Sécurité numérique : garder la maîtrise des comptes et savoir reprendre l’activité

Établir la liste des comptes qui contrôlent les autres : la messagerie servant à réinitialiser les mots de passe, le bureau d’enregistrement du domaine, l’hébergement, le gestionnaire de fichiers et les comptes d’administration sociale. Pour chacun, noter le titulaire, un suppléant, la méthode de récupération et les prestataires disposant d’un accès. Ne jamais inscrire les mots de passe dans ce tableau.

Classer les accès selon leur pouvoir réel. Publier une actualité, exporter un fichier de contact, changer un domaine et supprimer un espace sont des opérations différentes. Donner le minimum utile à chaque mission et retirer les droits à sa fin. Un compte partagé sans identité individuelle rend l’enquête et la révocation plus difficiles.

Activer l’authentification multifacteur lorsque le service la propose, en priorité sur la messagerie et les comptes d’administration. Cybermalveillance.gouv.fr rappelle qu’elle ajoute une protection lorsque le mot de passe est volé. Tester aussi la récupération : un téléphone perdu ne doit pas faire perdre tous les accès à l’équipe.

Utiliser un gestionnaire adapté, des secrets distincts et des comptes nominatifs lorsque c’est possible. Conserver les codes de secours dans un emplacement protégé, accessible aux seules personnes désignées. Organiser une vérification à deux pour les changements de titulaire, de coordonnées bancaires ou de domaine. Ces contrôles doivent rester utilisables dans les conditions réelles du travail.

La fiche ANSSI destinée aux candidats législatifs insiste sur les risques d’hameçonnage. Une invitation, une fausse alerte de suspension ou un document présenté comme urgent peut servir à obtenir des identifiants. Pour une demande inhabituelle, joindre l’interlocuteur par un canal déjà connu au lieu d’utiliser les coordonnées du message suspect.

Ne pas culpabiliser une personne qui signale rapidement un clic douteux. La procédure doit permettre de transmettre le message au référent technique sans le redistribuer à toute l’équipe. Conserver l’heure, l’adresse apparente et le contexte ; éviter de tester soi-même les pièces jointes sur d’autres ordinateurs.

Cybermalveillance.gouv.fr recommande des sauvegardes régulières, protégées et séparées, ainsi que des tests de restauration. Une copie synchronisée peut propager une suppression ou une altération ; elle ne remplace pas nécessairement une sauvegarde exploitable. Les données sensibles restent à protéger dans leurs copies.

Choisir un scénario concret : restaurer la dernière version validée du site, retrouver un dossier d’impression ou récupérer le calendrier. Mesurer le temps réellement nécessaire et vérifier que le suppléant dispose des autorisations. Conserver le résultat du test, la version récupérée et les problèmes rencontrés. Fixer la fréquence en fonction de la perte que l’équipe peut supporter.

En cas de compromission présumée, prévenir le référent, limiter les accès et préserver les traces utiles avant une action susceptible de les effacer. Contacter les services concernés par leurs canaux officiels. Distinguer le rétablissement technique de la communication publique : affirmer trop tôt qu’aucune donnée n’a été consultée peut devenir une information inexacte.

Toute violation de données personnelles doit être documentée. Le responsable notifie l’autorité compétente, généralement la CNIL pour une campagne française, sauf si un risque pour les droits et libertés est improbable. La notification intervient sans tarder et, si possible, dans les 72 heures après connaissance ; un retard doit être motivé. En cas de risque élevé, les personnes sont informées sans tarder, sous les exceptions de l’article 34. Les informations peuvent être complétées ensuite sans retard injustifié.

La reprise doit vérifier l’intégrité : droits d’administration, règles de transfert de messagerie, services connectés, contenus programmés et fichiers remis en ligne. Réinitialiser un mot de passe sans examiner les accès persistants peut laisser le problème ouvert. Faire confirmer les vérifications adaptées par le professionnel intervenant.

À la fin d’une prestation ou du scrutin, retirer les droits devenus inutiles, transférer les responsabilités, confirmer les sauvegardes et appliquer les durées de conservation. Maintenir un point de contact pour les obligations et les incidents résiduels. L’équipe peut réduire sa taille sans abandonner ses comptes ni laisser un ancien prestataire seul maître d’un domaine.