Outils pratiques de gestion de crise

1 Fiche réflexe cyberattaque

Les premières minutes d'une cyberattaque conditionnent la suite. Cette fiche fixe les réflexes à appliquer dès la détection d'un incident sérieux, avant même que la situation soit complètement qualifiée.

Les sept premiers réflexes

1. Ne pas éteindre les machines touchées. Les déconnecter du réseau (câble, Wi-Fi) pour stopper la propagation, mais sans les arrêter : éteindre détruit des éléments de preuve présents en mémoire vive.
2. Isoler ce qui peut l'être. Couper les interconnexions entre sites ou segments réseau, suspendre les accès distants, geler les flux sensibles pour contenir l'attaque.
3. Préserver les preuves. Ne rien effacer, ne pas réinstaller dans l'urgence. Conserver journaux, alertes et messages : ils seront indispensables à l'investigation et à d'éventuelles démarches juridiques.
4. Activer la cellule de crise sous l'autorité de la direction générale. Une cyberattaque majeure n'est pas un incident informatique : elle engage la continuité, le juridique, la communication et les relations avec les autorités.
5. Alerter les bons interlocuteurs. CERT-FR / ANSSI, dépôt de plainte, notification CNIL sous 72 heures en cas de violation de données personnelles, information de l'assureur cyber (voir contacts ci-dessous).
6. Ne pas payer la rançon sans arbitrage. La décision de payer ou non relève de la direction générale et du juridique, jamais de l'équipe technique seule, et jamais dans la précipitation.
7. Communiquer de façon maîtrisée. Informer d'abord en interne, puis les parties prenantes directes. Une parole calibrée vaut mieux qu'un silence prolongé ou qu'une déclaration hâtive.

À ne pas faire

• Confier seul la gestion à l'équipe informatique, sans pilotage de direction.
• Redémarrer ou réinstaller les systèmes avant d'avoir préservé les preuves.
• Communiquer vers l'extérieur avant d'avoir informé les équipes internes.
• Affirmer publiquement que les données sont en sécurité avant de l'avoir vérifié.

2 Check-list de déclenchement d'une cellule de crise

Activer une cellule de crise au bon moment évite le basculement vers une situation hors de contrôle. Cette check-list structure la décision et les trente premières minutes.

Avant d'activer

• Qui déclenche ? Identifier nommément les personnes habilitées à activer la cellule (et leurs suppléants).
• Sur quels critères ? Propagation, atteinte à un système critique, exposition de données sensibles, obligation de notification, exposition médiatique, risque humain ou juridique.
• Qui convoquer ? Direction générale, fonction concernée, juridique, communication, RH, DSI / RSSI selon la nature de l'événement.
• Par quel canal ? Définir le moyen de convocation (téléphone, messagerie dédiée) et un canal de repli si les systèmes habituels sont indisponibles.

Les 30 premières minutes

• Ouvrir le livre de bord de crise et désigner la personne qui le tient.
• Établir un premier point de situation, même partiel (faits, hypothèses, inconnues).
• Fixer l'ordre du jour initial et la fréquence des points suivants.
• Ouvrir les documents de référence : plan de crise, annuaire, procédures applicables.
• Préparer les premiers messages internes et identifier les parties prenantes à informer.
• Vérifier les obligations réglementaires à très court terme (notifications, autorités).

3 Modèle de point de situation

Le point de situation donne à la cellule une vision partagée et actualisée. Il peut être affiché en salle de crise ou diffusé en visioconférence. À réactualiser à intervalle régulier.

4 Modèle de livre de bord de crise

Le livre de bord (ou main courante) trace en continu les faits, les décisions et les arbitrages. Il sécurise la conduite de crise, prépare le RETEX et constitue une pièce utile en cas de mise en cause ultérieure. À tenir par une personne dédiée.

5 Structure d'annuaire de crise

L'annuaire de crise rassemble, préparés à froid, les contacts mobilisables au déclenchement. Pour chaque rôle, prévoir un titulaire, un suppléant et un canal de contact, afin d'anticiper les indisponibilités.

6 Trame de RETEX post-crise

Le retour d'expérience transforme une crise vécue en enseignements réutilisables. Cette trame structure l'analyse à froid et débouche sur un plan d'action priorisé. Un RETEX sans plan d'action reste sans effet.

• Chronologie. Reconstitution des faits et de la séquence des décisions, à partir du livre de bord.
• Décisions clés. Arbitrages structurants, moment et niveau auxquels ils ont été pris.
• Points forts. Ce qui a bien fonctionné et mérite d'être pérennisé.
• Dysfonctionnements. Difficultés rencontrées et causes racines, sans recherche de responsable.
• Signaux faibles. Indices précoces non perçus ou non traités à temps.
• Coordination. Fonctionnement de la cellule, circulation de l'information, interfaces.
• Communication. Interne et externe : pertinence, délai, cohérence des messages.
• Documentation. Qualité de la traçabilité et des supports produits pendant la crise.
• Impacts. Conséquences humaines, opérationnelles, financières et réputationnelles.
• Actions correctives. Mesures à engager, chacune avec un responsable et une échéance.
• Priorisation 30 / 60 / 90 jours. Échelonnement des actions dans le temps.