Le contenu de cette page a été écrit et publié sous la direction de l'Institut national des hautes études de la sécurité et de la justice (INHESJ) qui a rejoint l'Institut des hautes études du ministère de l'Intérieur (IHEMI) le 1er janvier 2021. Il était important pour la direction de l'IHEMI de conserver l'ensemble du contenu de l'INHESJ, qui constitue désormais la mémoire de l'institut.
Autrefois gérées par les seuls RSSI (responsables de la sécurité des systèmes d'information), les crises « cyber » se sont transformées en risque systémique ; elles ne se limitent plus à la seule direction informatique mais peuvent présenter un danger global pour la société dans son ensemble. Par la création de ces nouveaux scénarios, l'INHESJ entend montrer que les crises doivent être approchées de manière transversale – et pas uniquement par des « spécialistes » –, en impliquant tous les échelons d'une organisation.
La dizaine de scénarios proposés par l'Institut permet aux auditeurs, réunis sur un plateau de crise dédié, d'être confrontés aux symptômes d'une crise au plus proche des conditions réelles : attentats multiples, accident sanitaire ou nucléaire, etc. Leur objectif consiste à prendre les décisions appropriées, dans des conditions dégradées, après avoir établi un diagnostic précis de la situation tout en étant capable d'assimiler de nouvelles informations en direct.
Le nouvel exercice de crise « cyber » plonge les auditeurs au sein d'une entité publique ou privée devant faire face aux multiples conséquences d'une cyberattaque. Ils doivent alors tout mettre en œuvre pour revenir à un service au public ou au client normal et sécurisé. L'exercice est suivi d'un debriefing permettant d'aborder les décisions prises, le fonctionnement de la cellule de crise et de revenir sur les connaissances élémentaires en matière de cybersécurité.
En parallèle des exercices de crise, les séances de media training ont elles aussi été adaptées aux nouveaux enjeux induits par la cybersécurité. Les auditeurs deviennent les porte-parole d'une entreprise de transport qui a subi une attaque « cyber » ayant des conséquences d'exploitation et sur la sécurité de la clientèle. En trois minutes face à la presse, leur objectif est d'expliquer la situation le plus simplement possible et de faire face, avec sang-froid, aux questions des journalistes. L'exercice de media training est suivi d'un debriefing individualisé qui s'appuie sur la vidéo de l'entretien. Ce nouveau scénario porte à une douzaine le nombre de situations proposées par l'Institut en media training.
Après plusieurs semaines de mise au point, l'exercice de crise et l'étude de cas de media training ont pu être déployés pour la première fois le 5 avril auprès des 40 auditeurs de la session nationale « Souveraineté numérique et cybersécurité ». Ajustés et actualisés après chaque utilisation, ces exercices seront proposés aux sessions nationales de l'Institut, mais aussi au cours de formations sur-mesure, comme celle des comités exécutifs d'entreprises.
Vous êtes intéressé(e) par les exercices de crise et de media training de l'INHESJ ? Contactez le département « Risques et crises » : formationcrise@inhesj.fr - +33 (0)1 76 64 89 84
