Réponse à incident
Comprendre, contenir, puis remettre en service, dans cet ordre.
Réponse courte
Réponse à incident : de quoi s’agit-il, pour qui, à quel prix ?
Intervention en cas de compromission : endiguement, investigation numérique, éradication, remise en service et rapport exploitable pour vos obligations. Durée indicative : intervention sous 24 h ouvrées ; sous 4 h pour les clients sous contrat. Prix d’entrée : à partir de 1 190 € HT. Reconmind conduit la mission depuis Paris, sur site en Île-de-France et à distance ailleurs.
En situation d’incident, la pression pousse à tout redémarrer au plus vite. C’est souvent le plus coûteux : on détruit les traces, on ignore le point d’entrée, et la compromission revient par la même porte deux semaines plus tard.
L’intervention suit un ordre strict : préserver les éléments de preuve, endiguer la propagation, comprendre le point d’entrée et le chemin suivi, éradiquer, puis rouvrir en vérifiant que le point d’entrée est bien fermé.
Le rapport est écrit pour servir ensuite : chronologie des faits, données concernées, éléments nécessaires à vos obligations de notification, et plan de correction pour que le même chemin ne soit plus praticable.
Le premier réflexe de reconstruction est souvent le plus risqué. Restaurer une sauvegarde sur un système dont la faille d’origine n’est pas corrigée, ou depuis une sauvegarde déjà contaminée, remet l’attaquant en position. Nous datons donc la compromission avant de choisir quelle version restaurer, et nous contrôlons l’image restaurée avant de la reconnecter au reste du réseau.
En résumé
- Durée indicative
- intervention sous 24 h ouvrées ; sous 4 h pour les clients sous contrat
- Prix
- à partir de 1 190 € HTpar jour d’intervention ; forfait de préparation disponible en amont
- Référentiels appliqués
- NIST SP 800-61ANSSI, guides de réactionNIS 2RGPD (art. 33 et 34)
Mission conduite avec l’accord écrit du propriétaire des systèmes examinés, sous accord de confidentialité.
Réponse à toute demande sous 24 h ouvrées.
Que faire dans l’heure qui suit ?
- 1Isolez les machines touchées du réseau sans les éteindre : la mémoire et les traces sont préservées.
- 2Ne réinitialisez pas les mots de passe en masse : l’attaquant pourrait être alerté avant que ses accès soient tous identifiés.
- 3Ne supprimez rien : journaux, e-mails suspects et fichiers chiffrés servent à dater l’intrusion.
Nous joindre maintenant
La qualification initiale se fait par téléphone, avant toute intervention facturée.
- Astreinte incident 24/7 pour les clients sous contrat de supervision
- Réponse à toute demande sous 24 h ouvrées
- Intervention sous 24 h ouvrées ; sous 4 h pour les clients sous contrat
Réponse à incident : que couvre la mission ?
Le détail exact est fixé au cadrage, en fonction de votre contexte. Les axes traités systématiquement sont listés ci-dessous.
Qualification
Premiers constats, périmètre probable de la compromission, décisions d’urgence à prendre dans l’heure.
Préservation et endiguement
Collecte des éléments de preuve avant toute action destructive, isolement des systèmes touchés, coupure des accès de l’attaquant.
Investigation
Analyse des journaux, des systèmes et des artefacts : point d’entrée, chronologie, techniques utilisées, données consultées ou extraites.
Éradication et remise en service
Suppression des accès persistants, reconstruction des systèmes quand elle s’impose, rotation des secrets, réouverture par étapes contrôlées.
Après l’incident
Rapport complet, éléments pour la notification réglementaire, plan de correction et revue de la détection.
Réponse à incident : que livre la mission ?
- Chronologie factuelle de l’incident, du point d’entrée à l’endiguement
- Périmètre des données et des systèmes concernés
- Éléments de preuve conservés selon une chaîne documentée
- Dossier exploitable pour les obligations de notification
- Plan de correction et de durcissement après incident
Qu’est-ce que cela change pour vous ?
- Une propagation arrêtée sans détruire les traces nécessaires
- Un point d’entrée identifié, donc une récidive évitable
- Un dossier tenable face à une autorité, un assureur ou un client
Réponse à incident : pour qui est-ce utile ?
- Organisations en cours de compromission ou avec un doute sérieux
- Suites de rançongiciel, de fraude au virement ou de compte compromis
- Entreprises devant notifier une autorité ou des clients
- Structures souhaitant préparer leur réponse avant d’en avoir besoin
Votre situation ne figure pas dans cette liste ? Le cadrage tranchera : il nous arrive de recommander une autre prestation, ou d’attendre.
Réponse à incident : combien de temps dure la mission ?
Durée indicative : intervention sous 24 h ouvrées ; sous 4 h pour les clients sous contrat. Les 5 étapes de cette mission, dans l’ordre.
- 01
Qualification et urgence
Établir ce qui est observé, depuis quand, sur quels systèmes, et décider de ce qui ne peut pas attendre.
- 02
Accord et préservation des données
Accord écrit sur les systèmes examinés, copie des journaux et des supports avant toute manipulation, conservation tracée.
- 03
Collecte et analyse
Reconstituer la chronologie des actions à partir des journaux, des postes et du réseau.
- 04
Périmètre et impact
Délimiter ce qui a été touché, ce qui a pu être vu ou sorti, et par quel chemin.
- 05
Rapport et recommandations
Remettre la chronologie, les constats et les actions de remise en état, dans l’ordre où les mener.
Qu’est-ce qui est vérifiable avant de signer ?
Nous n’annonçons ni certification, ni nom de client, ni chiffre que nous ne saurions pas montrer. Le détail est écrit une seule fois, sur deux pages.
- Accord de confidentialité systématiqueLes éléments collectés sont chiffrés, conservés le temps convenu au contrat, puis détruits.
- Ce que nous ne promettons pasLes limites écrites avant la signature, et des référentiels appliqués plutôt que des certifications annoncées.
- Références sur demandeAucun nom de client n’est publié : une référence est donnée après accord écrit du client concerné.
Comment démarrer cette mission ?
Trois étapes, et le cadrage est gratuit et sans engagement.
- 1
Vous décrivez le périmètre
Un formulaire court ou un appel suffit : ce que vous observez, depuis quand, et sur quels systèmes.
- 2
Nous répondons avec un créneau
Réponse à toute demande sous 24 h ouvrées, avec une proposition de créneau de cadrage.
- 3
Le cadrage débouche sur un devis
Le prix plancher affiché (1 190 € HT) est un point de départ : le devis fixe le prix pour votre périmètre.
Réponse à incident : ce qu’on nous demande
Nous pensons être attaqués en ce moment. Que faire tout de suite ?
N’éteignez pas les machines touchées : isolez-les du réseau, ce qui préserve la mémoire et les traces. Ne réinitialisez pas encore les mots de passe en masse, cela peut alerter l’attaquant avant que ses accès soient tous identifiés. Puis appelez-nous : la qualification initiale se fait au téléphone, avant toute intervention facturée.
Travaillez-vous avec les assureurs et les autorités ?
Oui. Le rapport est rédigé pour être transmis : chronologie, périmètre des données, qualification technique. Nous préparons les éléments nécessaires au dépôt de plainte et à la notification à la CNIL, cette dernière restant une démarche de votre responsable de traitement.
Faut-il payer la rançon pour récupérer nos données ?
La décision vous appartient, et nous ne la prendrons pas à votre place, mais certains éléments aident à arbitrer. Le paiement n’assure ni un déchiffrement complet, ni la suppression des données volées, ni la fermeture de l’accès de l’attaquant. Il peut aussi poser un problème juridique selon l’identité de l’acteur, et certains contrats d’assurance en conditionnent la prise en charge. Avant toute décision, nous établissons ce qui est récupérable : sauvegardes intactes, systèmes non chiffrés, possibilité de restauration par priorités. Il arrive que cette évaluation change la nature du choix. Nous documentons aussi ce qui a été exfiltré, car c’est cette donnée, plus que le chiffrement, qui détermine vos obligations de notification.
Pour comprendre avant de décider
- ArticleSauvegarde et rançongiciel : la règle 3-2-1 suffit-elle ?La règle 3-2-1 reste une base, mais les rançongiciels visent les sauvegardes. Copie immuable, comptes séparés et test de restauration : ce qu’il faut en plus.
- ArticleAudit Active Directory : ce qui est vérifié, et pourquoi c’est décisifPourquoi l’annuaire est la cible centrale d’un rançongiciel, les sept points qu’un audit Active Directory examine, ce qu’il livre et le périmètre couvert par le prix d’entrée.
- ArticleQue faire en cas de cyberattaque ou de rançongiciel : la première heureLes gestes à faire et à ne pas faire dans la première heure d’une cyberattaque ou d’un rançongiciel : isoler, préserver, alerter, notifier, et à quel moment faire appel à un prestataire.
- ComparatifTest d’intrusion ou red team : quelle différence et lequel acheter ?Le test d’intrusion cherche le plus de failles possible sur un périmètre, la red team mesure si votre défense détecte un adversaire déterminé. Pourquoi la red team est souvent achetée trop tôt.
Quelles prestations s’y associent ?
Supervision & SOC
Une attaque que personne ne voit dure plus longtemps et coûte plus cher.
mise en place de 2 à 6 semaines, puis supervision continuedès 290 €
Pentest interne
Simuler ce qui se passe après l’ouverture de la première pièce jointe.
3 à 12 joursdès 2 400 €
Durcissement
Après le constat vient le chantier, mené avec vos équipes plutôt qu’à leur place.
de quelques jours à un accompagnement au trimestredès 990 €
Réponse à toute demande sous 24 h ouvrées
Un incident en cours ou suspecté ?
La qualification initiale se fait par téléphone ou par écrit, avant toute intervention facturée. Décrivez ce que vous observez, nous répondons avec la marche à suivre.
- Accord de confidentialité systématique
- Cadrage gratuit et sans engagement
- Périmètre et prix écrits avant le début