Vous êtes certain qu'un portable de dirigeant est compromis et cette personne est en plein conseil d'administration. Que faites-vous ?

Ajustez le confinement aux preuves, et faites remonter la décision métier au lieu de la prendre seul. S'il y a des signes d'activité au clavier en cours, de vol d'identifiants ou de mise en place, isolez tout de suite et informez le responsable d'incident, parce qu'une courte interruption coûte moins cher qu'une compromission de tout le domaine. Si l'activité semble dormante, appliquez un confinement partiel (blocage du commande et contrôle, révocation des sessions, réinitialisation forcée des identifiants) et planifiez l'isolation complète.

Mon seuil, c'est la preuve d'une activité d'opérateur en cours ou d'un accès aux identifiants. Si je vois de l'exécution de commandes interactive, de l'extraction d'identifiants ou des données en cours de mise en place, j'isole tout de suite et je m'excuse après, parce que l'écart entre un portable compromis et un domaine compromis peut être de dix minutes. Cela dit, je ne débrancherais pas en douce. J'appelle le responsable d'incident, je donne la preuve en une phrase et ma recommandation, et je le laisse trancher côté métier pendant que je prépare l'action pour qu'elle parte à la seconde où il dit oui. Si ça a l'air dormant, disons une balise qui n'a pas donné signe depuis des heures, je prends la voie du milieu : rediriger le domaine de commande et contrôle vers un puits, révoquer les sessions et les jetons de rafraîchissement du compte, bloquer le hachage du processus, et garder une télémétrie complète sur l'hôte pour pouvoir l'observer. Puis j'isole à la fin de la réunion. Pour la conversation elle-même, je passe par l'assistant de direction avec une phrase factuelle courte et sans jargon, parce qu'un dirigeant paniqué en plein conseil n'aide personne.