Communication de crise lors d'une attaque de ransomware : Gérer l'information en cas d'urgence

SOMMAIRE

• Quand tout s'arrête
• Pourquoi une communication intelligente est essentielle lors d'une cyberattaque
• La communication de crise en cas d'urgence - principes et mesures
• La communication de crise en tant que clé
• Conclusion : La communication de crise en situation d'urgence
• Ce que vous pouvez attendre de DQS

Quand tout s'arrête

La production s'arrête. Les chaînes d'approvisionnement sont perturbées. Les factures ne peuvent être émises. Les salaires ne peuvent être versés. Même les téléphones se taisent en cas d'incident majeur de cybersécurité. Cette perte de contrôle est un choc pour toute entreprise et oblige la direction à prendre des décisions cruciales en très peu de temps.

Dans une telle situation, une chose devient vitale : une communication claire et structurée - en interne et en externe. En bref : la communication d'urgence.

Pourquoi une communication intelligente est essentielle lors d'une cyberattaque

"Une crise existe lorsque les autres la perçoivent comme telle. Cette phrase touche au cœur du problème : qu'il s'agisse des employés, des clients, des fournisseurs ou du public, toutes les parties prenantes attendent de la clarté et du leadership en cas de violation de la sécurité. Si ces attentes ne sont pas satisfaites, les conséquences peuvent être graves : les employés peuvent envisager de démissionner, les parties prenantes peuvent perdre confiance et les clients peuvent se détourner de l'entreprise.

Très vite, les accusations fusent : "Cette entreprise ne maîtrise pas la situation". Que ce soit vrai ou non n'a pas d'importance au départ - ce qui compte, c'est la perception : "Ils n'ont pas de plan de communication".

C'est exactement là que la communication de crise entre en jeu. Elle permet de réduire l'incertitude, de donner des orientations et de faire preuve de leadership. Les entreprises qui évitent les messages contradictoires et communiquent de manière cohérente peuvent maintenir la confiance, même en cas de crise.

Communication de crise en cas d'urgence - principes et mesures

Équilibrer la transparence et la discrétion

Les attaques par ransomware requièrent du tact. Un excès de détails techniques ou de commentaires sur le paiement éventuel d'une rançon peut semer la confusion, voire provoquer les attaquants. D'un autre côté, un silence complet semble évasif. La transparence ne consiste pas à tout dire, mais à montrer de manière crédible que la situation est sous contrôle et que des mesures appropriées sont prises.

Donner la priorité aux parties prenantes

1. Les employés : Ils doivent être les premiers à être informés. Des messages clairs évitent les rumeurs et les rassurent sur les horaires de travail, les responsabilités et le paiement des salaires.
2. Clients, partenaires, fournisseurs : Fournir des évaluations réalistes de la durée des perturbations et des impacts auxquels il faut s'attendre.
3. Le public et les médias : Les lacunes en matière d'information donnent lieu à des spéculations. Une communication proactive vous permet de contrôler le récit.

Structure et calendrier

En cas de crise, un calendrier structuré est inestimable. Même s'il n'est pas possible de faire des prévisions fermes au départ, un calendrier approximatif favorise la transparence. Il est préférable de communiquer des mises à jour fréquentes et moins importantes que de promettre trop et de décevoir. Il est plus crédible de dire honnêtement "Nous poursuivons notre enquête et nous vous tiendrons au courant sous peu" que de faire des déclarations prématurées.

Prévoyez des mises à jour fixes pour les équipes internes, des points de presse programmés et des canaux de communication coordonnés afin de contrôler le flux d'informations.

Outils et modèles

Fournissez à votre équipe des ressources utiles : FAQ préparées, exemples de déclarations, notes d'allocution et modèles de courrier électronique. Ces outils permettent de gagner un temps précieux et d'assurer la cohérence des messages, tant en interne qu'en externe.

La préparation plutôt que l'improvisation

L'enseignement le plus important à tirer est que la communication de crise doit commencer bien avant une attaque de ransomware. La mise en place de structures et de processus de communication à l'avance permet de gagner un temps précieux au moment où cela compte le plus.

• Mettez en place des équipes de crise : Des équipes inter-fonctionnelles dotées d'un pouvoir de décision clair.
• Définir les responsabilités : Qui communique en interne ? En externe ? Qui approuve les messages finaux ?
• Classer les systèmes par ordre de priorité:  Savoir quels sont les systèmes et les processus critiques
• Pratiquer des scénarios : Effectuer des exercices réalistes
• Mettre en place une infrastructure : Lignes téléphoniques d'urgence, stockage sécurisé des documents, personnes de contact désignées.

Les entreprises qui répètent régulièrement des scénarios de crise ne paniqueront pas - elles réagiront avec un plan.

La communication de crise est essentielle

Une attaque de ransomware est une situation d'urgence aux enjeux considérables, qui peut rapidement devenir une question de survie. Dans de tels moments, une bonne communication de crise n'est pas facultative, elle est essentielle. Elle fournit des orientations, aide à maintenir la confiance et préserve la capacité d'action de votre organisation.

Bonne nouvelle : la communication de crise peut être préparée à l'avance. En mettant en place les structures, les modèles et les rôles adéquats, vous gagnerez les atouts les plus précieux en cas de crise : le temps, la clarté et la fiabilité.

Notre conseil pratique : la norme bien connue de management de la sécurité de l'information ISO 27001 exige explicitement des organisations qu'elles définissent quoi, quand, comment et avec qui communiquer, tant en interne qu'en externe (section 7.4). Une attention particulière est accordée aux sujets liés à la sécurité : Les incidents de sécurité, leur signalement, leur traitement et leur suivi font l'objet d'exigences clairement documentées (annexe A 5.24 - 5.26).
De cette manière, la norme ISO 27001 ne contribue pas seulement au management des risques, mais garantit également que chacun sait ce qu'il doit faire dans les moments critiques.

Conclusion : Communication de crise en cas d'urgence

L'importance de la préparation

Les attaques de ransomware ne peuvent pas toujours être évitées. Mais la façon dont votre organisation communique lors d'une attaque détermine si l'incident devient un désastre ou une situation gérable.

Les organisations qui préparent leurs stratégies de communication de crise à l'avance sont mieux placées pour protéger la confiance, rester opérationnelles et se rétablir plus solidement.

La norme ISO/IEC 27001 offre un cadre structuré pour la communication de crise, avec des responsabilités définies, des voies de communication et des procédures d'escalade. Cela crée la clarté et la résilience nécessaires pour répondre efficacement aux situations d'urgence.

Ce que vous pouvez attendre de DQS

DQS est votre partenaire expert en matière d'audits et de certifications - pour les systèmes de management et les processus d'entreprise. Avec plus de 40 ans d'expérience et un réseau mondial de 2 500 auditeurs, nous offrons des services de certification fiables dans tous les domaines de la sécurité de l'information.

Notre engagement : Expertise.
Les auditeurs de DQS apportent de nombreuses années d'expérience pratique au sein d'organisations de toutes tailles et de tous secteurs. Cela garantit que votre auditeur comprend votre situation spécifique et votre culture d'entreprise.

Mettons-nous en contact - nous sommes là pour vous.

Confiance et expertise

Tous nos contenus sont élaborés par nos experts en normes ou nos auditeurs de longue date. Si vous avez des questions sur cet article de blog ou sur nos services, n'hésitez pas à nous envoyer un courriel à l'adresse [email protected].

Note: Pour des raisons de lisibilité, nous utilisons la forme générique masculine. Cependant, toutes les identités de genre sont également incluses, le cas échéant.

Clause de non-responsabilité : cet article ne fournit que des orientations générales. La mise en œuvre de toute mesure de sécurité ou de réponse aux incidents doit être adaptée à l'environnement juridique, réglementaire et opérationnel de votre organisation.