On l’a encore vu récemment : les données personnelles sont aujourd’hui plus que jamais facilement piratées. L’Agence nationale de la sécurité des systèmes d'information (ANSSI) publie un troisième kit sectoriel d'exercice de crise cyber, pour l'agroalimentaire. Mais anticiper un scénario écrit ne garantit pas nécessairement de s’en sortir face à un imprévu.
L’ANSSI a mis en ligne son troisième kit sectoriel d'entraînement à la gestion de crise cyber, après l'enseignement supérieur et l'audiovisuel. Le secteur visé, cette fois, est l'agroalimentaire, non pour son exposition particulière, mais parce qu'aucune organisation n'est à l'abri d'une attaque. Le kit propose un scénario calibré et trois niveaux de complexité selon la maturité de l'organisation. C'est une initiative utile : la préparation reste, selon l'agence, une des clés pour limiter l'impact d'une attaque.
Cette démarche n'est pas nouvelle et elle a raison d'être poursuivie. Depuis plusieurs années, l'ANSSI encourage les organisations à s'entraîner avant la crise plutôt qu'à improviser pendant. Un exercice prévoit de prévenir les bonnes personnes, dans un certain ordre, avec des outils de secours. Il révèle aussi les angles morts d'un plan resté trop longtemps sur une étagère : un contact obsolète, une sauvegarde jamais testée, par exemple. Pour des secteurs peu habitués à l'exercice cyber comme l'agroalimentaire, ce premier passage a une valeur pédagogique réelle.
Scénario et imprévu
Un exercice de crise suit toujours un scénario écrit à l'avance, avec une fin prévue. Cette structure est nécessaire pour former, mais elle a une limite intrinsèque : la vraie crise ne prévient pas de son scénario. Elle change de nature en cours de route, mêle plusieurs incidents à la fois, et oblige à décider avec une information incomplète. Rejouer un cas connu entraîne à suivre une procédure, pas à s'en écarter quand elle ne correspond plus à la réalité.
Deux choses, souvent confondues, méritent d'être distinguées. Une procédure de crise met en place des procédures, un ordre à suivre dans les actions à mener tout comme dans les personnes-ressources à solliciter ; elle s'apprend, se documente, et un exercice bien conçu suffit à la vérifier.
Une organisation résiliente, elle, se mesure à sa capacité à improviser quand la procédure ne suffit plus, par exemple à la possibilité de couper un système en production sans attendre une validation en cascade. Cette capacité se construit dans la durée, pas en une session d'entraînement.
Un enjeu dans la gouvernance quotidienne
Cet enjeu se joue bien avant le jour de l'exercice, dans la gouvernance ordinaire de l'organisation. Une direction qui délègue toute décision technique en temps normal aura du mal à improviser en temps de crise, quel que soit le nombre d'exercices réalisés. À l'inverse, une organisation habituée à raccourcir ses circuits de validation aborde un incident réel avec des réflexes qu'aucun kit ne suffit à créer par lui-même.
Les organisations qui traversent une crise cyber sans s'effondrer ne sont pas nécessairement celles qui ont multiplié les exercices préventifs.
Ce sont celles qui partagent des repères plus discrets : une chaîne de décision courte, connue de tous avant l'incident, et l'habitude de communiquer en interne avant d'avoir toutes les réponses. Ces repères ne figurent dans aucun scénario écrit ; ils se vérifient en creux, le jour où le scénario prévu ne suffit plus.
L'enjeu n'est donc pas de choisir entre s'entraîner et improviser. Sans exercice régulier, une organisation découvre ses failles le jour où elles coûtent le plus cher. Sans capacité à s'écarter du scénario prévu, l'exercice reste un théâtre bien répété. Le troisième kit sectoriel de l'ANSSI mérite d'être utilisé, à condition de ne jamais le confondre avec la préparation elle-même : il en est un instrument, pas une garantie.
