Une crise de direction, pas une panne informatique
Une attaque majeure touche d’abord les usagers et les agents : guichets fermés, actes impossibles à délivrer, soins désorganisés, paie menacée. Les décisions à prendre dans les premières heures sont des décisions de direction : couper ou non des réseaux, fermer ou non des services, communiquer quoi et à qui. La technique éclaire, elle ne tranche pas.
C’est pourquoi le pilotage revient à la direction générale et à l’exécutif, avec deux cellules distinctes :
- une cellule décisionnelle, restreinte : direction générale, élu ou autorité référente, DSI, communication, juridique, ressources humaines ;
- une cellule opérationnelle, technique : DSI, RSSI, prestataires, qui enquête, contient et reconstruit.
Les confondre épuise les techniciens en réunions et prive la direction d’une vision d’ensemble.
Les premières heures
- Contenir : isoler ce qui est touché, sans éteindre les machines dont les traces serviront à l’enquête.
- Alerter : activer la cellule de crise par un canal qui ne dépend pas du système compromis.
- Demander de l’aide : prestataire de réponse à incident, centre de réponse régional, CERT-FR de l’ANSSI selon la nature de l’organisation.
- Préserver les preuves et préparer le dépôt de plainte.
- Passer en mode dégradé : déclencher les procédures papier des services essentiels.
- Tenir une main courante : chaque décision, son heure, son auteur.
Les déclarations à ne pas oublier
Si des données personnelles sont touchées, le règlement général sur la protection des données impose de notifier la violation à la CNIL dans les 72 heures après en avoir pris connaissance, sauf si elle ne présente pas de risque pour les personnes, et d’informer les personnes concernées lorsque le risque est élevé. Selon le secteur, d’autres déclarations s’ajoutent : autorité nationale de cybersécurité pour les entités régulées, autorités sanitaires pour les établissements de santé. La liste des déclarations applicables se prépare à froid, avec le délégué à la protection des données.
Communiquer
Le silence alimente les rumeurs, les promesses de retour rapide se retournent contre ceux qui les font. Une communication de crise tient en trois principes : dire ce que l’on sait, dire ce que l’on fait, ne pas annoncer de date que l’on ne maîtrise pas. Quatre publics attendent une information adaptée : les agents, les usagers, les élus ou la tutelle, la presse. Des messages types rédigés à l’avance font gagner des heures.
Ce qui se prépare avant
- Un annuaire de crise hors ligne : numéros personnels, prestataires, assureur, autorités. Sur papier et sur des téléphones indépendants.
- Des fiches réflexes d’une page par rôle.
- Une cartographie imprimée des services essentiels et des applications qui les portent : en crise, l’outil de cartographie est souvent lui-même indisponible. Voir cartographier le SI.
- Un ordre de redémarrage validé par la direction, issu du plan de reprise.
- Des moyens de secours : messagerie et visioconférence indépendantes, postes sains, salle équipée.
- Un exercice par an, avec la direction générale, sur un scénario réaliste.
Après : un retour d’expérience sans blâme
La reconstruction dure des semaines, parfois des mois. Une fois le service rétabli, un retour d’expérience établit les faits, sans chercher de coupable : comment l’attaquant est entré, ce qui a ralenti la réponse, ce qui a bien fonctionné. Il débouche sur un plan d’amélioration priorisé, présenté à l’exécutif. Les organisations qui en sortent renforcées sont celles qui traitent la crise comme une source d’information sur leur propre fonctionnement.
Si notre messagerie et notre annuaire étaient indisponibles dans une heure, saurions-nous joindre les dix personnes qui doivent décider ? Si la réponse est non, c’est la première action à engager, et elle ne coûte rien.
Dans la méthode DYNAMAP SI
La préparation de crise repose sur l’inventaire des services essentiels, sur un dialogue installé entre DSI et métiers, et sur des indicateurs suivis par la direction.
- 1Phase 1 · Analyse de l’existant : inventorier les actifs, les processus et les risques tels qu’ils sont réellement.
- 6Phase 6 · Collaboration IT et métiers : installer un dialogue régulier entre la DSI et les directions métiers.
- 7Phase 7 · Tableaux de bord de la DSI : piloter par des indicateurs de risques, de dette, de coûts et d’avancement.
La méthode appliquée au secteur public · Le framework complet sur dynamap.fr
Pour approfondir : les livres de la collection
Gestion des incidents et des crises du Système d’Information
Préparer, conduire et clore une crise : cadre et responsabilités, préparation, gestion en temps réel, crise majeure et continuité, retour d’expérience sans blâme. Avec un modèle d’analyse d’impact sur l’activité.
Mettre en place un Plan de Reprise d’Activité (PRA)
Construire un plan de reprise d’activité : périmètre et analyse de risques, stratégie de reprise, mise en place opérationnelle, tests et exercices, maintien dans la durée. Avec le passage du PRA informatique à la continuité d’activité.
Toute la collection est présentée sur la page livres sur le système d’information.
Sources et références
Yann-Eric Devars
Architecte d’entreprise · créateur du framework DYNAMAP SI
Fondateur de Solve DSI, il accompagne depuis près de dix ans des organisations dans la cartographie et la gouvernance de leur système d’information. Il publie sur LinkedIn ses analyses sur les systèmes d’information publics ; les échanges entre pairs y sont ouverts.