Cyberattaque et communication de crise : informer, coordonner et préserver la confiance

Lorsqu’une cyberattaque perturbe une organisation, les équipes doivent répondre à deux besoins simultanés : traiter l’incident et informer les personnes concernées.

Les salariés ont besoin de consignes. Les clients veulent connaître les conséquences pour leurs services ou leurs données. Les partenaires cherchent à évaluer leur propre exposition. La direction doit prendre des décisions alors que les investigations sont encore en cours.

La communication de crise cyber organise cette circulation de l’information. Elle permet d’expliquer les faits confirmés, les mesures engagées et les précautions utiles, tout en précisant ce qui reste incertain.

Son efficacité repose sur une coordination continue entre la direction, les équipes techniques, les métiers, la communication et les fonctions juridique et de protection des données.

Pourquoi préparer une communication spécifique aux cyberattaques ?

Une cyberattaque peut affecter les moyens habituellement utilisés pour communiquer : messagerie, téléphonie, annuaire, intranet ou site internet.

Elle peut également créer un décalage entre ce que les publics attendent de savoir et ce que les investigations permettent de confirmer.

Plusieurs questions se posent alors :

• Quels services sont touchés ?
• Des données ont-elles été consultées, modifiées ou dérobées ?
• Quelles personnes sont concernées ?
• Quelles consignes faut-il transmettre ?
• Quels canaux restent utilisables ?
• Quand pourra-t-on préciser les conséquences et les délais de reprise ?

La préparation doit permettre de répondre progressivement à ces questions sans spéculer ni diffuser d’informations susceptibles de compromettre la réponse technique.

Distinguer incident informatique, cyberattaque et violation de données

Une interruption informatique n’est pas nécessairement une cyberattaque. Elle peut également résulter d’une panne, d’une erreur ou d’une défaillance chez un prestataire.

Avant de qualifier publiquement l’événement, vérifiez les éléments disponibles avec les équipes compétentes. Lorsque l’origine reste inconnue, décrivez les conséquences observées et les vérifications engagées.

Une violation de données personnelles peut concerner leur confidentialité, leur intégrité ou leur disponibilité. Elle ne se limite donc pas à une fuite ou à une publication de fichiers. Les règles d’évaluation et de notification sont précisées par la CNIL.

Cette distinction influence les messages à préparer, les interlocuteurs à mobiliser et les démarches à effectuer.

Que faire dans les premières heures ?

1. Organiser la coordination

Identifiez le responsable du pilotage et réunissez les fonctions nécessaires à la réponse.

Les échanges doivent permettre de distinguer :

• Les faits confirmés.
• Les hypothèses techniques.
• Les conséquences observées.
• Les informations encore manquantes.
• Les décisions urgentes.

Précisez qui vérifie les faits, qui valide les messages et qui autorise leur diffusion.

Pour structurer ce fonctionnement, consultez notre guide sur l’organisation d’une cellule de crise.

2. Vérifier les moyens de communication disponibles

Avec les équipes techniques, déterminez les outils qui peuvent être utilisés et ceux qui doivent être évités.

Activez les moyens de remplacement prévus. Leur utilisation doit tenir compte de la confidentialité des échanges, des accès nécessaires et de la possible compromission des comptes habituels.

3. Transmettre les consignes internes utiles

Les salariés doivent savoir comment poursuivre leur activité, signaler une difficulté et trouver une information actualisée.

Les consignes techniques doivent être validées par les responsables compétents. Évitez de laisser circuler des recommandations improvisées qui pourraient gêner les investigations ou la remise en service.

4. Identifier les publics à informer

Évaluez les besoins des clients, usagers, partenaires et autres personnes concernées.

L’ordre et le contenu des communications dépendent des conséquences de l’incident, des mesures de protection utiles et des obligations applicables.

5. Préparer un premier message

Une première communication peut être nécessaire avant la fin des investigations.

Elle peut préciser l’événement constaté, les services touchés, les mesures engagées, les démarches utiles et le prochain point d’information.

N’annoncez pas une absence de fuite, un nombre définitif de personnes concernées ou un délai de rétablissement sans éléments suffisants.

Qui fait quoi dans la communication de crise cyber ?

La direction

La direction fixe les priorités, arbitre les ressources et valide les engagements relevant de son autorité.

Elle doit disposer d’une présentation compréhensible des conséquences opérationnelles, humaines et financières de la situation.

La DSI, le RSSI et les intervenants techniques

Les équipes techniques et les spécialistes mobilisés qualifient l’incident, conduisent la réponse et expliquent ce qui peut être confirmé.

Ils contribuent à définir les informations communicables et les limites nécessaires pour préserver les investigations et la sécurité des opérations.

Les responsables métiers

Ils évaluent les conséquences sur les activités, les clients, les usagers et les partenaires.

Leur contribution permet de traduire les constats techniques en informations concrètes : service interrompu, demande retardée, procédure provisoire ou besoin d’assistance.

La communication

La communication prépare les messages, coordonne les canaux et organise les réponses aux sollicitations.

Elle fait remonter les questions récurrentes, les incompréhensions et les informations inexactes qui nécessitent une réponse.

Les fonctions juridique et protection des données

Elles accompagnent l’évaluation des obligations applicables et les démarches correspondantes.

Le délégué à la protection des données, lorsqu’il est désigné, contribue à l’analyse des conséquences pour les personnes et à la préparation des informations les concernant.

Le coordinateur de crise

Le coordinateur facilite les échanges, suit les décisions et maintient une vision commune de la situation.

Découvrez l’importance du coordinateur de crise lors d’une cyberattaque.

Comment informer les salariés ?

La communication interne doit répondre aux questions immédiates :

• Puis-je utiliser mon ordinateur et ma messagerie ?
• Quels outils ou accès sont concernés ?
• Comment poursuivre mon travail ?
• Où signaler une anomalie ?
• Qui répond aux questions des clients ?
• Où trouver les prochaines consignes ?

Chaque instruction doit être précise, datée et validée par la fonction compétente.

Les managers ont besoin d’informations actualisées pour relayer les messages et faire remonter les difficultés. Prévoyez également les salariés qui n’ont plus accès aux outils numériques habituels.

Les consignes peuvent inclure le renvoi des sollicitations médiatiques vers un contact identifié et l’utilisation exclusive des canaux de suivi validés.

Comment informer les clients, usagers et partenaires ?

Les destinataires ont besoin de comprendre les conséquences qui les concernent.

Un message utile peut préciser :

• Les services indisponibles ou perturbés.
• Les solutions provisoires réellement accessibles.
• Les démarches à effectuer ou à différer.
• Les risques identifiés et les précautions adaptées.
• Un moyen de contact.
• Les modalités de mise à jour.

Adaptez le niveau de détail au public. Un partenaire interconnecté peut avoir besoin d’un échange technique sécurisé, tandis qu’un usager attend surtout une consigne compréhensible et une solution pratique.

Évitez d’envoyer un message identique à tous si leurs situations diffèrent.

Que dire lorsque l’étendue de l’attaque reste inconnue ?

La communication doit distinguer les informations établies des vérifications en cours.

Une formulation peut expliquer que certains services sont indisponibles, que des spécialistes interviennent et que les conséquences sur les données restent en cours d’évaluation.

L’absence de confirmation d’une extraction de données ne permet pas, à elle seule, d’affirmer qu’aucune extraction n’a eu lieu.

Lorsque les conclusions évoluent, précisez les nouveaux éléments et les conséquences pour les destinataires.

Exemple fictif de premier message

« Nous avons détecté un incident de sécurité affectant une partie de nos systèmes informatiques. Certains services sont actuellement indisponibles.

Nos équipes, accompagnées de spécialistes, conduisent les investigations et mettent en œuvre les mesures nécessaires.

À ce stade, les conséquences éventuelles sur les données sont encore en cours d’évaluation. Nous informerons les personnes concernées en fonction des éléments confirmés et des démarches applicables.

Une mise à jour sur les services et les moyens de contact disponibles sera publiée aujourd’hui à 17 heures sur cette page. »

Cet exemple doit être adapté à la situation réelle. Les moyens annoncés, le canal de publication et le rendez-vous d’information doivent pouvoir être assurés.

Comment gérer les notifications et l’information des personnes ?

La communication publique, la notification à une autorité et l’information individuelle des personnes répondent à des objectifs distincts.

Pour les violations de données personnelles, la CNIL précise notamment que :

• Toute violation doit être documentée en interne.
• Une violation présentant un risque pour les droits et libertés des personnes doit être notifiée à l’autorité compétente dans les meilleurs délais et, si possible, au plus tard 72 heures après en avoir pris connaissance.
• En cas de risque élevé, les personnes concernées doivent également être informées dans les meilleurs délais, sauf exception applicable.
• Une notification initiale peut être complétée lorsque toutes les informations ne sont pas encore disponibles.

Le point de départ du délai est la prise de connaissance de la violation par le responsable du traitement. Le communiqué de presse ne remplace pas ces démarches.

Référez-vous aux règles de la CNIL sur les violations de données personnelles et à sa procédure pour notifier une violation.

Les autres obligations doivent être évaluées selon le secteur, le statut de l’organisation et les circonstances, avec les fonctions compétentes.

Comment répondre aux journalistes et aux questions difficiles ?

Préparez un porte-parole disposant d’une situation actualisée et d’un accès aux décideurs.

Les questions peuvent porter sur :

• La date de détection.
• Les conséquences pour les personnes.
• Les mesures de protection engagées.
• Les données potentiellement concernées.
• La continuité des services.
• Les délais de reprise.
• Les responsabilités et les mesures antérieures de préparation.

Le porte-parole doit pouvoir répondre dans son périmètre et reconnaître les informations encore inconnues.

Évitez l’attribution prématurée de l’attaque à un groupe, à une organisation ou à un État. Les revendications éventuelles doivent être distinguées des conclusions vérifiées.

Les détails techniques susceptibles de gêner les opérations ou d’exposer davantage l’organisation doivent faire l’objet d’un arbitrage avec les spécialistes mobilisés.

Pour préparer les interventions et les relances, découvrez la formation média training de Nitidis.

Comment expliquer la situation au comité de direction ?

Les décideurs ont besoin de comprendre les conséquences et les arbitrages attendus.

Un point de situation destiné à la direction peut présenter :

1. Les activités touchées.
2. Les risques pour les personnes et les partenaires.
3. Les faits confirmés et les incertitudes.
4. Les mesures en cours.
5. Les options possibles et leurs contraintes.
6. Les ressources nécessaires.
7. Les décisions à prendre.
8. La prochaine échéance de réévaluation.

Traduisez les éléments techniques en conséquences opérationnelles sans supprimer les incertitudes importantes.

Pour approfondir, consultez notre article sur la communication des directeurs cybersécurité face au Board et au Comex.

Comment communiquer pendant le rétablissement ?

Le rétablissement peut être progressif. Certaines activités peuvent reprendre alors que d’autres restent perturbées.

Précisez le périmètre des services disponibles, les limites éventuelles et les procédures provisoires.

Distinguez :

• La remise en service d’un outil.
• La reprise d’une activité.
• Le traitement des demandes accumulées.
• La poursuite des investigations.
• Les mesures de sécurisation encore en cours.

Une reprise technique ne signifie pas nécessairement que toutes les conséquences de la crise sont résolues.

Si une échéance annoncée évolue, expliquez les nouveaux éléments et les solutions proposées aux personnes concernées.

Comment préparer un plan de communication cyber ?

Le plan doit pouvoir être utilisé lorsque les moyens habituels sont dégradés.

Prévoyez notamment :

• Les contacts et leurs suppléants.
• Les critères d’alerte et les circuits de validation.
• Les rôles des équipes techniques, métiers et communication.
• Les publics prioritaires.
• Les canaux de remplacement.
• Les modalités d’accès aux documents nécessaires.
• Des trames de messages à adapter.
• Les modalités de suivi des sollicitations.
• Un journal des communications.
• Les conditions de mise à jour et de relève.

L’ANSSI propose un guide pour anticiper et gérer sa communication de crise cyber, avec des fiches consacrées à la préparation et à la conduite des communications internes et externes.

Tester les conditions dégradées

Un exercice peut simuler une messagerie indisponible, des faits contradictoires, une sollicitation médiatique ou une question urgente d’un client.

Vérifiez que les équipes savent se joindre, valider un message et publier une information sans dépendre exclusivement des outils potentiellement touchés.

Les pannes doivent être simulées de manière maîtrisée, sans perturber réellement les systèmes.

Découvrez l’importance de la formation et de la communication pour gérer une cybercrise.

Quelles erreurs éviter ?

Affirmer trop tôt qu’aucune donnée n’est concernée

Précisez ce que les investigations permettent d’établir et ce qui reste à vérifier.

Annoncer un délai de reprise sans base suffisante

Expliquez les étapes et les dépendances plutôt que de promettre une échéance non maîtrisée.

Utiliser un canal sans vérifier sa fiabilité

Le compte, la messagerie ou le site habituel peut être indisponible ou compromis. Faites valider les moyens utilisés.

Réduire la situation à un problème technique

Les conséquences peuvent concerner le travail des salariés, la continuité des services et les personnes dont les données sont touchées.

Diffuser des détails sensibles sans coordination

Les informations techniques et les échanges liés aux investigations doivent suivre un circuit adapté.

Confondre information publique et démarches réglementaires

Chaque démarche doit être suivie avec ses destinataires, ses délais et son responsable.

Déclarer la fin de crise avant d’avoir organisé la suite

La reprise des services, l’assistance aux personnes et les mesures correctives peuvent se poursuivre après la phase d’urgence.

Comment tirer les enseignements de la crise ?

Le retour d’expérience doit réunir les fonctions impliquées dans la réponse.

Examinez la circulation des informations, les délais de validation, l’accessibilité des canaux, les questions restées sans réponse et la cohérence entre les messages et les actions.

Identifiez les difficultés concrètes : annuaire inaccessible, absence de suppléant, données techniques difficiles à interpréter ou réponses différentes selon les équipes.

Attribuez les améliorations à des responsables et fixez des échéances. Testez ensuite les changements importants.

‍