Une crise cyber commence rarement avec toutes les réponses disponibles. Pourtant, les premières décisions peuvent protéger les personnes, limiter les dommages et maintenir les activités essentielles.
La Gestion de crise cyber répartit les responsabilités entre expertise technique et arbitrage de la direction. Des critères d’activation, des rôles suppléants et des canaux de secours facilitent les décisions lorsque les outils habituels sont indisponibles.
A retenir :
- Critères d’activation fondés sur les impacts métiers
- Décisions stratégiques séparées des opérations techniques
- Obligations légales évaluées selon chaque situation
- Reprise progressive validée par les équipes utilisatrices
Préparer la gestion de crise cyber avant l’alerte
Cette préparation donne un cadre aux décisions lorsqu’un incident dépasse les procédures courantes. Selon l’ANSSI, anticiper les rôles et s’entraîner aide les organisations à conduire une crise.
Définir les seuils d’activation et les responsabilités
Un incident devient une crise lorsque ses effets ou son incertitude empêchent une gestion normale. Une indisponibilité de paiement, une production arrêtée ou une suspicion d’exfiltration peuvent justifier l’activation.
Un établissement de soins peut maintenir ses activités sur papier, tout en réunissant sa Cellule de crise. Le seuil dépend donc des conséquences métier, et non d’une durée universelle d’indisponibilité.
Les rôles doivent distinguer le commandement stratégique de la conduite technique. La direction arbitre les priorités et les ressources, tandis que le RSSI coordonne l’analyse et propose des mesures.
« Nous avons pu décider rapidement parce que le responsable métier connaissait les activités qui ne pouvaient pas s’interrompre. »
Scénario pédagogique, responsable métier
Construire un plan de réponse opérationnel
Pour rendre ces responsabilités praticables, le Plan de réponse doit préciser les contacts, les suppléants et les moyens de communication de secours. Chaque activité critique gagne à disposer d’une fiche recensant ses systèmes, fournisseurs et solutions dégradées.
Un annuaire accessible hors du système principal peut éviter de perdre du temps si la messagerie est compromise. Il doit toutefois rester protégé, régulièrement vérifié et dépourvu de secrets inutiles.
La préparation inclut aussi les arbitrages difficiles, comme isoler un réseau au risque d’interrompre une usine. Selon l’ANSSI, un exercice permet de tester les décisions et les rôles avant une attaque réelle.
Repères à intégrer au plan :
- Responsables métier et suppléants pour chaque fonction essentielle
- Coordonnées vérifiées des prestataires et interlocuteurs internes
- Canal distinct pour les échanges sensibles de la cellule
- Procédures de continuité et critères de reprise des services
Élément préparé
Utilité en crise
Fiche d’activité critique
Repérer les conséquences d’un arrêt
Annuaire hors ligne
Joindre les acteurs sans messagerie
Suppléant désigné
Maintenir une fonction en cas d’absence
Exercice sur table
Tester appels, décisions et notifications
Qualifier l’incident et piloter la réponse cyber
Une fois les rôles établis, la qualité des informations devient déterminante. Détection des incidents, évaluation des risques et décisions opérationnelles doivent avancer de concert, sans attendre une attribution certaine de l’attaque.
Organiser l’alerte, le confinement et l’investigation
Au premier signal, consignez l’heure, la source, les systèmes touchés, les actions déjà prises et les inconnues. Séparez les faits vérifiés des hypothèses, puis confiez la tenue du journal à une personne identifiée.
Le Confinement des systèmes peut passer par la révocation d’un compte ou l’isolement d’un segment. Avant une coupure étendue, l’équipe évalue ses effets sur les services essentiels et préserve les éléments utiles à l’Investigation numérique.
« Nous avons suspendu l’accès du prestataire, puis vérifié les sessions et les conséquences sur la production. »
Scénario pédagogique, équipe technique
Selon la CNIL, une violation de données personnelles doit être évaluée au regard du risque pour les personnes. L’article 33 du RGPD prévoit, lorsque les conditions s’appliquent, une notification si possible sous 72 heures après en avoir pris connaissance.
Coordonner la cellule et la communication de crise
La Cellule de crise doit convertir les constats techniques en choix compréhensibles pour la direction. À chaque point de situation, elle précise les nouveautés, les services menacés, les décisions attendues et leurs responsables.
La Communication de crise indique les services touchés, les solutions disponibles et le prochain rendez-vous d’information. Elle évite d’affirmer que des données sont intactes tant que l’enquête ne l’a pas établi.
« Nous avons communiqué l’alternative téléphonique et annoncé quand les clients recevraient une nouvelle information. »
Scénario pédagogique, équipe de communication
Selon la directive européenne NIS 2, les incidents significatifs relèvent de délais d’alerte et de notification définis par son article 23. Leur application concrète dépend toutefois des règles nationales et sectorielles en vigueur.
Suivi des obligations à consigner :
- Nature de l’incident et critères réglementaires concernés
- Moment où l’organisation en a pris connaissance
- Destinataire et responsable de la notification
- Informations confirmées et compléments encore attendus
Analyse
Question centrale
Action à documenter
Impact métier
Quels services restent disponibles ?
Priorités et solutions dégradées
Données personnelles
Quels risques pour les personnes ?
Évaluation et notification éventuelle
Prestataire touché
Quels accès sont concernés ?
Suspension, vérifications et suivi
Communication externe
Que peut-on confirmer ?
Message validé et prochain point
Restaurer les services et tirer les enseignements
Après le confinement et les arbitrages, la priorité passe à une reprise fiable plutôt qu’à un retour précipité. La Restauration des services exige des contrôles techniques, une validation métier et un suivi des risques résiduels.
Reprendre les activités par étapes maîtrisées
Rétablissez les services selon les priorités validées par la direction et les métiers concernés. Avant toute reconnexion, vérifiez les comptes, les correctifs, les journaux et l’intégrité des données restaurées.
Une facturation redevenue accessible ne garantit pas que toutes les opérations soient exactes. Les utilisateurs doivent confirmer les fonctions essentielles, tandis que les équipes maintiennent une surveillance adaptée au scénario.
« Nous avons repris la facturation avant le portail, puis conservé un suivi renforcé des anomalies. »
Scénario pédagogique, direction de crise
Tirer un retour d’expérience utile et vérifiable
Le Retour d’expérience confronte la chronologie, les décisions prises et leurs effets. Il associe les métiers, les partenaires et les équipes techniques, sans réduire l’analyse à la recherche d’une faute individuelle.
Chaque constat doit déboucher sur une action attribuée, une priorité et une preuve de réalisation. Un exercice ultérieur peut ensuite vérifier si la procédure corrigée fonctionne réellement.
Axes de progrès à suivre :
- Contacts d’urgence testés avec les fournisseurs critiques
- Procédures de restauration vérifiées hors environnement compromis
- Décisions documentées avec options et responsables identifiés
- Actions correctives suivies jusqu’à leur validation effective
Source : ANSSI, « Anticiper et gérer une crise cyber », ANSSI ; CNIL, « Notifier une violation de données personnelles », CNIL ; Directive (UE) 2022/2555, article 23.