Un rançongiciel a chiffré la production et les attaquants exigent un paiement. Comment le RSSI aborde-t-il la décision de payer ?

Les recruteurs utilisent ce scénario pour voir si un RSSI traite le paiement d'une rançon comme une décision de gouvernance aux conséquences juridiques, et non comme une décision purement opérationnelle.

Pourquoi juristes, forces de l'ordre et contrôle des sanctions passent d'abord

L'avis actualisé de l'OFAC sur les paiements de rançongiciels explique que effectuer ou faciliter un paiement peut créer un risque de sanctions, et que l'OFAC peut infliger des sanctions civiles sur la base d'une responsabilité stricte — c'est-à-dire qu'une organisation ignorant que le destinataire était sanctionné peut être exposée. L'avis retient comme facteurs atténuants importants un signalement complet, rapide et spontané aux forces de l'ordre, la coopération avec les autorités et des pratiques de sécurité significatives en place avant l'attaque. Il encourage à signaler rapidement les incidents aux forces de l'ordre et à documenter les investissements de sécurité et la réponse à incident.

Une approche saine

1. Contenir et évaluer d'abord l'incident ; établir ce qui est chiffré, ce qui est exfiltré et ce qui peut être restauré depuis les sauvegardes.
2. Mobiliser les juristes et l'équipe de réponse à incident, et signaler aux forces de l'ordre.
3. Vérifier l'exposition aux sanctions avant tout paiement, et examiner si une licence est appropriée.
4. Décider sur un impact métier documenté, la direction et le conseil informés ; consigner la justification, les options étudiées et les approbateurs.

Pourquoi les distracteurs échouent

• « Payer discrètement » ignore la responsabilité stricte : l'exposition ne dépend pas d'une attribution ultérieure.
• « Refuser et se taire » peut omettre les signalements réglementaires, contractuels et aux forces de l'ordre, et une règle absolue n'est pas une décision.
• « Déléguer à l'informatique » écarte les responsables juridiques, financiers et de réputation d'une décision qui leur revient.

Ce que veulent les recruteurs

Une réponse calme et structurée : juristes et forces de l'ordre impliqués tôt, sanctions vérifiées, décision documentée et assumée au niveau exécutif.