Gestionnaire de crise cybersécurité : coordonner l’entreprise quand l’incident devient une crise

Incident cyber n’est pas crise cyber

C’est la distinction fondatrice de ce métier, et celle que les organisations comprennent le plus tard. Un incident de sécurité, même sérieux, reste traité par les équipes techniques dans leur cadre habituel. Une crise, c’est autre chose.

L’ANSSI caractérise la crise d’origine cyber par quatre traits : la mise en péril des objectifs prioritaires de l’organisation, des impacts rapides qui laissent un temps de réaction limité, une complexité technique liée à l’enchevêtrement des systèmes et aux modes opératoires des attaquants, et une évolutivité de l’événement, l’attaquant réagissant aux contre-mesures engagées.

Un incident devient une crise non pas quand il est techniquement grave, mais quand ses conséquences dépassent le périmètre technique et menacent ce qui fait vivre l’organisation.

Concrètement, une crise met en jeu :

• La continuité d’activité et la production
• Les clients, et parfois les engagements contractuels envers eux
• La réputation et la confiance
• Les obligations réglementaires, dont les délais de notification
• Parfois la sécurité physique, quand des systèmes industriels sont touchés
• Et surtout la capacité même de l’organisation à décider, lorsque ses outils habituels sont indisponibles

Ce dernier point est le plus sous-estimé. Dans une crise cyber sérieuse, la messagerie peut être coupée, l’annuaire compromis, les téléphones logiciels hors service. L’organisation doit continuer à décider sans ses moyens habituels — c’est exactement ce que le gestionnaire de crise prépare à froid.

Les autres appellations

• Cyber Crisis Manager
• Responsable gestion de crise cyber
• Coordinateur de crise cyber
• Cyber Crisis Coordinator
• Responsable résilience, lorsque le périmètre englobe la continuité d’activité

Que fait-il, concrètement ?

Le gestionnaire de crise cyber ne passe pas ses journées dans le SIEM. Il n’analyse pas les traces, ne configure rien, et ne conduit pas l’investigation. Son objet de travail, c’est l’organisation elle-même.

Son rôle tient en une phrase : faire en sorte que l’entreprise puisse continuer à décider correctement, alors qu’elle est privée d’une partie de ses moyens et soumise à une pression importante.

1. Il structure l’information

   En crise, l’information est abondante, contradictoire et évolutive. Le gestionnaire de crise impose une discipline : ce qui est établi, ce qui est probable, ce qui est inconnu. Sans cette distinction, des décisions lourdes se prennent sur des rumeurs.

2. Il organise le rythme

   Points de situation à heures fixes, format constant, durée maîtrisée. Une cellule de crise qui se réunit en permanence ne travaille plus ; une cellule qui ne se réunit pas se disperse.

3. Il prépare les arbitrages

   Il ne décide généralement pas lui-même, mais il présente les options avec leurs conséquences réelles, de façon que la direction puisse trancher en connaissance de cause.

4. Il tient le journal de crise

   Chaque décision, son heure, son auteur, sa justification. C’est indispensable pour la cohérence pendant la crise, et pour tout ce qui vient après : réglementaire, assurantiel, contentieux, retour d’expérience.

5. Il fait tenir les gens

   Une crise dure des jours ou des semaines. Organiser les relèves, imposer des pauses, repérer l’épuisement font partie du travail au même titre que la coordination.

La préparation : là où se joue l’essentiel

Le paradoxe du métier : la qualité d’une gestion de crise se décide très largement avant la crise. Une organisation qui découvre son dispositif le jour J a déjà perdu plusieurs heures, souvent les plus précieuses.

1. Le dispositif de crise

   Qui compose la cellule, qui l’active, selon quels critères, avec quel mandat. Écrit, validé, connu — pas rangé dans un classeur que personne n’a ouvert depuis trois ans.

2. Les rôles et responsabilités

   Directeur de crise, animateur, référent technique, référent juridique, communication, référent métier, secrétariat de crise. Chaque rôle doit avoir un titulaire et un suppléant.

3. L’annuaire de crise

   Coordonnées à jour, y compris personnelles, et accessibles hors du système d’information — parce qu’il sera peut-être indisponible ou compromis. C’est la défaillance la plus banale et la plus coûteuse.

4. Les moyens de secours

   Canal de communication alternatif, salle de crise physique ou virtuelle, accès aux documents essentiels hors ligne, modèles de messages préparés.

5. Les modes dégradés

   Comment chaque métier continue de fonctionner sans ses outils : commandes sur papier, validation par téléphone, priorisation des clients. Ces procédures se construisent avec les métiers, à froid.

6. L’articulation avec le PCA et le PRA

   Le plan de continuité définit comment tenir, le plan de reprise comment revenir. Ils doivent être cohérents avec les scénarios cyber, qui ont leurs spécificités — notamment le fait qu’on ne peut pas restaurer aveuglément dans un environnement encore compromis.

7. Les exercices

   Le seul moyen de savoir si le dispositif fonctionne. L’ANSSI publie un guide dédié, réalisé avec le Club de la continuité d’activité, ainsi qu’un kit d’exercice pour les collectivités territoriales.

Un dispositif de crise qui n’a jamais été testé n’est pas un dispositif : c’est une hypothèse.

Un cas concret : rançongiciel avec arrêt de production

Une entreprise industrielle découvre un lundi matin que des serveurs sont chiffrés. La production est arrêtée, plusieurs outils métiers sont indisponibles, et des indices laissent penser que des données ont été exfiltrées avant le chiffrement. Des clients vont devoir être prévenus.

Qui intervient, et pour quoi

1. Le CSIRT et le SOC

   Investigation, confinement, évaluation de l’étendue. Ils fournissent la matière factuelle : ce qui est touché, depuis quand, ce qui reste sain.

2. Le RSSI

   Éclaire les options de sécurité et leurs conséquences, fait le lien entre la technique et la décision.

3. La DSI

   Porte la restauration, les priorités de remise en service et les moyens techniques disponibles.

4. La direction générale

   Arbitre : arrêter ou maintenir une activité, communiquer ou attendre, engager des dépenses exceptionnelles.

5. Le juridique et le DPO

   Obligations de notification, délais applicables, qualification d’une éventuelle violation de données personnelles, relations avec les autorités.

6. La communication

   Messages internes et externes, cohérence du discours, préparation des réponses aux clients et éventuellement à la presse.

7. Les RH

   Information des salariés, organisation du travail en mode dégradé, gestion de l’épuisement des équipes mobilisées.

8. Les métiers

   Définissent ce qui est réellement prioritaire à remettre en service — et cela ne correspond presque jamais à l’ordre que la DSI aurait choisi seule.

9. Les prestataires et l’assureur

   Prestataire de réponse à incident, éditeurs, et si une police cyber existe, l’assureur, qui impose souvent ses propres procédures de déclaration.

Le gestionnaire de crise ne fait rien de tout cela lui-même. Il fait en sorte que ces neuf ensembles travaillent dans le même sens, disposent de la même version des faits, et que les décisions prises à 14 heures ne soient pas contredites à 16 heures faute de circulation de l’information.

La difficulté d’une crise cyber n’est presque jamais technique. Elle est organisationnelle : trop d’interlocuteurs, trop d’incertitude, trop peu de temps.

Gestionnaire de crise, CSIRT, RSSI, PCA : qui fait quoi ?

1. Analyste réponse à incident

   Investigue techniquement : chronologie, périmètre, éradication. Il produit les faits.

2. Responsable CSIRT

   Pilote la réponse technique et coordonne les experts. Il transforme les faits en options techniques.

3. Gestionnaire de crise cyber

   Coordonne l’organisation entière et structure la décision. Il transforme les options en décisions exécutées et tracées.

4. RSSI

   Porte la stratégie de sécurité et le niveau de risque accepté. Il éclaire la direction et, dans beaucoup d’organisations, porte aussi la casquette de gestionnaire de crise.

5. Responsable PCA / PRA

   Prépare la continuité et la reprise pour tout type de sinistre. Fonction très proche, souvent tenue par la même personne.

Le cumul RSSI et gestionnaire de crise est courant et acceptable dans une organisation de taille moyenne. Il montre ses limites sur les crises longues : une même personne ne peut pas piloter la réponse technique, animer la cellule et rendre compte à la direction pendant deux semaines.

Les qualités attendues

C’est le métier de cette bibliothèque où les compétences humaines pèsent le plus lourd par rapport à la technique. Cela ne le rend pas plus facile : tenir une cellule de crise pendant dix jours est une épreuve.

• Calme communicatif : une cellule de crise reproduit l’état émotionnel de celui qui l’anime
• Rapidité de synthèse : ramener une situation confuse à quelques points décidables
• Sens de l’organisation : rythme, formats, traçabilité, relèves
• Aisance avec une direction générale : parler sans jargon et sans détour
• Capacité d’arbitrage : présenter des options, assumer des priorités
• Rigueur documentaire : le journal de crise sera relu, parfois par des avocats
• Écoute technique : faire parler les experts et comprendre leurs réserves
• Endurance : la crise longue use davantage que la crise brutale

Comment accéder à cette fonction

Précision importante : il s’agit rarement d’un poste à temps plein, sauf dans les très grandes organisations ou les secteurs fortement régulés. La fonction est le plus souvent portée par un RSSI adjoint, un responsable de la continuité d’activité, un risk manager ou un responsable de la résilience.

C’est aussi l’un des rares métiers cyber accessibles à des profils non techniques de haut niveau, à condition d’acquérir la culture cybersécurité nécessaire.

Trajectoires fréquentes

Le point commun de ces parcours : ils apportent déjà la capacité à organiser, coordonner et rendre compte devant une direction. C’est ce socle qui est difficile à acquérir ; la culture cyber, elle, s’apprend.

Où exerce-t-on ce métier ?

La demande s’est structurée avec les exigences réglementaires, notamment NIS2 et, pour les entités financières concernées, DORA. Elle est aussi portée par une réalité plus brutale : le nombre d’organisations françaises ayant vécu un arrêt d’activité lié à une attaque a rendu le sujet concret pour beaucoup de directions générales.

Avantages et contraintes du métier

• Fonction à très forte visibilité auprès de la direction générale
• Vision transversale complète de l’organisation
• Accessible à des profils non techniques disposant de solides compétences d’organisation
• Utilité tangible : une crise bien gérée se voit immédiatement
• Compétences transférables vers la résilience, le risque et la direction
• Périodes hors crise propices au travail de fond

• Charge très intense et imprévisible lors des crises
• Mobilisation possible à toute heure, sur plusieurs jours
• Difficulté à faire financer la préparation tant qu’aucune crise n’a eu lieu
• Responsabilité forte sans toujours disposer de l’autorité correspondante
• Exposition directe aux tensions entre directions
• Fonction souvent cumulée avec un autre poste, donc charge doublée en crise