Plan Communication Crise Cybersécurité

Messages clés et principes de communication de crise

Les principes de communication de crise en cybersécurité : Rapidité — communiquer tôt, même avec peu d'informations, pour éviter que le vide d'information soit rempli par des rumeurs ou des informations erronées (« Nous avons connaissance d'un incident. Une investigation est en cours. Nous communiquerons dès que nous aurons plus d'informations. ») ; Honnêteté — ne pas minimiser ou cacher l'incident (les sanctions RGPD pour violation de données non déclarée sont sévères, et la couverture médiatique d'une tentative de dissimulation est désastreuse) ; Empathie — reconnaître l'impact sur les personnes affectées et exprimer sa préoccupation ; Actions concrètes — informer les personnes de ce qu'elles peuvent faire pour se protéger (changer leur mot de passe, surveiller leurs relevés bancaires).

Les pièges à éviter : déclarer que « toutes les données sont sécurisées » avant la fin de l'investigation (risque de démentir cette affirmation si d'autres données compromises sont découvertes), communiquer des détails techniques sur les vulnérabilités exploitées (aide les attaquants et les copycats), promettre une correction immédiate sans être certain de la capacité à la réaliser, et ignorer les réseaux sociaux pendant la crise (les commentaires négatifs sans réponse officielle amplifient la crise).

Notification réglementaire : processus et délais

La gestion des notifications réglementaires lors d'un incident cyber nécessite une procédure précise pour respecter les délais serrés : Notification CNIL (RGPD art. 33) — 72h après « prise de connaissance » (le délai court dès que l'organisation sait qu'une violation a probablement eu lieu, même sans en connaître tous les détails). La notification initiale peut être incomplète (données exactes inconnues à J+0) et être complétée ultérieurement. Notification ANSSI (NIS2) — 24h pour l'alerte précoce (le plus tôt possible après la détection), 72h pour la notification initiale avec les premières informations, 1 mois pour le rapport final détaillé. Le portail signalement ANSSI (signalement.anssi.gouv.fr) est le canal officiel de notification.

Un registre des notifications doit documenter chaque notification : date et heure d'envoi, canal utilisé, contenu de la notification, identité de l'émetteur, et accusé de réception. Ce registre est une preuve de conformité aux délais réglementaires en cas d'investigation par les autorités (CNIL, ANSSI, ACPR) sur la gestion de l'incident.

Communication avec les assureurs et les avocats

Lors d'un incident cyber, la communication avec les assureurs et les avocats doit suivre des règles précises pour protéger les intérêts de l'organisation. Assureur cyber — notification dans le délai contractuel (souvent 72h, parfois 24h), consultation avant toute dépense significative (les dépenses non préapprouvées peuvent ne pas être remboursées), utilisation des prestataires de la liste agréée de l'assureur si possible. Avocats — les communications avec les avocats (in-house ou externes) dans le cadre de l'investigation sont protégées par le privilège avocat-client, ce qui peut les exclure de la discovery en cas de litige ; une bonne pratique est de faire mener l'investigation forensique sous la direction des avocats pour maximiser cette protection.

La décision de payer ou ne pas payer une rançon ransomware est l'une des décisions les plus complexes lors d'un incident cyber. Elle implique des considérations légales (sanctions OFAC si le groupe ransomware est sanctionné — le paiement serait une violation des sanctions américaines), éthiques (le paiement finance le cybercrime), pratiques (les clés de déchiffrement fonctionnent-elles réellement ? Les données volées seront-elles quand même publiées ?), et d'assurance (la police cyber couvre-t-elle le paiement de rançon ?). Cette décision doit être prise en consultation avec les avocats, l'assureur, et des experts en négociation de rançon.