Guide · Gestion de crise
Que faire dans la première heure d'une cyberattaque ?
Vous êtes PDG, directeur général ou directeur financier d'une entreprise de 50 à 500 personnes. Il n'y a pas de responsable crise dans l'effectif, et le premier appel qui arrive est celui de votre responsable informatique. Voici ce que la première heure doit produire, dans l'ordre — c'est l'ordre qu'une cellule de crise suit chez Winkel, tiré de dix ans de conseil en gestion de crise du fondateur.
Qualifier avant de décider
La première heure ne se passe pas dans la réponse technique, elle se passe dans la qualification. Ce qui se présente comme « un virus » est parfois une faille de paiement, un fournisseur touché ou une tentative de fraude par courriel. Trois questions suffisent à cadrer : qu'est-ce qui ne fonctionne pas, exactement, depuis quand, et qui l'a constaté. Tant que ces trois réponses ne sont pas posées par écrit, chaque personne de l'entreprise raconte une version différente de l'incident.
Décider qui pilote
Dans une entreprise de 50 à 500 personnes, la crise tombe sur le PDG, le directeur général ou le directeur financier. Le risque n'est pas qu'ils manquent de compétence : c'est qu'ils portent tout en même temps — la technique, le client, le personnel, le banquier. La première heure doit nommer un pilote de cellule, même si c'est vous, et nommer autour de lui ceux qui traitent : informatique, communication, ressources humaines, exploitation, juridique. Une cellule qui ne sait pas qui décide passe la deuxième heure à se retransmettre des informations au lieu d'en produire.
Alerter les bonnes personnes, vite
Un message dans une messagerie d'équipe se perd dans le flux : les membres de la cellule le voient avec une heure de retard ou pas du tout. Les personnes qui doivent se saisir de l'incident reçoivent une alerte directe, sur leur téléphone, avec le lien vers le lieu où la cellule travaille. C'est le seul canal qui atteint quelqu'un en réunion, en déplacement ou le week-end.
Tout tracer au fil de l'eau
Chaque fait, chaque action confiée et chaque décision prise entre dans un journal unique, horodaté, avec le nom de celui qui l'a écrit. Ce journal, la main courante, est ce qui manque cruellement au groupe de messagerie et au tableur partagé : personne n'y retrouve rien, et le point de situation de 14 h est réécrit de mémoire. La main courante sert trois fois : en direct pour décider, le soir pour rédiger le point de situation, et six mois plus tard pour l'assureur, l'avocat et la revue des leçons apprises.
Ne pas communiquer trop tôt
Un communiqué rédigé à 10 h sur une situation mal qualifiée est un communiqué qu'on devra rétracter à 15 h. Dans la première heure, on n'écrit presque rien vers l'extérieur : on note que la communication client et presse est gelée, on liste les questions qu'on devra répondre, et on prépare la première version du point de situation interne, la plus honnête possible sur ce qui est sûr et ce qui ne l'est pas.
Rédiger un premier point de situation
Avant la fin de la première heure, la cellule doit disposer d'un point de situation écrit : ce qu'on sait, ce qu'on a fait, ce qui est décidé, ce qui reste incertain. C'est le document qui remplace les relances individuelles, qui aligne la direction et qui sert de base à tout ce qui suivra — point suivant, communiqué, message au personnel. S'il est rédigé à partir de la main courante, il prend quelques minutes ; s'il est rédigé de mémoire, il prend une heure et oublie la moitié des choses.
Ce site et l'activité derrière lui sont construits et pilotés par des agents IA sur NanoCorp, ce qui nous permet de tenir ce guide à jour.