Thème 2 : Disposer des procédures appropriées : faites un plan

Une fois que vous avez fait le point sur votre situation en dressant votre inventaire et en effectuant les analyses nécessaires, vous devez passer à l’étape suivante : faire un plan.

Déjà à l’époque des châteaux forts, le seigneur du Moyen Âge n’attendait pas que ses ennemis soient en train de l’attaquer ou qu’un incident se déclare pour réfléchir aux bonnes procédures à mettre en place.

Pour se défendre, il prévoyait bien à l’avance l’entraînement de ses troupes (archers, fantassins…), il pensait aux procédures de stockage des vivres pour résister à un siège, il établissait des procédures d’évacuation (par exemple, en cas d’incendie) et il convenait avec ses alliés de la procédure à mettre en œuvre pour les appeler en renfort le jour où une attaque ennemie aurait lieu.

De la même façon, à l’heure numérique, votre entreprise doit, elle aussi, adopter des procédures pour anticiper les incidents de cybersécurité et en limiter les impacts éventuels.

Ce plan doit se construire en trois temps bien distincts :

avant l’incident : ce que vous faites pour éviter qu’un incident cybersécuritaire ait lieu. À ce stade, une bonne politique de sécurité de l’information , incluant la sensibilisation de votre personnel (voir thème 3 « Sensibiliser : votre plan en pratique »), ainsi que la maîtrise des risques liés à vos fournisseurs et vos sous-traitants (gestion des données personnelles , accès à vos systèmes informatiques…), vous sera bien utile. C’est véritablement le document-clé de votre dispositif de prévention en matière de cybersécurité !
pendant l’incident : ce que vous faites lorsque l’incident cybersécuritaire arrive malgré tout, pour éviter un blocage total de votre activité et reprendre le contrôle de la situation. Ici, on parlera de plan de gestion d’incident et de plan de continuité d’activité .
après l’incident : ce que vous faites une fois l’incident cybersécuritaire terminé, pour apprendre de vos expériences. C’est l’ évaluation post-incident .

Évitez d'attendre l'incident avant de penser à vous doter de procédures adaptées !

À retenir

Château fort du Moyen Âge :
- Procédures pour :
  - entraîner les troupes (archers, fantassins...) ;
  - stocker les vivres (siège) ;
  - évacuer (incendie…) ;
  - appeler des renforts alliés ;
  - etc.
Cybersécurité de votre entreprise :
- Planification de procédures en trois temps :
  - avant l’incident : politique de sécurité de l’information (sensibilisation, gestion des fournisseurs/sous-traitants…) ;
  - pendant l’incident : plan de gestion d’incident (reprendre le contrôle) et plan de continuité d’activité (maintenir l’activité) ;
  - après l’incident : évaluation post-incident (apprendre de l’expérience obtenue).