La phrase la plus coûteuse en matière de cybersécurité : « Ce n’est probablement rien. »

Les incidents de sécurité commencent rarement par une alerte évidente. Le plus souvent, ils trouvent leur origine dans des signes avant-coureurs subtils : un collaborateur reçoit un message inhabituel, remarque une connexion inconnue, observe un comportement inattendu des fichiers ou constate un ralentissement soudain des performances du système. La première réaction consiste souvent non pas à signaler l’incident, mais à supposer qu’il ne s’agit probablement de rien.

Cette hésitation peut avoir des conséquences considérables. En matière de cybersécurité, le temps joue un rôle crucial. Le moment décisif n’est souvent pas celui où un système est compromis, mais celui où des activités suspectes sont signalées. Plus tôt une menace potentielle est portée à la connaissance de l’équipe de sécurité compétente, plus il y a de possibilités d’enquêter sur un incident, de le contenir et d’en remédier aux conséquences.

Signaler ne signifie pas diagnostiquer un incident. Cela signifie transmettre une menace potentielle à quelqu’un qui est en mesure de l’évaluer. Un signalement qui s’avère inoffensif ne nécessite peut-être que quelques minutes d’examen. Un incident non signalé qui s’avère réel peut entraîner des coûts s’élevant à des centaines de milliers.

D’autres hésitent parce qu’ils craignent d’être tenus pour responsables d’avoir cliqué sur un lien ou ouvert une pièce jointe, ou parce qu’ils ne veulent pas faire perdre du temps à l’équipe de sécurité avec une fausse alerte. Attendre d’avoir plus d’informations peut sembler responsable, mais chaque minute de retard peut donner aux attaquants davantage de temps pour mener leurs activités, d’autant plus que les attaques basées sur l’IA sont de plus en plus automatisées.

La complexité des procédures de signalement crée des obstacles supplémentaires. Lorsque les collaborateurs doivent rechercher la bonne adresse e-mail, remplir un formulaire fastidieux ou se familiariser avec un système de tickets qui leur est inconnu, ils peuvent être tentés de reporter le signalement. Ce qui commence par un simple retard peut aboutir à ce qu’un incident ne soit tout simplement pas signalé.

Les expériences passées influencent également le comportement en matière de signalement. Si des signalements antérieurs n’ont pas reçu de retour ou si des collègues ont été critiqués pour avoir déclenché de fausses alertes, les collaborateurs peuvent hésiter à signaler leurs futures préoccupations. Combinés à la lassitude face aux alertes et à un manque de clarté quant aux responsabilités entre les équipes informatiques, de sécurité et métier, ces facteurs peuvent retarder encore davantage le signalement des incidents.

Ce que coûte réellement un signalement tardif

Le signalement en temps utile n’est plus seulement une question de culture de la sécurité. Pour certaines organisations, il s’agit également d’une obligation légale.

Depuis le 1er avril 2025, les exploitants d’infrastructures critiques en Suisse sont tenus de signaler les cyberattaques au Centre national de cybersécurité (NCSC) dans les 24 heures suivant leur découverte ; ils disposent ensuite de 14 jours supplémentaires pour compléter leur rapport. Depuis le 1er octobre 2025, le non-respect de l’obligation de déclaration peut entraîner des amendes pouvant aller jusqu’à 100 000 CHF.

Conformément au RGPD, un délai de déclaration de 72 heures s’applique à de nombreuses violations de la protection des données à caractère personnel, tandis que des réglementations spécifiques à certains secteurs peuvent prévoir des délais supplémentaires.
Pour un nombre croissant d’organisations, le délai entre la détection d’activités suspectes et leur signalement constitue donc non seulement un indicateur de sécurité interne, mais aussi un aspect de conformité.

Les organisations qui signalent systématiquement les incidents plus tôt ont plusieurs pratiques communes.
Elles instaurent une culture du signalement sans crainte de représailles et la communiquent clairement à tous les niveaux de l’organisation, à commencer par la direction. Elles mettent à disposition un canal de signalement simple et bien connu, tel qu’une adresse e-mail dédiée, une fonction de chat ou une fonctionnalité de signalement intégrée aux outils de travail quotidiens. Cela permet aux collaborateurs d’exprimer plus facilement leurs préoccupations sans effort inutile.

De plus, elles veillent à ce que les exigences relatives au signalement initial restent simples. Des informations sur ce qui s’est passé, quand cela s’est produit et ce que le collaborateur a observé suffisent généralement pour lancer une évaluation.
Il est tout aussi important de fournir un retour d’information. Lorsque les collaborateurs apprennent ce qui s’est passé après avoir soumis un signalement, cela renforce leur propension à signaler les incidents et instaure la confiance dans le processus.
Des formations régulières et des exercices pratiques contribuent à intégrer ces procédures dans le quotidien professionnel. Les formations de sensibilisation ne doivent pas seulement porter sur la manière de reconnaître les tentatives de phishing, mais aussi sur les signes avant-coureurs qui nécessitent une escalade.

Les exercices sur table et les simulations d’incidents permettent aux collaborateurs de s’entraîner à prendre des décisions en matière de signalement avant qu’un véritable incident de sécurité ne se produise. La mesure du délai moyen avant signalement, en tant qu’indicateur de performance, aide les organisations à suivre leurs progrès et à maintenir l’attention de la direction.

La technologie contribue également à accélérer le signalement. La journalisation centralisée, les plateformes SIEM et SOAR, la télémétrie des terminaux et les fonctions de signalement intégrées peuvent réduire le délai entre la détection d’un signal suspect et la prise de mesures.

La technologie ne peut toutefois pas se substituer à la vigilance humaine. Les collaborateurs sont souvent les premiers à remarquer des demandes suspectes de la part de fournisseurs, des appels téléphoniques inhabituels ou d’autres activités que les contrôles de sécurité automatisés pourraient ne pas détecter.

L’approche la plus efficace combine ces deux capacités : les systèmes automatisés corrèlent rapidement les signaux, tandis que les collaborateurs fournissent le contexte nécessaire à l’évaluation des menaces potentielles.

Un signalement d’incident efficace suit une séquence simple. Le défi ne consiste pas à mettre en place le processus, mais à s’assurer que les collaborateurs l’utilisent immédiatement dès qu’un élément suspect se présente.