’organisation doit consigner la date de prise de connaissance. Ce que vous avez vu. Ce que vous avez fait. À qui vous l’avez dit, et à quelle heure. Pas d’hypothèses, pas de conclusions : des faits. Ce que vous ne savez pas, dites-le simplement : « Je ne sais pas. » C’est une réponse utile.

   L’organisation tient un registre de tous les incidents de confidentialité, même ceux qui ne présentent pas de risque de préjudice sérieux, et le garde au moins cinq ans. C’est pourquoi même un « petit » incident compte : un courriel envoyé au mauvais destinataire sans suite grave doit quand même être signalé. Plusieurs petits incidents qui se ressemblent révèlent souvent un problème de fond.

   Reste le plus important : la culture. Personne ne devrait subir de sanction pour avoir signalé. La honte fait taire les gens honnêtes, et ce silence est le vrai danger. Après l’incident, une bonne équipe fait un retour d’expérience, quelques semaines plus tard, dans le calme. Les gestionnaires y parlent en premier de leurs propres angles morts. On demande : qu’est-ce qui nous a échappé ? qu’est-ce qui a bien fonctionné ? On ne demande jamais : qui est fautif ?

   À retenir : je note des faits, je signale même les petits incidents, et je participe au retour d’expérience sans honte.

   • Noter des faits : l’heure où vous avez remarqué le problème, ce que vous avez vu, ce que vous avez fait.
   • L’organisation consigne tous les incidents au registre, même ceux sans risque sérieux, pendant au moins cinq ans.
   • Aucune sanction pour avoir signalé : la honte fait taire les gens honnêtes.
   • Le retour d’expérience demande « qu’est-ce qui nous a échappé ? », jamais « qui est fautif ? ».

Un lundi à la clinique

En cas d’incident : l’aide-mémoire

Au moindre doute, je signale tout de suite. Je n’ai pas à être certain.

En cas de doute : Appelez la personne désignée au plan d’intervention, ou votre gestionnaire direct. Il vaut mieux un signalement de trop qu’un silence.

Astuces de terrain

Ressources

• Centre canadien pour la cybersécurité : signaler un cyberincident
• Centre canadien pour la cybersécurité : guide sur les rançongiciels (ITSM.00.099)
• Centre canadien pour la cybersécurité : avez-vous été victime de cybercriminalité? (ITSAP.00.037)
• Commission d’accès à l’information du Québec : incidents de confidentialité et mesures de sécurité (entreprises)

Quiz