Plan de réponse aux incidents : modèle simple pour PME

Vendredi, 16 h 40, chez un manufacturier de la Beauce. Les écrans de la comptabilité affichent tous le même message : vos fichiers sont chiffrés, payez pour les récupérer. Le contrôleur appelle le fournisseur TI et tombe sur la boîte vocale. La présidente est à l'aéroport. Quelqu'un propose d'éteindre tous les ordinateurs, quelqu'un d'autre de ne toucher à rien.

Personne ne sait qui décide. C'est exactement le vide que comble un plan de réponse aux incidents.

L'enjeu est réel. Selon une étude de CDW publiée en 2025, les petites organisations canadiennes mettent 25,7 jours à se remettre d'un incident, et, selon des données de l'industrie citées par Insurance Business Canada (octobre 2025), un rançongiciel coûte en moyenne 330 000 $. Voici un modèle simple, inspiré des guides du Centre canadien pour la cybersécurité, que vous pouvez remplir cette semaine.

Ce que contient un bon plan de réponse

Le Centre canadien pour la cybersécurité structure la réponse en six phases : préparation, détection et analyse, endiguement, éradication, reprise, puis activités après incident et leçons apprises. Le NIST américain a révisé son guide de référence en avril 2025 (SP 800-61 Rév. 3) pour intégrer la réponse aux incidents à la gestion globale du risque. Pour une PME, retenez l'essentiel : un document court, que tout le monde peut suivre sous stress.

Le plan ne remplace pas l'expertise technique. Il sert à gagner du temps et à éviter les erreurs les plus coûteuses : effacer des preuves, laisser l'attaquant revenir, oublier de prévenir l'assureur ou rater une obligation légale.

Joignez-y trois annexes, à préparer à froid : la liste de vos systèmes critiques dans l'ordre où il faut les restaurer (logiciel de paie, gestion de production, courriel), l'emplacement de vos sauvegardes et la façon de les vérifier, et un accès administrateur de secours conservé sous scellé, au cas où les comptes habituels seraient compromis.

Section 1 du modèle : les rôles

Chaque rôle a un titulaire et un substitut. Dans une PME de 25 personnes, une même personne peut porter deux chapeaux, mais il faut le savoir à l'avance.

Section 2 : les phases, étape par étape

Détection et analyse (première heure)

• Noter l'heure, ce qui a été vu et par qui. Prendre des photos des écrans.
• Prévenir le coordonnateur d'incident, qui décide d'activer le plan.
• Appeler la ligne d'urgence de l'assureur cyber avant d'engager une firme externe : bien des polices imposent leurs propres fournisseurs ou un accord préalable. Vérifiez la vôtre dès maintenant.
• Ne pas répondre à l'attaquant et ne rien supprimer.

Endiguement

• Débrancher les appareils touchés d'Internet et du réseau interne, sans les éteindre si possible, pour préserver les preuves.
• Couper les accès à distance (VPN, bureau à distance) jusqu'à nouvel ordre.
• Réinitialiser les mots de passe des comptes compromis et des administrateurs, à partir d'un appareil sain.
• Vérifier que les sauvegardes sont isolées et intactes.

Éradication et reprise

• Identifier le point d'entrée et le corriger avant de remettre les systèmes en ligne.
• Restaurer à partir de sauvegardes vérifiées, en commençant par les systèmes critiques définis à l'avance.
• Surveiller de près les systèmes restaurés pendant plusieurs semaines.

Après l'incident

• Tenir une rencontre de leçons apprises dans les deux semaines.
• Mettre à jour le plan, les contrôles et la formation.

Section 3 : l'arbre d'appels

Le jour de l'incident, votre courriel est peut-être compromis et votre réseau inaccessible. L'arbre d'appels doit donc être imprimé et stocké hors ligne, avec des numéros de cellulaire. Prévoyez aussi un canal de communication de secours, comme un groupe de messagerie texte créé d'avance.

Pour un rançongiciel, notre article sur l'anatomie d'une attaque par rançongiciel détaille ce qui se passe généralement en coulisses avant le chiffrement.

Section 4 : les obligations de la Loi 25

Si l'incident touche des renseignements personnels, la Loi 25 ajoute des obligations précises. Intégrez-les au plan pour ne pas les découvrir en pleine crise :

• Registre : tout incident de confidentialité doit être consigné dans un registre (art. 3.8), même mineur, et conservé au moins cinq ans. Notre modèle de registre des incidents vous fait gagner du temps.
• Avis : si l'incident présente un risque de préjudice sérieux, vous devez aviser la Commission d'accès à l'information et les personnes concernées « avec diligence » (art. 3.5). La Loi 25 ne fixe pas de délai précis en heures, mais tarder n'est pas une option.
• Évaluation : l'organisation doit consulter son responsable de la protection des renseignements personnels lorsqu'elle évalue le risque de préjudice. Prévoyez sa place dès la première heure, pas au lendemain de la crise.

La CAI a reçu 518 avis d'incidents de confidentialité entre le 1er janvier et le 10 décembre 2025 : déclarer un incident n'a rien d'exceptionnel. Pour la marche à suivre, lisez notre guide pour déclarer un incident de confidentialité à la CAI. Comme toujours, validez vos obligations précises avec votre conseiller juridique.

Tester le plan : l'exercice sur table

Un plan jamais testé est un plan qui ne fonctionnera pas. Le Centre pour la cybersécurité recommande de tester, réviser et mettre à jour le plan chaque année. La façon la plus simple : un exercice sur table de 90 minutes, autour d'une table, sans toucher aux systèmes.

Choisissez un scénario réaliste, par exemple « un vendredi soir, le serveur de fichiers est chiffré et les sauvegardes de la semaine sont introuvables ». Puis posez les questions une à une : qui est prévenu en premier ? Qui décide d'arrêter la production ? Où est le numéro de l'assureur ? Combien de temps pour restaurer ? Les réponses hésitantes deviennent votre liste de correctifs, et la dernière question mène souvent droit à votre stratégie de sauvegardes 3-2-1-1-0.

Notre équipe peut vous aider à rédiger votre plan, à animer l'exercice et à le tenir à jour dans le cadre de notre accompagnement continu.