management et sciences de gestion (ECT, 1re et 2e années) · Chapitre 6 · Exercice de TD
Un rançongiciel dans une PME
Décision et digitalisation · niveau 2
Énoncé
Un lundi matin, les 60 salariés de la société Transalp (transport routier, fictive) découvrent un message sur leurs écrans : les fichiers sont chiffrés, une rançon est exigée. Le logiciel d'exploitation (planning des chauffeurs, suivi des livraisons) est inaccessible. La dernière sauvegarde date de trois semaines ; elle était stockée sur un disque connecté au réseau, lui aussi chiffré. L'enquête montre que l'attaque est partie d'une pièce jointe ouverte par un salarié.
- Analyser les conséquences de l'attaque pour l'entreprise et pour ses parties prenantes.
- Identifier les défaillances de sécurité aux trois niveaux (technique, organisationnel, humain).
- Quelles obligations pèsent sur Transalp si des données personnelles ont été dérobées ?
Corrigé
1. Conséquences. Pour l'entreprise : arrêt ou désorganisation de l'activité (plus de planning, plus de suivi), pertes de chiffre d'affaires, coûts de remise en état, risque de pénalités de retard, atteinte à la réputation. Pour les clients : livraisons retardées ; pour les salariés : activité désorganisée, chômage technique possible, et leurs données (paie, coordonnées) peut-être dérobées ; pour les fournisseurs : paiements retardés.
2. Défaillances. Technique : sauvegarde trop ancienne et non déconnectée du réseau, donc chiffrée avec le reste ; filtrage insuffisant des pièces jointes. Organisationnel : pas de plan de continuité d'activité, pas de politique de sauvegarde (fréquence, copie hors ligne). Humain : salarié non sensibilisé à l'hameçonnage.
3. Obligations. Si des données personnelles ont été copiées, il y a violation de données : Transalp doit la notifier à la CNIL « dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance » (article 33 du RGPD), sauf absence de risque pour les personnes, et informer les personnes concernées si le risque est élevé (article 34). Un défaut de sécurité peut être sanctionné (article 32), comme l'ont été Free et Free Mobile en janvier 2026.
Ce qu'il faut retenir. La cybersécurité est un risque d'entreprise : elle se gère par des mesures techniques, organisationnelles et humaines, et le maillon humain est le plus souvent attaqué.