Maturité Gestion des crises cybernétiques · Résilience après une attaque
Votre capacité à tenir et à redémarrer après une attaque, mesurée et traduite en plan d’action.
12 thématiques, une échelle à 5 niveaux. Et l’action qui fait passer chaque niveau au suivant.
Les 12 thématiques du référentiel, déjà rédigées de N1 à N5. Une entreprise, une business unit, ou 300 à la fois.
Maturité Gestion des crises cybernétiques · Résilience après une attaque
12 thématiques, échelle à 5 niveaux.
Nordhavn Industries
53 / 100
Ils mesurent leur maturité avec Datamensio
Un exemple
Cette situation pourrait être la vôtre.
Prenons l’exemple d’une entreprise : trois sites, trois tableurs, aucune réponse commune.
Personne ne sait consolider.
Nordhavn Industries, 2 400 personnes à Hambourg, Lyon et Porto. Un donneur d’ordre demande où en est le groupe. Chaque site répond dans son tableur, avec ses propres échelles.
Trois semaines, une seule base.
Un diagnostic Cadre de gestion de crise cyber, aligné sur ISO 22301, ISO/IEC 27035 et le guide ANSSI de gestion de crise cyber lancé sur les trois sites en même temps, à partir des notes d’entretien des responsables. Le référentiel était déjà écrit, les 12 thématiques et les niveaux N1 à N5 aussi.
Deux dépenses évitées avant d’être engagées.
Un score de 53 sur 100, un écart concentré sur trois thèmes. Le compagnon IA a repéré que deux actions du plan doublonnaient avec celui d’un autre audit. La restitution au comité s’est demandée en une phrase.
Ce que ça leur a évité
- 3sites mesurés sur la même base, au lieu de trois questionnaires à retraiter
- 2actions en doublon détectées avant la dépense
- 1restitution au comité, sans reprise manuelle
Ces chiffres sont ceux d’un exemple. Ils pourraient être les vôtres.
La norme impose des processus. Datamensio dit où vous en êtes.
01
Le référentiel est déjà écrit
Thématiques, questions et niveaux N1 à N5 rédigés. Vous ne partez pas d’un tableur vide.
02
Le score tombe le jour même
En ligne, par lien d’auto-évaluation ou en entretien. Thème par thème, comparable dans le temps.
03
L’écart devient un plan chiffré
Chaque passage de niveau porte son action. L’IA priorise sur l’effet attendu, pas sur l’ordre de la norme.
04
La progression se démontre
Campagne après campagne, contre votre cible et contre votre passé. C’est ce que demande votre COMEX.
L’échelle de maturité
Un niveau, le suivant, et l’action qui relie les deux.
C’est ce mécanisme (un niveau, un niveau supérieur, et l’action qui relie les deux) qui transforme un constat en trajectoire.
La capacité à restaurer les systèmes essentiels à partir des sauvegardes est-elle vérifiée ?
- N1
Aucun test de restauration. L’existence des sauvegardes est constatée par les journaux, sans vérification de leur exploitabilité.
- N2
Des restaurations sont réalisées ponctuellement, à l’occasion d’une demande utilisateur ou d’un incident, sans périmètre défini ni compte rendu.
- N3
Un plan de tests couvre les systèmes essentiels identifiés, avec des restaurations périodiques et un compte rendu documenté des résultats.
- N4
Les tests sont réalisés sur un environnement isolé, incluent la reconstruction de l’annuaire et mesurent les durées obtenues, comparées aux durées cibles validées par les métiers.
- N5
Les tests intègrent un scénario de compromission des sauvegardes en ligne, les écarts de durée alimentent le plan d’investissement, et le dispositif est révisé après chaque exercice et chaque évolution d’architecture.
Action pour passer de N2 à N3
Établir la liste des systèmes essentiels avec les métiers, inscrire une restauration test par trimestre au calendrier d’exploitation existant et produire un compte rendu court, présenté en comité sécurité.
« Grâce à Datamensio, nous remplissons avec beaucoup plus d’efficacité nos objectifs. Les services d’inspection du FEDER et de notre ministère de tutelle ont particulièrement apprécié cette approche qui leur apporte une data fiable. »
Directrice de la CCI 94CCI Île-de-France
« Nous pensons qu’il s’agit de la solution la plus adaptée pour amener notre projet de transformation à l’échelle et mesurer l’impact selon nos besoins. »
Maja SucekChief Operating Officer, Interreg Danube
Rarement seul
Un référentiel se combine. Associez-en plusieurs pour couvrir votre activité, ou faites écrire le vôtre par l’IA.
Prenez votre première mesure
De quoi parle ce référentiel
La gestion de crise cyber n’est pas la gestion d’incident. L’incident se traite dans les processus existants, avec les équipes en place. La crise commence quand l’événement dépasse les capacités de traitement courantes : plusieurs métiers touchés, systèmes indisponibles, décisions à prendre sans information complète, communication à tenir vis-à-vis des clients, des autorités et des salariés. Le référentiel évalue le dispositif qui prend le relais à ce moment précis : critères de déclenchement, cellule de crise décisionnelle et cellule opérationnelle, moyens de communication de secours, procédures dégradées, stratégie de reprise et capacité à tirer les enseignements.
C’est un domaine difficile à piloter parce que la preuve manque tant que rien n’est arrivé. Quelques questions concrètes tranchent rapidement : qui décide d’isoler un système de production, et cette décision peut-elle être prise un dimanche à trois heures du matin sans attendre le comité de direction ? Combien de temps l’activité peut-elle fonctionner sans le système d’information, et cette durée a-t-elle été vérifiée avec les métiers ou seulement estimée par la DSI ? Les sauvegardes ont-elles été restaurées pour de vrai, sur un environnement séparé, et en combien de temps ?
Une confusion revient souvent : confondre le plan de continuité d’activité et le dispositif de crise cyber. Le PCA classique suppose que le système d’information reste disponible sur un site de secours. Une attaque par rançongiciel invalide cette hypothèse, puisqu’elle touche l’annuaire, les sauvegardes en ligne et parfois les outils de communication interne. Les exigences européennes récentes, NIS 2 et DORA, ont par ailleurs déplacé le sujet du domaine technique vers celui de la gouvernance, avec des délais de notification courts et une responsabilité explicite des organes de direction.
Un audit de conformité conclut par oui ou non : le plan existe, l’exercice a été réalisé. Le diagnostic de maturité pose une autre question : à quel niveau de maîtrise se situe la pratique, et quelle action précise fait passer au niveau supérieur. Entre un plan de crise écrit et jamais joué, un plan testé une fois par an sur table, et un dispositif éprouvé par des exercices de simulation avec bascule technique réelle, l’écart est considérable, alors que les trois cas répondent oui à la même question d’audit.
Dans Datamensio, le référentiel est prêt à l’emploi. Vous pouvez aussi l’adapter à votre contexte : l’IA ajuste les thématiques, les questions et les niveaux, ou construit une déclinaison à partir de vos propres documents, plan de crise, fiches réflexes ou comptes rendus d’exercices.
Norme de référence : Cadre de gestion de crise cyber, aligné sur ISO 22301, ISO/IEC 27035 et le guide ANSSI de gestion de crise cyber
Les thématiques évaluées
Gouvernance du dispositif de crise
Politique de gestion de crise, rattachement hiérarchique, rôles et suppléances, engagement des organes de direction, budget et moyens dédiés.
Détection et qualification
Sources de détection, chaîne d’alerte, critères de qualification d’un incident en crise, seuils de déclenchement, permanence en dehors des heures ouvrées.
Cellules de crise et mobilisation
Composition de la cellule décisionnelle et de la cellule opérationnelle, délégations de décision, annuaire de mobilisation, salle de crise physique et de repli.
Procédures et fiches réflexes
Scénarios couverts, fiches réflexes par rôle, procédures d’isolement et de confinement, disponibilité des documents en version hors ligne.
Communication de crise
Porte-parole désignés, messages préparés par audience, canaux de secours indépendants du système d’information, coordination avec les clients et les partenaires.
Notification réglementaire et relations avec les autorités
Identification des obligations applicables, délais de notification, contacts établis avec les autorités compétentes, dépôt de plainte et assurance cyber.
Continuité d’activité en mode dégradé
Analyse d’impact sur les activités, durées d’interruption acceptables validées par les métiers, procédures manuelles, priorisation des activités essentielles.
Sauvegardes et capacité de reconstruction
Isolement et immuabilité des sauvegardes, périmètre couvert, tests de restauration réels, plan de reconstruction de l’annuaire et des socles techniques.
Reprise et retour à la normale
Critères de sortie de crise, séquence de remise en service, mesures de durcissement avant reconnexion, surveillance renforcée post-incident.
Exercices et entraînement
Fréquence et format des exercices, réalisme des scénarios, implication des dirigeants et des métiers, bascule technique effective, suivi des actions issues des exercices.
Écosystème et dépendances
Prestataires critiques et infogérance, clauses contractuelles de mobilisation, prestataires de réponse à incident référencés, coordination avec la chaîne d’approvisionnement.
Retour d’expérience et amélioration
Recueil des faits pendant la crise, main courante, débriefing structuré, actions correctives suivies dans le temps, mise à jour du dispositif.
Une version courte du référentiel est disponible pour l’auto-évaluation en ligne.
Questions fréquentes
Ce diagnostic débouche-t-il sur une certification ?
Non. Datamensio mesure la maturité du dispositif de crise et prépare les échéances, il ne certifie pas. Le diagnostic sert de base documentée si vous engagez ensuite une démarche ISO 22301 ou une revue par un tiers.
Quelle différence avec un audit de conformité du plan de crise ?
L’audit vérifie l’existence des documents et conclut par un écart ou une conformité. Le diagnostic situe chaque pratique sur une échelle progressive et indique l’action qui fait monter d’un niveau. Un plan écrit et jamais joué et un dispositif éprouvé par des exercices obtiennent le même résultat en audit, jamais le même score de maturité.
Combien de temps prend l’évaluation ?
La version courte se remplit en 20 à 30 minutes. La version complète, en mode collaboratif, mobilise la sécurité, la production informatique, la continuité d’activité et la communication. L’essentiel du temps est consacré à la collecte auprès de ces contributeurs.
Faut-il avoir déjà vécu une crise pour répondre ?
Non. Les questions portent sur les dispositifs en place et sur les preuves disponibles, comptes rendus d’exercices, fiches réflexes, tests de restauration. Une organisation qui a vécu une crise récente dispose simplement de plus de matière pour objectiver ses réponses.
Peut-on adapter le référentiel ?
Oui. Vous pouvez modifier les questions, les niveaux, ajouter des thématiques propres à votre secteur ou à votre organisation multi-sites. L’IA construit également une déclinaison à partir de votre plan de crise et de vos comptes rendus d’exercices. La maîtrise du référentiel vous appartient.
Comment comparer plusieurs entités du groupe ?
Le même référentiel est diffusé à chaque business unit, ce qui rend les scores comparables par thématique. Une feuille de route transversale consolide les audits et regroupe les actions communes, l’IA les priorisant selon leur impact sur le score.
Comment ce diagnostic s’articule-t-il avec NIS 2 et DORA ?
Ces textes imposent des obligations de notification, de continuité et de test qui recoupent directement les thématiques du référentiel. Le diagnostic constitue un socle réutilisable pour ces deux échéances, sans dupliquer la collecte.
Où sont hébergées les données ?
En France, chez OVH, avec sauvegarde chez Scaleway. Aucun transfert hors Union européenne. Les modèles d’IA mobilisés peuvent être sélectionnés, y compris parmi des solutions européennes.