Gestion de crise cyber : organiser la cellule de crise

Tous les incidents de sécurité ne sont pas des crises. Le guide de l'ANSSI et du Club des directeurs de sécurité des entreprises (CDSE), Crise d'origine cyber, les clés d'une gestion opérationnelle et stratégique, parle de crise quand une action malveillante sur les systèmes d'information provoque une déstabilisation immédiate et majeure du fonctionnement de l'organisation : arrêt des activités, impossibilité de produire ou de rendre le service.

Le guide en souligne plusieurs spécificités : une double temporalité (l'urgence des premières heures, puis une reconstruction très longue), un périmètre incertain, une menace qui peut évoluer pendant la crise et un risque de propagation à des partenaires. D'où sa formule : une crise cyber est une épreuve d'endurance, pas un sprint.

Ces phases se chevauchent : on communique dès la première heure, et le mode dégradé des métiers dure souvent jusqu'à la fin de la troisième phase. La reprise informatique de la phase 3 est détaillée dans le chapitre plan de reprise d'activité.

Le guide de l'ANSSI recommande d'adapter l'organisation de crise existante au scénario cyber plutôt que d'en créer une nouvelle. Il distingue deux niveaux qui travaillent ensemble :

• la cellule stratégique, ou décisionnelle : elle fixe la stratégie de conduite de crise, arbitre, coordonne et porte la parole de l'organisation vers l'extérieur ;
• le volet opérationnel cyber et informatique : il pilote l'investigation, l'endiguement, le durcissement, la remédiation et la reconstruction, et rend compte à la cellule stratégique ;
• les autres cellules, activées selon les besoins : métiers, communication, ressources humaines, logistique, juridique, finances, experts.

Le déclenchement peut venir du haut (la direction décide d'activer la cellule) ou du bas (les équipes opérationnelles l'activent si l'urgence l'exige). Les critères de déclenchement doivent donc être écrits à l'avance et connus de l'astreinte.

La main courante est le journal chronologique de la crise. On y inscrit, avec l'heure et l'auteur, les informations reçues, les décisions prises et les actions lancées. L'ANSSI souligne qu'elle informe les équipes des actions en cours et qu'elle sert aussi à suivre les actions et les frais engagés.

• elle permet à une équipe qui prend la relève de comprendre la situation sans tout redemander ;
• elle sert de base aux points de situation et aux communications ;
• elle fournit les éléments datés utiles à l'assureur, aux autorités et à une éventuelle plainte ;
• elle alimente le retour d'expérience.

Parce que la crise dure, le guide de l'ANSSI insiste sur la préparation matérielle et humaine :

• des moyens hors ligne : procédures de crise, annuaire de crise et contacts des prestataires disponibles sans le système d'information ;
• des moyens de communication de secours, internes et externes, identifiés et testés à l'avance, car la messagerie et parfois la téléphonie sont touchées ;
• des rotations : planning des équipes, suivi des heures travaillées, temps de récupération ;
• la logistique : restauration, hébergement, transport, accès aux locaux jour et nuit ;
• des critères de sortie de crise, réévalués en continu, et une baisse progressive du rythme de mobilisation.

Le guide rappelle aussi qu'il ne faut pas payer la rançon : le paiement entretient le système criminel et ne garantit pas la récupération des données.

Le CERT-FR, dans ses bons réflexes en cas d'intrusion, liste les appuis possibles : le CERT-FR lui-même pour les incidents d'importance nationale, les centres régionaux de réponse aux incidents (CSIRT régionaux) pour les organisations de taille intermédiaire, des prestataires de réponse aux incidents qualifiés pour les systèmes complexes, les prestataires informatiques habituels et l'assureur, à prévenir le plus tôt possible.

Plusieurs déclarations peuvent être obligatoires, avec des délais courts. Mieux vaut les avoir préparées :

Le CERT-FR recommande aussi de déposer plainte. Pour le détail des obligations NIS 2 et DORA, voir nos guides NIS 2 et DORA.

Le troisième volume de la collection de l'ANSSI, Anticiper et gérer sa communication de crise cyber, part d'un constat : une bonne communication de crise cyber repose surtout sur les réflexes de toute communication de crise, avec quelques contraintes propres. Ses fiches couvrent la préparation (scénarios, boîte à outils), l'organisation et la stratégie, la rédaction des messages clés, la communication interne et externe, puis l'après-crise.

• communiquer d'abord en interne : le personnel doit apprendre la situation par la direction, pas par la presse ;
• ne dire que ce qui est établi, et dire ce que l'on ne sait pas encore ;
• coordonner chaque message avec la cellule stratégique, le juridique et, le cas échéant, les autorités ;
• prévoir les canaux si la messagerie est inutilisable : téléphone, affichage, site de secours, réseaux sociaux.

Rien de tout cela n'est improvisé : les rôles, l'annuaire papier, la salle, les critères de déclenchement avaient été testés lors d'un exercice l'année précédente. C'est l'objet du dernier chapitre, exercice de crise cyber.