Wavestone accompagne de nombreuses victimes dans la gestion de leur crise déclenchée par des attaques de rançongiciel. Ces situations complexes et soudaines, entrainent souvent la prise de mauvaises décisions par des équipes informatiques et de Direction qui sont peu entrainées.

Ce top 10 des pièges à éviter en gestion de crise par rançongiciel est basé sur le retour terrain collecté depuis plus de 5 ans d’accompagnement des victimes.

#1 Penser que payer la rançon permettra de redémarrer plus vite

Bien que l’Agence Nationale de Sécurité des Systèmes d’Information (ANSSI) recommande[1] de ne jamais payer de rançon, cette question se posera toujours pour certaines parties prenantes, en particulier les décideurs, pas toujours suffisamment sensibilisés à ces sujets. Au-delà du fait que le paiement de rançon encourage les attaquants à poursuivre leurs activités, il convient de rappeler qu’il ne permet pas toujours d’obtenir la clé de déchiffrement.

Dans le cas où le paiement de la rançon permettrait d’obtenir la clé de déchiffrement, il est à noter que le temps de déchiffrement est souvent très long. En effet, en fonction de la taille des fichiers chiffrés, il faut parfois compter plusieurs heures voire dizaines d’heures par serveur ou par poste de travail. Lorsque le parc informatique est important, une coordination stricte est nécessaire pour traiter tous les systèmes. En comparaison, il sera plus rapide de restaurer les systèmes à partir des sauvegardes.

Au-delà du temps nécessaire, l’expérience montre qu’il existe aussi de nombreuses erreurs dans les processus de chiffrement ou déchiffrement. Ainsi, même avec la clé de déchiffrement, certains fichiers, en particulier les plus volumineux sont parfois altérés et ne peuvent pas être réutilisés en l’état.

En synthèse, nous sommes très loin de l’idée reçue qu’un simple clic permet de retrouver un système d’informations fonctionnel après le paiement de la rançon. S’il existe des sauvegardes saines et fonctionnelles, il n’y a aucun intérêt à réfléchir à un paiement de rançon pour redémarrer les services. Dans le cas de vol de données, la question est plus complexe.

#2 Rouvrir trop vite le système d’information

Pour limiter les pertes d’exploitation dues à l’inactivité, la cellule de crise est souvent pressée par les métiers pour redémarrer au plus vite le système d’information. Durant la phase de reconstruction à la suite d’une attaque cyber, il est nécessaire de maitriser les deux principaux risques suivants :

• Reprise par l’attaquant de son attaque et chiffrement à nouveau des systèmes reconstruits
• Vol de nouvelles informations par l’attaquant qui relance l’exfiltration de données

Pour réduire largement ces risques, la première mesure de sécurité à mettre en place est l’isolation du système d’informations par rapport à l’extérieur (accès Internet en entrée et sortie, liens avec les partenaires…). Cette mesure permet de couper les liens entre l’attaquant et ses outils malveillants et réduit ainsi drastiquement le risque de reprise de l’attaque. Pour les activités les plus critiques, certains flux vers l’extérieur peuvent être ouverts unitairement (depuis ou vers un serveur maitrisé, sur un port donné) mais la réouverture de large plage depuis ou vers l’extérieur augmente les risques.

La restauration des serveurs est la première étape du processus de reconstruction. Mais les serveurs n’étant pas toujours sauvegardés simultanément, une resynchronisation des applications et des données est souvent nécessaire avant la mise en service. A titre d’exemple, un redémarrage précipité d’une application de paiement en période de crise a déjà donné lieu à un double paiement de centaines de milliers d’euros, qui avait déjà été transmis à la banque avant l’attaque.

#3 Attendre un niveau de sécurité extrême avant de rouvrir

Les attaques cyber ayant un impact important, elles représentent parfois un traumatisme pour les équipes qui craignent que l’attaque se répète et s’impose un niveau de sécurité extrême avant le redémarrage. Il s’agit de trouver le bon équilibre entre sécurité et reprise rapide d’activité.

Pour la reconstruction des serveurs, deux stratégies sont possibles :

• La stratégie de la zone verte. Elle privilégie la sécurité à la rapidité de redémarrage. Elle consiste en la création d’une nouvelle zone réseau isolée dans laquelle seules les machines reconstruites sont hébergées. Les composants techniques (Active Directory, DHCP, DNS…) sont dédiés à cette zone sécurisée. Cependant, la modification du plan d’adressage peut avoir des effets de bord et ralentir le redémarrage.
• La stratégie de la zone grise. Elle privilégie la rapidité de redémarrage à la sécurité. Elle consiste en la reconstruction ou restauration des serveurs dans leur zone initiale. Les machines compromises peuvent côtoyer les machines restaurées. Cette stratégie représente un risque lorsque la propagation de l’attaque se fait de serveur à serveur.

Le choix de la stratégie doit se faire en considérant les investigations et les techniques utilisées par l’attaquant. Comme indiqué précédemment, l’isolation de l’extérieur reste une mesure clé permettant de réduire largement les risques.

#4 Refuser un redémarrage en mode dégradé

Dans la plupart des entreprises, l’informatique est devenue indispensable au fonctionnement de toutes les opérations. Dans la situation exceptionnelle d’arrêt total du SI, il est souvent inconcevable, au premier abord, de continuer à travailler sans informatique. C’est souvent le discours avancé par les Directions informatique et métiers durant les crises cyber.

Dans de nombreux cas, il est en fait possible de limiter les impacts en travaillant en mode dégradé. Il s’agit notamment d’appliquer certains plans de résilience ou de continuité d’activité déjà définis. Mais aussi d’y réfléchir pendant la crise, lorsque l’activité est arrêtée. Les dirigeants sous-estiment souvent la mobilisation et la créativité des équipes pour travailler différemment (débrayage de processus non essentiels, transfert vers un partenaire, opérations à réaliser manuellement…).

Il est essentiel de trouver un bon équilibre entre le redémarrage d’une première application en mode dégradé dans les deux jours qui suivent, plutôt que d’attendre deux semaines pour avoir la chaîne applicative complète.

#5 Vouloir tout redémarrer en même temps

Les grandes entreprises ont des systèmes d’informations complexes qui comptent parfois plusieurs centaines voire milliers d’applications. Dans les situations de crise cyber, il est impossible de consacrer autant de temps à toutes les applications. Il est essentiel de les prioriser en définissant un ordre de redémarrage.

Chaque Direction a souvent tendance à considérer que sa propre activité est la plus importante de l’entreprise. Un arbitrage de la Direction Générale est souvent nécessaire pour établir un plan de redémarrage qui sera appliqué par tous. Certaines branches, pays ou régions verront leurs applications démarrées plus tard que d’autres.

Il faut également noter qu’il existe de nombreuses dépendances entre les applications. Celles-ci ne sont pas toujours connues par les équipes informatiques mais doivent être prises en compte dans le plan de redémarrage.

#6 Mener des changements importants dans l’urgence

Il est parfois tentant de vouloir profiter de la situation d’arrêt des systèmes pour mener des changements importants dans le système d’informations.

Les équipes sécurité y voit une occasion de mener des chantiers qui ont toujours été refusés par la DSI car vus comme complexes et impactants : cloisonnement du réseau, montée de version de système d’exploitation, tiering de l’Active Directory, authentification multi-facteurs…

Si ces projets sont nécessaires pour renforcer le niveau de sécurité, il conviendra d’éviter d’engager des changements trop importants pendant la période de crise afin de concentrer les équipes sur les actions absolument nécessaires au redémarrage avec un niveau de sécurité maitrisé.

A titre d’exemple, cloisonner le réseau nécessite de revoir le plan d’adressage, d’ajouter des équipements réseaux, de modifier des configurations. Ces actions engendrent souvent des problèmes supplémentaires à traiter (IP enregistrée en dur dans l’application, blocage de flux nécessaires pour le bon fonctionnement de l’application…)

#7 Attendre la fin des investigations et le patient zéro et pour lancer la reconstruction

Les investigations sont essentielles pour comprendre les techniques de l’attaquant et ainsi retracer les vulnérabilités qu’il a exploitées pour réussir son attaque. Elles permettent ainsi de corriger ces vulnérabilités lors de la reconstruction pour éviter une nouvelle attaque. Cependant les investigations sont complexes et nécessitent du temps (parfois plusieurs semaines).

Une erreur standard consiste à attendre la fin des investigations pour lancer la reconstruction. En réalité, il est indispensable de commencer les opérations de reconstruction avant la fin des investigations. Le plan de reconstruction sécurisée sera alors alimenté en continu en fonction des découvertes des équipes d’investigation.

Dans de nombreux cas, il sera même impossible de déterminer le patient zéro ou de reconstituer la chronologie de l’attaque. En effet, les traces (log) conservées sur le système d’information ne sont pas toujours assez précises (verbosité) ou ne permettent pas de remonter assez loin (durée de rétention). Elles ont parfois été supprimées par l’attaquant qui a effacé ses traces.

Enfin, les décideurs demandent fréquemment si des données ont été exfiltrées du système d’information. Il faut noter qu’il est rarement possible de répondre précisément à cette question sauf si l’entreprise dispose de systèmes de sécurité avancés (DLP par exemple).

#8 Ne pas anticiper la gestion des ressources humaines

Les crises cyber sont des situations où les collaborateurs se mobilisent intensément. La motivation des équipes pour résoudre la situation est telle que certaines ne souhaitent pas s’arrêter. Ils enchainent les longues journées (voire nuits) et atteignent parfois de leurs limites. Il est courant de constater des cas de burnout, hospitalisation ou arrêt maladie durant les crises mal gérées.

Dans le cas d’une attaque par rançongiciel d’ampleur, il faudra compter au moins 3 semaines d’intense mobilisation des équipes. Il est essentiel d’organiser, dès le début de la crise des rotations d’équipes, pour permettre de conserver les ressources clé sur la durée.

Il est souvent opportun de faire appel à un renfort de prestataires externes pour des activités d’expertise (investigations numériques, reconstruction Active Directory, système de sauvegardes…) ou pour démultiplier les efforts (réinstallation de postes de travail, montée de version de système d’exploitation, coordination des tâches…).

#9 Cacher la situation aux collaborateurs, aux partenaires, aux clients

Il y a plus de 5 ans, les entreprises qui subissaient une attaque cyber voyaient leur grandement réputation entachée car elles n’avaient pas su se protéger. Avec la multiplication des attaques cyber, de nombreuses organisations sont victimes d’attaques cyber et les entreprises seront autant jugées sur le fait d’être victime que sur leur capacité à gérer leur crise.

Un des premiers réflexes des équipes dirigeantes est souvent de ne pas communiquer aux parties prenantes (collaborateurs, partenaires, clients) pour espérer que l’attaque passe inaperçue. Force est de constater qu’une attaque d’ampleur finit toujours par être communiquée. Dans ces situations, les réseaux sociaux et les médias communiqueront avant la victime qui devra ensuite adopter une posture défensive en réaction. Il est recommandé d’adopter une posture de transparence avec les parties prenantes qui seront rassurées de savoir que la situation est sous contrôle.

Enfin, les partenaires doivent bénéficier d’une communication adaptée. En effet, sans information spécifique, nombre d’entre eux vont couper tous les liens avec la victime et la réouverture sera longue et complexe. Ils seront plus enclins à rouvrir si la victime les a prévenus proactivement.

#10 Ne pas structurer le pilotage de la crise

Une attaque par rançongiciel ayant des impacts très importants sur les systèmes d’informations, elle crée nécessairement un désordre dans l’entreprise. Il n’est plus possible de compter sur les processus de communication et de prise de décision existants.

Certains pensent que la situation de crise autorise un pilotage approximatif : réunions improvisées, suivi d’actions perfectibles, absence de formalisation… Au contraire, les décisions doivent être précises et rapides, formalisées et communiquées à l’ensemble des parties prenantes. Cette discipline est la clé d’une gestion de crise réussie où chacun trouve sa place et est utilisé à bon escient.

Dans certaines crises d’ampleur comme dans les groupes internationaux, il n’est pas inutile de monter une cellule PMO de crise de plusieurs dizaines de personnes. Elle aura la charge de la consolidation d’un état des lieux précis, de l’organisation des comités de crise, de la communication et du suivi des décisions prises par la cellule de crise. Cette cellule constituée de professionnels de la gestion de crise est un atout indispensable pour une gestion de crise efficace.

Une attaque par rançongiciel est un événement soudain qui entraine des impacts très importants sur les activités de l’entreprise. La gestion de crise associée présente de nombreux pièges à éviter pour retrouver une situation fonctionnelle rapidement. Il est fortement recommandé de s’entourer de professionnels de la gestion de crise cyber pour optimiser les opérations et bénéficier de retours d’expériences.

[1] https://www.ssi.gouv.fr/uploads/2020/09/anssi-guide-attaques_par_rancongiciels_tous_concernes-v1.0.pdf

Cet article Top 10 des pièges à éviter pour une gestion de crise rançongiciel réussie est apparu en premier sur RiskInsight.

Adresser le besoin de savoir et le besoin de rassurance

Soutenue par l’augmentation du nombre d’incidents et d’attaques sur les systèmes d’information, la crise cyber s’est installée dans l’espace public. La démocratisation de son champ lexical est ainsi un indicateur marquant de la place médiatique qu’a pris ce sujet. Fuite de données, ransomware, hacktiviste, DDoS, phishing, lanceur d’alerte, ces mots ont quitté les salles serveurs et les blogs spécialisés pour se faire une place dans les colonnes des journaux nationaux et dans le vocabulaire de la plupart des français. La crise cyber n’est plus un simple incident qualité silencieusement traité en interne et est devenue un événement qui suscite l’intérêt de tous les publics entraînant mécaniquement dans son sillage une crise de nature communicationnelle. Cependant, si la popularité nouvelle de cette thématique se décline logiquement dans l’accroissement de la couverture de ces crises, d’autres éléments justifient l’augmentation significative des sollicitations, qu’elles soient internes ou externes à l’organisation en crise.

Lorsque la crise cyber a pour conséquence la fuite d’une donnée par exemple, ce n’est plus seulement le sujet de la crise qui est médiatique, mais son objet même. De fait, lorsque la donnée fuite ou est volée, sa nature intrigue et suscite la curiosité, qu’il s’agisse d’une donnée personnelle, d’un secret d’état ou simplement d’une conversation privée. Cette mécanique engendre logiquement pour de nombreux publics tant le besoin de connaître l’inconnu, que de s’assurer de ne pas en être la victime. Ces deux besoins primaires de curiosité et de réassurance constituent les moteurs essentiels de la couverture médiatique et plus généralement incite le consommateur d’information, le partenaire, le client à combler ce besoin et à chercher à obtenir cette information. La même logique suppose que la source de cette information, en l’occurrence, le détenteur légitime de cette donnée adresse ces requêtes et communique sur l’incident.

Que ce soient des évènements stratégiques tels que des élections présidentielles ou des conversations privées du quotidiens via des médias digitaux qui sont compromis, l’effet médiatique de la crise se voit amplifié par le caractère extraordinaire de l’événement. Cela résulte tant de sa supposée impossibilité que de la confiance que le public lui confère. La rupture soudaine de la confiance placée en ces « institutions » d’importances majeures, érigées en bonne place dans une version 2.0 de la pyramide de Maslow, génère alors elle aussi l’intérêt et le besoin de savoir, traduits dans une explosion du nombre des requêtes et des demandes d’information à l’organisation en crise.

figure 1. Exemple de pyramide de Maslow

Guerre de communication entre l’attaquant et le communicant

La communication de crise cyber est ainsi un exercice particulier de par le sujet qu’elle traite, mais aussi de par la nature des acteurs en présence. De fait, quand des sommes incommensurables d’argent sont dérobées sans coup férir ou que des institutions tombent sous les attaques d’hacktivistes « citoyens », l’opinion voue une sympathie relative à l’encontre du héros moderne qu’est le pirate romanesque, le hacker hors la loi, le justicier anonyme.

Ce personnage public, conscient de son image et des codes du monde communicationnel, saura bien entendu se jouer de cet environnement. Ainsi, les méthodes mêmes des attaquants renforcent la place centrale de la communication dans la gestion des crises cyber. Les attaques aux motifs politiques, idéologiques et militants ne se limitent plus à la compromission d’un système mais envoient un message dont la publicité doit être maximale.

Cette appropriation manifeste des méthodes propres aux activistes s’illustre de plusieurs manières : Annonce d’un DDoS en amont, défacement d’un site internet, publication au fur et à mesure de preuves d’un vol sur les réseaux sociaux, diffusion d’informations telles que des échanges de conversations mails privés compromettants… Si les attaquants ont appris à maximiser l’impact réputationnel des attaques, ils utilisent aussi ce levier afin de perturber la gestion de crise de leur cible et générer un bruit qui leur fera gagner du temps une fois leur attaque découverte. Alors qu’un des facteurs clefs du succès d’une gestion de crise est la reprise en main du rythme de celle-ci et de la publication de nouveaux éléments, la crise cyber laisse inéluctablement ce pouvoir à un tiers malveillant.

Ce tiers peut aussi, si la compromission est profonde, altérer les moyens de communication de l’entreprise. Alors qu’elle tente de répondre à la nécessité de s’exprimer urgemment et largement, cette entrave peut lourdement affecter la fluidité de sa communication. Sans messagerie mail, comment diffuser un message à ses employés ? Sans réseaux sociaux, comment être au plus proche de sa communauté et répondre à ses questions ?

Restaurer le rapport de confiance par la communication

Fasciné par les attaquants et l’ampleur des attaques, le grand public n’en demeure pas moins intransigeant à une heure où la confiance et la donnée constituent la valeur même d’une entreprise. Intrinsèquement, la préservation de la première suppose la protection de la seconde. Lorsque l’organisation faillit à cet objectif, la communication de crise est seule en mesure de restaurer ce rapport de confiance duquel dépend l’avenir de la relation avec clients et partenaires qui continueront ou non à confier la garde de leurs données ou la gestion de leurs outils, ainsi que leurs services à une organisation.

Cette exigence de confiance entraine par ailleurs, lorsqu’elle est brisée, la recherche et la désignation rapide d’un responsable. Bien que la réalité des faits soit bien plus complexe, le grand public aura aisément tendance à supposer que les attaques informatiques sont rendues possibles par l’exploitation d’une vulnérabilité et donc d’une faute.

Une fuite de données, n’est ainsi pas uniquement perçue comme une attaque perpétuée par un tiers malintentionné, mais aussi comme une négligence dans la défense de l’entreprise victime du vol. Cette dernière se voit automatiquement désignée comme responsable et sa réputation en est logiquement impactée. Alors même que les attaquants se professionnalisent, que les attaques se complexifient et que l’absence de vulnérabilité est un mythe, la cyberattaque est aujourd’hui un sujet de gestion et de communication de crise à part entière. Du fait de son impact potentiel sur le quotidien du grand public et donc sa nature médiatique, elle force la victime, considérée comme co-responsable de sa perte, à s’exprimer.

Réaliser l’effort de simplicité pour mieux communiquer face à la crise

Au-delà de la définition d’une stratégie claire, partagée et opportune, la gestion de crise cyber avec son rythme particulier et les entraves causées par les attaquants doit être accompagnée d’une communication particulière qui suppose enfin un dernier travail : l’effort de simplicité.

Face à la crise cyber et comme pour tout type de crise, communiquer suppose d’être en mesure de traduire les évènements subis et les actions correctives menées en impacts clairs et de porter ce discours de façon cohérente. Bien entendu, la complexité des termes et des rouages d’une crise cyber rend cet exercice délicat et constitue une autre spécificité à prendre en considération.

Dans ce cadre, par sa capacité à traduire la cause technique en conséquence métier et plus généralement par son pouvoir vulgarisateur, le rôle du RSSI et de ses équipes est central. En situation nominale comme en temps de crise, la mission du RSSI est de porter cet effort de traduction des faits et des composantes techniques non seulement en impacts métiers mais en impacts compréhensibles et convaincants pour des publics diversifiés et non experts. Il ou elle peut ainsi être amené à concevoir, voire à porter les éléments de langage de communication de crise de la même manière qu’un représentant des ressources humaines sera exposé lors d’une crise sociale.

Sans présupposer de son exposition au journal télévisé d’une grande chaine de télévision, la parole des experts SI sera attendue sur les réseaux sociaux, sur les réseaux professionnels, dans la presse spécialisée ou en interne. En communication de crise, chacun est responsable de tous et tout un chacun doit s’y préparer.

Ainsi, le sujet cyber porte une puissance médiatique qui lui est propre ; dont la conséquence immédiate est l’augmentation considérable des attentes et des demandes d’informer émanant des différentes directions d’une organisation ainsi que du public externe. Si l’imminence de l’occurrence d’un incident SI implique une défense spécifique et une planification de la continuité des opérations, elle exige aussi l’anticipation de ces requêtes et une préparation active à cet effort global de communication.

Cet article La crise cyber, un sujet médiatique à part entière est apparu en premier sur RiskInsight.

Face à la multiplicité des événements, les entreprises prennent de plus en plus conscience des enjeux de la gestion de crise et certaines font le choix d’investir dans un outillage dédié. Ces outils permettent d’industrialiser la gestion de crise via de nombreuses fonctionnalités.

Pour autant, avant de s’outiller, l’entreprise doit au préalable avoir mis en place un dispositif de gestion de crise préparé, testé et viable dans la durée, l’outil permettra uniquement d’accompagner ce processus, mais il ne doit pas être utilisé dans le but de le définir sous peine de prendre de mauvaises orientations.

Le choix d’un outil peut s’avérer parfois compliqué. De nombreuses solutions existent, souvent complexes et peu ou mal utilisées. Comment choisir ? Voici quelques conseils qui vous guideront dans votre état des lieux pour vous permettre de définir au mieux votre besoin et de cibler les critères d’évaluation.

Définir ses besoins en matière d’outillage…

La gestion de crise un processus dynamique qui évolue rapidement et qui peut être définie selon 3 phases temporelles :

• La phase d’alerte : détection d’une situation de crise et remontée de l’information aux instances décisionnelles ;
• La phase de pilotage : évaluation de la situation, mobilisation de la cellule de crise en cas de crise avérée, gestion de la crise;
• La phase de sortie de crise : évaluation de l’expérience vécue pour permettre à la cellule de crise de capitaliser les acquis et comprendre les défaillances.

Au fil des années, différents types d’outils ont émergé permettant d’accompagner les organisations sur chacune de ces phases. Le marché s’est initialement développé dans les années 2000 aux États-Unis, sous l’impulsion de réglementations fédérales, avec des acteurs connus tels que Everbridge, AtHoc (racheté par Blackberry en 2015), Mir3, ou encore RSA Archer. En Europe le marché se développe de plus en plus avec Fact24 en Allemagne, Iremos en France, et on voit de plus en plus apparaitre sur le marché des outils d’alerte, surtout depuis les derniers attentats, des acteurs de télémarketing ou de relation client qui ont su adapter leurs plateformes à la transmission d’alertes (avec par exemple : Retarus et Gedicom).

Certaines de ces éditeurs proposent des solutions “tout-en-un” intégrant sous forme de modules les fonctionnalités suivantes :

• Veille : Un dispositif de veille permet à l’entreprise d’être informé en temps réel sur la survenue d’événements de toute nature susceptible d’affecter ses sites (alertes météo), ses actifs (cyber veille), ou encore son image (veille médiatique). La prise en compte des signes avant-coureurs d’une crise fait partie intégrante de la phase de veille et permet d’apporter aux cellules décisionnelles une vision globale de la situation.

• Remontée d’incidents : Les informations, souvent incomplètes, remontent de manière désordonnées et rendent d’autant plus difficile la compréhension de la situation, ce qui se répercute au moment des prises de décisions. Certains outils de gestion de crise proposent pour cela un module dédié à la déclaration d’incident. Les collaborateurs peuvent déclarer en quelques clics un événement sur des formulaires pré formatés, ce qui permet ainsi d’automatiser et centraliser la remontée d’incidents, d’accéder à l’information en temps réel et d’alerter automatiquement les bonnes personnes en fonction de la nature et de la gravité de l’événement.

• Coordination :

 – Mobilisation de(s) cellule(s) de crise: Les outils de coordination permettent à l’entreprise de définir des schémas d’alertes avec le contenu du message à envoyer selon la nature de la crise, la liste les personnes à contacter avec l’éventuelle escalade en cas de non réponse et les moyens de communications à utiliser (SMS, mail, serveur vocal interactif, etc…).

– Espace d’échange et de communication : Le recours à une cellule de crise virtuelle est utilisé pour permettre le rassemblement virtuel des membres de la cellule de crise où qu’ils soient dans le monde et ainsi optimiser la rapidité des échanges et le partage de l’information au bon moment.

– Suivi des événements : Les éditeurs proposent des modules de suivi des événements permettant la tenue d’échanges entre plusieurs cellules de crise constituées pour le traitement d’un même événement. Ces solutions proposent également de centraliser la documentation nécessaire à la gestion de crise (BIA, procédures, annuaires,…).

• Alerte en masse : Dans certains types de crise (incendie, inondation, attentat, etc…), l’entreprise doit pouvoir alerter largement et rapidement une population plus ou moins importante (collaborateurs, clients, fournisseurs, etc.). Pour se faire, il est possible de faire appel à un outil d’alerte en masse, aussi appelé « EMNS » (pour Emergency Mass Notification System). Comme pour la mobilisation de la cellule de crise, un système d’alerte va permettre de mettre en place des scénarios d’urgences afin d’alerter des milliers de personnes dans des délais très courts.

Avant un lancement de projet, ces fonctionnalités doivent être passées au crible pour distinguer celles qui serviront à accompagner la gestion de crise de celles qui constitueront uniquement un plus. Il ne faut pas négliger que la mise en place d’un outil de gestion de crise est un réel investissement. Le prix des solutions packagées varie suivant le mode de licence et le nombre d’utilisateurs : soit en achat unique de licences (compter entre 50 et 70 k€) , soit avec des abonnements de l’ordre de 5 k€ / mois auquel il faudra ajouter des frais d’implémentation (~6 k€).

… pour choisir l’outil le plus adapté

Après avoir défini ses besoins en matière d’outillage et les principaux cas d’usage, il va maintenant falloir faire un choix parmi toutes les solutions proposées sur le marché. Bien choisir son outil est donc une étape essentielle et peut se réaliser à partir d’une méthodologie de sélection basée sur les 4 étapes suivantes :

La première étape consiste à lister les caractéristiques essentielles que l’outil devra posséder pour atteindre les objectifs fixés. Il existe plusieurs critères permettant de choisir son outillage. Le premier, et peut être le plus important, est les fonctionnalités attendues entre la veille, la remontée d’incident, l’alerting ou encore la coordination. Viennent ensuite la simplicité et l’accessibilité d’utilisation, facteur clé d’adoption de la solution. La robustesse de l’outil devra également être évalué, il ne faudrait pas que l’outil ne soit pas utilisable le jour d’une crise. Ce critère est particulièrement important pour les crises cyber qui peuvent mettre à mal la grande partie du SI de l’entreprise, il faut alors prévoir de pouvoir faire fonctionner le système en dehors de l’entreprise. Et à la vue des données manipulées et de leur sensibilité, des éléments quant à la confidentialité (authentification, chiffrement…) et à la sécurité de la solution doivent aussi être pris en compte.

Finalement, comme pour tout projet d’acquisition de logiciel, il faudra être attentif au coût total de la solution (acquisition mais aussi maintenance), aux références de l’éditeur, à sa maturité et à sa solidité financière.

Une fois les critères définis, la deuxième étape concerne l’évaluation des solutions disponibles sur le marché. Il faudra alors construire la grille d’analyse qui permettra de valider l’adéquation de la solution avec les besoins exprimés et d’évaluer la capacité de l’outil à s’intégrer dans le système d’information. Il s’agira ensuite de mettre en concurrence les différents éditeurs et de dresser une liste restreinte de solutions qui répondra le mieux aux besoins et aux exigences définies durant la phase de recherche. Afin de garantir une liste pertinente, les critères d’évaluation seront pondérés pour refléter l’importance relative accordée à chacune des exigences techniques et fonctionnelles.

À cette phase, il est pertinent d’organiser des démonstrations avec les éditeurs short-listés afin d’évaluer la manière dont l’outil fonctionne sur des cas concrets. Après avoir procédé à la qualification des solutions et après avoir rencontré les éditeurs, on peut considérer que tous les éléments sont réunis pour pouvoir apprécier les outils sélectionnés et procéder au choix final.

Ces différentes étapes pourront être suivies par un groupe de travail transverse mobilisant les équipes de gestion de crise évidemment mais aussi les responsables sécurité de l’information et la DSI.

Investir dans un outil, un effort à maintenir dans la durée pour en tirer toute la valeur

Usuellement cette démarche de choix d’outillage nécessite un délai d’approximativement 3 mois dans les grandes entreprises. La mise en œuvre complète de l’outil peut-elle nécessiter jusqu’à 6 mois, en particulier lorsqu’un grand réseau d’acteurs devra être formé à utiliser l’outil.

Mais attention à bien prendre en compte que cet outillage doit vivre dans le temps. C’est un point important à ne pas négliger au risque de voir les investissements initiaux perdus au bout de quelques mois.

Cet investissement dans la durée devra être réparti entre tous les acteurs de la gestion de crise, pour qu’ils restent familiers avec l’outillage et se l’approprient. Point clé également, utiliser l’outil lors des exercices. Même si cela peut paraître évident, c’est parfois négligé.

Cet article Comment évaluer et choisir son outil de gestion de crise ? est apparu en premier sur RiskInsight.

Si chaque situation de crise est unique, il est aujourd’hui nécessaire pour chaque établissement de se préparer à toutes les éventualités en travaillant sur l’amélioration des dispositifs de crise, l’efficacité collective des membres des cellules, l’acquisition d’outils d’alerte, la simplification des procédures et check lists de crise et la préparation des environnements.

AVANT : PRÉPARER SON ENVIRONNEMENT DE GESTION DE CRISE

Comment être efficace en situation de crise si un téléphone, une audioconférence ou une visio-conférence ne fonctionne pas (ou qu’on ne sait pas activer), un PC portable ou un smartphone n’a plus de batterie, un annuaire de contacts est indisponible ou non mis à jour, la messagerie ou une application est inaccessible ? Une salle de crise trop petite ou non climatisée fera monter la température, au sens propre comme au sens figuré…

Ces désagréments sont autant de facteurs de stress supplémentaires et font perdre du temps lorsqu’on a des décisions à prendre ou une coordination à assurer. Pourtant ces problèmes logistiques sont simples à éviter : l’équipement des salles de crise doit être régulièrement homologué et utilisé par les membres des cellules de crise en condition réelle, des manuels simples d’utilisation doivent être prévus, disponibles et tenus à jour.

Nous constatons après près de 15 années d’exercice de crise, que des procédures de gestion de crise très complètes sont de faible utilité en pilotage de crise. Les crises actuelles sont de plus en plus stressantes, elles catalysent les émotions et paralysent les capacités des managers ; la simple lecture d’une consigne d’une page est compliquée ! Seules des check listes très synthétiques et opérationnelles (aussi appelées fiches réflexes), décrivant le rôle de chacun et régulièrement utilisées permettront de fournir un cadre adéquat à la cellule de crise pour gérer un événement majeur.

PENDANT : S’ORGANISER ET RÉDUIRE LES « BRUITS »

L’organisation même de la cellule de crise est essentielle pour faire face aux pressions liées au  planning des parties prenantes, aux médias… Il est nécessaire d’organiser la cellule de crise et les canaux de communication de telle manière à :

• Avoir une composition et une répartition des rôles cohérente et adaptée à la situation de crise à gérer ;
• Fournir le bon niveau d’information fiable aux membres de la cellule de crise ;
• Réduire les « bruits parasites ».

Avant de se lancer dans la gestion de la crise, la cellule de crise doit prendre les quelques minutes nécessaires pour fixer son organisation et son mode de fonctionnement : adaptation de la composition aux événements (mobilisation d’experts internes ou externes en fonction de la nature de la crise), rappel des rôles de chacun. La répartition de rôles dès l’entrée en crise (pilote de crise, secrétaire de séance, chargé du suivi des décisions et plans d’actions, sous-cellule communication, sous-cellule anticipation…) permet d’organiser et fiabiliser la gestion de crise : c’est la condition sine qua none pour que les périmètres de chacun des acteurs soient maîtrisés et respectés. Il devient indispensable de prévoir une fonction voire une sous-cellule d’anticipation dont le rôle sera de réaliser une prise de recul sur les événements, d’anticiper les pires scénarios et de proposer les actions à mener pour y faire face.

Une fois ce rappel réalisé il est possible de réaliser le briefing de la situation qui permet de mener de bout en bout un diagnostic complet (analyse des impacts, identification des parties prenantes directes et indirectes, pièges à éviter…).

Des points de situation réguliers permettent la prise de décision coordonnée. Ces points doivent être formalisés dans un document qui peut ensuite être utilisé comme un outil de pilotage, pour le suivi des décisions et les relances des actions à mettre en oeuvre. En définitive la prise de décision se fait toujours dans l’incertitude puisque la cellule de crise dispose rarement de toutes les informations au moment voulu. Il est nécessaire d’établir et d’activer les canaux d’information (internes et externes sur les lieux de la crise) qui permettront à la cellule de crise de suivre la situation. Ces canaux permettront de réduire les risques d’asymétries d’information, de retards dans la prise de décision et d’oublis dans le suivi des plans d’actions qui sont autant d’éléments pouvant perturber la bonne gestion de crise.

Lors d’une situation de crise, de nombreux « bruits » viennent parasiter la gestion de crise :

• Le bruit au sens premier (appels téléphoniques en salle de crise notamment) qui a un impact direct sur le niveau de fatigue et de stress et représentent un danger pour la dynamique et la cohésion de groupe. Par exemple, il devient nécessaire de s’astreindre à une discipline pour ne pas se laisser déborder par le flux des appels téléphoniques en salle de crise et prendre les appels dans une autre salle.
• Le « bruit » au sens de la communication, généré par les médias et les réseaux sociaux lors d’une crise peut entraîner des perturbations et affecter les prises de décisions de la cellule de crise (infobésité, sur-médiation d’un événement entraînant une prise de décision hâtive, …).

APRÈS : CAPITALISER POUR S’AMÉLIORER

Pour tirer les leçons de l’expérience, toute convocation d’une cellule de crise doit donner lieu à un débriefing à froid, afin de mettre l’accent sur ce qui a bien fonctionné et ce qui nécessite d’être amélioré. Les plans d’actions mentionnent souvent de mettre à jour les procédures de gestion de crise, de contrôler l’équipement des salles de crise, de former les membres de la cellule de crise à la gestion de crise ou encore au media training.

Ces plans d’actions ne doivent pas rester lettre morte, au risque de reproduire les mêmes erreurs à la prochaine crise !

Cet article Comment se préparer à une crise ? est apparu en premier sur RiskInsight.

Seul un entrainement régulier permet de créer les automatismes salvateurs lorsque surviendra la situation de crise. Il est impossible de tout prévoir, et illusoire et inefficace de chercher à décrire toutes les situations de crise possibles. Il surviendra toujours un événement nouveau, imprévisible, voire impensable. C’est pourquoi il est nécessaire de s’entraîner à analyser et réagir rapidement sous pression. Une fois les premiers réflexes acquis, les organes de gestion de crise plus matures pourront développer leur « force de réflexion rapide », un groupe dédié et entraîné pour aider les dirigeants dans leur pilotage des situations  très complexes et plus particulièrement « hors-cadre » de référence qui mettent en grande difficulté tous les schémas préétablis.[1] [2]»
Huit scénarios de gestion de crise « génériques »…

Le groupe de Place Robustesse[3], créé en 2005 à l’initiative de la Banque de France, a notamment défini huit scénarios de crise « génériques » en raison de leur représentativité :

• Grève générale des transports ;
• Crue de la Seine ;
• Risque de pandémie ;
• Attentats terroristes ;
• Panne générale d’électricité ;
• Accident industriel ou attentat de type NRBC (nucléaire, radiologique, biologique, chimique) ;
• Défaillance d’un prestataire « critique » ;
• Cyber-attaque

8 scénarios de crise…..dont 4 qui se sont produits durant ces 6 derniers mois : l’actualité met en exergue la nécessité de prendre en compte ces scénarios majeurs, qui décrivent des menaces actuelles et, malheureusement, probables.

… Qui nécessitent des entraînements spécifiques…

Au sein des organisations, il apparaît évident que les entraînements et les exercices ne sont plus une option mais bel et bien une nécessité. L’enjeu étant de construire un plan de progression pluriannuel à la fois suffisamment ambitieux mais également en adéquation avec le niveau de maturité de l’entité.

Le plan de test doit, in fine, couvrir à la fois les différentes étapes de la gestion de crise (de la phase d’alerting jusqu’à la sortie de crise) mais également les scénarios de crise auxquels peut être confrontée l’organisation. Idéalement, une fréquence de deux exercices de gestion de crise par an est préconisée pour permettre à l’équipe constituant la cellule de crise de s’habituer à travailler ensemble (prise en compte des turn over).

Il est primordial de varier les scénarios pour s’entraîner et acquérir les compétences nécessaires à une gestion de crise maîtrisée. Par exemple, les compétences liées à la communication de crise peuvent être consolidées lors d’exercices de média training spécifiques au cours desquels les communicants sont spécifiquement sollicités (simulation de prise de parole auprès de la presse, médias filmées avec débriefing et formalisation de communiqués à destination des autorités, des victimes…). En effet, il est impératif de comprendre comment fonctionnent les médias pour être en capacité de leur restituer le bon message dans le timing attendu avec le niveau souhaité d’information.

Par ailleurs, des entraînements spécifiques de grande ampleur, faisant interagir plusieurs cellules de crise (avec potentiellement des cellules extra entité), peuvent être organisés pour mesurer la capacité de l’organisation à maîtriser les outils et méthodes de gestion de crise prévus et mis en place. Ce type d’exercice permet de valider le circuit et les modalités de communication entre les cellules de crise.

Les constats réalisés au cours des exercices permettent d’identifier les failles potentielles du dispositif qui font alors l’objet d’un plan de recommandation priorisé. L’entité devra établir, mettre en œuvre et suivre un plan d’action lui permettant de s’assurer de la résilience du dispositif mis en place.

A l’issue des exercices, les partages de retours d’expériences entre les organisations constituent des éléments de progrès indispensables car ils permettent à la fois de faire progresser les entités mais également d’augmenter leur capacité d’apprentissage (notamment par l’identification des points forts qui doivent être capitalisés et actions qui pourraient être mises en place pour améliorer ce qui a moins bien fonctionné).

… Afin d’identifier les compétences requises…

Contrairement à ce que la plupart des managers en perçoivent, la capacité à savoir appréhender les éléments clés d’une gestion de crise réussie n’est pas innée, loin de là.

En effet, la gestion de crise requiert des compétences qui ne sont habituellement pas utilisées.

Si le niveau d’expertise métier de chacun des contributeurs assurant la conduite de crise n’est pas remis en cause, il n’en demeure pas moins que d’autres compétences spécifiques doivent être acquises pour contribuer à une gestion de crise efficace. Ces compétences englobent notamment la capacité à comprendre, analyser l’information, et à définir rapidement les impacts potentiels et les parties prenantes.

Sous l’effet du facteur pression du temps et de l’émotion, les managers se retrouvent confrontés à de nouveaux défis : être capables de traiter quasiment de manière instantanée les informations entrantes afin de les analyser à chaud, les partager et valider les actions à mettre en œuvre.

Le facteur temps compresse les délais habituels d’analyse, de qualification donc de réflexion. Quant au facteur émotion, le manager peut naturellement se retrouver dans une démarche instinctive et donc éloignée d’une démarche intellectuelle. Or, les décisions instinctives, prises dans l’urgence, sont dénuées de réflexions analytiques élaborées.

Ces nouveaux contextes et champ d’action modifient la donne, les curseurs et les niveaux d’expertise requis. Cela nécessite l’application d’une méthodologie qui, rappelons-le, n’est pas innée (car ne faisant pas a priori partie des réflexes acquis).

… Et de développer des réflexes appropriés

Face à des événements brutaux, déstabilisants voire choquants psychologiquement, il s’agit de s’appuyer sur des réflexes acquis au cours de l’expérience propre ou de l’entraînement spécifique. Cela est d’autant plus nécessaire que le facteur humain entre en considération : nous n’avons pas tous les mêmes capacités à gérer une situation déstabilisante et/ou inhabituelle. Quelle est ma capacité individuelle à évoluer dans un contexte excessivement complexe dont je ne connais ni les contours ni l’issue, ceci sous une intensité de stress constante et ce, sur du court, moyen voire long terme ?

L’effet du facteur humain est applicable à chaque membre de la cellule de crise mais également au groupe d’individus qui la constitue. Si les capacités intrinsèques de chaque individu peuvent influer sur les résultats en termes d’efficacité de l’équipe, les interactions entre les différents individus constituant le groupe peuvent avoir des impacts aussi bien positifs que négatifs. En effet, dans certaines situations deux « plus » peuvent faire un « moins » ; en d’autres termes, deux individus pourtant reconnus pour leurs expertises individuelles respectives ne parviennent pas à produire ensemble la valeur ajoutée attendue. Le facteur humain au sein du groupe est donc un élément dont on ne peut faire l’impasse. Aussi, pour être efficace et efficient ensemble, il faut se connaître (tout particulièrement dans le contexte particulier qui est celui de la gestion de l’urgence et des priorités). Les entraînements réguliers sur divers sujets et périmètres concourent à réduire les effets potentiellement néfastes du facteur humain.

[1] Patrick Lagadec : « La Force de réflexion rapide Aide au pilotage des crises », Préventique-Sécurité, n 112, Juillet-Août 2010, p. 31-35.

[2] Patrick Lagadec : « Le Continent des imprévus – Journal de bord des temps chaotiques », Ed. Les Belles Lettres, 2015, p. 239.

[3] Le Groupe de Place Robustesse se compose d’établissements de crédit ou assimilés, d’infrastructures de marché, du HFDS du ministère de l’Économie et des Finances, de la Direction générale du Trésor, de la Fédération bancaire française, de la Banque de France, des autorités de supervision et de régulation telles que l’Autorité de contrôle prudentiel et de résolution et l’Autorité des marchés financiers.

Cet article Gestion de crise : Comment maximiser mes chances ? est apparu en premier sur RiskInsight.

Au vu de ces multiples impacts, une simple réponse « individuelle » de chaque organisation – bien que nécessaire – n’est pas suffisante. Une réponse collective doit également être apportée pour adresser l’ensemble des problématiques. En effet, au niveau individuel, chaque acteur doit se préparer à la crise à travers la mise en place d’un Plan de Continuité d’Activité dédié, adapté à ses métiers et aux spécificités de la crue centennale.

Focus sur la préparation individuelle : les quatre volets du Plan de Continuité d’Activité « choc extrême »

Nombreuses sont les entreprises disposant d’un Plan de Continuité d’Activité pour faire face à différents sinistres ou événements pouvant impacter leur fonctionnement : indisponibilité d’un site, panne de SI, grève de collaborateurs… La crue centennale de la Seine a la particularité de toucher toutes ces ressources en même temps. Il est donc indispensable d’adapter les PCA habituels pour prendre en compte les particularités d’une crue.

Ressources humaines

La crue centennale aurait un impact important sur la disponibilité des salariés des entreprises en Île-de-France.

Tout d’abord, la conséquence directe de l’indisponibilité des transports en commun et des axes routiers entraînerait de grandes difficultés de déplacement pour les collaborateurs. À noter qu’au pic de crue, l’Île-de-France serait scindée en trois zones « infranchissables ».

Il faut également prendre en compte les situations particulières et personnelles des collaborateurs qui auraient un impact sur leur capacité à rejoindre les locaux ou les sites de repli (logements inondés, écoles fermées…).

L’indisponibilité des moyens de circulation et les contraintes personnelles des salariés entraîneraient donc un impact fort sur le taux d’absentéisme dans les entreprises, qui pourrait atteindre entre 50% et 70%. Ainsi, le sujet de l’organisation et de la gestion du personnel doit être étudié en prenant en compte l’aspect dynamique de l’absentéisme (un collaborateur absent un jour donné pourrait être présent le jour suivant et inversement) :

• déterminer les fonctions et hommes clés nécessaires à la continuité d’activité et instaurer leur suppléance (sous-traitance, intérim…) ;
• acheminer le personnel mobilisé sur les sites de repli ;
• prévoir hébergement et restauration…

Prestataires de Services Essentiels Externalisés

Comme les autres acteurs économiques, les Prestataires de Services Essentiels Externalisés (PSEE) verraient eux aussi leurs activités compromises par la crue. Il est donc primordial de ne pas négliger la dépendance vis-à-vis de ces fournisseurs, aussi bien en amont de l’activité (matières premières, services…) qu’en aval (distribution…). Des engagements contractuels visant à garantir l’acheminement des biens ou la fourniture de services en cas de sinistre doivent donc être définis et contrôlés (audit, contrôle qu’un test annuel a été réalisé…)

Sites / Locaux / Logistique

Les locaux des entreprises (siège, agences…) pourraient être rendus indisponibles pendant plusieurs semaines. Il est donc indispensable de mettre en place une stratégie de repli prenant en compte les spécificités de la crue : séparation de l’Île-de-France en trois zones, difficultés de déplacement, perturbation des accès télécoms… une crise pouvant durer plus d’un mois. Ainsi, la stratégie de repli doit :

• identifier des sites à risque ;
• choisir un site de repli accessible aux collaborateurs ;
• définir des ressources matérielles indispensables pendant la durée de crise ;
• assurer l’acheminement des ressources pendant la durée de la crise…

Systèmes d’information

Le Plan de Continuité Informatique est une des composantes essentielles du PCA. Données, serveurs d’application, infrastructure réseau… le secours de ces ressources critiques potentiellement menacées par une crue de la Seine est également une priorité.

Nombreuses sont les entreprises qui disposent de datacenters en dehors de l’Île-de-France. Toutefois deux éléments majeurs sont à prendre en compte lors d’une crue. Tout d’abord, la capacité des collaborateurs à se connecter aux ressources informatiques de chez eux ou des sites de repli compte tenu des perturbations télécoms susmentionnées. D’autre part la sécurisation des ressources informatiques locales (applications locales, serveurs de fichiers…) stockées dans les sièges des entreprises qui seront inondées.

Focus sur la préparation collective : l’exercice « EU SEQUANA 2016 », simulation d’une crue centennale de la Seine grandeur nature

Présentation de l’exercice EU SEQUANA 2016

L’exercice EU SEQUANA 2016 est un exercice « grandeur nature » qui met l’accent sur la coordination entre les différents secteurs d’activités de la vie économique francilienne ainsi que sur la coordination des organes de gestion de crise publics qui seront activés pour l’occasion (les collectivités territoriales locales, le niveau zonal/régional/départemental, le niveau national et l’Union Européenne via son Mécanisme Européen de Protection Civile).

L’exercice mobilisera donc de nombreux acteurs publics et privés pour un exercice inédit avec plus de 90 entités participantes : secteur financier, assureurs, opérateurs télécom, transports, énergies, forces armées, administrations…

Il consistera en un déploiement simultané des Plans de Continuité d’Activité et des dispositifs de gestion de crise de chaque participant. L’objectif est de simuler la réponse à la crise de la manière la plus réaliste possible, les opérateurs des réseaux vitaux (transports, énergie…) alimentant directement les participants en stimuli.

Déroulé et objectifs de l’exercice

L’exercice aura lieu en mars 2016 et se déroulera sur 14 jours calendaires. La première semaine – du 8 mars au 11 mars 2016 – aura lieu la phase « Crue » de l’exercice. Chaque journée sera dédiée à un niveau d’eau différent, les participants devront évaluer les impacts et prendre les décisions adéquates pendant cette phase. Objectifs principaux pour les participants : anticiper la montée des eaux à venir et gérer les premiers impacts constatés.

Le weekend du 12 et 13 mars 2016, le pic de crue sera atteint, ce qui déclenchera les dispositifs opérationnels prévus en cas de crue de la Seine, notamment la collaboration européenne.

La seconde semaine – du 15 au 18 mars 2016 – aura lieu la phase « Décrue » de l’exercice. Objectifs principaux des participants : travailler sur le retour à la normale et la résilience des réseaux.

La différence sur l’organisation des deux phases de l’exercice tient dans les hypothèses de travail dont disposeront les différents acteurs. En effet, de nombreuses simulations et études ont permis d’établir des hypothèses de travail à partir desquelles évaluer de façon réaliste les impacts d’une crue de la Seine. A l’opposé, la phase de « Décrue » ne dispose pas de travaux aussi poussés en la matière.

Cet exercice est donc une occasion inédite pour l’ensemble des participants de relever 3 défis majeurs :

• réussir la coordination des cellules de crise internes de chaque participant avec les cellules de crise externes qui seront activées ;
• mobiliser l’ensemble des acteurs pour produire un scénario le plus réaliste possible ;
• nouer des relations entre acteurs de secteurs différents pour faciliter la coordination de la réponse.

Mais il faut bien être conscient que SEQUANA ne sera pas forcément un aboutissement en tant que tel mais bien le début d’une prise de conscience généralisée qui aura des effets bénéfiques sur les années à venir.

Le scénario de crise d’une crue centennale est un excellent scénario pour renforcer la résilience de son entreprise, des processus et des collaborateurs tant les impacts sont globaux et la complexité des solutions à mettre en œuvre est importante. Toutefois, malgré toutes les préparations et anticipations possibles, il faut rappeler que ce scénario dispose de nombreux aléas et d’inconnues imposant à chaque acteur d’adapter les dispositifs si la crise survenait. Ainsi, une stratégie d’exercices doit être mise en place afin de tester les PCA, mais également pour renforcer la résilience de l’organisation et des personnes qui devront, le jour de la crise, adapter les dispositifs prévus.

Cet article Choc extrême : comment se préparer à une crue centennale en Île-de-France ? (2/2) est apparu en premier sur RiskInsight.

La crue centennale, plus qu’une simple inondation

Le choc extrême le plus probable

La crue centennale en Île-de-France est la conséquence d’une crue de la Seine, de l’Yonne et de la Marne avec les conditions météorologiques adéquates (températures négatives, gel progressif des couches supérieures des sols, précipitations importantes) entraînant une montée progressive des eaux.

La dernière catastrophe de ce type remonte à 1910. La Seine atteignit son niveau maximal de 8,62m en une dizaine de jours, avant de revenir à son niveau initial après 35 jours de décrue. Cette inondation causa d’importants dommages à l’économie locale, pour un coût total avoisinant les 15 milliards d’euros.

Le scénario d’une crue centennale identique ou supérieure à celle de 1910 est aujourd’hui le scénario de catastrophe majeure le plus probable en Île-de-France (probabilité de 1/100 chaque année).

Une menace avérée et des faiblesses identifiées

Les dernières crues importantes connues en Europe ont contribué à révéler la nécessité de mieux se préparer et de renforcer la résilience des villes. Ainsi cette menace en Île-de-France est désormais au centre des attentions depuis plusieurs années, avec notamment :

• un contexte réglementaire fort de l’Union Européenne via la directive 2007/60/CE, qui enjoint les États membres à établir des Plans de Gestion des Risques d’Inondation (PGRI) ;
• un rapport de l’OCDE – « Étude de l’OCDE sur la gestion des risques d’inondation : la Seine en Île-de-France 2014 » – qui évalue à plus de 50 milliards d’euros l’impact d’une crue centennale. Elle souligne les faiblesses multiples de la France pour se préparer et faire à face à la crue, notamment sur le déficit de gouvernance, une résilience inégale ainsi que l’absence de vision stratégique globale et commune entre les acteurs concernés. La mise en place d’objectifs précis en termes de résilience et la responsabilisation des acteurs font partie de ses recommandations principales.

Même si Paris est maintenant mieux protégée qu’en 1910, elle est également plus vulnérable sur certains aspects. En effet, l’urbanisation croissante et l’interdépendance des infrastructures critiques ont largement accentué les impacts potentiels d’un tel scénario.

Des impacts multiples sur les ressources des entreprises

Cette crise, multiple et complexe, couperait l’Île-de-France en trois zones isolées, affecterait plus de 300 communes et toucherait tous les réseaux d’opérateurs essentiels pour la vie économique et sociale de l’Île-de-France qui seraient rendus en grande partie indisponibles : distribution d’électricité, distribution d’eau, opérateur télécom, assainissement, transports routiers, transports en commun…

Les conséquences de la crise seraient renforcées par un véritable « effet domino » lié à l’interdépendance des entreprises et des réseaux, une rupture de service en entraînant une ou plusieurs autres.

Le fonctionnement de l’État, des institutions et de l’activité économique en général sera fortement perturbé et près de 5 millions de citoyens seront affectés, directement ou indirectement.

Anticiper la crue : une préparation en deux volets

Au vu des multiples impacts régionaux d’une crue centennale de la Seine, une simple réponse « individuelle » de chaque organisation – bien que nécessaire – n’est pas suffisante. Une réponse collective doit également être apportée pour adresser l’ensemble des problématiques.

En effet, au niveau individuel, chaque acteur doit se préparer à la crise à travers la mise en place d’un Plan de Continuité d’Activité dédié, adapté à ses métiers et aux spécificités de la crue centennale. Celui-ci doit intégrer les dépendances aux réseaux et autres structures impactées par la crise : télécommunications, fournisseurs, transports… Mais sans la mise en place d’une stratégie partagée, ces plans individuels ne seront pas efficaces. Une approche globale constitue l’un des principaux enjeux de la prévention des risques d’inondation. En effet, les adhérences entre les entreprises sont de plus en plus importantes, notamment avec les fournisseurs de transports ou de utilities (télécom, énergie…) qui sont indispensables à l’ensemble des entreprises en Île-de-France, nécessitant par conséquent une collaboration très rapprochée en cas de crise.

Aujourd’hui, un réel dynamisme multi-acteur est impulsé par le Secrétariat Général de la Zone de Défense et de Sécurité (SGZDS) de Paris autour du futur exercice EU SEQUANA 2016.

Dans le prochain article, nous ferons un focus sur la préparation individuelle et les quatre volets du Plan de Continuité d’Activité « choc extrême » et nous reviendrons sur la préparation collective avec l’exercice « EU SEQUANA 2016 »,la simulation d’une crue centennale de la Seine grandeur nature.

Cet article Choc extrême : comment se préparer à une crue centennale en Île-de-France ? (1/2) est apparu en premier sur RiskInsight.

La notion de « crise » est perçue, dans nos sociétés modernes actuelles, de manière assez hétérogène, ce qui induit une certaine difficulté à en définir les contours précis. En effet, le terme de crise (économique, sociale, ou encore de réputation) est abondamment employé et ce, dans tous types de situations ou d’événements qui sont notamment relayés à la une des médias.

Étymologiquement parlant, le mot crise -issu du grec « Κρίσις »- associe les sens de « jugement » et de « décision » mis en œuvre pour dégager une décision entre plusieurs positions ou tendances opposées sinon conflictuelles.

Il s’agit bien ici d’exercer et donc d’entraîner une organisation à faire face à un ou plusieurs événements majeurs (quelles qu’en soient l’origine ou la nature – soudaine ou progressive), ayant des impacts considérables sur son fonctionnement et pouvant potentiellement mettre en péril ses ressources et donc ses actifs.

Pourquoi réaliser des exercices de gestion de crise ?

Avant tout parce qu’il s’agit du seul moyen tangible de s’assurer que les dispositifs mis en place sont opérationnels et en mesure de faire face à tous types de situations de crise. En effet, chaque organisation doit se préparer à gérer des situations complexes et déstabilisantes, y compris celles qu’elle n’a pas prévues voire imaginées.

Les objectifs d’un exercice de gestion de crise sont la validation du caractère opérationnel en termes organisationnel et humain des cellules de crise de l’entité dans le cas d’un événement majeur menaçant la bonne réalisation de tout ou partie de ses activités.

Les exercices permettent, dans un premier temps, de valider les procédures de remontée d’alerte jusqu’à la mobilisation des cellules de crise et, dans un second temps, de valider l’ensemble des procédures de gestion de crise prévues qui sont éprouvées tout au long de la session d’entraînement. Les exercices contribuent, bien évidemment, à faire monter en compétence les participants qui acquièrent, au fur et à mesure des exercices, l’expertise et les réflexes nécessaires à une gestion efficace de la situation.

Parce que la gestion de crise s’appuie sur des capacités humaines (capacité à anticiper, à prendre des décisions) et parce que chacun peut être amené à réagir de manière différente face à l’inconnu et au stress, s’entraîner c’est être prêt !

Enfin, il est à noter que la réalisation d’exercices de gestion de crise est une obligation réglementaire pour les établissements bancaires et financiers. Le régulateur s’assure que l’organisme a réalisé a minima une fois par an une action significative permettant d’attester que le dispositif a été éprouvé et qu’un plan d’actions d’amélioration a été établi. Idéalement, le niveau de difficulté des exercices devra être croissant et couvrir, à terme, les différentes typologies de crise.

Qui doit participer aux exercices de gestion de crise ?

Comme évoqué précédemment, les exercices de gestion de crise ont pour objectif d’éprouver les capacités d’une organisation à prendre des décisions dans un contexte inhabituel. Ils s’adressent donc en particulier aux membres des cellules de crises décisionnelles (CCD) qui sont généralement constituées des représentants du plus haut niveau de management de l’entité (Comité Exécutif ou Comité de Direction).

Lors d’un exercice de gestion de crise, les fonctions mobilisées au sein de la CCD peuvent varier selon le type de scénario joué ; cependant les expertises inhérentes aux ressources humaines, à la communication (interne et externe), au juridique, à la logistique, à l’informatique et au métier impacté sont habituellement sollicitées.

Afin de renforcer la robustesse du dispositif, il convient d’impliquer également les membres suppléants dans les exercices de gestion de crise, ceci permettant de se prémunir de tout défaut d’expertise au sein de la cellule de crise en cas d’indisponibilité du titulaire.

Il est aussi possible d’entraîner les cellules de crise opérationnelles qui ont pour rôle de mettre en œuvre les décisions prises par la cellule de crise décisionnelle.

Des exercices de crise au niveau national et international sont également organisés : le Groupe de Place Robustesse (composé d’établissements de crédit ou assimilés, d’infrastructures de marché, du HFDS du ministère de l’Économie et des Finances, de la Direction générale du Trésor, de la Fédération bancaire française, de la Banque de France, des autorités de supervision et de régulation telles que l’Autorité de contrôle prudentiel et de résolution et l’Autorité des marchés financiers) se réunit régulièrement pour améliorer la robustesse de la place financière de Paris et pour échanger sur les expériences menées tant au sein des établissements que sur les autres grandes places financières. Des exercices de grande ampleur sont ainsi réalisés annuellement (panne d’électricité,  pandémie H1N1, crue centennale de la Seine, Cyber-attaque…)

Quelles sont les étapes à réaliser pour la mise en place d’un exercice de gestion de crise ?

La première étape consiste à définir et valider les objectifs de l’exercice qui devront prendre en considération le degré de maturité de l’entité en termes de pilotage de crise (une ou plusieurs cellules de crise impliquées dans l’exercice). En effet, il s’agit de positionner le degré d’exigence attendu au niveau adéquat afin que les objectifs soient à la fois ambitieux mais atteignables (les objectifs doivent tenir compte des axes d’amélioration identifiés lors des précédents exercices afin de valider que les actions correctives ont bien été mises en œuvre).

La seconde étape consiste à retenir un macro scénario adapté à la fois au contexte de l’entreprise et aux objectifs fixés. Les scénarios envisageables sont divers et variés en fonction de l’origine (interne ou externe) et de la dimension (technique, économique ou sociale et organisationnelle) de la typologie de crise retenue. La palette de scénarios est vaste et s’étend du plus commun au plus inattendu :

• Incendie / explosion de gaz avec ou sans victime
• Cyber-attaque avec vols de données ou destruction du SI
• Panne informatique de grande ampleur
• Fraude interne ou externe
• Pandémie
• Mouvements sociaux
• Rumeur
• Catastrophe naturelle
• Attentats
• Enlèvement / séquestration voire disparition de dirigeants…

Le macro scénario est ensuite décliné en chronogramme détaillé qui reprend l’ensemble des stimuli qui seront adressés à la (ou aux) cellule(s) de crise tout au long de l’exercice (la durée de l’exercice peut s’étendre d’une à deux heures jusqu’à plusieurs jours !). Chaque stimulus constituant le chronogramme devra être formulé de manière concise et précise en reprenant les termes propres à l’entité (processus, noms et contacts des personnes simulées…) permettant ainsi de se rapprocher au maximum de l’organisation et de la configuration réelle de l’entité.

La phase d’animation consiste à jouer le scénario tel qu’il est prévu au sein du chronogramme. Une cellule d’animation, qui représente à la fois le monde extérieur et les autres acteurs de l’organisation, adresse aux cellules de crise testées (via mails, appels téléphoniques, captures d’écran d’articles de presse…) les stimuli en fonction du timing prédéfini. Les membres des cellules de crise jouent leur propre rôle et les observateurs présents dans la salle de crise consignent leurs observations en vue du débriefing. L’équipe d’animation veille à ce qu’aucune information ne sorte du cadre de l’exercice ceci permettant d’éviter tout déclenchement de crise « réelle ».

A l’issue de l’exercice, un débriefing à chaud est animé par le directeur de l’exercice au cours duquel chaque participant interagit et alimente les débats. Un rapport d’exercice reprenant les forces et faiblesses du dispositif est par la suite formalisé et adressé aux membres de la cellule de crise.

Les constats réalisés au cours des exercices permettent d’identifier les failles potentielles du dispositif qui font l’objet d’un plan de recommandation priorisé. L’entité devra établir, mettre en œuvre et suivre un plan d’action lui permettant de s’assurer de la résilience du dispositif mis en place. L’efficacité et la robustesse du dispositif de gestion de crise devront ensuite être éprouvées au cours des prochains exercices.

Cet article Les exercices de gestion de crise : pourquoi, pour qui, comment ? est apparu en premier sur RiskInsight.

Au-delà de l’opportunité qu’ils représentent, les réseaux sociaux doivent également être considérés au regard du risque qu’ils présentent : un outil de communication de masse à très forte capacité virale, capable de perturber la communication de crise d’une organisation.

L’incident ayant eu lieu à Disneyland l’illustre d’ailleurs très bien. Avant même que l’enseigne n’ait officiellement communiqué, les réseaux sociaux se sont emparés du sujet avant d’être relayés par les médias traditionnels. Pire, alors que la crise prend de l’ampleur, le parc continue à communiquer via les mêmes canaux sur des évènements ludiques. Il aura finalement fallu attendre 5 heures, de nombreux tweets d’incompréhension et de multiples articles relatant les accidents passés avant que Disneyland ne reprenne la main sur sa communication de crise. L’enfant étant finalement hors de danger, ce retard n’a pas démesurément perturbé la sortie de crise. Mais face à une fin moins heureuse, la situation aurait pu être tout autre.

Alors, quelles sont les règles à appliquer pour faire des réseaux sociaux un allié en situation de crise, et non un courant à remonter ?

Communiquez vite, communiquez bien mais surtout … communiquez !

La communication est un pilier d’une saine gestion de crise. L’entreprise se doit de communiquer rapidement, et sur tous les canaux disponibles : sites institutionnels, réseaux sociaux, « médias traditionnels », … Même s’il ne s’agit que d’un message « d’attente » indiquant que des faits sont en train d’être analysés.

L’entreprise ne doit alors pas chercher à se justifier, à démontrer qu’elle n’est pas responsable ou qu’elle avait mis en place toutes les actions de prévention nécessaire. Elle doit avant tout adopter une posture empathique vis-à-vis des personnes concernées : je comprends la situation, je mesure l’importance de celle-ci pour vous et j’agis en conséquence. Un récit précis de la situation et des actions en cours pour la normaliser doit également être diffusé afin d’éviter que de fausses informations n’apparaissent par manque d’informations officielles

Comme pour les médias traditionnels, mais avec un temps de réaction réduit, la communication de crise sur les réseaux sociaux doit permettre de démontrer que l’entreprise se mobilise et cherche à traiter au mieux la crise.

Donnez tous les atouts au Community manager pour qu’il puisse communiquer

En temps de crise, les Community managers ont des difficultés à se procurer des messages validés en interne, qu’ils peuvent retranscrire à leurs communautés. Cela explique souvent le temps nécessaire à la publication des premiers messages sur les réseaux sociaux. Mais attention, le temps est un facteur d’aggravation de la crise, et le silence un facteur anxiogène chez les social-networks addicts!

Cette difficulté provient généralement d’un manque de formalisation du processus de remontée de l’information au Community Manager. La cellule de crise a ainsi tendance à se renfermer sur elle-même, et ne prendre contact qu’auprès des équipes qui lui permettront de traiter la crise. Or la communication sur les réseaux sociaux est un des leviers pour traiter la crise, voire en sortir en matière d’image et de réputation.

Un processus clair, simple et exercé devra donc permettre au Community manager de disposer de toutes les communications dont il aura besoin, et ce directement en provenance de la cellule de crise. La nature des communiqués et des informations attendues (ex : blessés ou morts, nombre de personnes concernées, nouveaux impacts possibles) pourra être formalisée en amont pour faciliter l’interaction. Il peut aussi être utile de pré-valider un certain nombre de postures qui pourront alors être plus facilement utilisé.

Et anticiper les crises, en réalisant une veille active

Toutes les crises ne reposent pas sur des événements avérés sur lesquels il devient nécessaire de communiquer (par exemple, la rumeur selon laquelle Nature et découvertes serait une secte).

Dans ce cas, et pour les entreprises particulièrement soumises à cette nature de risques (entreprises BtoC grand public avec une image de marque forte), il convient d’effectuer une veille active sur les réseaux sociaux et médias afin d’identifier, dès leur émergence, les informations erronées potentiellement sources de crise. Dans ce cas de figure, un outillage spécifique est à utiliser pour automatiser et optimiser l’activité. Il deviendra alors plus que probable que certaines crises remontent plus vite par les réseaux sociaux que par les canaux traditionnels.

Le Community manager se transforme ainsi, au-delà de son rôle de diffusion de l’information, en canal de détection de la crise à même de mobiliser l’organisation et circonscrire la crise au plus vite.

Cet article Réseaux sociaux et gestion de crise – anticiper les risques pour maîtriser sa communication est apparu en premier sur RiskInsight.

Cet article Dispositifs de gestion de crise et sécurité des SI : que font les grands comptes français ? est apparu en premier sur RiskInsight.

La cybercriminalité ne cesse de croître. Les cas concrets se multiplient.

Les retours d’expérience montrent la difficulté à gérer des crises d’un nouveau type. Ces attaques ciblées sont souvent des crises silencieuses qui atteignent directement la confidentialité des données sans remettre en cause le fonctionnement visible du SI. Ces crises sont difficiles à matérialiser, à traiter et finalement à clore de manière définitive.

Comment réagir à ces attaques ? Quelles démarches et organisations doit-on mettre en place pour se préparer au mieux ? Quelles actions de traitements doivent être mises en œuvre ?

Refondre les piliers de la gestion de crise

Une attaque ciblée n’est pas une crise SI mais bien une crise métier

En effet, si cette attaque a lieu c’est pour voler ou altérer des données métiers. Il est donc primordial d’impliquer les métiers et d’identifier les enjeux métiers actuels (contrats importants, fusion / acquisition, R&D…) afin d’anticiper les cibles de l’attaque et d’agir pro-activement. Dans le même esprit, et suivant les contextes, un support auprès d’entités étatiques peut également être recherché. Les équipes SI, malgré leur vigilance, ont un périmètre d’observation trop large pour être attentives sur tous les fronts. Identifier les cibles métiers majeures permettra de focaliser l’attention sur les périmètres sensibles.

Augmenter sa visibilité sur le système d’information

Pour analyser l’attaque et proposer des contre-mesures efficaces, il est nécessaire de détecter et de rapprocher les successions d’incidents unitaires et d’événements suspicieux. Pour cela la mobilisation des équipes d’experts « forensics » est essentielle. Ils seront à même de comprendre le fonctionnement des codes malicieux utilisés pour l’attaque et de pouvoir proposer des plans d’actions techniques pertinents. Ces ressources, encore trop rares aujourd’hui, devront être rapidement mobilisées.

L’utilisation d’outils pour capter les « signaux faibles » (analyses de journaux, sondes réseaux et détection d’intrusion) est également un vrai plus malheureusement encore peu généralisé. Notre retour d’expérience montre qu’il est possible de déployer rapidement ce type d’outil pendant une crise mais il nécessite un degré d’expertise fort pour être efficace.

S’astreindre à prendre du recul face à une multitude d’attaques silencieuses et trompeuses

Il est important de prendre régulièrement du recul, malgré la multitude d’évènements, pour comprendre la finalité de l’attaque, son évolution et définir le mode de réponse. La cellule de pilotage devra donc être séparée des opérations les plus « terrains » pour garder ce recul nécessaire.

Attention également à la logique de diversion, souvent mise en oeuvre par les attaquants (attaque en déni de services, sur d’autres serveurs peu critiques…). Il est conseillé dans ce genre de situation de rester focalisé sur les cibles potentielles définies avec les métiers et vigilants pendant les périodes d’inactivité de l’organisation (HNO, week-end, jours fériés).

Une limite souvent rencontrée dans une telle crise est la mobilisation de trop nombreux acteurs décisionnels au regard d’un faible nombre d’acteurs opérationnels en capacité à réaliser les actions. La longue durée d’une attaque (pouvant s’étaler sur plusieurs mois) nécessite la mise en place d’un rythme de gestion différent d’une crise classique. Une organisation adaptée doit être mise en place dans la durée, en prévoyant des rotations des acteurs impliqués.

Disposer d’un SI de crise parallèle et indépendant

L’expérience montre que les attaquants réussissent souvent à prendre le contrôle de l’Active Directory ou encore de la messagerie. Ils sont alors en mesure « d’écouter » les décisions prises par la cellule de crise et de les anticiper. Pour réagir efficacement durant la crise, il est donc crucial de disposer de postes de travail durcis hors des domaines d’administration classique et d’un service de messagerie spécifique. L’utilisation de services Cloud est possible. Attention cependant, les attaquants ayant pu également compromettre les messageries personnelles de tout ou partie des collaborateurs…

Admettre la perte de confiance dans le SI et la regagner

La découverte d’une intrusion majeure a souvent pour conséquence une perte de confiance en son SI vu le nombre et la criticité des serveurs compromis. Pour reprendre le contrôle de ceux-ci, il est souvent nécessaire de reconstruire des socles sains, et en particulier de réinstaller complètement l’Active Directory. À partir de ces socles sains, il sera alors possible de recréer progressivement des zones de confiance en privilégiant les fonctions les plus sensibles de l’organisation.

Les investissements liés à ces plans de reconstruction peuvent être très lourds (nos retours d’expérience montrent qu’ils dépassent fréquemment la dizaine de millions d’euros) et l’attention ne doit en aucun cas être relâchée dans ces zones assainies pour éviter une nouvelle attaque. Il faudra alors mettre en place tous les processus nécessaires pour garantir leur sécurité (administration sécurisée, analyse des journées, filtrage réseaux, gestion des accès fins…).

À suivre …

Cet article Attaques ciblées : une refonte nécessaire de la gestion de crise est apparu en premier sur RiskInsight.

« Allo Bernard ? C’est Jacques ! Ton pro est sur répondeur, heureusement Philippe avait ton perso.

Désolé de te réveiller, mais  notre SI est tombé. Apparemment, une mise en production s’est mal passée. Quelle application ? Aucune idée.

Philippe m’a chargé de mobiliser la cellule de crise. Du coup, tu peux regarder la procédure et appeler Simone avant de venir s’il te plait ? Rappelle-moi si tu ne retrouves pas le numéro. J’espère qu’elle sera là, c’est vraiment la galère on est en pleine clôture.

Envoie-moi un SMS pour me dire quand  tu arrives. Au fait, tu sais où on se retrouve ? Non ? À l’Atlantis, salle du conseil. On verra en arrivant comment on prévient les collaborateurs.»

Bien que fictives, ces quelques lignes – qui évoqueront peut-être à certains des souvenirs – mettent en évidence les points clés d’un début efficace de gestion crise et les difficultés afférentes.

En effet, les différents acteurs doivent réussir à se contacter, relayer une information exacte, obtenir de la visibilité sur les disponibilités et, éventuellement, alerter massivement les collaborateurs ; alors même qu’ils sont en situation de stress, pas ou peu préparés, que les procédures et annuaires sont oubliés voire non mis à jour et que les moyens de communication habituels ne sont pas forcément disponibles.

Impossible dès lors de s’assurer que l’alerte a été correctement transmise jusqu’aux derniers maillons et que la mobilisation suffit à adresser la crise rencontrée. Sans parler de la probable difficulté à informer l’ensemble des collaborateurs de l’organisation.

Au vu de ces difficultés, le recours à un outillage spécifique à ces premières phases de crise peut se révéler pertinent.

Industrialiser l’alerte : des outils offrant de nombreuses fonctionnalités couvrant différents aspects de la gestion de crise

On distingue classiquement deux besoins d’alerte distincts lorsqu’une organisation doit faire face à une crise. Le premier est de monter le plus rapidement possible la cellule de crise appropriée à la nature du sinistre. Le second est d’alerter largement ses collaborateurs –  éventuellement organisés en différentes populations – de façon pro active, tout en s’enquérant de leur condition (ce que ne permet pas l’usage d’un numéro vert).

Pour ce faire, il est possible de recourir à ce que les américains appellent un EMNS : Emergency Mass Notification System, ou outil d’alerte et de communication d’urgence, qui vise à éviter les écueils décrits plus haut grâce à différentes fonctionnalités.

En amont, un tel outil permet de définir des schémas d’alerte, listant les personnes à prévenir (sans limitation de nombre), l’éventuelle escalade, les moyens de communication à utiliser (mail, téléphone, serveur vocal interactif, sms voire fax, en distinguant les canaux principaux de ceux à activer en cas d’échec), et enfin la teneur du message, qui peut bien sûr être adaptée le jour J.

En cas d’alerte à déclencher, la personne d’astreinte dispose de différents moyens d’activation. Le principal est un portail internet, mais il est aussi possible de lancer une activation par d’autres médias (téléphone, sms, etc.).

Une fois l’alerte lancée, l’outil permet de suivre la progression du processus : échec ou succès des appels, retours des personnes contactées, etc.

Cette richesse fonctionnelle a pour contrepartie l’exploitabilité de la solution. Les interfaces sont riches et leur maitrise n’est pas immédiate, du moins en ce qui concerne le paramétrage.

La mise en place d’un tel outil peut aussi demander un investissement non négligeable, voire un développement spécifique pour assurer l’interface avec des éléments du SI de l’organisation comme l’annuaire des contacts. Les coûts d’entrée peuvent donc être élevés.

Au quotidien le coût est principalement constitué de l’abonnement, ces outils étant le plus souvent proposés en mode SaaS, notamment pour ne pas les exposer aux mêmes risques que ceux des clients. Les communications sont facturées à l’usage.

Un marché des EMNS loin d’être uniforme à travers le monde

Ces outils se sont principalement développés aux Etats-Unis, sous l’impulsion de réglementations fédérales (NFPA 72 2012 et DoD UFC 04-021-01). En mars dernier, le Gartner a mené une revue des EMNS présents sur le marché américain, qui a recensé plus de 50 fournisseurs ; 13 ont fait l’objet d’une étude détaillée, et 4 ont été positionnés dans le quadrant des leaders : Everbridge, MIR3, SendWordNow et AtHoc .

Pour autant, aucun de ces acteurs majeurs n’est présent en Europe, où l’on trouve généralement un acteur prépondérant par pays : Fact24 en Allemagne, AlarmTilt au Luxembourg, DolphinSystemsSikado en Suisse, etc.

Certains, comme Fact24 et AlarmTilt sont néanmoins présents sur le marché français, mais celui-ci reste atypique. Peu développé, il est en effet essentiellement adressé par des acteurs du telemarketing ou de la relation client qui ont su adapter leurs plates-formes à la transmission d’alertes (par exemple la solution GALA, qui équipe la majorité des préfectures, basée sur l’offre ContactEveryOne d’Orange ou la solution push SMS de Jet Multimedia).

Se positionnent également des acteurs issus de la surveillance et de l’alerte industrielle, avec des outils en mesure de s’interfacer avec différents canaux de communication pour proposer un service équivalent à un EMNS.

Consulter le marché pour trouver l’outil qui saura accompagner une organisation de crise définie au préalable

Avant d’envisager le recours à un EMNS, il est nécessaire d’être au clair sur sa gestion de crise et sur les modalités d’alerte et d’information de ses collaborateurs : acteurs mobilisés, messages délivrés, information avec acquittement de collaborateurs, etc. Comme à chaque fois, l’outil doit venir accompagner un processus en place, et non pas permettre de le définir.

Une fois ce pré-requis atteint,  le recours à EMNS est de nature à accélérer les phases d’alerte et accompagner le dispositif de crise. Ceci est d’autant plus vrai pour les organisations de grande taille, géographiquement réparties ou ayant des modalités d’astreinte complexes.

Reste dès lors à trouver le bon outil, qui saura répondre au besoin, être disponible le jour J, et dont on est sûr que les communications seront transmises, le tout à un coût raisonnable. Pour y parvenir, il faudra se demander quelles sont les fonctionnalités qui serviront à accompagner la gestion de crise, et être en mesure de les distinguer de celles qui constitueront un plus. Puis consulter le marché sur cette base pour trouver l’outil adéquat.

Cet article Alerter en cas de crise : faut-il passer par un EMNS (Emergency Mass Notification System)? est apparu en premier sur RiskInsight.

Lire la tribune.

Cet article Comment se préparer à une crue exceptionnelle ? est apparu en premier sur RiskInsight.

Aujourd’hui, les conséquences d’une crue similaire seraient diverses : arrêt des transports et difficultés de circulations, absentéisme dans les entreprises et les services publics, coupures électriques, eau non potable, etc.

Face à ces impacts variés, l’arrêt d’une grande partie des activités des entreprises est inéluctable. Mais les responsables de la continuité de l’activité des entreprises ne sont pas totalement démunis. Une inondation se déroule en trois temps : montée des eaux, pic de crue, décrue. Cette progressivité permet d’anticiper les impacts et donc les solutions à mettre en place.

Avant la crue et jusqu’à la montée des eaux, scénariser la crise et adopter les mesures de sauvegardes

« Quand on commence avec des certitudes, on termine avec des doutes ». La crue exceptionnelle illustre parfaitement cette maxime de Francis Bacon. Il est certain qu’elle arrivera, sans qu’on sache exactement à quoi nous attendre à ce moment-là.

Pour éclairer les zones d’ombres, de nombreuses études sont toutefois disponibles (études DIREN, PPRI des communes…). Malgré tout, des questions resteront posées. Paris ne présente plus le même visage qu’au début du siècle dernier. L’évolution des sols et sous-sols rend partiellement caduques les cartes de 1910. Les modélisations existantes ne tiennent pas compte de tous les paramètres (remontées d’eau dans les sous-sols notamment), de sorte qu’il n’est pas possible d’anticiper précisément les impacts.

Enfin, et surtout, la crue pourrait être bien plus virulente, comme ce fut le cas à Prague en 2002, invalidant toutes les prévisions basées sur les hauteurs d’eau de 1910.

En tenant compte de tous ces paramètres, et en acceptant de ne pas tout maîtriser, le responsable de la continuité d’activité pourra réaliser son analyse d’impact. Suite à celle-ci, il sera en mesure de lancer immédiatement des actions conservatoires (remontée ou déménagement de ressources clés) et de bâtir un scenario de crise en plusieurs étapes (vigilance, alerte, mobilisation, …) en fonction de la montée des eaux et de la chronologie des évènements associés

Cette scénarisation permettra de définir une procédure « crue » à dérouler lorsque les eaux monteront.

Pour chacune des étapes anticipées lors de la montée des eaux, un ensemble d’actions sera mis en œuvre pour se prémunir au mieux des conséquences sans perturbation de l’entreprise au quotidien : pré-mobilisation de la cellule de crise, remontée d’équipements dans les étages, vérification des dispositifs de secours et de sauvegarde, installations de batardeaux…

Adapter au mieux son PCA pendant le pic et la décrue

En situation de « pic de crue », certainement deux à trois semaines, les impacts sur l’entreprise mais plus globalement sur l’ensemble de la région Ile de France seront extrêmement conséquents. Impossible dès lors de couvrir le risque comme avec un PCA classique.

Le Plan de Continuité d’Activité « crue » devra savoir s’adapter à cette situation exceptionnelle, et ne plus chercher à couvrir toutes les fonctions critiques de l’entreprise mais bien uniquement les fonctions absolument vitales et les organes de crise auxquels devront être dédiés tous les moyens disponibles. Le RPCA doit faire son deuil d’une continuité de l’ensemble des activités, même celles habituellement reprises.

Les solutions classiques des PCA devront également être évaluées au regard des contraintes spécifiques du « pic de crue » : le nomadisme repose sur des infrastructures dont rien ne garantit le bon fonctionnement en situation de crue, le repli doit prendre en compte le lieu d’hébergement des collaborateurs (la Seine et la Marne ne pouvant être franchies)…

La décrue des fleuves peut durer plusieurs semaines (35 jours en 1910), et durera a minima plusieurs mois pour les entreprises touchées : nettoyage des bâtiments, consolidation des fondations, remise en état d’équipements, réapprovisionnements…

Pour autant, les actions à mettre en œuvre au cours de ces étapes ne peuvent être formalisées de façon précise tant que la crue ne s’est pas déroulée. Le RPCA devra plutôt s’attacher à dégager les grands principes qui guideront la reprise progressive des activités durant cette étape : abandon/remise en fonction des bâtiments, activités à reprendre en priorité, pré-contractualisation de stock de reprise, etc.

Se focaliser sur l’essentiel pour faire face à la crue

Il est impossible de prévoir et traiter intégralement une crue exceptionnelle. Toutefois, aborder la problématique en amont permettra de scénariser la crise et de prévoir les actions de limitation de ses conséquences.

Les impacts résiduels seront traités par des solutions PCA « plus classiques », couvrant ce qui ne peut être protégé, mais doit être préservé.

In fine, se préparer à faire face à la crue, c’est initier la prise en compte des chocs extrêmes, sinistres pour lesquels tous les impacts ne peuvent être couverts, rendant la hiérarchisation des activités vitales encore plus essentielle à la continuité.

Cet article Les entreprises face à une crue exceptionnelle est apparu en premier sur RiskInsight.