Comment constituer une cellule de crise cyber efficace en PME
Une cyberattaque ne se résume pas à un problème informatique. Lorsqu'un système critique devient indisponible, les équipes techniques cherchent à comprendre et contenir l'incident. Mais pendant ce temps, l'entreprise doit continuer à fonctionner, informer ses parties prenantes et prendre des décisions parfois lourdes de conséquences.
Qui décide de suspendre une activité ? Qui arbitre les priorités de reprise ? Qui prend la parole auprès des clients ? Et surtout, comment prendre ces décisions lorsque les informations sont encore incomplètes ?
C'est précisément le rôle d'une cellule de crise cyber.
Pourtant, constituer une cellule de crise ne consiste pas simplement à réunir quelques responsables autour d'une table. Encore faut-il définir les responsabilités de chacun, organiser les échanges et anticiper les situations dans lesquelles les procédures habituelles ne suffiront plus.
Pour une PME, l'enjeu n'est pas de reproduire l'organisation complexe d'un grand groupe, mais de construire un dispositif proportionné à ses moyens, capable de fonctionner réellement le jour où l'entreprise sera déstabilisée.
Voici dix étapes pour y parvenir.
1. Définir le rôle et le mandat de la cellule de crise
La première question à se poser n'est pas « Qui doit participer à la cellule de crise ? », mais plutôt « Qu'attendons-nous de cette cellule lorsqu'une crise survient ? ».
Cette préparation s'inscrit dans une démarche plus globale de gestion de crise cyber, qui vise à organiser la réponse de l'entreprise au-delà des seuls aspects informatiques.
Une cellule de crise cyber n'a pas vocation à résoudre elle-même tous les problèmes techniques. Son rôle est de piloter la situation dans son ensemble, de coordonner les acteurs mobilisés et de prendre les décisions qui engagent l'entreprise.
Lorsqu'un rançongiciel paralyse le système d'information, les équipes informatiques peuvent être concentrées sur l'analyse de la compromission et la limitation de sa propagation. Mais d'autres questions se posent simultanément : faut-il arrêter la production ? Comment maintenir les commandes ? Quels clients prévenir ? Quelles activités doivent être rétablies en priorité ?
Ces arbitrages dépassent le seul périmètre informatique.
Formaliser les responsabilités et les pouvoirs de décision
Avant la crise, l'entreprise doit définir un mandat clair, répondant notamment à quatre questions :
Dans quelles circonstances la cellule peut-elle être activée ?
Qui dispose de l'autorité nécessaire pour l'activer ?
Quelles décisions peut-elle prendre et dans quelles limites ?
Qui arbitre lorsqu'un désaccord persiste ?
Il est également nécessaire d'identifier les décisions qui requièrent une validation particulière : interruption d'une activité, engagement de dépenses exceptionnelles, communication publique ou recours à un prestataire externe.
Ce mandat doit rester accessible et compréhensible. Un document court, régulièrement révisé et connu des participants sera généralement plus utile qu'une procédure exhaustive que personne ne consulte.
L'objectif n'est pas de tout prévoir. Il est de donner à chacun un cadre suffisamment clair pour agir sans perdre un temps précieux à déterminer qui est légitime pour décider.
2. Identifier les bonnes personnes et les responsabilités essentielles
Une erreur fréquente consiste à considérer qu'une crise cyber concerne principalement le service informatique. Pourtant, les conséquences d'une cyberattaque peuvent toucher simultanément les opérations, la relation client, les ressources humaines, les finances et les obligations réglementaires.
La composition de la cellule doit donc refléter les enjeux de l'entreprise, et pas uniquement son organisation technique.
Il n'existe pas de nombre universel de participants. Une petite structure pourra fonctionner avec une cellule resserrée dont certains membres cumulent plusieurs responsabilités. Une organisation plus importante aura besoin d'une répartition plus spécialisée.
L'essentiel est de couvrir les fonctions nécessaires à la gestion de la situation.
Les fonctions à prévoir
Fonction | Responsabilité principale |
Direction de crise | Fixer les priorités et arbitrer les décisions engageant l'entreprise |
Coordination de crise | Organiser les échanges, suivre les actions et faciliter la circulation de l'information |
Expertise IT et cyber | Évaluer la situation technique, piloter la réponse à incident et proposer les options possibles |
Continuité d'activité et métiers | Évaluer les impacts sur les activités essentielles et organiser les solutions de continuité |
Communication | Préparer et coordonner les informations destinées aux salariés, clients et partenaires |
Juridique et conformité | Évaluer les obligations légales, réglementaires et contractuelles |
Secrétariat de crise | Assurer la traçabilité des informations, décisions et actions |
Selon les besoins, d'autres acteurs pourront être mobilisés : ressources humaines, finances, achats, assureur, prestataire informatique ou experts spécialisés.
Tous n'ont pas nécessairement besoin de participer à chaque réunion. Une cellule trop large peut ralentir les échanges et compliquer les arbitrages. Il est souvent préférable de distinguer les membres permanents des experts sollicités ponctuellement.
Anticiper les absences et les indisponibilités
Une crise ne survient pas forcément pendant les horaires de bureau. Le dirigeant peut être en déplacement, le DSI absent ou le prestataire informatique mobilisé ailleurs.
Chaque fonction critique doit donc disposer d'une solution de suppléance ou de délégation clairement définie.
Les coordonnées utiles doivent être maintenues à jour, accessibles en cas d'indisponibilité du système d'information et protégées de manière appropriée.
Une cellule de crise n'est pas constituée parce que des noms figurent dans un organigramme. Elle l'est lorsque les personnes désignées savent ce qu'on attend d'elles et disposent des moyens nécessaires pour exercer leur rôle.
3. Articuler la cellule stratégique et les équipes opérationnelles
Lors d'une cyberattaque, les équipes techniques et les décideurs doivent travailler ensemble, sans pour autant assumer les mêmes responsabilités.
La réponse à incident vise notamment à comprendre l'attaque, contenir sa propagation, préserver les éléments nécessaires à l'investigation et préparer la remédiation.
La gestion de crise s'intéresse à une problématique plus large : comment protéger l'organisation, maintenir ses activités essentielles et prendre les décisions nécessaires malgré une situation dégradée ?
Ces deux dimensions sont complémentaires.
Distinguer les responsabilités sans créer de silos
Pilotage stratégique | Pilotage opérationnel |
Définit les priorités de l'entreprise | Évalue la situation technique |
Arbitre les décisions ayant un impact majeur sur les activités | Met en œuvre les mesures techniques adaptées |
Coordonne les conséquences métiers, financières et juridiques | Pilote l'investigation, le confinement et les opérations de remédiation |
Valide les orientations de communication | Fournit des informations techniques fiables et contextualisées |
Organise les conditions de continuité et de reprise des activités | Évalue les possibilités techniques de restauration |
Cette distinction ne signifie pas que toutes les décisions doivent remonter à la direction. Les responsables opérationnels doivent conserver une autonomie adaptée à leurs responsabilités et aux délégations définies.
En revanche, lorsqu'une décision technique peut avoir des conséquences majeures sur l'entreprise, elle nécessite un arbitrage associant les métiers concernés.
Prenons l'exemple d'un ERP potentiellement compromis. Son isolement peut être nécessaire pour limiter la propagation d'une attaque, mais il peut également interrompre la production, les expéditions ou la facturation.
Les équipes cyber doivent pouvoir expliquer le risque technique et les options disponibles. Les responsables métiers apportent leur connaissance des conséquences opérationnelles. La direction arbitre lorsque les enjeux dépassent les délégations habituelles.
Organiser des points de situation utiles
La coordination repose également sur un rythme d'échanges adapté à la gravité et à l'évolution de l'incident.
Chaque point de situation doit permettre de distinguer les faits confirmés, les hypothèses encore à vérifier, les impacts identifiés et les décisions attendues.
Il ne s'agit pas de multiplier les réunions. Il s'agit d'éviter que les équipes travaillent sur des informations différentes ou que des décisions importantes restent en suspens.
Une bonne articulation permet aux équipes techniques de se concentrer sur la réponse à incident, tout en donnant aux décideurs les éléments nécessaires pour piloter l'entreprise.
4. Préparer des fiches de rôle réellement utilisables
Définir les responsabilités dans un organigramme constitue une première étape. Mais le jour d'une crise, les membres de la cellule doivent pouvoir retrouver rapidement ce qu'ils ont à faire, sans parcourir plusieurs dizaines de pages de documentation.
Les fiches de rôle répondent à ce besoin.
Elles doivent préciser les missions essentielles, les pouvoirs de décision, les informations à obtenir et à transmettre, les principaux interlocuteurs et les premières actions attendues.
Exemple : la direction de crise
Mission principale : piloter la gestion globale de la crise, fixer les priorités et arbitrer les décisions engageant l'organisation.
Premières actions : confirmer l'activation du dispositif, vérifier la mobilisation des fonctions nécessaires, demander un premier état de situation et définir les priorités immédiates.
Décisions possibles : suspendre une activité, autoriser le passage en mode dégradé, engager des ressources exceptionnelles ou valider certaines communications externes, dans les limites des pouvoirs attribués.
Exemple : le secrétariat de crise
Mission principale : garantir la traçabilité des faits, des décisions et des actions engagées.
Le secrétaire de crise tient notamment une main courante précisant les horaires, les informations reçues, les décisions prises, leurs responsables et les échéances associées.
Cette fonction peut sembler secondaire face à l'urgence technique. Pourtant, après plusieurs heures de crise, il devient difficile de reconstituer précisément les événements ou les raisons d'un arbitrage sans documentation fiable.
La main courante facilite le suivi des actions, les transmissions entre équipes, les éventuelles obligations de justification et le retour d'expérience.
Des fiches adaptées, pas des procédures figées
Une fiche de rôle doit être suffisamment précise pour guider son utilisateur, sans l'enfermer dans une séquence d'actions inadaptée à la réalité.
Les missions et responsabilités doivent rester stables. En revanche, les décisions à prendre dépendront toujours du contexte.
L'efficacité ne vient pas du nombre de pages rédigées, mais de la capacité des personnes à utiliser ces supports lorsque la pression augmente.
5. Définir les circuits de décision avant la crise
Une crise cyber oblige parfois à prendre des décisions importantes alors que les informations disponibles sont encore partielles, voire contradictoires.
Faut-il isoler un système immédiatement, au risque d'interrompre une activité essentielle ? Peut-on poursuivre certaines opérations en mode dégradé ? À quel moment faut-il prévenir les clients ?
Ces questions ne peuvent pas toutes recevoir une réponse définitive avant l'incident. En revanche, l'entreprise peut anticiper la manière dont elles seront traitées.
Définir les niveaux de décision
Il est utile de distinguer plusieurs niveaux de responsabilité.
Niveau | Exemples de décisions | Autorité à prévoir |
Technique et opérationnel | Isolement d'un poste, blocage d'un compte, collecte des journaux | Responsable technique habilité, selon les procédures et délégations |
Métier et continuité | Suspension d'un service, activation d'un mode dégradé, changement de priorité de reprise | Responsable métier et direction de crise, selon l'impact |
Stratégique | Engagement exceptionnel de ressources, interruption majeure d'activité, communication sensible | Direction ou personne disposant d'une délégation adaptée |
Cette répartition doit être définie à l'avance et adaptée aux responsabilités réelles de chacun.
Certaines mesures techniques urgentes doivent pouvoir être engagées rapidement, sans attendre une réunion de direction, lorsqu'elles relèvent d'un cadre préalablement autorisé. À l'inverse, un arbitrage affectant plusieurs activités critiques nécessite une vision plus globale.
Apprendre à décider dans l'incertitude
L'un des pièges les plus fréquents en situation de crise consiste à attendre un diagnostic complet avant de décider.
Or, une cyberattaque évolue. Les premières informations peuvent être inexactes, les investigations prennent du temps et certaines décisions ne peuvent pas être différées indéfiniment.
La cellule doit donc apprendre à distinguer ce qui est confirmé, ce qui est probable et ce qui reste inconnu.
Une décision peut être pertinente à un instant donné, même si elle doit être réévaluée lorsque de nouveaux éléments apparaissent.
Ce qui compte, c'est de comprendre les risques associés aux différentes options et de définir les conditions dans lesquelles un arbitrage devra être revu.
Assurer la traçabilité des décisions
Chaque décision importante devrait être documentée avec son horaire, son responsable, les éléments qui la motivent et les actions attendues.
Par exemple :
10 h 40 : décision d'isoler temporairement le réseau du site principal après identification d'une propagation suspectée. Mesure proposée par le responsable cyber, arbitrée selon les délégations prévues, avec réévaluation à 11 h 30.
Cet exemple illustre une pratique essentielle : la cellule ne doit pas seulement décider, elle doit pouvoir suivre l'application de ses décisions et en comprendre les conséquences.
La traçabilité ne sert pas uniquement à justifier les choix après la crise. Elle contribue directement à la qualité du pilotage pendant l'événement.
6. Prévoir des moyens de communication de secours
Une cellule de crise cyber doit pouvoir fonctionner dans un environnement où les outils habituels de l'entreprise ne sont plus disponibles ou ne sont plus considérés comme fiables.
Messagerie électronique inaccessible, téléphonie IP interrompue, annuaire indisponible, outils collaboratifs compromis : les moyens de coordination peuvent être affectés au moment même où l'organisation en a le plus besoin.
Il est donc indispensable d'anticiper des solutions alternatives.
Identifier des canaux indépendants du système d'information
Selon l'environnement de l'entreprise, plusieurs moyens peuvent être envisagés : téléphones mobiles, conférences téléphoniques externes, messagerie de secours préalablement configurée, annuaires imprimés, radios professionnelles ou espace de repli physique.
Ces moyens doivent être choisis en tenant compte de leur disponibilité, de leur sécurité et de leur indépendance vis-à-vis des infrastructures potentiellement compromises.
L'utilisation de téléphones personnels ou de messageries externes nécessite notamment de définir les règles de confidentialité et de protection des informations échangées.
Une solution de secours n'est pas nécessairement une solution fiable simplement parce qu'elle se trouve en dehors du réseau de l'entreprise.
Préparer la communication interne et externe
En situation de crise, la communication doit être rapide, cohérente et adaptée aux informations réellement disponibles.
Les salariés ont besoin de connaître les consignes qui les concernent. Les clients peuvent attendre des informations sur la disponibilité des services. Les partenaires et prestataires doivent parfois être mobilisés pour contribuer à la gestion de l'incident.
Préparer des modèles de messages permet de gagner du temps, sans empêcher leur adaptation aux circonstances.
Un premier message interne peut préciser la situation connue, les actions demandées aux collaborateurs, les canaux autorisés et le moment du prochain point d'information.
Il faut toutefois éviter d'affirmer ce qui n'a pas encore été vérifié. Une information incomplète peut être communiquée de manière transparente, à condition de distinguer clairement les faits confirmés des investigations en cours.
Tester les moyens prévus
Un numéro de secours inutilisé depuis plusieurs années, un annuaire obsolète ou un accès de messagerie dont personne ne connaît les identifiants peuvent rendre le dispositif inefficace.
Les moyens alternatifs doivent être régulièrement vérifiés, et pas uniquement mentionnés dans le plan de crise.
La capacité à communiquer sans les outils habituels constitue une composante essentielle de la préparation d'une cellule de crise cyber.
7. Définir les conditions d'activation de la cellule
Tous les incidents de sécurité informatique ne nécessitent pas l'activation d'une cellule de crise.
Une tentative de phishing détectée et bloquée, par exemple, peut être traitée par les équipes compétentes sans mobiliser l'ensemble de la direction.
En revanche, un incident qui menace les activités essentielles, provoque une indisponibilité majeure ou nécessite des arbitrages inhabituels peut justifier une montée en puissance du dispositif.
L'enjeu consiste à définir des critères d'escalade suffisamment clairs pour ne pas déclencher une cellule de crise à chaque alerte, sans attendre trop longtemps lorsqu'une situation devient critique.
Identifier les situations nécessitant une escalade
Plusieurs événements peuvent constituer des signaux d'alerte :
Une suspicion de rançongiciel affectant plusieurs systèmes.
Une compromission susceptible de se propager.
L'indisponibilité d'un service essentiel à l'activité.
Une suspicion de fuite de données sensibles.
Un incident chez un prestataire entraînant des conséquences majeures.
Une situation nécessitant des arbitrages urgents entre plusieurs activités.
Ces événements ne doivent pas nécessairement entraîner une activation automatique. Leur gravité, leur évolution et leurs conséquences potentielles doivent être évaluées selon les critères définis par l'entreprise.
Prévoir une procédure d'activation simple
La procédure doit notamment préciser qui reçoit l'alerte, qui qualifie sa gravité, qui peut décider de l'activation et comment les membres sont contactés.
Il faut également prévoir ce qui se passe lorsque les personnes habituellement responsables sont indisponibles.
Lors de son activation, la cellule doit pouvoir établir rapidement un premier état de situation, identifier les priorités immédiates et organiser les prochains échanges.
La première réunion n'a pas vocation à résoudre toutes les inconnues. Elle doit permettre de partager une compréhension commune de la situation et de décider des premières orientations.
Adapter le délai de mobilisation
Le délai d'activation attendu dépend de la criticité des activités, de l'organisation des astreintes et des moyens disponibles.
Une entreprise industrielle fonctionnant en continu n'aura pas nécessairement les mêmes exigences qu'une structure dont les activités sont interrompues la nuit.
L'important est de définir un objectif réaliste, cohérent avec les impacts potentiels et régulièrement testé.
Une procédure d'activation efficace doit être suffisamment simple pour fonctionner, même lorsque les interlocuteurs habituels ne sont pas joignables.
8. Intégrer la continuité d'activité dès le début
Lorsqu'une cyberattaque perturbe le système d'information, l'attention se porte naturellement sur la restauration des outils informatiques.
Mais la reprise technique n'est pas toujours synonyme de reprise de l'activité.
Un serveur peut être disponible alors que les équipes ne disposent plus des données nécessaires pour travailler. À l'inverse, certaines activités peuvent être maintenues temporairement sans leur environnement informatique habituel.
C'est pourquoi la continuité d'activité doit être intégrée dès les premières réflexions de la cellule de crise.
Identifier les activités à préserver en priorité
L'entreprise doit connaître ses processus essentiels, leurs dépendances et les conséquences d'une interruption prolongée.
Pour une PME industrielle, il peut s'agir de maintenir une ligne de production, de sécuriser les expéditions ou de préserver une fonction liée à la sécurité des personnes.
Pour une entreprise de services, la priorité peut concerner l'accès aux dossiers clients, la gestion des engagements contractuels ou la continuité d'une prestation critique.
Ces priorités doivent être définies avec les responsables métiers et ne peuvent pas reposer uniquement sur une appréciation informatique.
Prévoir des modes de fonctionnement dégradés
Un plan de continuité d'activité (PCA) doit permettre d'identifier les solutions envisageables lorsque les moyens habituels deviennent indisponibles.
Il peut s'agir, selon les contraintes et les contrôles nécessaires, de procédures manuelles, de moyens de communication alternatifs, d'un transfert temporaire d'activité ou de l'utilisation d'équipements de secours.
Ces solutions doivent être réalistes, compatibles avec les exigences de sécurité et testées avant d'être considérées comme opérationnelles.
Un mode dégradé mal préparé peut lui-même générer de nouveaux risques, notamment en matière d'erreurs, de confidentialité ou de traçabilité.
Articuler le PCA et le PRA
Le PCA vise à maintenir les activités essentielles à un niveau acceptable pendant la perturbation. Le plan de reprise d'activité (PRA) organise le rétablissement des activités et des ressources nécessaires selon des priorités définies.
Dans le domaine informatique, on parle également de plan de reprise informatique, qui constitue une composante de cette démarche.
Les décisions de restauration doivent donc s'appuyer sur les besoins des métiers, et pas uniquement sur la facilité technique de remise en service d'un système.
Restaurer en premier ce qui est le plus simple n'est pas nécessairement restaurer ce qui est le plus important.
La cellule de crise doit permettre de confronter les possibilités techniques aux priorités opérationnelles afin de construire une stratégie de continuité et de reprise cohérente.
9. S'appuyer sur les référentiels sans complexifier inutilement le dispositif
Construire une cellule de crise cyber ne signifie pas repartir de zéro.
Des référentiels et des guides existent pour aider les organisations à structurer leur préparation, définir les responsabilités et organiser les réponses en situation de crise.
L'Agence nationale de la sécurité des systèmes d'information (ANSSI) propose notamment plusieurs ressources consacrées à la gestion des crises d'origine cyber, à leur préparation et à l'organisation d'exercices.
Les normes ISO 22301, relative au management de la continuité d'activité, et ISO/IEC 27035, consacrée à la gestion des incidents de sécurité de l'information, apportent également des repères complémentaires.
Adapter les bonnes pratiques à la réalité de l'entreprise
Pour une PME, l'objectif n'est pas de reproduire l'ensemble des dispositifs d'un grand groupe.
Une organisation peut commencer avec un socle relativement simple : des membres identifiés, des responsabilités définies, des critères d'activation, des moyens de communication de secours, des fiches de rôle, une main courante et une connaissance claire des activités prioritaires.
Ce dispositif doit ensuite évoluer selon la taille de l'entreprise, ses dépendances, son exposition aux risques et les enseignements tirés des exercices.
Il faut également tenir compte des obligations réglementaires ou contractuelles applicables.
Par exemple, lorsqu'un incident constitue une violation de données personnelles présentant un risque pour les droits et libertés des personnes, une notification à la CNIL peut être nécessaire, dans les meilleurs délais et si possible dans les 72 heures après en avoir pris connaissance. Cette obligation doit être évaluée avec les fonctions compétentes, et ne concerne pas automatiquement toute cyberattaque.
Privilégier l'utilité à la quantité de documents
Un dispositif de gestion de crise peut être parfaitement documenté et rester difficilement utilisable.
La question à se poser est simple : si le système d'information devenait inaccessible demain, les personnes concernées sauraient-elles comment se mobiliser, communiquer et prendre leurs premières décisions ?
Si la réponse est incertaine, il est probablement nécessaire de revoir la préparation, plutôt que d'ajouter une nouvelle procédure.
Les référentiels apportent un cadre précieux. Leur valeur dépend de la manière dont l'entreprise se les approprie et les traduit en pratiques opérationnelles.
10. Tester la cellule avec un exercice de crise cyber
Une cellule de crise peut sembler parfaitement organisée sur le papier. Les rôles sont définis, les procédures existent et les moyens de communication sont identifiés.
Mais comment savoir si l'ensemble fonctionnera réellement ?
C'est précisément l'intérêt d'un exercice de crise cyber.
L'exercice permet de confronter les participants à une situation inhabituelle, de vérifier la coordination entre les fonctions et d'observer la manière dont les décisions sont prises.
Il ne s'agit pas simplement de vérifier que chacun connaît sa procédure. Il s'agit de mettre à l'épreuve le fonctionnement collectif.
Commencer par un exercice adapté à sa maturité
Une PME peut débuter par un exercice sur table, également appelé tabletop, réunissant les principaux responsables autour d'un scénario fictif.
L'ANSSI propose également un guide méthodologique pour organiser un exercice de gestion de crise cyber, depuis sa préparation jusqu'au retour d'expérience.
Un format de quelques heures peut permettre de tester les rôles, les circuits de décision ou les premières communications. Il ne suffit toutefois pas à valider l'ensemble des capacités de gestion d'une crise prolongée.
Des exercices plus approfondis pourront ensuite intégrer plusieurs équipes, des prestataires, des interruptions de moyens de communication ou des événements évoluant sur plusieurs jours.
Le choix du format dépend des objectifs recherchés.
Exemple de scénario : une attaque par rançongiciel
Imaginons une PME industrielle confrontée à une série d'événements.
8 h 30 : plusieurs collaborateurs signalent des fichiers devenus inaccessibles.
8 h 45 : le prestataire informatique identifie une activité suspecte sur plusieurs systèmes.
9 h 00 : l'ERP devient indisponible, perturbant les commandes et la production.
9 h 30 : un client stratégique demande si ses données sont concernées.
10 h 00 : la direction de production doit décider si certaines activités peuvent continuer en mode dégradé.
10 h 30 : une demande de rançon est découverte.
Ce scénario fictif permet de faire émerger plusieurs questions : à quel moment la cellule aurait-elle dû être activée ? Qui décide des priorités ? Comment les équipes techniques et métiers partagent-elles leurs informations ? Quelles communications peuvent être réalisées sans disposer de toutes les réponses ?
L'intérêt de l'exercice ne réside pas dans la capacité à trouver immédiatement une solution parfaite, mais dans l'observation des comportements, de la coordination et des arbitrages.
Observer ce qui se passe réellement
Pendant l'exercice, plusieurs éléments méritent une attention particulière.
Les rôles sont-ils compris ? Les informations circulent-elles correctement ? Les participants distinguent-ils les faits des hypothèses ? Les décisions sont-elles prises au bon niveau ? Les désaccords sont-ils traités ? Les conséquences métiers sont-elles intégrées aux réflexions ?
Il faut également observer les situations dans lesquelles la cellule hésite, attend une validation ou contourne ses propres procédures.
Ces difficultés constituent souvent les enseignements les plus utiles.
Transformer les observations en améliorations
Un exercice ne devrait pas se terminer sur la seule satisfaction d'avoir participé.
Le retour d'expérience doit identifier les points forts, les difficultés rencontrées et les améliorations nécessaires. Chaque action corrective doit ensuite disposer d'un responsable et d'une échéance.
La fréquence des entraînements doit être adaptée à l'exposition de l'entreprise, aux changements de son organisation et aux exigences qui lui sont applicables.
Un exercice après une évolution majeure du système d'information, un changement de prestataire ou une réorganisation peut notamment permettre de vérifier que le dispositif reste cohérent.
Une cellule de crise ne devient pas efficace parce qu'elle a été testée une fois. Elle progresse en s'entraînant, en tirant les enseignements de ses difficultés et en faisant évoluer ses pratiques.
11. Préparer les personnes, pas seulement les procédures
Il existe une dimension de la gestion de crise que les organigrammes et les procédures ne suffisent pas à couvrir : le facteur humain.
Une crise cyber place les équipes dans un environnement inhabituel. Les informations sont parfois contradictoires, les sollicitations se multiplient, les conséquences évoluent et les décisions doivent être prises sans disposer de toutes les réponses.
Même des professionnels expérimentés peuvent être déstabilisés par cette situation.
Apprendre à travailler ensemble sous pression
Connaître son rôle ne garantit pas que l'on saura l'exercer lorsque la pression augmente.
Un dirigeant peut hésiter à prendre une décision dont il mesure les conséquences. Un responsable technique peut avoir du mal à exprimer ses incertitudes. Un responsable métier peut défendre la reprise de son activité sans percevoir l'ensemble des risques.
Ces réactions ne traduisent pas nécessairement un manque de compétence. Elles illustrent les difficultés propres à une situation où plusieurs priorités légitimes entrent en tension.
La préparation doit donc permettre aux membres de la cellule d'apprendre à confronter leurs analyses, à exprimer leurs désaccords et à prendre des décisions collectives sans rechercher systématiquement un consensus parfait.
Prendre en compte la fatigue et la durée de la crise
Une crise cyber peut durer plusieurs jours, parfois davantage. Les équipes doivent alors maintenir leur capacité de décision malgré la fatigue, la pression et l'accumulation des problèmes.
Prévoir des suppléants ne suffit pas toujours. Il faut également organiser les relais, les transmissions, les temps de repos et la conservation des informations nécessaires à la continuité du pilotage.
Une personne indispensable qui travaille sans interruption peut progressivement devenir un point de fragilité pour l'organisation.
Accepter que le scénario ne se déroule pas comme prévu
Une cellule de crise ne peut pas être préparée à toutes les situations possibles.
Elle peut en revanche développer sa capacité à s'adapter, à remettre en question ses hypothèses et à faire évoluer ses décisions lorsque de nouvelles informations apparaissent.
C'est aussi pour cette raison que les exercices doivent parfois sortir des scénarios trop prévisibles.
Le véritable test d'une cellule de crise n'est pas de vérifier si chacun connaît sa procédure. C'est d'observer si l'organisation reste capable de décider et d'agir lorsque cette procédure ne suffit plus.
Une organisation résiliente ne repose pas uniquement sur la qualité de ses documents. Elle repose également sur des personnes préparées à travailler ensemble dans l'incertitude.
FAQ
Qui doit diriger une cellule de crise cyber dans une PME ?
La direction générale ou une personne disposant d'un mandat adapté peut assurer la direction de crise. Le DSI et le RSSI apportent leur expertise technique, mais les arbitrages ayant des conséquences importantes sur l'entreprise nécessitent une vision globale intégrant les enjeux métiers, financiers et organisationnels.
Combien de personnes faut-il dans une cellule de crise cyber ?
Il n'existe pas de nombre idéal. La taille de la cellule dépend de l'organisation et des enjeux à couvrir. L'essentiel est de réunir les fonctions nécessaires à la prise de décision, tout en évitant de multiplier les participants sans rôle précis. Dans les petites structures, plusieurs responsabilités peuvent être assurées par une même personne.
Faut-il intégrer son prestataire informatique à la cellule ?
Lorsqu'un prestataire intervient sur des systèmes critiques, son implication dans la gestion de crise doit être anticipée. Il peut participer aux points opérationnels et apporter son expertise lors des arbitrages. Son rôle, ses modalités de mobilisation et ses responsabilités doivent être définis en amont, idéalement dans les engagements contractuels et les procédures de crise.
Quelle différence entre une cellule de crise et une équipe de réponse à incident ?
L'équipe de réponse à incident se concentre principalement sur les aspects techniques de l'incident : analyse, confinement, investigation et remédiation. La cellule de crise pilote les conséquences plus larges pour l'organisation, notamment les décisions stratégiques, la continuité d'activité, la communication et la coordination des parties prenantes. Les deux dispositifs doivent travailler ensemble.
À quelle fréquence faut-il organiser un exercice de crise cyber ?
La fréquence dépend de l'exposition aux risques, de la criticité des activités, des changements organisationnels et des éventuelles obligations applicables. Un entraînement régulier est préférable à un exercice isolé. Il est également pertinent de tester le dispositif après des modifications importantes de l'organisation, des systèmes ou des prestataires.
Une cellule de crise doit-elle gérer les obligations légales et réglementaires ?
La cellule doit intégrer ces enjeux dans son pilotage, avec l'appui des personnes compétentes : juriste, DPO, responsable conformité ou conseil externe. Selon la situation, des obligations de notification, de déclaration, de conservation des preuves ou d'information des parties concernées peuvent s'appliquer. Elles doivent être évaluées au regard des faits et du cadre applicable à l'entreprise.
Conclusion : une cellule de crise efficace se construit avant la crise
Constituer une cellule de crise cyber ne consiste pas à dresser une liste de responsables ou à rédiger une procédure supplémentaire.
C'est avant tout organiser la capacité de l'entreprise à prendre des décisions lorsque ses repères habituels sont bouleversés.
Une cellule efficace repose sur des responsabilités claires, des circuits de décision connus, une bonne articulation entre les équipes techniques et les métiers, ainsi que des moyens de coordination capables de fonctionner en situation dégradée.
Mais cette organisation ne prend réellement son sens que lorsqu'elle est éprouvée.
Les exercices permettent de confronter les procédures aux réactions humaines, de révéler les incompréhensions et de vérifier que les décisions peuvent être prises malgré l'incertitude.
Une cellule de crise n'a pas besoin d'être parfaite sur le papier. Elle doit être capable de fonctionner dans la réalité.
Et votre entreprise, serait-elle prête ?
N.Y.A Consulting accompagne les organisations dans la préparation de leur gestion de crise cyber, la structuration de leurs dispositifs et la réalisation d'exercices permettant de tester leur capacité de décision et de coordination.
Basée dans le Territoire de Belfort, N.Y.A Consulting intervient notamment auprès des entreprises de Belfort, Montbéliard et Mulhouse, ainsi que partout en France.
Vous souhaitez évaluer votre préparation ou mettre votre cellule de crise à l'épreuve ?
Commentaires