Cyberattaque : comment activer efficacement sa cellule de crise

Une cyberattaque ne ressemble pas à ce que l'on imagine. Elle ne déclenche pas de sirène. Elle commence souvent par une anomalie discrète : un système qui rame, un accès qui échoue, une alerte que personne ne voit dans les logs. Quand l'organisation comprend ce qui se passe, l'attaquant est déjà là depuis des heures, parfois des jours.

Ce que les incidents des dernières années ont clairement démontré, c'est que la problématique première n'est pas d'ordre technique. Les organisations qui s'en sortent le mieux sont celles qui savaient quoi faire dans les premières heures, qui appeler, quoi couper, comment décider, comment parler. plus que celles qui avaient le meilleur firewall.

Les événements récents fournissent le contexte le plus éloquent qui soit.

Une cyberattaque n'est pas un incident informatique

La première erreur commise par la grande majorité des organisations est de confier la gestion d'une cyberattaque à l'équipe informatique. Cette erreur est compréhensible. L'attaque est technique, les premiers signaux sont techniques, les premières actions à mener sont techniques. Mais elle est coûteuse.

Une cyberattaque majeure est une véritable crise d'entreprise. Elle engage simultanément la continuité opérationnelle, la responsabilité juridique, la relation avec les autorités de contrôle (ANSSI, CNIL, régulateurs sectoriels), la communication externe, la relation avec les clients, les fournisseurs, les actionnaires. Aucune de ces dimensions ne relève de l'équipe IT seule.

Le cas Colonial Pipeline est à ce titre éclairant. La décision de couper le pipeline, choix qui a provoqué de graves pénuries, a été prise pour protéger les systèmes informatiques, pas les installations physiques. C'est une décision de gestion de crise qui n'avait été ni anticipée ni préparée. Elle a été adoptée dans l'urgence, sans arbitrage de la direction générale, et ses conséquences ont été trés impactantes.

Quand activer la cellule de crise cyber ?

La question du seuil d'activation est l'une des plus mal résolues dans les organisations. Trop souvent, la cellule de crise n'est activée qu'une fois que le désastre est avéré, quand les serveurs sont chiffrés, quand les données ont fuité, quand la presse a appelé. À ce stade, la fenêtre d'action optimale est déjà en partie fermée.

Les critères d'activation doivent être définis à froid, dans le plan de gestion de crise, et connus de tous les acteurs concernés. Voici les seuils qui font consensus dans les pratiques les plus matures :

La règle pratique : en cas de doute, on active. Il est toujours possible de désactiver une cellule de crise si l'incident se révèle maîtrisable. Il est beaucoup plus difficile de rattraper une situation qui a dégénéré faute d'activation à temps.

Composer et organiser la cellule de crise cyber

Une cellule de crise cyber efficace n'est pas l'équipe de réponse à incident (CSIRT ou SOC). Elle ne se substitue pas aux équipes techniques. Elle les pilote, les soutient et gère tout ce qu'elles ne peuvent pas gérer seules.

Sa composition minimale réunit trois dimensions : la dimension technique, la dimension décisionnelle et la dimension relationnelle.

La cellule doit disposer d'un espace de travail dédié, physique et virtuel, avec des moyens de communication indépendants des systèmes potentiellement compromis. Un canal de messagerie externe (Signal, téléphone) doit être prévu dès le plan de crise, avant l'incident.

Les priorités des premières heures

Les premières heures d'une cyberattaque sont déterminantes. Ce qui se passe dans cette fenêtre conditionne l'ampleur des dommages, la durée de la crise et la capacité de l'organisation à récupérer. Voici la séquence des actions critiques.

La communication de crise en situation cyber

Une cyberattaque génère une pression communicationnelle particulière. Elle touche à des données potentiellement sensibles, elle implique des tiers (clients, partenaires, sous-traitants), elle suscite des questions sur la robustesse de l'organisation. Et elle se déroule souvent sous le regard des médias spécialisés et des acteurs du secteur.

Trois principes guident la communication de crise cyber :

La communication interne est souvent négligée dans les plans de crise cyber. Or les collaborateurs - qui peuvent être à l'origine d'une fuite d'information vers l'extérieur, ou au contraire de facteurs de réassurance - doivent être informés rapidement et clairement. L'absence de communication interne génère de la rumeur, de l'anxiété et parfois des comportements contre-productifs.

Un sujet de direction générale

La gestion d'une cyberattaque ne peut pas rester confinée à la DSI ou au RSSI. Elle engage des décisions que seule la direction générale est habilitée à prendre : couper un système de production, notifier un régulateur, activer une clause contractuelle, communiquer publiquement sur un incident.

Les organisations les plus résilientes face aux cyberattaques partagent une caractéristique commune : leur direction générale a été impliquée dans la conception du plan de crise cyber avant l'incident, elle connaît les scénarios, elle sait ce qu'elle devra décider et dans quel délai. La cellule de crise est un dispositif qu'elle a validé en temps utiles et qu'elle active.

À l'inverse, les crises qui dégénèrent sont souvent celles où la direction générale découvre l'ampleur de l'incident en même temps qu'elle doit décider. Ce qui peut avant tout 'être analysé comme un problème'expliquer par un déficit de préparation.