Il est 7 h. La messagerie ne répond plus, l’annuaire des contacts de crise est sur un serveur inaccessible, et le plan de continuité est rangé… sur l’intranet. C’est le paradoxe de nombreux dispositifs : ils reposent sur le système d’information même qui vient de tomber.
Cet article propose une méthode et une checklist pour qu’une cellule de crise reste opérationnelle sans ses outils habituels. Les faits et recommandations issus de sources publiques sont signalés comme tels ; la méthode est une proposition d’Exerce-Ease, à adapter à votre organisation.
Ce que disent les références
Faits sourcés (voir la liste des sources en fin d’article) :
- L’ANSSI décrit la crise d’origine cyber par quatre traits : la mise en péril des objectifs prioritaires, la rapidité des impacts, la technicité du sujet et l’évolutivité de l’événement, l’attaquant pouvant réagir aux actions de l’organisation ciblée.
- Parmi ses recommandations de préparation, l’ANSSI demande de disposer d’un PCA robuste aux cyberattaques et d’un PRA, et de préparer les capacités de réponse à incident y compris en cas de perte des moyens informatiques et de communication habituels.
- L’ANSSI rappelle aussi que la sortie de crise peut être longue : réponse technique, investigation et rétablissement des systèmes peuvent prendre plusieurs mois.
- La norme ISO 22301:2019 fixe les exigences d’un système de management de la continuité d’activité, notamment pour continuer à fournir produits et services à un niveau acceptable défini à l’avance pendant une perturbation.
Conséquence pratique : la question n’est pas seulement « comment réparer le SI ? », mais « comment décider, communiquer et maintenir l’essentiel pendant des jours, voire des semaines, sans lui ? ».
La méthode en six temps
1. Basculer en mode dégradé
Définissez à l’avance qui peut déclarer le passage en mode dégradé et sur quels critères. Prévoyez un point de ralliement physique et un moyen de convocation qui ne dépend pas du SI : arbre d’appel téléphonique, numéro de pont audio, liste papier.
2. Communiquer hors du système d’information
Considérez la messagerie et les outils collaboratifs internes comme indisponibles ou potentiellement compromis. Activez des canaux de secours préparés et testés : téléphones et lignes indépendants du réseau de l’entreprise, liste de contacts imprimée, consignes simples sur ce qui peut ou non transiter par ces canaux.
3. Piloter sur papier
Ouvrez immédiatement une main courante horodatée (qui, quoi, quand, décision prise). Affichez un tableau de situation : faits établis, hypothèses, décisions, actions en cours, prochain point. Ce support devient la mémoire de la crise et la base du retour d’expérience.
4. Protéger les activités essentielles
Reprenez la liste des activités prioritaires identifiées dans votre analyse d’impact (BIA). Pour chacune : quel est le délai maximal d’interruption acceptable, existe-t-il une procédure manuelle, qui la déclenche ? Ce qui n’a pas été préparé avant la crise sera très difficile à improviser pendant.
5. Articuler décision et réponse technique
L’ANSSI recommande d’articuler le pilotage de la crise, côté métiers, et la réponse à incident, côté technique. Désignez un interlocuteur unique entre la cellule décisionnelle et l’équipe technique, avec des points de synchronisation à heure fixe. La cellule décide des priorités métier ; l’équipe technique informe sur ce qui est possible et quand.
6. Tenir dans la durée
Une crise longue épuise les équipes. Organisez des relèves, désignez des suppléants pour chaque rôle clé et planifiez le rythme des réunions dès le premier jour. Préparez aussi la communication interne : les collaborateurs privés d’outils ont besoin de consignes claires et régulières.
Checklist opérationnelle
Avant la crise
- Un kit de crise hors ligne existe : annuaire de crise imprimé, fiches réflexes, plan de continuité imprimé, coordonnées des prestataires et partenaires clés.
- Les canaux de communication de secours sont identifiés, distribués et testés.
- La liste des activités essentielles et de leurs procédures manuelles est à jour.
- Les rôles de la cellule (pilote, secrétariat de crise, liaison technique, communication) ont chacun un titulaire et un suppléant.
- Un prestataire de réponse à incident est identifié et, le cas échéant, contractualisé (recommandation de l’ANSSI).
- Le dispositif a été testé lors d’un exercice simulant la perte du SI.
Dans les premières heures
- Décision de passage en mode dégradé prise et horodatée.
- Cellule réunie physiquement ou sur un pont audio de secours.
- Main courante et tableau de situation ouverts.
- Interlocuteur unique avec l’équipe technique désigné.
- Premières consignes diffusées aux collaborateurs par un canal de secours.
- Activités essentielles passées en procédures manuelles si nécessaire.
- Parties prenantes externes prioritaires identifiées pour la communication.
Dans la durée
- Points de situation à heure fixe, avec compte rendu papier.
- Relèves organisées pour la cellule et les équipes techniques.
- Suivi des décisions et des actions dans la main courante.
- Métiers associés au plan de reprise et à l’ordre de redémarrage des services.
En sortie de crise
- Critères de sortie de crise définis et décision formalisée.
- Retour d’expérience organisé à partir de la main courante.
- Plan d’amélioration priorisé, avec responsables et échéances.
Exemple fictif : une matinée sans SI
Scénario fictif, à visée pédagogique. Une PME de 80 salariés constate à l’ouverture que ses postes et serveurs affichent une demande de rançon. Le directeur général déclenche le mode dégradé et convoque la cellule par l’arbre d’appel téléphonique. La responsable administrative ouvre la main courante sur un cahier. Le responsable informatique devient l’interlocuteur unique avec le prestataire de réponse à incident. Les commandes urgentes sont traitées à partir des bons papier prévus dans le PCA. À 10 h, un premier message est envoyé aux salariés par SMS depuis des téléphones de secours : ne pas allumer les postes, attendre les consignes de leur manager.
Ce déroulé ne fonctionne que si chaque élément (arbre d’appel, bons papier, téléphones de secours) a été préparé et testé avant.
Testez votre mode dégradé avant le jour J
L’ANSSI insiste sur la nécessité de s’entraîner pour pratiquer et s’améliorer, et a publié en 2020 avec le Club de la continuité d’activité un guide dédié à l’organisation d’exercices de crise cyber.
Un exercice centré sur la perte du SI révèle rapidement ce qu’aucune relecture de procédure ne montre : l’annuaire papier qui n’est plus à jour, le pont audio dont personne ne connaît le code, la procédure manuelle que seule une personne maîtrise.
Action utile cette semaine : demandez à votre cellule de crise de retrouver, sans ordinateur ni messagerie, le numéro de téléphone de trois partenaires critiques et la procédure manuelle de votre activité la plus sensible. Notez le temps nécessaire et ce qui manque.
Pour aller plus loin, Exerce-Ease permet de simuler une indisponibilité du SI avec des stimuli réalistes (SMS, appels, sollicitations médias, informations techniques) et d’en tirer un retour d’expérience exploitable.
Demander une démonstration : https://www.exerce-ease.com/contact.php