Perte d'un ordinateur portable : organiser la réponse

Prenons une situation ordinaire : un salarié appelle depuis son téléphone après avoir oublié son sac dans un train. Son ordinateur professionnel est dedans. Il doit présenter un dossier dans l’après-midi et demande surtout comment récupérer ses documents. Le support cherche un poste de prêt. Pendant ce temps, personne n’a encore établi ce que permet d’ouvrir la machine disparue.

Je traiterais cette demande comme un incident avec un pilote identifié. Le remplacement peut avancer en parallèle, mais il ne doit pas absorber toute l’attention. Il faut savoir quelles protections existaient, quelles actions sont possibles et qui décide lorsque les informations manquent.

Recueillir les faits sans retarder le signalement

Je commencerais par rassurer le salarié sur l’objectif de l’appel : obtenir des faits utilisables. Un interrogatoire sur sa négligence risque surtout de rendre les prochaines réponses moins précises. Le support consigne l’heure du signalement, le dernier moment où le poste était en sa possession et les circonstances connues.

Il demande si la machine était éteinte, verrouillée ou utilisée, et ce qui se trouvait dans le sac : téléphone, clé de sécurité, support amovible, documents papier. Une réponse incertaine reste incertaine. Je ne transformerais pas un probable arrêt en preuve d’extinction.

La CNIL recommande de désigner un contact en cas de perte ou de vol. Ce contact doit être joignable sans l’ordinateur disparu. Je ferais inscrire le moyen de signalement dans les consignes remises aux salariés, puis vérifierais que l’accueil sait à qui transmettre un appel.

Le pilote conserve un numéro de rappel et explique la prochaine étape. Il demande au salarié de signaler immédiatement toute récupération du matériel. La recherche du sac peut continuer, sans suspendre la réponse informatique dans l’espoir qu’il réapparaisse.

Identifier le poste et vérifier ses protections réelles

Je rapproche l’identité du salarié de l’inventaire et des consoles de gestion. Un nom de machine ressemblant au sien ne suffit pas pour lancer une action destructive. Je recherche un identifiant stable, son affectation et la dernière remontée disponible. Les écarts entre inventaire et console doivent être résolus ou explicitement signalés.

Le dossier rassemble ensuite les éléments utiles à la décision. Je conserverais une copie datée des états consultés, avec un accès limité aux intervenants concernés. Une politique de sécurité affectée au poste ne démontre pas qu’elle a été appliquée.

Je distingue dans le compte rendu ce qui est confirmé, déclaré ou inconnu. Cette séparation évite qu’une hypothèse rassurante devienne un fait au fil des échanges. Elle permet aussi de demander une vérification précise au lieu de mobiliser toute l’équipe sur une recherche générale.

Couper les accès exposés et contrôler le résultat

Je confierais à un intervenant la liste des accès concernés : identité d’entreprise, messagerie, VPN, applications autonomes et éventuels secrets techniques présents sur le poste. Chaque mesure doit viser un périmètre explicite. Selon l’exposition, il peut être nécessaire de bloquer le compte, de révoquer des sessions ou de remplacer des secrets compromis.

La documentation Microsoft sur la révocation d’accès explique que les applications peuvent conserver leurs propres sessions et que la prise d’effet dépend du mécanisme utilisé. Je ne considérerais donc pas un changement de mot de passe comme la preuve d’une coupure générale. Les applications importantes demandent un contrôle adapté à leur fonctionnement.

Pour chacune, je veux une trace de l’action, son heure, son résultat et les limites connues. Le responsable applicatif ou le prestataire doit être sollicité lorsqu’une session ne peut pas être interrompue depuis l’annuaire central. Une mesure encore en attente reste attribuée à quelqu’un.

Le salarié peut subir ces coupures sur ses autres équipements. Je lui expliquerais ce qui devient indisponible et comment la reprise sera organisée. Le rétablissement sur un poste de prêt doit préserver les restrictions visant la machine perdue. Les décisions urgentes sont consignées sans attendre une revue périodique des habilitations.

Décider de l’effacement sans le confondre avec une garantie

Une commande d’effacement envoyée n’est pas une preuve de données effacées.

Je ferais décider l’effacement par la personne habilitée, avec l’identifiant du poste et le motif de l’action. Avant validation, l’intervenant vérifie le périmètre réel de la commande, les données qui seraient perdues et les besoins éventuels de conservation pour l’analyse. Ces vérifications doivent être préparées dans la procédure, pour ne pas découvrir les options pendant l’incident.

Microsoft précise que l’effacement distant nécessite une connexion du terminal. Sa documentation Intune sur l’effacement décrit aussi des comportements différents selon la plateforme et les options, dont une option Windows conservant des données utilisateur. Le libellé du bouton ne suffit donc pas à déterminer le résultat attendu.

Je conserverais la trace de la demande et suivrais son état sans annoncer sa réussite tant qu’elle n’est pas confirmée. Un poste hors ligne impose de poursuivre l’analyse de l’exposition. Il ne justifie pas de supprimer précipitamment son enregistrement dans les consoles pour nettoyer l’inventaire.

Si le salarié retrouve l’ordinateur, il doit appeler avant de le reconnecter. Une commande en attente peut encore produire ses effets. La DSI examine ce point, les circonstances de récupération et les contrôles nécessaires avant d’autoriser la remise en service.

Faire qualifier les conséquences sur les données

Je transmettrais rapidement au DPO, ou au référent chargé de la protection des données, les faits disponibles : catégories de fichiers, personnes potentiellement concernées, protections vérifiées et données devenues indisponibles. Il faut aussi examiner les informations commerciales ou techniques avec leur responsable métier. Tout ne se résume pas aux fichiers personnels du salarié.

La CNIL précise les règles de notification des violations : les violations de données personnelles doivent être documentées ; celles présentant un risque pour les droits et libertés doivent être notifiées. Lorsque la notification est requise, elle intervient dans les meilleurs délais et, si possible, au plus tard sous 72 heures après prise de connaissance. Une notification initiale peut être complétée. Un risque élevé peut également imposer d’informer les personnes concernées.

Je ne laisserais pas cette qualification attendre la fin de la recherche du matériel. Le dossier indique qui l’instruit, quelles informations manquent et quand la décision sera revue. Le chiffrement et les copies disponibles alimentent l’analyse ; ils ne remplacent pas l’examen de la situation réelle.

Le responsable métier précise également ce qui ne peut plus être réalisé. Un document uniquement présent sur le poste disparu peut bloquer une activité même sans accès constaté par un tiers.

Préparer la reprise et fermer les actions restantes

Je ferais remettre un équipement maîtrisé, avec les accès autorisés et les documents récupérés depuis les espaces approuvés. Le salarié vérifie un travail représentatif avec le support. La simple ouverture de sa session ne prouve pas qu’il dispose du dossier nécessaire à son rendez-vous.

La clôture distingue le matériel, la reprise du travail, les accès et l’analyse des données. Une commande distante sans résultat reste suivie, avec un responsable et une prochaine vérification. Si le poste demeure introuvable, le dossier conserve cette limite au lieu d’afficher artificiellement toutes les actions comme réussies.

Pour préparer la semaine suivante, je prendrais un poste de test et simulerais le signalement avec le support. L’exercice doit permettre de retrouver son identité, ses protections et le décideur joignable, puis de suivre une action sans toucher à un équipement en service. Les lacunes observées deviennent des corrections attribuées. C’est plus utile qu’une procédure longue dont personne n’a vérifié les accès nécessaires.