Élaboration d’un plan de gestion de crise

Objectifs de formation

Une fois cette unité terminée, vous pourrez :

• Décrire l’importance de la constitution d’une équipe dédiée à la gestion de crise
  
• Lister les principales compétences requises pour élaborer un plan de gestion de crise
  

Constitution d’une équipe de gestion de crise

Aujourd’hui, la gestion de crise est une composante essentielle de tout programme de sécurité. Sécuriser une entreprise entière est une tâche difficile, principalement parce que toute vulnérabilité potentielle est susceptible de devenir le prochain point d’attaque. C’est pourquoi bon nombre d’organisations se concentrent surtout sur les aspects de prévention et de défense, au détriment de l’institutionnalisation de la gestion de crise.

Élaboration d’un plan de gestion de crise

Pour élaborer un plan de gestion de crise, il est essentiel que vous entrepreniez les actions suivantes :

• Constituez une équipe transversale. Elle doit comprendre des membres de la direction des services des opérations, des finances, des affaires juridiques, de la communication, des ressources humaines et de la technologie.
  
• Faites appel à des experts tiers. Lors d’une crise majeure, sollicitez des spécialistes techniques et juridiques ainsi que des experts en relations publiques et en assurance pour qu’ils vous donnent leurs points de vue impartiaux.
  
• Identifiez les principaux interlocuteurs chargés de l’application des lois et de la réglementation en vigueur. Établissez des contacts avec ces personnes en amont des crises pour que tout se déroule bien lorsque vous aurez à en gérer une.
  

• Ayez un plan très détaillé. Les responsables les plus efficaces réfléchissent aux détails avant qu’une crise ne se produise afin de pouvoir orchestrer les actions de divers intervenants ayant différents rôles et responsabilités.
  
• Envisagez d’utiliser des voies de communication alternatives. Les responsables les plus avertis envisagent l’utilisation de mécanismes de communication qui ne reposent pas sur l’infrastructure organisationnelle de base.
  
• Gardez des copies de secours de vos documents au format papier. Cela est recommandé pour les procédures, les contacts et autres documents critiques.
  
• Conformez-vous aux lois mondiales à caractère réglementaire. Veillez à ce que votre organisation respecte les réglementations en vigueur en matière de réponse aux incidents.
  
• Préparez-vous sérieusement à diverses crises. Envisagez les motifs et les objectifs des diverses attaques potentielles.
  
• Effectuez régulièrement des exercices de mise en situation. Simulez les processus de prise de décision et de communication à l’aide d’un scénario plausible pour garantir votre préparation.
  
• Ayez un plan de communication publique. Si votre organisation ne communique pas en cas de crise, d’autres personnes le feront, et de nombreux « experts » se feront un plaisir de proposer leurs hypothèses.
  
• Restez vigilant pendant que votre activité est interrompue. Ces périodes (par exemple, en dehors des heures de bureau ou pendant les vacances) sont propices aux violations.
  
• Évitez de trop vous fier à la technologie. Lorsque vous avez à gérer une crise, les systèmes et les moyens de communication peuvent ne pas être disponibles. Prévoyez l’utilisation de ressources alternatives.
  

Lorsque vous préparez votre plan de gestion de crise, gardez à l’esprit que la rapidité compte autant que la transparence. En réagissant en temps opportun et de manière transparente, et en montrant à vos clients que vous prenez leur confidentialité et leur sécurité au sérieux, vous pourrez les fidéliser tout en préservant la réputation de votre organisation même dans l’adversité. N’oubliez pas que les communications doivent être simples, indiquer clairement aux clients quelles sont les étapes suivantes et contribuer à vous prémunir contre toute autre exploitation de vos vulnérabilités par des acteurs malveillants. Assurez-vous que vos clients savent distinguer les communications officielles des messages frauduleux et fournissez-leur d’autres méthodes de vérification, comme un numéro de téléphone qu’ils peuvent appeler pour obtenir plus d’informations.

Conclusion

Dans cette unité, vous avez découvert pourquoi les organisations doivent mettre en place un plan de gestion de crise et comment elles doivent procéder pour y parvenir. Vous avez appris à tirer parti d’équipes transversales, à documenter les processus de communication et de gestion, mais aussi à mettre en place des canaux de communication de secours. Maintenant que vous comprenez mieux comment gérer une crise, apprenons à planifier la reprise de votre activité après une catastrophe naturelle ou une cyberattaque. 

Ressources

• PDF : NIST : Guide de la planification d’urgence pour les systèmes d’information fédéraux
  
• PDF : NIST : Guide de la gestion des incidents de sécurité informatique
  
• Site externe : SANS : Manuel du gestionnaire d’incidents