Incident informatique la nuit : supervision et astreinte

Une astreinte informatique prend le relais quand un incident survient hors des heures ouvrées. La supervision repère l’anomalie, l’alerte est qualifiée selon des seuils convenus, puis une personne habilitée agit dans un périmètre fixé d’avance. Sans ce cadre écrit, l’alerte nocturne attend le lundi matin, ou déclenche des gestes que personne n’a validés.

Ce que la supervision surveille quand les bureaux sont vides

La supervision informatique interroge en continu vos équipements et vos services, puis compare chaque mesure à un seuil. Elle ne répare rien : elle signale. Dans une petite structure, six familles de contrôles couvrent l’essentiel des mauvaises surprises nocturnes :

• les sauvegardes : tâche en échec, volume copié anormalement faible, copie externalisée qui n’a pas tourné ;
• les disques : espace restant sur les serveurs et le stockage réseau, état de santé remonté par les disques eux-mêmes ;
• les services : messagerie, partage de fichiers, logiciel métier, accès distant, liens internet ;
• la protection des postes : agent de sécurité désactivé, signatures anciennes, menace mise en quarantaine ;
• les connexions inhabituelles : authentification depuis un pays inattendu, rafale d’échecs sur un compte, compte d’administration créé dans la soirée ;
• les certificats : date d’expiration du site, de la messagerie ou du VPN.

Ce dernier point gagne en importance. Le CA/Browser Forum, l’instance où autorités de certification et éditeurs de navigateurs fixent leurs règles communes, a adopté en 2025 le vote SC-081 : la durée maximale des certificats TLS publics descend par paliers de 398 à 47 jours, entre mars 2026 et mars 2029. Un renouvellement oublié coupe un site ou une messagerie en pleine nuit, sans la moindre attaque.

Une supervision bien réglée produit peu d’alertes, mais des alertes utiles : ses seuils s’ajustent après quelques semaines d’observation, ni trop bas ni trop hauts.

Ce qu’une astreinte couvre vraiment

L’astreinte ne se confond pas avec une assistance ouverte jour et nuit pour la moindre demande. Elle forme un périmètre contractuel borné, réservé aux pannes assez graves pour justifier un réveil.

Ce cadrage se construit avant la première nuit, et c’est le travail d’Expertis’IT, un partenaire informatique à Lille tourné vers les TPE et PME : avant d’activer le service, il arrête avec la direction les serveurs et applications couverts, le niveau de gravité qui justifie un appel, les personnes habilitées à trancher et les manipulations permises. La démarche part d’un diagnostic du parc, aboutit à un plan d’actions hiérarchisé, se déploie par étapes en ménageant le travail des salariés, et se prolonge par une surveillance des sauvegardes, des serveurs, du réseau et des protections de postes, dont chaque évolution reste tracée. Ce travail en amont vous évite de découvrir les limites du dispositif au milieu d’une panne.

L’intérêt se mesure le jour où l’alerte sonne. L’intervenant de garde sait déjà ce qu’il peut toucher, qui joindre et jusqu’où aller ; vous n’êtes pas réveillé pour un avertissement mineur, et une panne réellement bloquante ne patiente pas jusqu’au lundi.

Ce qui reste hors périmètre s’écrit avec la même précision : demandes de confort comme la création d’un compte, équipements personnels, logiciels absents de l’inventaire, déplacement sur site de nuit quand cette option n’a pas été prévue au contrat.

Qualifier une alerte avant de réveiller quelqu’un

La fiche « Les bons réflexes en cas d’intrusion sur un système d’information », publiée par le CERT-FR, centre de réponse aux incidents de l’ANSSI, fait de la qualification la première étape : observer les constats, cerner le périmètre touché, estimer les impacts. Parmi les sources à croiser, elle cite les journaux, l’antivirus ou l’EDR, et la supervision de la production.

Une alerte qualifiée répond à trois questions. Le signal est-il réel, ou dû à une sonde mal réglée ? Combien d’utilisateurs ou de sites sont touchés ? S’agit-il d’une panne ordinaire ou d’un comportement malveillant ? La dernière réponse oriente toute la suite.

La grille de criticité traduit cette logique en niveaux, rédigés avec la direction :

• critique : activité arrêtée ou données menacées, par exemple serveur de fichiers inaccessible, sauvegarde en échec plusieurs nuits d’affilée, signes de chiffrement ; l’astreinte intervient aussitôt ;
• majeur : service dégradé mais contournable, comme un lien internet basculé sur la ligne de secours ; traitement à la première heure ouvrée ;
• mineur : avertissement isolé, consigné puis traité dans le flux normal du support.

La corrélation évite les fausses urgences : une coupure du lien internet déclenche des alertes en cascade sur la messagerie, le logiciel métier et l’accès distant, qu’un outil bien paramétré regroupe sous une cause unique.

Isoler, couper, restaurer : qui donne le feu vert

Certaines actions techniques ont un coût pour l’activité. Isoler un poste prive un salarié de son outil ; restaurer un serveur depuis la copie de la veille efface le travail saisi depuis. Le technicien maîtrise le geste, la décision revient à votre entreprise.

La matrice de décision se prépare donc à froid, action par action :

• isoler du réseau un poste ou un serveur suspect : autorisé d’office, dirigeant informé au réveil ;
• désactiver un compte ou fermer un accès distant qui semble détourné : autorisé d’office, puis signalé ;
• redémarrer un serveur de production : accord d’un responsable joignable la nuit ;
• restaurer des données ou un système entier : accord explicite de la direction ;
• arrêter tout le réseau : décision du dirigeant ou de son suppléant.

Le CERT-FR range d’ailleurs parmi les premières mesures d’endiguement le blocage des accès à distance et la mise en sûreté d’une copie des sauvegardes importantes. Chaque ligne de la matrice porte un nom et un suppléant joignable.

Si l’alerte révèle un chiffrement de fichiers en cours, la suite relève de la gestion de crise : la conduite à tenir après un rançongiciel détaille les gestes de la première heure, la plainte et les notifications.

Des accès de secours testés, pas seulement rangés

Une intervention nocturne bute souvent sur un détail : le compte d’administration exige une validation sur le téléphone d’un salarié en congé, ou le mot de passe du pare-feu n’est connu que d’une seule personne. Trois règles écartent ce blocage :

• des comptes nominatifs pour chaque intervenant, jamais un identifiant partagé, afin que les journaux montrent qui a fait quoi ;
• une authentification à plusieurs facteurs sur chacun de ces comptes, avec une méthode indépendante des appareils personnels ;
• un accès d’urgence distinct, réservé au cas où les comptes habituels ne répondent plus.

Pour un environnement Microsoft 365, la page Microsoft Learn consacrée aux comptes d’accès d’urgence de Microsoft Entra ID, mise à jour en 2026, recommande d’en garder au moins deux, rattachés à aucun utilisateur et protégés par une méthode résistante à l’hameçonnage, distincte de celle des administrateurs habituels. Elle prévoit une alerte à chaque connexion, un examen après chaque usage et un test au moins tous les 90 jours.

Le choix de la méthode pèse lourd : le comparatif des méthodes de double authentification montre lesquelles résistent au vol d’identifiants. Un accès de secours jamais essayé ne vaut guère mieux qu’un accès absent.

Le journal d’intervention, puis le compte rendu du matin

Pendant l’intervention, chaque action se note à la minute : alerte reçue, vérifications faites, personne jointe, décision prise, commande exécutée, résultat observé. Ce journal d’intervention sert le dirigeant qui découvre l’incident au réveil, l’équipe qui reprend le dossier en journée et, si l’incident tourne à l’attaque, l’enquêteur ou l’assureur. Le CERT-FR recommande aussi de préserver les traces, en copiant les journaux hors ligne et en allongeant leur durée de conservation.

Le compte rendu du matin tient en une page : ce qui s’est passé, ce qui a été fait, ce qui reste à décider, la cause probable. Votre direction y lit l’incident sans jargon et tranche les points ouverts dans la journée.

Les incidents qui reviennent appellent une enquête sur leur origine : serveur saturé à chaque clôture mensuelle, agent de sécurité désactivé après les redémarrages, correctif laissé en attente. Sur ce dernier point, des correctifs appliqués sans attendre réduisent les alertes liées à des failles déjà publiées.

Répéter la nuit type avant la mise en service

Avant d’activer l’astreinte, un exercice rejoue un scénario réaliste en fin de journée : alerte simulée sur la sauvegarde, connexion à distance avec les comptes prévus, appel au décideur désigné, tenue du journal. Il révèle presque toujours un grain de sable, suppléant injoignable ou consigne ambiguë, qu’un mardi soir corrige bien plus facilement qu’un samedi à trois heures du matin.

Prochaine étape : listez les applications sans lesquelles votre activité s’arrête, puis écrivez pour chacune qui peut autoriser son redémarrage ou sa restauration en pleine nuit. Cette page unique constitue le cœur de votre future astreinte de nuit.

Questions fréquentes sur l’astreinte informatique

L’astreinte est-elle comprise dans un contrat d’infogérance ?

Pas forcément. Selon les contrats, la couverture des soirs, des nuits et des week-ends figure dans l’offre de base ou s’ajoute en option, avec son propre périmètre. Relisez les plages horaires couvertes, la liste des équipements et applications concernés, et la grille de gravité qui déclenche une intervention. Vérifiez aussi si un déplacement sur site reste possible la nuit ou si tout se traite à distance.

Que faire soi-même face à une alerte la nuit ?

Peu de choses, et c’est voulu. Appelez le contact d’astreinte prévu au contrat, notez l’heure et le message reçu, puis laissez l’équipe qualifier l’alerte. Évitez de redémarrer un serveur, de supprimer un fichier suspect ou de lancer une restauration de votre propre initiative : ces gestes effacent parfois des traces. Si un poste affiche des fichiers illisibles ou une demande de rançon, débranchez son câble réseau sans l’éteindre, puis prévenez le décideur désigné.

Supervision et SOC : quelle différence ?

La supervision vérifie que l’informatique fonctionne : disponibilité des serveurs, espace disque, réussite des sauvegardes, état des liens. Un SOC, ou centre des opérations de sécurité, traque autre chose : des comportements malveillants, repérés dans les journaux des postes, des serveurs, de la messagerie et des pare-feu. Les deux se recoupent sur les connexions inhabituelles. Une petite structure peut contracter un SOC sous forme de service mutualisé, en complément de la supervision technique.

Qui appeler en cas de cyberattaque ?

D’abord l’astreinte ou le prestataire qui connaît votre système, puis l’assureur si un contrat couvre le risque cyber. 17Cyber, service public d’assistance en ligne porté par la Police nationale, la Gendarmerie nationale et Cybermalveillance.gouv.fr, s’adresse aussi aux entreprises, associations et collectivités : diagnostic guidé, conseils adaptés, assistance technique et accompagnement par un policier ou un gendarme. En urgence, le site renvoie vers le 17 ou le 112. Une PME peut aussi solliciter le CSIRT territorial de sa région.