Quand peut-on redémarrer la production après une cyberattaque ?
On redémarre la production quand l'attaque est endiguée, l'accès fermé, les systèmes reconstruits sains et la surveillance renforcée. Les critères à valider.
On peut redémarrer la production quand quatre conditions sont réunies : l’attaque est endiguée, le point d’entrée de l’attaquant est identifié et fermé, les systèmes remis en service sont reconstruits ou vérifiés sains, et une surveillance renforcée est en place. Ce n’est pas une date fixée d’avance, mais une décision de la direction, prise sur des critères vérifiés par les équipes techniques.
Cet article fait partie de notre série sur le déroulé d’une réponse à incident. Pour la vue d’ensemble, voir Comment se déroule une réponse à incident ?.
Pourquoi redémarrer trop tôt coûte cher
La pression pour relancer l’activité est forte. Mais un redémarrage précipité risque de remettre en ligne des systèmes que l’attaquant contrôle encore.
L’avis AA20-245A de l’agence américaine CISA et de ses homologues le rappelle : une remédiation lancée avant d’avoir compris l’étendue de la compromission peut prévenir l’attaquant, qui change de méthode et conserve son accès. Restaurer sans fermer la porte d’entrée revient au même.
L’ANSSI, dans son guide « Cyberattaques et remédiation : les clés de décision », décrit la remédiation comme l’enchaînement de l’endiguement de l’attaque, de la reprise de contrôle du système d’information et du retour à un état de fonctionnement suffisant. Le redémarrage de la production vient donc après la reprise de contrôle, pas avant.
Les critères à valider avant de redémarrer
| Critère | Question à se poser | Qui le vérifie |
|---|---|---|
| Endiguement | L’attaque est-elle stoppée sur tout le périmètre connu ? | Équipe de réponse à incident |
| Point d’entrée | Sait-on comment l’attaquant est entré, et cet accès est-il fermé ? | Investigation |
| Persistance | Les portes dérobées, comptes créés et tâches planifiées ont-ils été retirés ? | Investigation et équipe technique |
| Identités | Les mots de passe et secrets exposés ont-ils été changés, comptes à privilèges en tête ? | Équipe technique ou infogérant |
| Systèmes sains | Les serveurs remis en service sont-ils reconstruits ou vérifiés, et les sauvegardes restaurées saines ? | Équipe technique |
| Surveillance | Un EDR et une supervision 24/7 couvrent-ils les systèmes redémarrés ? | SOC |
| Preuves | Les éléments utiles à l’enquête, à l’assureur ou à la plainte sont-ils conservés ? | Investigation |
| Décision | La direction a-t-elle validé le redémarrage et le risque résiduel ? | Direction, cellule de crise |
Un critère non rempli n’interdit pas tout redémarrage, mais il doit être connu, accepté et compensé, par exemple en relançant une activité vitale sur un périmètre isolé et surveillé.
Pour le détail sur la manière d’établir que l’attaquant n’est plus là, voir Comment sait-on que l’attaquant est parti ?.
Redémarrer par paliers, pas d’un coup
La plupart des reprises réussies suivent une logique progressive :
- Lister les activités vitales : facturation, production, logistique, messagerie, selon le métier. C’est la direction qui tranche l’ordre de priorité.
- Remettre en place le socle : annuaire, identités et comptes d’administration reconstruits ou assainis en premier, car tout le reste en dépend.
- Relancer les applications vitales sur des systèmes reconstruits ou vérifiés, en mode dégradé si nécessaire.
- Élargir progressivement au reste du système d’information, palier par palier, en vérifiant à chaque étape qu’aucune activité suspecte ne réapparaît.
- Lever les mesures provisoires (flux bloqués, comptes désactivés) seulement quand les corrections durables sont en place.
Le NIST, dans la révision 3 de son guide SP 800-61 publiée en avril 2025, rattache cette reprise à la fonction « Recover » du cadre CSF 2.0 : restaurer les actifs et les opérations en vérifiant leur intégrité, et communiquer sur l’avancement. La question des sauvegardes est traitée dans La réponse à incident inclut-elle la restauration des données ?.
Qui décide du redémarrage ?
La décision revient à la direction, souvent réunie en cellule de crise. Elle s’appuie sur trois avis :
- L’équipe de réponse à incident : ce qui est connu de l’attaque, et ce qui ne l’est pas.
- L’équipe technique ou l’infogérant : ce qui est prêt à redémarrer.
- Les métiers : le coût de chaque jour d’arrêt et ce qui peut fonctionner en mode dégradé.
Le prestataire de réponse à incident éclaire la décision avec des faits, y compris ce qui reste incertain ; il ne la prend pas.
Le rôle de l’infogérant et du SOC au redémarrage
Pour une PME accompagnée par un infogérant, ce sont souvent ses équipes qui reconstruisent, restaurent et changent les mots de passe. Le SOC et le CERT apportent l’investigation et la surveillance qui permettent de redémarrer avec un niveau de risque connu.
Chez Cyna, le SOC managé 24/7 est opéré depuis la France par des équipes internes, et le CERT, membre de l’InterCERT France, travaille avec les équipes du SOC et peut être mobilisé rapidement. L’astreinte réponse à incident est joignable 24h/24 et 7j/7 depuis la page Déclarer un incident. Les systèmes redémarrés peuvent être surveillés via les EDR SentinelOne ou Microsoft Defender et les connecteurs Microsoft 365, Google Workspace, Stormshield et Fortinet. Le partage des rôles est détaillé dans SOC managé et infogérant : qui fait quoi ?. Pour limiter le risque de rechute, voir aussi Comment éviter une seconde attaque dans la foulée ?.
Faire le point avec un expert
Vous préparez une reprise d’activité ou voulez définir vos critères de redémarrage avant un incident ? Si vous travaillez avec un infogérant partenaire de Cyna, il est votre premier interlocuteur. Sinon, contactez-nous.
Vous êtes attaqué ? Déclarez un incident : l’astreinte Cyna est joignable 24h/24 et 7j/7.
Questions fréquentes
Peut-on redémarrer en mode dégradé avant la fin de l'investigation ?
Oui, c'est fréquent pour les activités vitales. Il faut alors isoler ce périmètre du reste du réseau, l'alimenter avec des systèmes vérifiés ou reconstruits, et le placer sous surveillance renforcée. Ce choix est documenté et validé par la direction.
L'assureur doit-il donner son accord avant le redémarrage ?
Cela dépend du contrat. Certaines polices demandent de conserver des preuves ou de prévenir l'assureur avant certaines actions. Relisez les conditions de votre contrat dès le début de l'incident et tenez votre courtier informé des décisions.
Faut-il attendre l'accord des autorités pour redémarrer ?
Le plus souvent, la décision se prend au sein de l'entreprise. Les situations varient toutefois (secteur régulé, enquête en cours) : en cas de doute, le conseil juridique de l'entreprise est le bon interlocuteur. Par ailleurs, si une plainte est déposée, les enquêteurs peuvent demander que certaines preuves soient conservées. D'où l'intérêt de collecter les preuves avant de reconstruire. Voir Comment isoler un système sans détruire les preuves ?.
- NIST SP 800-61 Rev. 3, Incident Response Recommendations and Considerations for Cybersecurity Risk Management, avril 2025
- ANSSI, « Cyberattaques et remédiation : les clés de décision » (volet stratégique), décembre 2023
- CISA et partenaires, avis AA20-245A « Technical Approaches to Uncovering and Remediating Malicious Activity », septembre 2020
Cet article fournit des informations générales à titre indicatif. Il ne constitue ni un conseil juridique, ni un engagement contractuel de Cyna : les conditions de service sont celles du contrat conclu via votre infogérant partenaire. Pour toute question réglementaire, rapprochez-vous de votre conseil juridique.