Après une fuite de données, l'assureur réclame une « preuve numérique » — c'est quoi au juste et qui s'en charge ?

La toute première chose à faire là maintenant, c'est de ne pas éteindre ces PC et surtout de ne jamais les redémarrer. Déconnectez-les uniquement du réseau en débranchant le câble Ethernet ou en coupant le Wi-Fi. Si vous les éteignez, les traces laissées par l'attaquant dans la mémoire vive (RAM) seront effacées et la preuve disparaîtra.

On a eu un cas similaire de fausse facture avec une perte de 36.000 livres sterling. Un cabinet d'expertise forensique agréé par l'assureur a fait les images disques en deux jours. Le rapport a coûté 6.500 livres sterling, on a payé notre franchise de 2.500 livres sterling, et l'assurance a pris en charge tout le reste, rapport compris ainsi que la totalité des fonds dérobés.

Vérifiez attentivement la clause « Production de preuves et charge de la preuve du sinistre » dans vos conditions générales. Les rapports rédigés par des experts tiers non agréés par l'assureur peuvent faire l'objet d'un refus de procédure par la commission d'indemnisation.

Une capture d'écran ne vaut rien comme preuve, car il faut analyser les IP sources dans les logs locaux, les jetons de session utilisateur et les règles de boîte de réception (inbox rules). L'attaquant a très bien pu créer une règle de redirection invisible sur la boîte mail du comptable ; l'expert forensique l'identifiera dans les logs d'audit et l'intégrera au rapport avec vérification par empreinte hash.

Les assurances utilisent souvent cette exigence de preuves comme prétexte pour ne pas payer ou pour faire traîner le dossier pendant des mois. Si vous ne respectez pas la procédure à la lettre, ils classeront le dossier direct en disant que vous avez vous-mêmes corrompu les preuves, faites hyper attention.

Lors de la souscription de votre cyber-assurance, la garantie « Réponse à incident et expertise forensique » était-elle incluse ? Si oui, l'assureur est tenu de dépêcher lui-même son équipe forensique, ils ne peuvent pas vous laisser vous débrouiller pour trouver un cabinet.

note : j'ai écrit cela d'après mon expérience, cela ne s'applique peut-être pas à tout le monde.

n'allez surtout pas supprimer le profil outlook sur le pc du comptable ou quoi que ce soit puis bon chaqque fichier supprimé c'est suspect, touchez à rien et attendez l'expert.

Ma question va paraître un peu novice désolé d'avance. La sécurité n'est pas absolue ; c'est rendre l'attaque trop coûteuse pour valoir l'effort.

Voilà, désolé si je me suis étendu.

Mes doutes sont levés, merci.

Si j'ai bien compris, vous dites que : Si l'autorisation et le périmètre ne sont pas écrits, ne lancez pas ce test.

Si vous obtenez trois réponses différentes sur un sujet, la question est mal posée. C'est mon avis, je ne l'écris pas comme une vérité absolue.

La discussion part dans tous les sens je recentre. bon la sécurité n'est pas absolue ; c'est rendre l'attaque trop coûteuse pour valoir l'effort.

C'est mon avis, je ne l'écris pas comme une vérité absolue.

Pour entrer dans le détail : Le fait que la sauvegarde soit accessible sur le même réseau et avec la même identité en fait une cible potentielle.

La plupart des pertes de temps s'accumulent sur les tâches en attente de validation. Corrigez-moi si je me trompe.

Je me pose aussi la question. La sécurité n'est pas absolue ; c'est rendre l'attaque trop coûteuse pour valoir l'effort.

Si vous écrivez le résultat ici, cela aidera aussi d'autres personnes.

ne manquez rien : Si vous grondez les fausses alertes, plus personne ne signalera rien.

voilà, désolé si je me suis étendu.

Chez moi c'est l'inverse qui s'est passé, c'est pourquoi j'écris. Quand on décide sans mesurer, on revient toujours au même point.

Ce qui nous faisait perdre le plus de temps, c'était l'absence de clarté sur qui prenait les décisions. Je suis aussi curieux de savoir si d'autres font autrement.

Il y a un piège ici, je ne pouvais pas ne pas le mentionner. Une modification des coordonnées bancaires n'est jamais confirmée par le canal d'origine.

Je suis aussi curieux de savoir si d'autres font autrement.

J'ai été soulagé en lisant cette réponse, donc ce n'est pas seulement mon cas. Les décisions hâtives finissent par être corrigées six mois plus tard.

Le vrai problème n'est pas le chiffre, mais la base sur laquelle il est calculé. Voilà, désolé si je me suis étendu.

absolument mais du coup si j'ajoute quelque chose : Commencez par un petit test, ne vous engagez pas sur tout d'un coup.

prendre une mesure sans faire d'inventaire c'est laisser une porte ouverte sans le savoir.