{"id":881,"date":"2026-09-22T07:00:00","date_gmt":"2026-09-22T12:00:00","guid":{"rendered":"https:\/\/factero.ca\/blog\/?p=881"},"modified":"2026-09-04T13:00:45","modified_gmt":"2026-09-04T18:00:45","slug":"audit-independant-apres-cyberattaque","status":"publish","type":"post","link":"https:\/\/factero.ca\/blog\/audit-independant-apres-cyberattaque\/","title":{"rendered":"Apr\u00e8s une cyberattaque : l&rsquo;audit qui confirme que c&rsquo;est r\u00e9gl\u00e9"},"content":{"rendered":"<blockquote class=\"wp-block-quote is-layout-flow wp-block-quote-is-layout-flow\"><p class=\"wp-block-paragraph\"><strong>En bref :<\/strong> <strong>Un audit apr\u00e8s une cyberattaque v\u00e9rifie que l&rsquo;attaquant n&rsquo;a plus acc\u00e8s \u00e0 vos syst\u00e8mes, que la preuve num\u00e9rique n\u00e9cessaire aux recours est pr\u00e9serv\u00e9e et que votre capacit\u00e9 de relance a \u00e9t\u00e9 test\u00e9e, pas seulement affirm\u00e9e.<\/strong> Le fournisseur TI qui g\u00e9rait les syst\u00e8mes touch\u00e9s ne peut pas certifier objectivement la fin de l&rsquo;incident : il \u00e9valuerait son propre travail.<\/p><\/blockquote>\n\n<figure class=\"wp-block-image size-large has-custom-border\"><img decoding=\"async\" src=\"https:\/\/factero.ca\/blog\/wp-content\/uploads\/illustrations\/cybersecurite.png\" alt=\"audit apr\u00e8s une cyberattaque : les six \u00e9l\u00e9ments v\u00e9rifi\u00e9s\" style=\"border-top-left-radius:7px;border-top-right-radius:7px;border-bottom-left-radius:7px;border-bottom-right-radius:7px\"\/><\/figure>\n\n<p class=\"wp-block-paragraph\">Vous avez v\u00e9cu l&rsquo;incident. Vous avez peut-\u00eatre pay\u00e9 une ran\u00e7on, restaur\u00e9 des syst\u00e8mes, envoy\u00e9 un courriel rassurant \u00e0 vos clients. Votre fournisseur TI, celui qui g\u00e9rait les syst\u00e8mes touch\u00e9s, vous dit maintenant que tout est r\u00e9gl\u00e9. La question que vous n&rsquo;osez pas poser tout haut : comment le savoir vraiment ?<\/p>\n\n<div class=\"wp-block-rank-math-toc-block\" id=\"rank-math-toc\"><h2>Dans cet article<\/h2><nav><ul><li class=\"\"><a href=\"#le-pirate-est-il-encore-dans-nos-systemes-apres-une-cyberattaque\">Le pirate est-il encore dans nos syst\u00e8mes apr\u00e8s une cyberattaque ?<\/a><\/li><li class=\"\"><a href=\"#notre-fournisseur-ti-dit-que-c-est-regle-pourquoi-verifier-quand-meme\">Notre fournisseur TI dit que c&rsquo;est r\u00e9gl\u00e9 : pourquoi v\u00e9rifier quand m\u00eame ?<\/a><\/li><li class=\"\"><a href=\"#que-verifie-un-audit-apres-une-cyberattaque-concretement\">Que v\u00e9rifie un audit apr\u00e8s une cyberattaque, concr\u00e8tement ?<\/a><\/li><li class=\"\"><a href=\"#que-demanderont-l-assureur-les-clients-et-peut-etre-un-tribunal\">Que demanderont l&rsquo;assureur, les clients et peut-\u00eatre un tribunal ?<\/a><\/li><li class=\"\"><a href=\"#comment-transformer-l-incident-en-plan-de-relance-teste\">Comment transformer l&rsquo;incident en plan de relance test\u00e9 ?<\/a><\/li><li class=\"\"><a href=\"#foire-aux-questions\">Foire aux questions<\/a><\/li><li class=\"\"><a href=\"#sources-citees\">Sources cit\u00e9es<\/a><\/li><\/ul><\/nav><\/div>\n\n<h2 id=\"le-pirate-est-il-encore-dans-nos-systemes-apres-une-cyberattaque\" class=\"wp-block-heading\">Le pirate est-il encore dans nos syst\u00e8mes apr\u00e8s une cyberattaque ?<\/h2>\n\n<p class=\"wp-block-paragraph\">Un ran\u00e7ongiciel ou une intrusion ne se limite presque jamais au chiffrement de fichiers. Pendant qu&rsquo;il \u00e9tait dans vos syst\u00e8mes, l&rsquo;attaquant a eu le temps de cr\u00e9er des comptes, d&rsquo;ouvrir des acc\u00e8s distants, de modifier des r\u00e8gles de pare-feu. Ce sont les doubles de cl\u00e9s que le cambrioleur a pu faire pendant qu&rsquo;il \u00e9tait chez vous, avant de repartir par la porte que tout le monde a fini par verrouiller.<\/p>\n\n<p class=\"wp-block-paragraph\">Restaurer les syst\u00e8mes \u00e0 partir d&rsquo;une sauvegarde ne garantit rien si cette sauvegarde contient d\u00e9j\u00e0 une des portes d\u00e9rob\u00e9es de l&rsquo;attaquant, ou si un compte cr\u00e9\u00e9 durant l&rsquo;intrusion existe encore, inaper\u00e7u, dans votre annuaire. Un audit apr\u00e8s une cyberattaque v\u00e9rifie sp\u00e9cifiquement la persistance que l&rsquo;attaquant a pu laisser derri\u00e8re lui :<\/p>\n\n<ul class=\"wp-block-list\"><li>Comptes cr\u00e9\u00e9s ou modifi\u00e9s durant la fen\u00eatre d&rsquo;intrusion<\/li><li>T\u00e2ches planifi\u00e9es ajout\u00e9es aux syst\u00e8mes<\/li><li>R\u00e8gles de transfert de courriel configur\u00e9es \u00e0 l&rsquo;insu de l&rsquo;utilisateur<\/li><li>Cl\u00e9s d&rsquo;acc\u00e8s ou jetons ajout\u00e9s \u00e0 vos environnements infonuagiques<\/li><\/ul>\n\n<p class=\"wp-block-paragraph\">Le Centre canadien pour la cybers\u00e9curit\u00e9 insiste, dans ses recommandations de r\u00e9tablissement apr\u00e8s un ran\u00e7ongiciel, sur la n\u00e9cessit\u00e9 de d\u00e9terminer la cause profonde de l&rsquo;intrusion et de documenter les preuves avant de consid\u00e9rer un incident clos.<\/p>\n\n<p class=\"wp-block-paragraph\">Un syst\u00e8me qui fonctionne de nouveau normalement n&rsquo;est pas un syst\u00e8me d\u00e9montr\u00e9 propre. Ce sont deux affirmations diff\u00e9rentes, et seule la seconde compte.<\/p>\n\n<p class=\"wp-block-paragraph\">Le moment o\u00f9 vous confirmez la fin de l&rsquo;incident a aussi une cons\u00e9quence pratique. \u00c9craser des syst\u00e8mes ou r\u00e9installer des postes avant qu&rsquo;une image judiciaire n&rsquo;ait \u00e9t\u00e9 prise d\u00e9truit la preuve dont vous pourriez avoir besoin plus tard. Nous y revenons plus loin, parce que c&rsquo;est rarement la priorit\u00e9 de l&rsquo;\u00e9quipe qui veut simplement revenir en ligne.<\/p>\n\n<p class=\"wp-block-paragraph\">L&rsquo;audit s&rsquo;appuie sur les journaux de connexion, l&rsquo;historique des comptes administrateurs et, quand l&rsquo;organisation en dispose, les alertes de l&rsquo;outil de d\u00e9tection et r\u00e9ponse aux points d&rsquo;acc\u00e8s (EDR, pour endpoint detection and response). Sans ces traces, une partie de la v\u00e9rification devient une question de confiance plut\u00f4t qu&rsquo;une d\u00e9monstration.<\/p>\n\n<h2 id=\"notre-fournisseur-ti-dit-que-c-est-regle-pourquoi-verifier-quand-meme\" class=\"wp-block-heading\">Notre fournisseur TI dit que c&rsquo;est r\u00e9gl\u00e9 : pourquoi v\u00e9rifier quand m\u00eame ?<\/h2>\n\n<p class=\"wp-block-paragraph\">Parce que ce m\u00eame fournisseur a g\u00e9r\u00e9 les syst\u00e8mes pendant qu&rsquo;ils \u00e9taient compromis. Lui confier un audit apr\u00e8s une cyberattaque revient \u00e0 lui demander d&rsquo;\u00e9valuer son propre travail. Ce n&rsquo;est pas une question de comp\u00e9tence ni de mauvaise foi, c&rsquo;est une question de position.<\/p>\n\n<p class=\"wp-block-paragraph\">Personne n&rsquo;est un bon juge de sa propre copie.<\/p>\n\n<p class=\"wp-block-paragraph\">Dans la grande majorit\u00e9 des dossiers que nous voyons passer, c&rsquo;est exactement le m\u00eame MSP (fournisseur de services g\u00e9r\u00e9s, de l&rsquo;anglais managed service provider) qui g\u00e9rait l&rsquo;infrastructure avant l&rsquo;incident, qui a g\u00e9r\u00e9 la r\u00e9ponse, et qui d\u00e9clare ensuite la crise termin\u00e9e. Juge et partie, du d\u00e9but \u00e0 la fin.<\/p>\n\n<p class=\"wp-block-paragraph\">Il y a une raison concr\u00e8te de ne pas se contenter de cette parole. Une partie des organisations qui subissent un ran\u00e7ongiciel ou paient une ran\u00e7on voient l&rsquo;incident se reproduire dans les mois qui suivent, souvent parce que la faille d&rsquo;origine ou une porte d\u00e9rob\u00e9e oubli\u00e9e n&rsquo;a jamais \u00e9t\u00e9 r\u00e9ellement ferm\u00e9e. Une d\u00e9claration de victoire pr\u00e9matur\u00e9e co\u00fbte plus cher qu&rsquo;une v\u00e9rification.<\/p>\n\n<p class=\"wp-block-paragraph\">Un audit ind\u00e9pendant n&rsquo;a rien \u00e0 prot\u00e9ger dans ce dossier. Il n&rsquo;a pas factur\u00e9 la r\u00e9ponse \u00e0 l&rsquo;incident, il ne facture pas la rem\u00e9diation, et il n&rsquo;a aucun int\u00e9r\u00eat \u00e0 ce que le rapport dise que tout est beau plut\u00f4t que ce qu&rsquo;il trouve r\u00e9ellement. C&rsquo;est la diff\u00e9rence entre une opinion et une v\u00e9rification.<\/p>\n\n<p class=\"wp-block-paragraph\">Un audit post-incident, comme tout audit, reste une obligation de moyens. Personne ne peut vous garantir d&rsquo;avance ce qu&rsquo;il va trouver, ni que le r\u00e9sultat sera rassurant. C&rsquo;est justement pour \u00e7a qu&rsquo;il a de la valeur : un r\u00e9sultat garanti \u00e0 l&rsquo;avance n&rsquo;est pas un r\u00e9sultat, c&rsquo;est une formalit\u00e9.<\/p>\n\n<p class=\"wp-block-paragraph\">C&rsquo;est aussi une question de structure, pas seulement d&rsquo;intention. Un cabinet qui vend en m\u00eame temps la r\u00e9ponse \u00e0 l&rsquo;incident et la confirmation qu&rsquo;elle a fonctionn\u00e9 a un int\u00e9r\u00eat financier dans sa propre conclusion. Un cabinet qui n&rsquo;a jamais touch\u00e9 \u00e0 vos syst\u00e8mes n&rsquo;a rien \u00e0 gagner \u00e0 dire que tout va bien, ni rien \u00e0 gagner \u00e0 dire le contraire : il rapporte ce qu&rsquo;il trouve.<\/p>\n\n<h2 id=\"que-verifie-un-audit-apres-une-cyberattaque-concretement\" class=\"wp-block-heading\">Que v\u00e9rifie un audit apr\u00e8s une cyberattaque, concr\u00e8tement ?<\/h2>\n\n<p class=\"wp-block-paragraph\"><strong>Un audit apr\u00e8s une cyberattaque v\u00e9rifie six \u00e9l\u00e9ments concrets : les acc\u00e8s cr\u00e9\u00e9s durant l&rsquo;intrusion, la persistance technique laiss\u00e9e par l&rsquo;attaquant, l&rsquo;int\u00e9grit\u00e9 des sauvegardes restaur\u00e9es, la pr\u00e9servation de la preuve num\u00e9rique, la conformit\u00e9 \u00e0 la Loi 25 et l&rsquo;existence d&rsquo;un test de restauration document\u00e9.<\/strong><\/p>\n\n<p class=\"wp-block-paragraph\">Le NIST (National Institute of Standards and Technology, l&rsquo;organisme am\u00e9ricain de normalisation technique dont le guide SP 800-61 sert de r\u00e9f\u00e9rence dans le domaine) organise la r\u00e9ponse aux incidents autour de plusieurs fonctions, dont d\u00e9tecter, r\u00e9pondre et r\u00e9tablir. Un audit post-incident se concentre sur les deux derni\u00e8res, celles o\u00f9 votre fournisseur affirme avoir termin\u00e9.<\/p>\n\n<p class=\"wp-block-paragraph\">&lt;table&gt; &lt;thead&gt; &lt;tr&gt;&lt;th&gt;\u00c9l\u00e9ment v\u00e9rifi\u00e9&lt;\/th&gt;&lt;th&gt;Ce que \u00e7a confirme&lt;\/th&gt;&lt;\/tr&gt; &lt;\/thead&gt; &lt;tbody&gt; &lt;tr&gt;&lt;td&gt;Comptes et acc\u00e8s cr\u00e9\u00e9s durant l&rsquo;intrusion&lt;\/td&gt;&lt;td&gt;Qu&rsquo;aucun acc\u00e8s r\u00e9siduel ne subsiste, sous un autre nom&lt;\/td&gt;&lt;\/tr&gt; &lt;tr&gt;&lt;td&gt;Persistance technique (t\u00e2ches planifi\u00e9es, r\u00e8gles de pare-feu, cl\u00e9s d&rsquo;acc\u00e8s)&lt;\/td&gt;&lt;td&gt;Que l&rsquo;attaquant n&rsquo;a pas laiss\u00e9 de porte d\u00e9rob\u00e9e&lt;\/td&gt;&lt;\/tr&gt; &lt;tr&gt;&lt;td&gt;Int\u00e9grit\u00e9 des sauvegardes restaur\u00e9es&lt;\/td&gt;&lt;td&gt;Que vous ne restaurez pas une copie d\u00e9j\u00e0 compromise&lt;\/td&gt;&lt;\/tr&gt; &lt;tr&gt;&lt;td&gt;Pr\u00e9servation de la preuve num\u00e9rique&lt;\/td&gt;&lt;td&gt;Que vous conservez ce dont un assureur ou un tribunal pourrait avoir besoin&lt;\/td&gt;&lt;\/tr&gt; &lt;tr&gt;&lt;td&gt;D\u00e9claration et registre Loi 25&lt;\/td&gt;&lt;td&gt;Que vos obligations envers la CAI sont bel et bien remplies&lt;\/td&gt;&lt;\/tr&gt; &lt;tr&gt;&lt;td&gt;Test de restauration document\u00e9&lt;\/td&gt;&lt;td&gt;Que votre plan de relance fonctionne, pas seulement sur papier&lt;\/td&gt;&lt;\/tr&gt; &lt;\/tbody&gt; &lt;\/table&gt;<\/p>\n\n<p class=\"wp-block-paragraph\">Chaque ligne de ce tableau correspond \u00e0 une question que quelqu&rsquo;un finira par poser : un assureur, un client, parfois un tribunal. Mieux vaut y avoir r\u00e9pondu avant qu&rsquo;on vous la pose.<\/p>\n\n<h2 id=\"que-demanderont-l-assureur-les-clients-et-peut-etre-un-tribunal\" class=\"wp-block-heading\">Que demanderont l&rsquo;assureur, les clients et peut-\u00eatre un tribunal ?<\/h2>\n\n<p class=\"wp-block-paragraph\">Un incident de s\u00e9curit\u00e9 qui touche des renseignements personnels d\u00e9clenche des obligations qui survivent \u00e0 la \u00ab r\u00e9solution \u00bb technique. Si le risque est s\u00e9rieux, la Loi 25 (la loi qu\u00e9b\u00e9coise sur la protection des renseignements personnels) exige une d\u00e9claration \u00e0 la Commission d&rsquo;acc\u00e8s \u00e0 l&rsquo;information du Qu\u00e9bec, la CAI. Le registre des incidents, lui, doit consigner tout incident de confidentialit\u00e9 touchant des renseignements personnels, s\u00e9rieux ou non. Remettre les syst\u00e8mes en ligne ne referme pas ce dossier.<\/p>\n\n<p class=\"wp-block-paragraph\">Votre assureur en cybers\u00e9curit\u00e9, s&rsquo;il doit indemniser une partie des co\u00fbts, voudra voir comment l&rsquo;incident a \u00e9t\u00e9 confin\u00e9 et confirm\u00e9, pas seulement entendre que c&rsquo;est r\u00e9gl\u00e9. Vos clients les plus exigeants, en particulier s&rsquo;ils sont eux-m\u00eames soumis \u00e0 des obligations de diligence envers leurs propres clients, poseront la m\u00eame question sous une autre forme : sur quoi repose votre affirmation que c&rsquo;est termin\u00e9 ?<\/p>\n\n<p class=\"wp-block-paragraph\">Si l&rsquo;incident donne lieu \u00e0 une r\u00e9clamation, une poursuite ou un litige avec un fournisseur, la preuve num\u00e9rique devient d\u00e9terminante. Une image judiciaire des syst\u00e8mes prise avant leur remise en service, une chronologie document\u00e9e, des journaux conserv\u00e9s plut\u00f4t qu&rsquo;\u00e9cras\u00e9s : ce sont ces \u00e9l\u00e9ments qui permettent, des mois plus tard, de reconstituer ce qui s&rsquo;est pass\u00e9. Les reconstituer apr\u00e8s coup, une fois les syst\u00e8mes r\u00e9install\u00e9s, est souvent impossible.<\/p>\n\n<p class=\"wp-block-paragraph\">C&rsquo;est un terrain o\u00f9 la mani\u00e8re dont la preuve a \u00e9t\u00e9 trait\u00e9e peut compter autant que l&rsquo;incident lui-m\u00eame, devant un tribunal ou un assureur qui pose des questions serr\u00e9es.<\/p>\n\n<p class=\"wp-block-paragraph\">La chronologie compte aussi pour vous. Un dossier qui montre clairement quand l&rsquo;intrusion a commenc\u00e9, quand elle a \u00e9t\u00e9 d\u00e9tect\u00e9e, quand elle a \u00e9t\u00e9 confin\u00e9e et quand la v\u00e9rification ind\u00e9pendante a eu lieu se d\u00e9fend beaucoup mieux, devant qui que ce soit, qu&rsquo;un dossier o\u00f9 tout se r\u00e9sume \u00e0 \u00ab le fournisseur nous a dit que c&rsquo;\u00e9tait fait \u00bb.<\/p>\n\n<h2 id=\"comment-transformer-l-incident-en-plan-de-relance-teste\" class=\"wp-block-heading\">Comment transformer l&rsquo;incident en plan de relance test\u00e9 ?<\/h2>\n\n<p class=\"wp-block-paragraph\">La vraie le\u00e7on d&rsquo;un incident n&rsquo;est pas la liste des correctifs appliqu\u00e9s la semaine suivante. C&rsquo;est un plan de relance qui a \u00e9t\u00e9 test\u00e9, pas seulement r\u00e9dig\u00e9. Notre <a href=\"https:\/\/factero.ca\/blog\/sauvegardes-plan-de-relance-tests-guide-complet\/\">guide complet sur les sauvegardes, le plan de relance et les tests<\/a> d\u00e9taille ce que \u00e7a veut dire concr\u00e8tement, du choix des sauvegardes jusqu&rsquo;\u00e0 la fr\u00e9quence des exercices.<\/p>\n\n<p class=\"wp-block-paragraph\">Une sauvegarde qui existe n&rsquo;est pas une garantie. <a href=\"https:\/\/factero.ca\/blog\/sauvegarde-non-testee\/\">Une sauvegarde non test\u00e9e n&rsquo;est pas une sauvegarde<\/a> : c&rsquo;est vrai avant un incident, et \u00e7a reste vrai apr\u00e8s. L&rsquo;audit post-incident est le moment logique pour exiger, une fois pour toutes, un test de restauration document\u00e9, celui qui d\u00e9montre que la capacit\u00e9 de relance existe r\u00e9ellement plut\u00f4t que sur une diapositive de pr\u00e9sentation.<\/p>\n\n<p class=\"wp-block-paragraph\">Nous l&rsquo;\u00e9crivons ailleurs et \u00e7a reste vrai ici : <a href=\"https:\/\/factero.ca\/blog\/rancongiciel-capacite-de-relance\/\">face \u00e0 un ran\u00e7ongiciel, la vraie d\u00e9fense est votre capacit\u00e9 de relance<\/a>, pas la promesse qu&rsquo;il ne se reproduira jamais. Un audit post-incident bien fait d\u00e9bouche sur un plan concret, pas sur un rapport qu&rsquo;on range dans un tiroir. Trois \u00e9l\u00e9ments distinguent un plan de relance qui tient d&rsquo;un plan qui reste sur papier :<\/p>\n\n<ol class=\"wp-block-list\"><li>Un propri\u00e9taire nomm\u00e9, responsable du plan et de sa mise \u00e0 jour<\/li><li>Un d\u00e9lai fix\u00e9 pour chaque \u00e9tape critique de restauration<\/li><li>Un test de restauration document\u00e9, r\u00e9p\u00e9t\u00e9 \u00e0 intervalle r\u00e9gulier, pas ex\u00e9cut\u00e9 une seule fois apr\u00e8s l&rsquo;incident<\/li><\/ol>\n\n<p class=\"wp-block-paragraph\">Vous avez le droit de vouloir dormir tranquille, pas seulement de vous faire dire que tout est beau. Un <a href=\"https:\/\/factero.ca\/fr\/services\/audit-informatique\/\">audit TI ind\u00e9pendant<\/a> men\u00e9 par un cabinet qui n&rsquo;a rien g\u00e9r\u00e9 dans l&rsquo;incident, qui ne vend pas de rem\u00e9diation et qui ne touche aucune commission sur ce qu&rsquo;il recommande ensuite, confirme la fin de l&rsquo;incident sans avoir d&rsquo;int\u00e9r\u00eat dans la r\u00e9ponse. C&rsquo;est le seul type d&rsquo;audit dont le r\u00e9sultat n&rsquo;est pas \u00e0 vendre.<\/p>\n\n<div class=\"wp-block-buttons is-layout-flex wp-block-buttons-is-layout-flex\"><div class=\"wp-block-button\"><a class=\"wp-block-button__link has-custom-bleu-background-color has-background has-custom-font-size wp-element-button\" href=\"https:\/\/factero.ca\/fr\/services\/reprise-apres-incident\/\" style=\"border-top-left-radius:7px;border-top-right-radius:7px;border-bottom-left-radius:7px;border-bottom-right-radius:7px;font-size:clamp(14px, 0.875rem + ((1vw - 3.2px) * 0.179), 16px);\">Planifier un appel exploratoire<\/a><\/div><\/div>\n\n<p class=\"wp-block-paragraph\"><strong>Pour aller plus loin avec Factero :<\/strong><\/p><ul class=\"wp-block-list factero-services-lies\"><li><a href=\"https:\/\/factero.ca\/fr\/services\/reprise-apres-incident\/\">reprise apr\u00e8s incident v\u00e9rifi\u00e9e par un tiers<\/a><\/li><li><a href=\"https:\/\/factero.ca\/fr\/services\/test-de-sauvegardes\/\">test de restauration de vos sauvegardes<\/a><\/li><li><a href=\"https:\/\/factero.ca\/fr\/services\/temoin-expert\/\">t\u00e9moin expert TI en cas de litige<\/a><\/li><\/ul>\n\n<div style=\"height:90px\" aria-hidden=\"true\" class=\"wp-block-spacer is-style-wide\"><\/div>\n\n<h2 id=\"foire-aux-questions\" class=\"wp-block-heading\">Foire aux questions<\/h2>\n\n<details class=\"wp-block-details is-layout-flow wp-block-details-is-layout-flow\"><summary>Notre assureur peut-il exiger ce type d&rsquo;audit ?<\/summary><p class=\"wp-block-paragraph\">Oui, et c&rsquo;est de plus en plus fr\u00e9quent. Une police en cybers\u00e9curit\u00e9 peut conditionner l&rsquo;indemnisation \u00e0 la preuve que l&rsquo;incident est r\u00e9ellement termin\u00e9, pas seulement d\u00e9clar\u00e9 r\u00e9gl\u00e9 par le fournisseur qui a g\u00e9r\u00e9 la r\u00e9ponse. Certains assureurs exigent m\u00eame un rapport d&rsquo;un tiers ind\u00e9pendant avant de clore le dossier. V\u00e9rifiez les conditions de votre police avant de consid\u00e9rer l&rsquo;affaire close.<\/p><\/details>\n\n<details class=\"wp-block-details is-layout-flow wp-block-details-is-layout-flow\"><summary>Combien de temps a-t-on pour d\u00e9clarer un incident \u00e0 la CAI apr\u00e8s une cyberattaque ?<\/summary><p class=\"wp-block-paragraph\">La Loi 25 n&rsquo;impose pas de nombre de jours pr\u00e9cis. Elle exige que l&rsquo;entreprise \u00ab s&#8217;empresse \u00bb d&rsquo;aviser par \u00e9crit la Commission d&rsquo;acc\u00e8s \u00e0 l&rsquo;information d\u00e8s qu&rsquo;un incident pr\u00e9sente un risque de pr\u00e9judice s\u00e9rieux (sensibilit\u00e9 des renseignements, cons\u00e9quences appr\u00e9hend\u00e9es, probabilit\u00e9 d&rsquo;utilisation pr\u00e9judiciable). Le registre des incidents, lui, se conserve un minimum de cinq ans, m\u00eame si l&rsquo;incident n&rsquo;est pas jug\u00e9 s\u00e9rieux. L&rsquo;audit post-incident ne remplace pas cette d\u00e9claration : il peut en documenter une partie.<\/p><\/details>\n\n<details class=\"wp-block-details is-layout-flow wp-block-details-is-layout-flow\"><summary>Qui paie l&rsquo;audit post-incident, est-ce couvert par l&rsquo;assurance cyber ?<\/summary><p class=\"wp-block-paragraph\">\u00c7a d\u00e9pend de votre police, pas automatiquement. Une partie des polices de cyberassurance couvre les frais de v\u00e9rification post-incident, surtout quand l&rsquo;assureur conditionne une partie de l&rsquo;indemnisation \u00e0 une confirmation ind\u00e9pendante que l&rsquo;incident est clos. D&rsquo;autres ne couvrent que la r\u00e9ponse \u00e0 l&rsquo;incident elle-m\u00eame, pas la v\u00e9rification qui vient apr\u00e8s. V\u00e9rifiez ce point avec votre courtier avant de commander l&rsquo;audit.<\/p><\/details>\n\n<details class=\"wp-block-details is-layout-flow wp-block-details-is-layout-flow\"><summary>Quand peut-on dire qu&rsquo;on est vraiment revenu \u00e0 la normale apr\u00e8s une cyberattaque ?<\/summary><p class=\"wp-block-paragraph\">Pas quand les syst\u00e8mes refonctionnent : c&rsquo;est un signe technique, pas une confirmation. Le retour \u00e0 la normale, au sens o\u00f9 un assureur, un client ou un tribunal l&rsquo;entendrait, suppose un test de restauration document\u00e9, une v\u00e9rification que l&rsquo;attaquant n&rsquo;a plus d&rsquo;acc\u00e8s et une confirmation par une partie qui n&rsquo;a pas g\u00e9r\u00e9 la r\u00e9ponse \u00e0 l&rsquo;incident. Sans ces trois \u00e9l\u00e9ments, vous avez repris vos activit\u00e9s, pas confirm\u00e9 la fin de l&rsquo;incident.<\/p><\/details>\n\n<details class=\"wp-block-details is-layout-flow wp-block-details-is-layout-flow\"><summary>\u00ab Post-breach audit \u00bb : est-ce diff\u00e9rent d&rsquo;un audit post-incident ?<\/summary><p class=\"wp-block-paragraph\">Non, c&rsquo;est le m\u00eame exercice sous son nom anglais courant. Certaines organisations, en particulier celles qui font affaire avec des assureurs ou des partenaires hors Qu\u00e9bec, utilisent l&rsquo;expression anglaise dans leurs \u00e9changes. Le contenu de la v\u00e9rification reste le m\u00eame.<\/p><\/details>\n\n<h2 id=\"sources-citees\" class=\"wp-block-heading\">Sources cit\u00e9es<\/h2>\n\n<ul class=\"wp-block-list has-small-font-size\"><li><a href=\"https:\/\/csrc.nist.gov\/pubs\/sp\/800\/61\/r3\/final\" target=\"_blank\" rel=\"noopener nofollow\">NIST SP 800-61 \u2014 Computer Security Incident Handling Guide<\/a><\/li><li><a href=\"https:\/\/www.cai.gouv.qc.ca\/protection-renseignements-personnels\/information-entreprises-privees\/incidents-confidentialite-mesures-securite-entreprises\" target=\"_blank\" rel=\"noopener nofollow\">Commission d&rsquo;acc\u00e8s \u00e0 l&rsquo;information du Qu\u00e9bec \u2014 d\u00e9claration d&rsquo;incident de confidentialit\u00e9<\/a><\/li><li><a href=\"https:\/\/www.cyber.gc.ca\/fr\/orientation\/guide-sur-les-rancongiciels-itsm00099\" target=\"_blank\" rel=\"noopener nofollow\">Centre canadien pour la cybers\u00e9curit\u00e9 \u2014 r\u00e9tablissement apr\u00e8s un ran\u00e7ongiciel<\/a><\/li><\/ul>\n\n<script type=\"application\/ld+json\">{\"@context\":\"https:\/\/schema.org\",\"@type\":\"FAQPage\",\"mainEntity\":[{\"@type\":\"Question\",\"name\":\"Notre assureur peut-il exiger ce type d\\u0027audit ?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"Oui, et c\\u0027est de plus en plus fr\u00e9quent. Une police en cybers\u00e9curit\u00e9 peut conditionner l\\u0027indemnisation \u00e0 la preuve que l\\u0027incident est r\u00e9ellement termin\u00e9, pas seulement d\u00e9clar\u00e9 r\u00e9gl\u00e9 par le fournisseur qui a g\u00e9r\u00e9 la r\u00e9ponse. Certains assureurs exigent m\u00eame un rapport d\\u0027un tiers ind\u00e9pendant avant de clore le dossier. V\u00e9rifiez les conditions de votre police avant de consid\u00e9rer l\\u0027affaire close.\"}},{\"@type\":\"Question\",\"name\":\"Combien de temps a-t-on pour d\u00e9clarer un incident \u00e0 la CAI apr\u00e8s une cyberattaque ?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"La Loi 25 n\\u0027impose pas de nombre de jours pr\u00e9cis. Elle exige que l\\u0027entreprise \u00ab s\\u0027empresse \u00bb d\\u0027aviser par \u00e9crit la Commission d\\u0027acc\u00e8s \u00e0 l\\u0027information d\u00e8s qu\\u0027un incident pr\u00e9sente un risque de pr\u00e9judice s\u00e9rieux (sensibilit\u00e9 des renseignements, cons\u00e9quences appr\u00e9hend\u00e9es, probabilit\u00e9 d\\u0027utilisation pr\u00e9judiciable). Le registre des incidents, lui, se conserve un minimum de cinq ans, m\u00eame si l\\u0027incident n\\u0027est pas jug\u00e9 s\u00e9rieux. L\\u0027audit post-incident ne remplace pas cette d\u00e9claration : il peut en documenter une partie.\"}},{\"@type\":\"Question\",\"name\":\"Qui paie l\\u0027audit post-incident, est-ce couvert par l\\u0027assurance cyber ?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"\u00c7a d\u00e9pend de votre police, pas automatiquement. Une partie des polices de cyberassurance couvre les frais de v\u00e9rification post-incident, surtout quand l\\u0027assureur conditionne une partie de l\\u0027indemnisation \u00e0 une confirmation ind\u00e9pendante que l\\u0027incident est clos. D\\u0027autres ne couvrent que la r\u00e9ponse \u00e0 l\\u0027incident elle-m\u00eame, pas la v\u00e9rification qui vient apr\u00e8s. V\u00e9rifiez ce point avec votre courtier avant de commander l\\u0027audit.\"}},{\"@type\":\"Question\",\"name\":\"Quand peut-on dire qu\\u0027on est vraiment revenu \u00e0 la normale apr\u00e8s une cyberattaque ?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"Pas quand les syst\u00e8mes refonctionnent : c\\u0027est un signe technique, pas une confirmation. Le retour \u00e0 la normale, au sens o\u00f9 un assureur, un client ou un tribunal l\\u0027entendrait, suppose un test de restauration document\u00e9, une v\u00e9rification que l\\u0027attaquant n\\u0027a plus d\\u0027acc\u00e8s et une confirmation par une partie qui n\\u0027a pas g\u00e9r\u00e9 la r\u00e9ponse \u00e0 l\\u0027incident. Sans ces trois \u00e9l\u00e9ments, vous avez repris vos activit\u00e9s, pas confirm\u00e9 la fin de l\\u0027incident.\"}},{\"@type\":\"Question\",\"name\":\"\u00ab Post-breach audit \u00bb : est-ce diff\u00e9rent d\\u0027un audit post-incident ?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"Non, c\\u0027est le m\u00eame exercice sous son nom anglais courant. Certaines organisations, en particulier celles qui font affaire avec des assureurs ou des partenaires hors Qu\u00e9bec, utilisent l\\u0027expression anglaise dans leurs \u00e9changes. Le contenu de la v\u00e9rification reste le m\u00eame.\"}}]}<\/script>","protected":false},"excerpt":{"rendered":"<p>Un audit apr\u00e8s une cyberattaque v\u00e9rifie l&rsquo;acc\u00e8s de l&rsquo;attaquant, la preuve num\u00e9rique et le test de restauration, sans d\u00e9pendre du fournisseur en cause.<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[22],"tags":[1110,1120,164,1116,1118,1114,1122,1112],"class_list":["post-881","post","type-post","status-publish","format-standard","hentry","category-cybersecurite","tag-audit-apres-une-cyberattaque","tag-audit-independant-post-incident","tag-cybersecurite-pme","tag-le-pirate-est-il-encore-dans-nos-systemes","tag-post-breach-audit","tag-reprise-apres-incident-cybersecurite","tag-retour-a-la-normale-apres-cyberattaque","tag-verifier-apres-un-rancongiciel"],"_links":{"self":[{"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/posts\/881","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/comments?post=881"}],"version-history":[{"count":3,"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/posts\/881\/revisions"}],"predecessor-version":[{"id":1374,"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/posts\/881\/revisions\/1374"}],"wp:attachment":[{"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/media?parent=881"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/categories?post=881"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/tags?post=881"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}