Après une cyberattaque, les décisions dépassent vite le sujet informatique.

Le 6 novembre, Cholet a annoncé une reprise progressive de ses outils numériques. Le même jour, Northflank, une plateforme d’hébergement d’applications, a précisé la chronologie de son incident de sécurité. Dans les deux cas, l’incident avait commencé le 30 octobre. La nouveauté porte sur les conditions de reprise et les informations rendues publiques depuis.

Ces situations sont différentes. Elles permettent cependant de poser une question concrète à une direction : qui réunit les éléments nécessaires pour décider de ce qui peut fonctionner, avec quels accès et quelles limites ?

Ce que les mises à jour du 6 novembre apportent

À Cholet, la Ville et l’Agglomération indiquent avoir isolé les comptes compromis après un hameçonnage et organisé la continuité du service public dans chaque direction. Leur communication du 6 novembre annonce une réouverture progressive des accès, sous surveillance renforcée. Elle ne dit pas que tous les outils ont retrouvé leur fonctionnement normal. C’est le récit d’une collectivité, pas celui d’une ETI. Communication officielle de Cholet.

Chez Northflank, la mise à jour du 6 novembre à 10 h 09 UTC précise que le premier déchiffrement connu de secrets a eu lieu entre 2 h 39 et 3 h 08 UTC le 30 octobre, avant l’alerte reçue à 11 h 43. Ces secrets sont des identifiants techniques donnant accès à d’autres services. L’opérateur indique que les applications clientes sont restées en ligne, tout en signalant des dégradations pendant les redéploiements et ses travaux de sécurisation. Il demande toujours aux clients de renouveler leurs secrets, de vérifier les journaux des fournisseurs et d’activer les restrictions et plafonds de dépenses disponibles. L’enquête indépendante se poursuit. Historique officiel de Northflank.

Pour une entreprise concernée, constater que l’application répond ne suffit donc pas à clore la question des accès. Ce constat n’autorise pas à supposer que tous les clients ont subi les mêmes conséquences.

La décision dépasse la restauration informatique

Le 22 octobre, j’écrivais :

Dans mes échanges avec des managers impliqués dans ce type d'opérations, je constate que les incidents majeurs font apparaître une réalité commune : très vite, les questions ne sont plus seulement techniques.

Que peut-on maintenir ? Quelles activités doivent redémarrer en premier ? Qui arbitre entre continuité, sécurité et contraintes opérationnelles ?

Que dit-on aux équipes, aux clients, aux partenaires ?

Le retour à l’activité devient une question de gouvernance, gérée en Comex. Elle met en lumière la façon dont le comité de direction hiérarchise les priorités lorsque toutes ne peuvent pas être traitées en même temps.

Les deux communications récentes donnent une application précise à ces questions : distinguer ce qui fonctionne, ce dont la sécurité a été vérifiée et ce que les métiers peuvent réellement utiliser.

Le guide ANSSI/CDSE de gestion de crise associe justement le pilotage stratégique aux équipes métiers, cyber et IT. Le niveau de confiance dans les systèmes doit être partagé pour éclairer les décisions. Le dirigeant a besoin de cet avis technique pour arbitrer les conséquences sur l’activité ; une priorité commerciale ne constitue pas une preuve de sécurité. ANSSI/CDSE, fiches 9 et 15.

Un exercice sur une activité et ses dépendances

Pour préparer cette décision, un exercice peut partir d’une seule activité critique, par exemple l’expédition des commandes. Le tableau ci-dessous est une proposition de travail pour une ETI, pas le récit de Cholet, de Northflank ou d’un client X-PM.

Point à établir Question à travailler ensemble
Service attendu Quelles commandes faut-il pouvoir traiter, à quel niveau minimal et jusqu’à quand ?
Dépendances Quels comptes, données, logiciels et fournisseurs sont nécessaires pour aller jusqu’à l’expédition ?
Conditions techniques Quels contrôles les équipes cyber et IT demandent-elles avant utilisation ? Quelles incertitudes subsistent ?
Fonctionnement dégradé Quelle solution les métiers peuvent-ils tenir, avec quelle charge et quels contrôles ?
Décision de reprise Qui arbitre sur la base de ces éléments, pour quel périmètre, et quand réexamine-t-on la décision ?

Sur petit écran, faites défiler le tableau horizontalement.

Dans cet exercice, un outil logistique disponible peut rester inutilisable si l’accès au transporteur est suspendu. La direction peut alors comparer le maintien d’un traitement manuel limité et une reprise partielle, après avis des équipes compétentes. Le coût d’attente, la capacité des équipes et les risques du fonctionnement dégradé doivent apparaître dans la même discussion.

Un point mérite aussi de figurer dans l’exercice : le fournisseur le plus critique n’est pas forcément celui auquel l’entreprise consacre le plus gros budget. C’est l’une des distinctions développées par Phil Knight et Lisa Dargan dans l’entretien InfoSec Insider du 5 novembre. Leur retour de praticiens invite à regarder les dépendances réelles et à exercer les communications entre les personnes mobilisées. Il ne mesure pas la préparation des ETI françaises.

L’exercice se termine par une décision formulée et ses conditions de réexamen. Si personne ne peut expliquer qui autorise la reprise, ou qui peut la suspendre lorsqu’un contrôle échoue, le point à clarifier est déjà identifié.

Quel pilotage confier pendant cette période ?

Dans mon retour d’expérience du 14 mai 2025, je relevais notamment :

  • Il est également nécessaire de renforcer les équipes en place pour permettre une prise de recul, et les soutenir.
  • Formalisation de procédures et désignation des acteurs clés en amont.
  • Partage d’éléments de langage, en particulier avec les équipes face au client, pour leur permettre d’être informées et de répondre aux clients.
  • Formalisation d’un journal de crise dès les premières heures pour suivi et traçabilité des décisions et actions engagées.

Ces observations portaient sur une mission antérieure. Elles ne décrivent aucune intervention de X-PM dans les deux incidents cités ici.

Pour le DG ou le DAF, elles peuvent aider à cadrer un besoin de renfort : tenir la coordination entre métiers et équipes techniques, préparer les arbitrages, consigner les décisions et organiser le relais. Avant de chercher un profil, il reste à préciser l’autorité confiée, la disponibilité requise et les responsabilités conservées par le DSI, le responsable sécurité et la direction générale.

Cette fonction peut être tenue en interne si la personne désignée dispose du mandat et du temps nécessaires. Si un renfort est envisagé, son intervention doit répondre à ce manque identifié. Un manager de transition ne remplace pas les spécialistes chargés de l’investigation et de la sécurisation. Le périmètre de cet accompagnement est présenté dans notre approche de la crise cyber.

Ce qui reste inconnu

Les communications consultées le 9 novembre ne donnent ni un bilan final comparable, ni une mesure de l’exposition des ETI françaises. Northflank dit n’avoir trouvé, à ce stade, aucune preuve d’accès aux applications clientes ou à leurs données ; cela ne vaut pas certitude d’absence de compromission. Cholet annonce une reprise progressive. Aucun de ces éléments ne permet de promettre un délai de retour à la normale pour une autre organisation.

Pour vous, quand l’activité est fragilisée, comment votre organisation décide-t-elle de ce qui doit repartir en premier ?