PréparerChecklist≈ 8 min d’utilisation
Checklist — Les 60 premières minutes d’un incident IT
Ce qui se joue avant l’arrivée des experts : décider vite, tracer, et ne pas détruire les preuves.
Mis à jour le Protect
Comment l’utiliser — Cet outil s’utilise directement sur cette page : parcourez-le à l’écran ou imprimez-la pour la réunion. Aucun fichier à télécharger.
La première heure d’un incident IT ne se joue pas dans la technique : elle se joue dans la décision. Qui parle, qui décide, qui note, qui ne touche à rien — voilà ce qui, en général, se règle dans la précipitation et se paie ensuite. Cette checklist découpe l’heure en quatre séquences de dix à vingt minutes, plus une phase « après », pour que chacun sache quoi faire sans attendre les experts.
Elle est conçue pour être imprimée et conservée hors du système d’information — un incident sérieux commence souvent par l’indisponibilité des outils habituels, y compris la messagerie où cette procédure aurait pu dormir.
À préparer avant : ce qui doit rester accessible hors ligne
Une checklist ne sert à rien si elle est stockée sur le système qui vient de tomber. Une version papier ou hors ligne doit contenir ces informations, et être révisée au moins une fois par an.
Informations à garder hors ligne
- Coordonnées personnelles (téléphone mobile) du dirigeant, du référent IT interne et des suppléants.
- Numéro d’astreinte et contrat du ou des prestataires informatiques, avec le niveau de service souscrit.
- Coordonnées de l’assureur cyber ou du courtier, et numéro de sinistre si un contrat existe.
- Coordonnées d’un contact juridique et, à confirmer avec votre conseil, les obligations de déclaration applicables.
- Liste des applications et prestataires critiques pour l’activité, avec un contact chez chacun.
- Modèle de main courante et cette procédure, imprimés ou stockés sur un support non connecté au réseau de l’entreprise.
Minutes 0–10 : qualifier et alerter
Le premier réflexe le plus dangereux est d’agir seul et vite sans prévenir personne. Ces dix minutes servent uniquement à établir les faits et à désigner qui décide — pas à résoudre le problème.
Minutes 0–10
- Noter l’heure exacte, le premier symptôme observé et le nom de la personne qui l’a signalé.
- Désigner une seule personne qui décide pendant toute la durée de l’incident, joignable en continu.
- Alerter le référent IT interne et le prestataire, même en cas de doute sur la gravité.
- Ne rien redémarrer, désinstaller ou effacer avant d’avoir décrit la situation par écrit.
- Ouvrir une main courante : un document simple où chaque action et chaque heure sont consignées.
- Vérifier si d’autres personnes ou postes présentent le même symptôme, sans lancer d’alerte générale prématurée.
Minutes 10–20 : contenir sans détruire les preuves
L’erreur classique de cette phase est de croire qu’éteindre ou nettoyer résout le problème : cela efface souvent les traces dont le prestataire aura besoin pour comprendre ce qui s’est passé et vérifier que la menace est réellement écartée. Contenir veut dire isoler, pas effacer.
Minutes 10–20
- Débrancher le câble réseau ou couper le Wi-Fi d’un poste suspect plutôt que l’éteindre.
- Ne pas réinstaller, formater ou lancer d’antivirus « pour voir » avant l’avis du prestataire.
- Isoler les comptes ou machines concernés sans supprimer de fichiers, journaux ou messages.
- Changer les mots de passe des comptes visiblement compromis, en priorité les comptes à privilèges élevés.
- Conserver tout support physique (clé USB, disque externe) suspecté, sans le réutiliser.
- Continuer à noter chaque action de confinement dans la main courante, avec l’heure et l’auteur.
Minutes 20–40 : mobiliser et décider du mode dégradé
L’erreur de cette phase est de continuer à travailler « comme si de rien n’était » en attendant une résolution rapide. Décider tôt d’un mode dégradé — ce qui continue, ce qui s’arrête, comment — évite l’improvisation deux heures plus tard, quand la pression sera plus forte.
Minutes 20–40
- Réunir, même par téléphone, le dirigeant, le référent IT et un représentant de chaque métier concerné.
- Lister les activités qui peuvent continuer sans le système touché et celles qui doivent s’arrêter.
- Décider d’un mode dégradé explicite : procédures papier, solution de secours, ou arrêt assumé de certaines tâches.
- Identifier les échéances externes à risque (paie, livraison, obligation contractuelle) dans les 24 heures.
- Solliciter le prestataire pour une estimation, même approximative, du délai de rétablissement.
- Vérifier l’existence et l’état des dernières sauvegardes disponibles, sans lancer de restauration à ce stade.
Minutes 40–60 : communiquer et tracer
Le silence est souvent perçu comme plus grave que l’incident lui-même. À l’inverse, une communication trop détaillée ou prématurée peut créer de la confusion ou des risques juridiques. Cette phase vise un message court, factuel, et cohérent pour tous les publics concernés.
Minutes 40–60
- Diffuser un message interne court : ce que l’on sait, ce que l’on ne sait pas encore, ce qu’il faut faire en attendant.
- Désigner une seule personne autorisée à parler en externe, pour éviter les messages contradictoires.
- Préparer, sans l’envoyer encore, une communication vers les clients ou partenaires directement impactés.
- Ne communiquer aucune cause ni responsabilité tant qu’elle n’est pas confirmée.
- Vérifier avec votre conseil ou assureur, à confirmer selon le contrat, si une déclaration formelle est requise.
- Consolider la main courante en un document unique, daté et complet, pour la suite de la gestion de crise.
Après la première heure
Passé le premier réflexe, l’enjeu devient la tenue dans la durée : la fatigue et le relâchement de la vigilance sont les risques principaux des heures suivantes.
Au-delà de la première heure
- Organiser des points de situation réguliers (toutes les heures ou deux heures) avec les mêmes participants.
- Répartir les tâches pour permettre à chacun de se reposer, y compris la personne qui décide.
- Garder une trace de toutes les décisions et de leurs justifications, pas seulement des actions techniques.
- Ne réactiver un système que sur validation explicite du prestataire ou du référent technique.
Qui fait quoi
| Rôle | Responsabilité | Ce qu’il ne fait pas |
|---|---|---|
| Dirigeant | Décider du mode dégradé, arbitrer les priorités métier, valider la communication externe | Ne diagnostique pas techniquement l’incident |
| Référent IT interne | Qualifier l’incident, coordonner le prestataire, tenir la main courante technique | Ne décide pas seul de l’arrêt d’une activité métier |
| Prestataire informatique | Analyser, contenir et remédier techniquement, estimer les délais | Ne communique pas en externe au nom de l’entreprise |
| Communication interne | Diffuser les messages validés, centraliser les questions des équipes | Ne commente pas les causes tant qu’elles ne sont pas confirmées |
| Métier concerné | Basculer en mode dégradé, signaler les urgences réelles | Ne cherche pas à contourner la panne par ses propres moyens techniques |
Définitions utiles
- Incident
- Tout événement qui perturbe ou menace la disponibilité, l’intégrité ou la confidentialité d’un système d’information.
- Mode dégradé
- Fonctionnement organisé et assumé avec des moyens réduits ou de secours, décidé plutôt que subi.
- Confinement
- Action d’isoler une machine, un compte ou un réseau pour empêcher la propagation, sans effacer de traces.
- Preuve / journalisation
- Traces techniques (journaux, fichiers, messages) permettant de comprendre l’incident après coup ; à préserver, jamais à supprimer par précaution.
- Cellule de crise
- Groupe restreint de décideurs et de référents réunis pour piloter la réponse à l’incident jusqu’à son terme.
- Main courante
- Document chronologique qui consigne chaque fait, décision et action, avec heure et auteur.
Après l’incident : la revue à froid
Une fois l’activité rétablie, une revue courte et factuelle transforme l’incident en préparation pour le suivant, sans chercher de responsable individuel.
- Relire la main courante avec les personnes impliquées, dans les jours suivant le retour à la normale.
- Identifier ce qui a bien fonctionné et ce qui a manqué (contact injoignable, information absente, décision retardée).
- Mettre à jour la procédure papier, les contacts et les contrats en fonction des manques constatés.
- Vérifier, à confirmer avec votre conseil ou assureur, si des démarches restent à finaliser.
- Planifier un exercice ou une relecture de cette checklist avec l’équipe, hors contexte de crise.
À retenir
- La première heure se gère par la décision et la traçabilité, pas par la technique seule.
- Contenir veut dire isoler, jamais effacer ni réinstaller dans l’urgence.
- Un mode dégradé décidé tôt vaut mieux qu’une improvisation subie plus tard.
- Cette checklist et les contacts essentiels doivent rester accessibles hors ligne, révisés chaque année.
OAKTEAM Score
Situer votre entreprise sur ce sujet
L’évaluation OAKTEAM Score situe votre entreprise en vingt questions et vous rend des priorités écrites.
