Analyse Belief System · Publiée le .
Partir des effets observés
Une indisponibilité de service ne suffit pas à conclure à une intrusion, et une investigation en cours ne permet pas de garantir l’absence de fuite de données. La communication doit distinguer ce qui est observé, ce qui est confirmé et ce qui reste à vérifier. Cette discipline est particulièrement utile lorsque les questions portent sur l’accès aux comptes, le fonctionnement d’un paiement ou la confidentialité des informations.
La première fiche de situation peut rester courte : services affectés, heure du constat, actions de protection engagées, conséquences connues et prochaine mise à jour. Chaque élément a un responsable de validation. La direction de la communication n’a pas à établir seule le diagnostic technique ; elle doit savoir quel fait elle peut rendre public et quelle formulation reflète honnêtement l’incertitude.
Organiser une coordination qui tient sous pression
Le guide de l’ANSSI sur la communication de crise cyber relie préparation, coordination et communication interne comme externe. Il constitue un point d’appui opérationnel. Les obligations de notification ou d’information propres à une situation doivent, elles, être établies avec les fonctions juridiques, sécurité, conformité et protection des données concernées.
Nous proposons de séparer trois décisions : qualifier l’incident, choisir les mesures de protection et déterminer l’information à diffuser. Les personnes responsables de ces décisions doivent se parler à un rythme adapté à l’évolution des faits. Un circuit trop large peut ralentir chaque publication ; un circuit trop court peut laisser sortir une information dangereuse ou fausse. La bonne organisation prévoit des titulaires, des suppléants et des moyens de contact utilisables si les outils habituels sont indisponibles.
Donner aux clients une information utilisable
Un message destiné aux clients doit expliquer ce qu’ils peuvent faire maintenant, où trouver une information fiable et quelles démarches éviter. Les recommandations pratiques doivent être validées avec les équipes compétentes. Une consigne ambiguë peut augmenter les appels, créer des erreurs ou rendre les personnes plus vulnérables à une tentative de fraude se présentant comme une assistance.
La page de référence doit être accessible, datée et tenue à jour. Si un canal est indisponible, il faut annoncer un moyen alternatif qui fonctionne. Les réponses aux médias et les publications sociales peuvent renvoyer vers cette page, sans remplacer l’information individualisée lorsque celle-ci est nécessaire. Les modalités de contact et les règles de sécurité doivent rester cohérentes avec celles de l’établissement.
Préparer les salariés à ce qu’ils peuvent dire
Les collaborateurs peuvent recevoir des questions sur leurs téléphones personnels ou être sollicités directement par des clients et des partenaires. Ils ont besoin d’une consigne claire sur les canaux autorisés, les informations communicables et les demandes à transmettre. Il ne suffit pas de leur demander de ne pas parler : il faut leur permettre d’orienter correctement une personne qui cherche de l’aide.
Un point interne doit distinguer l’impact sur le travail, les comportements attendus et la situation publique de l’incident. Les équipes de première ligne doivent recevoir les mises à jour au moins aussi vite que les messages qu’elles devront expliquer. Si une instruction change, la correction doit être explicite ; laisser coexister plusieurs versions crée des contradictions que les clients perçoivent immédiatement.
Exemple : informer pendant une investigation
Dans une situation fictive, un établissement constate l’indisponibilité de plusieurs services et ouvre une investigation. Il peut confirmer l’interruption et les mesures effectivement engagées, sans annoncer prématurément une cause ni une heure de retour. Il peut préciser qu’une nouvelle information sera publiée à un rendez-vous donné, même si ce point doit simplement confirmer que l’investigation se poursuit.
Lorsque de nouveaux faits apparaissent, la mise à jour doit expliquer ce qui change. Si une déclaration antérieure devient inexacte, il faut la corriger clairement. Une chronologie consultable aide à comprendre l’évolution. Elle doit conserver les informations utiles sans diffuser des détails techniques qui aggraveraient l’exposition. Le niveau de précision relève d’un arbitrage documenté entre les fonctions responsables.
Préparer le retour au service et l’après-crise
| Moment | Question prioritaire |
|---|---|
| Constat | Quels services et publics sont effectivement concernés ? |
| Protection | Quelles actions sont engagées et quelles consignes sont validées ? |
| Investigation | Quels faits restent ouverts et quand informer de nouveau ? |
| Rétablissement | Qu’est-ce qui fonctionne, sous quelles conditions ? |
| Suivi | Quels engagements doivent encore être tenus ? |
La reprise technique ne clôt pas automatiquement le sujet de confiance. Des dossiers peuvent rester en attente, des clients avoir besoin d’explications et des collaborateurs conserver une charge de travail inhabituelle. Le message de rétablissement doit donc préciser les limites résiduelles et les prochaines étapes.
Une fois l’urgence passée, la direction de la communication peut contribuer au retour d’expérience : quelles questions ont été mal anticipées, quelles validations ont ralenti la réponse, quels messages ont été compris de travers ? Pour Belief System, cette analyse doit déboucher sur des changements concrets et un exercice de préparation, afin que la prochaine mobilisation repose sur des pratiques éprouvées.