70 jours en cellule de crise par Joseph Graceffa

Un dirigeant m'appelle un matin à 8h. J'en prendrai pour 70 jours.

Je suis RSSI d’un family office. Un matin, on m’appelle pour me signaler qu’une des filiales de la holding a été attaquée. On m’invite à prendre contact avec le DG, ce que je fais immédiatement. 

Il me dit : “Je ne sais pas qui tu es mais ramène tes copains. Je crois qu’on a un vrai problème et qu’on va avoir besoin d’aide.” 

On raccroche. L’appel a duré 2 minutes, j’y passerai 70 jours. 

Dans ma tribune précédente, je parlais de ce qu'on prépare : la cartographie, les clauses, le bon profil. Toutefois, la prévention ne peut pas tout. Les crises sont inévitables. J’en ai traversé plusieurs au cours de ma carrière. Voici les enseignements que j’aurais aimé avoir avant de les affronter. 

Les trois temps

Je schématise mais une cyberattaque majeure se traite généralement en trois mouvements :

• Cloisonner. Limiter les accès internet, reprendre le contrôle des machines. On ne les éteint pas systématiquement car elles détiennent parfois les clés de sortie de la crise. Pour autant, on renvoie les équipes chez elles sans leur matériel pour reprendre la main. Ce n'est pas un réflexe technique, c'est une décision d'entreprise. Les arbitrages sont business : qui mettre au chômage technique ? Comment assurer que les magasins continuent de vendre ?
  
  

• Comprendre. Investiguer en préservant les preuves — elles seront réclamées à la fois par la justice et par l'assureur, et on ne les récupère pas a posteriori. Identifier le point d'entrée : une infrastructure réseau mal isolée, une machine exposée, souvent un service tiers.

  
  

• Reconstruire. Rallumer les branches progressivement, sous contrôle. Rien ne se rallume d'un bloc.

Ces trois temps sont généralement bien connus. Ce qui décide de leur réussite est ailleurs.

Le tempo est un outil de pilotage

Voici ce que je n'avais pas anticipé avant de le vivre : le rythme de communication en cellule de crise est un instrument pour la piloter.

La clé réside dans le fait de prévoir des points de synchronisation cadencés, et décroissants. 

Au début, ces points peuvent avoir lieu toutes les 2h, puis 4h, puis 8h, jusqu’à 1 fois par jour une fois le régime établi. Le simple fait de passer de 2h à 4h envoie une information à l’ensemble des équipes mobilisées; le board, les équipes, le métier. On véhicule le message que la situation se stabilise.

Au cours de ces points, soyez discipliné(e). Astreignez-vous à systématiquement dire ce que l'on sait, ce que l'on ne sait pas encore, ce que l'on fait. 

Il est salutaire de ne pas minimiser, mais également de ne pas surjouer. 

Cette rigueur évite deux choses qui coûtent cher en crise : les décisions irréversibles prises dans la panique, et le besoin permanent, épuisant pour tous, de savoir où on en est.

L'intendance et la limite humaine

Ce deuxième enseignement est si évident, qu’il est systématiquement négligé.

Une loi inéluctable de la crise : vous n’irez jamais plus loin que vos équipes vous le permettront. Prendre soin d’elles est au cœur du réacteur. 

L'intendance n'est donc pas un détail. Les repas, les espaces de repos : ça se prévoit, au même titre qu'un plan de communication.

L’intensité et la durée de ces crises dénaturent tout. La fatigue cesse de relever de l’inconfort, cela devient un facteur de risque. Après quelques jours d'équipes mobilisées jour et nuit, elle génère des erreurs, et en pleine investigation une erreur se paie cher. On rate un point d'entrée, on referme trop vite une piste, on rallume une branche qu'il fallait encore surveiller.

La tentation de garder tout le monde sur le pont est forte. Pourtant, je recommanderais plutôt de revenir le plus rapidement possible à un rythme de 9h - 19h, même si la crise n’est pas finie. Cette décision devra être réévaluée chaque jour mais elle permettra de ménager la première ligne et préserver la qualité de leur jugement.

Les alliés, et les batailles qui ne valent pas d'être menées

Une cellule de crise ne tient pas seule. Vos meilleurs alliés dans ces moments-là : les équipes opérations, le juridique, la communication, et quelques partenaires de confiance mobilisables en mode commando.

Ces partenaires-là ne se trouvent que rarement le jour J. On ne découvre que rarement un bon prestataire de réponse à incident pendant l'incident par exemple. 

J’aime voir ce comité de crise comme un projet qu’on construit dans le calme, avec conscience et préparation. Ce sont des relations dans lesquelles on investit pour pouvoir collaborer de manière fluide le moment venu.

Avoir établi ce climat de confiance devrait notamment vous éviter l’un des pièges les plus fréquents en cas de crise : chercher un coupable immédiatement. Au-delà du fait que cela ne fait pas avancer l'investigation, cela abîme une équipe qui aura besoin de tenir encore des semaines dans beaucoup de cas.

Cultivez la bienveillance et le pragmatisme. Évitez l’un des autres écueils communs consistant à vouloir tout analyser parfaitement avant d'agir. C'est le risque zéro qui revient sous un autre nom, et il coûte encore plus cher en crise qu'en temps normal. 

Dans ces moments, il faut décider avec ce qu'on sait, pas avec ce qu'on aimerait savoir.

Ce que 70 jours enseignent

Ce n'est pas la technique qui a le plus compté. Ce sont le tempo, l'intendance, et la lucidité sur ce qu'on ne saurait jamais parfaitement.

La crise ne récompense pas la perfection. Elle récompense ce qui avait été décidé avant — les modèles contractuels prêts, les partenaires identifiés, les priorités déjà tranchées.

Le risque conscient plutôt que le risque zéro : dans ma tribune précédente, c'était une posture. En cellule de crise, ça devient une méthode de survie opérationnelle.

—

Si ces sujets vous intéressent, nous aurons l’opportunité d’en discuter le 30 Septembre à 10h avec 6 autres experts du risque fournisseurs. Inscription gratuite.